Вы находитесь в разделе Типовых решений систем безопасности

Методологическая основа сравнительного анализа средств защиты конфиденциальной информации ,часть 2,

Требования к техническим средствам защиты, используемым в составе сети С учетом всего сказанного ранее, получим набор требований к защите конфиденциальной информации в АС, реализованной на базе ОС Windows (для других платформ данные требования, не теряя своей общности, должны быть модифицированы с учетом архитектурных особенностей ОС, например, в ОС Unix настроечные файлы ОС находятся не в реестре ОС, в файлах, устройства монтируются к файловой системе и т.д.).

Требования получим на основе требований к АС класса защищенности 1Г (защита конфиденциальной информации). Требования к АС первой группы (включающие требования к техническим средствам защиты информации) представлены в Табл.1.

Обозначения, использованные в Табл.1.
- - нет требований к данному классу; + - есть требования к данному классу.

Таблица 1 Формализованные требования к АС первой группы

Подсистемы и требования Классы 1Д 1Г 1В 1Б 1А Подсистема управления доступом 1. Идентификация, проверка подлинности и контроль доступа субъектов: - в систему + + + + + - к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ - + + + + - к программам - + + + + - к томам, каталогам, файлам, записям, полям записей - + + + + 1. Управление потоками информации - - + + + Подсистема регистрации и учета 2. Регистрация и учет: - входа (выхода) субъектов доступа в (из) систему (узел сети) + + + + + - выдачи печатных (графических) выходных документов - + + + + - запуска (завершения) программ и процессов (заданий, задач) - + + + + - доступа программ субъектов доступа к защищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи - + + + + - доступа программ субъектов доступа к терминалам, ЭВМ , узлам сети ЭВМ, программам, томам, каталогам, файлам, записям, полям записей - + + + + - изменения полномочий субъектов доступа - - + + + - создаваемых защищаемых объектов доступа - - + + + 2. Учет носителей информации + + + + + 2. Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей - + + + + 2. Сигнализация попыток нарушения защиты - - + + + Криптографическая подсистема 3. Шифрование конфиденциальной информации - - - + + 3. Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах - - - + + 3. Использование аттестованных (сертифицированных) криптографических средств - - - + + Подсистема обеспечения целостности 4. Обеспечение целостности программных средств и обрабатываемой информации + + + + + 4. Физическая охрана средств вычислительной техники и носителей информации + + + + + 4. Наличие администратора (службы) защиты информации в АС - - + + + 4. Периодическое тестирование СЗИ НСД + + + + + 4. Наличие средств восстановления СЗИ НСД + + + + + 4. Использование сертифицированных средств защиты - - + + +

Перечень подсистем защиты конфиденциальной информации и требований к ним, включая введенные нами уточняющие требования, представлены в Табл.2. Замечание. Здесь сведены только интересующие нас требования к техническим средствам защиты (не представлены требования к организационным мерам).

Таблица 2 Подсистемы и требования к защите информации в автоматизированной системе

Подсистемы и требования Класс 1Г Контроль доступа Подсистема контроля доступа в систему: - Загрузка в штатном режиме + - Загрузка в безопасном режиме (размешена только администратору) + - Доступ при выходе из хранителя экрана + - Доступ при смене пользователя + Подсистемы контроля доступа субъектов к объектам Примечания: Должен осуществляться контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа. Должна быть реализована разрешительная политика доступа к ресурсам: "Все что не разрешено - явно не указано, то запрещено". 2. Подсистема контроля доступа к объектам файловой системы (дискам, папкам, файлам) на жестком диске и на любом внешнем носителе: - К локальным объектам + - К разделенным в сети объектам: + - К удаленному объекту + - От удаленного пользователя + 2. Подсистема контроля доступа к системным объектам (в частности, запрет модификации системного диска) - Для прикладных пользователей + - Для системных пользователей + 2. Подсистема контроля идентификации объекта файловой системы - По длинному имени + - По короткому имени + - По ID + 2. Подсистема контроля идентификации субъекта доступа - контроль заимствования прав пользователями (контроль сервиса олицетворения) + 2. Подсистема обеспечения замкнутости программной среды (контроль доступа к исполнению файлов) - Списком разрешенных к запуску процессов + - Списком папок, из которых разрешен запуск процессов + 2. Подсистема контроля доступа к объектам реестра ОС (ветви, ключи реестра ОС) - Для прикладных пользователей + - Для системных пользователей + 2. Подсистема контроля доступа к устройствам (к любой сущности, принимающей запрос на обслуживание: порты, внешние накопители, принтеры, контроллеры и т.д.): - К локальным устройствам + - К разделенным в сети устройствам + 2. Подсистема контроля доступа к виртуальным каналам связи сети (к объектам, имеющим свой адрес в сети): - К удаленным объектам + - От удаленных объектов + 2. Подсистема контроля доступа к настройкам механизмов защиты (доступ разрешен только администратору, сущность "Владелец" информации должна быть исключена из схемы администрирования как таковая) + Регистрация и учет Примечание. Регистрация и учет должны осуществляться подсистемами контроля доступа: Подсистемой контроля доступа в систему ( + В параметрах регистрации указываются: - дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы; - результат попытки входа: успешная или неуспешная; - идентификатор субъекта, предъявленный при попытке доступа; - пароль, предъявленный субъектом при неуспешной попытке.   Подсистемами контроля доступа субъектов к объектам (2.1 - 2. + В параметрах регистрации указываются: - дата и время зарегистрированного события - доступ субъекта к объекту; - имя (идентификатор) пользователя, инициировавшего доступ к объекту (имя и эффективное имя пользователя); - имя (идентификатор) программы (процесса), инициировавшего доступ к объекту; - тип и идентификатор объекта, к которому инициирован доступ субъектом; - тип запрошенного субъектом доступа к объекту (чтение, запись, исполнение и т.д.); - результат доступа (успешный, неуспешный - несанкционированный).   Обеспечение целостности Подсистема обеспечения целостности СЗИ НСД при загрузке системы + Подсистема периодического контроля целостности программных и информационных компонент СЗИ НСД + 3. Подсистема периодического контроля работоспособности и восстановления СЗИ НСД +

Итак, в Табл.2 представлен набор требований, включающих, как требования к корректности реализации механизмов защиты, так и требования к их достаточности (полноте), применительно к условиям использования в составе сети (в частности, в ЛВС). Данный набор требований может позиционироваться как МЕТОДОЛОГИЧЕСКАЯ ОСНОВА СРАВНИТЕЛЬНОГО АНАЛИЗА СРЕДСТВ ЗАЩИТЫ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ.

Отметим, что в Табл.2 не включено ни одного требования, являющегося дополнительным к формализованным требованиям, изложенным в соответствующих нормативных документах, либо противоречащего им – внесены лишь уточняющие требования, с учетом рассматриваемой области приложений средства защиты (сетевая АС, реализованная на платформе ОС Windows), которые напрямую следуют из требований соответствующих нормативных документов. Замечание. Используя требования, представленные в Табл.1 (расставив знаки «+», либо «-» в каждой строке таблице), уже можно провести корректное сравнение представленных на рынке альтернативных вариантов СЗИ НСД для защиты конфиденциальной информации, оценить достаточность их применения в АС, в части выполнения формализованных требований к защите конфиденциальной информации. Корректное, а не полное потому, что в Табл.2 сведены лишь формализованные требования (с их уточнениями), в то время, как СЗИ НСД могут обладать и принципиально иными возможностями (расширенными свойствами защиты).Так, например, КСЗИ «Панцирь-К» для ОС Windows 2000/XP/2003 (разработчик ЗАО «НПП «Информационные технологии в бизнесе») не только реализует все требования, сведенные в Табл.2 (в каждой строке Табл.2 можем поставить знак «+»), но и характеризуется рядом ключевых дополнительных возможностей.Подсистемы и требования к защите информации в АС, реализуемые КСЗИ «Панцирь-К» для ОС Windows 2000/XP/2003 приведены в Табл.3.Обозначения, использованные в Табл.3.
- черный цвет – формализованные требования к АС;
- красный цвет – дополнительные возможности КСЗИ.

Таблица 3 Подсистемы и требования к защите информации в АС, реализуемые КСЗИ «Панцирь-К» для ОС Windows 2000/XP/2003

Подсистемы и реализуемые требования "Панцирь-К" для ОС Windows 2000/XP/2003 Контроль доступа Подсистема контроля доступа в систему: - Загрузка в штатном режиме + - Загрузка в безопасном режиме (размешена только администратору) + - Доступ при выходе из хранителя экрана + - Доступ при смене пользователя + Примечание. Реализовано подключение аппаратных средств хранения и ввода пароля: файловых устройств (Flash-устройство, дискета, CD-ROM диск), электронного ключа eToken. - Запрет повторного доступа в систему (сведение задачи к однопользовательской, многозадачной). В общем виде решается задача изоляции программных модулей - в системе всегда может быть зарегистрирован только один пользователь. + Подсистемы контроля доступа субъектов к объектам Примечания: Должен осуществляться контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа. Должна быть реализована разрешительная политика доступа к ресурсам: "Все что не разрешено - явно не указано, то запрещено". Права доступа задаются не для объектов, а назначаются субъектам - ключевое решение в части реализации индуктивной модели безопасности и упрощения администрирования 2. Подсистема контроля доступа к объектам файловой системы (дискам, папкам, файлам) на жестком диске и на любом внешнем носителе: - К локальным объектам + - К разделенным в сети объектам: + - К удаленному объекту + - От удаленного пользователя + 2. Подсистема контроля доступа к системным объектам (в частности, запрет модификации системного диска) - Для прикладных пользователей + - Для системных пользователей + 2. Подсистема контроля идентификации объекта файловой системы - По длинному имени + - По короткому имени + - По ID + 2. Подсистема контроля идентификации субъекта доступа - контроль заимствования прав пользователями (контроль сервиса олицетворения) + 2. Подсистема обеспечения замкнутости программной среды (контроль доступа к исполнению файлов) - Списком разрешенных к запуску процессов + - Списком папок, из которых разрешен запуск процессов + 2. Подсистема контроля доступа к объектам реестра ОС (ветви, ключи реестра ОС) - Для прикладных пользователей + - Для системных пользователей + 2. Подсистема контроля доступа к устройствам (к любой сущности, принимающей запрос на обслуживание: порты, внешние накопители, принтеры, контроллеры и т.д.): - К локальным устройствам + - К разделенным в сети устройствам + 2. Подсистема контроля доступа к виртуальным каналам связи сети (к объектам, имеющим свой адрес в сети): - К удаленным объектам + - От удаленных объектов + 2. Подсистема контроля доступа к настройкам механизмов защиты (доступ разрешен только администратору, сущность "Владелец" информации должна быть исключена из схемы администрирования как таковая) + 2.1 Подсистема доверительного контроля доступа к ресурсам. Для подсистем 2.1 - 2.9 права доступа могут назначаться и разграничиваться отдельно для субъекта "пользователь", отдельно для субъекта "процесс", комбинированно - "для пользователя, осуществляющего доступ процессом" + Регистрация и учет Примечание. Регистрация и учет должны осуществляться подсистемами контроля доступа: Подсистемой контроля доступа в систему ( + В параметрах регистрации указываются: - дата и время входа (выхода) субъекта доступа в систему (из системы) или загрузки (останова) системы; - результат попытки входа: успешная или неуспешная; - идентификатор субъекта, предъявленный при попытке доступа; - пароль, предъявленный субъектом при неуспешной попытке.   Подсистемами контроля доступа субъектов к объектам (2.1 - 2. + В параметрах регистрации указываются: - дата и время зарегистрированного события - доступ субъекта к объекту; - имя (идентификатор) пользователя, инициировавшего доступ к объекту (имя и эффективное имя пользователя); - имя (идентификатор) программы (процесса), инициировавшего доступ к объекту; - тип и идентификатор объекта, к которому инициирован доступ субъектом; - тип запрошенного субъектом доступа к объекту (чтение, запись, исполнение и т.д.); - результат доступа (успешный, неуспешный - несанкционированный).   Подсистемой контроля доступа к настройкам механизмов защиты (2. , в части: - изменения полномочий субъектов доступа + - создания защищаемых объектов доступа В параметрах регистрации указывается все по п.п.2 + Сигнализация попыток нарушения защиты - Локально + - Удаленно (на сервер безопасности) + Криптографическая защита Подсистема шифрования конфиденциальных данных "на лету" - Шифрование конфиденциальной информации (объектами могут служить логические диски, папки, файлы) на жестком диске и внешних носителях: * Локальные объекты + * Разделенные в сети (удаленные) объекты (данные по каналу передаются в зашифрованном виде) + - Шифрование информации, принадлежащей различным субъектам доступа (группам субъектов) на разных ключах (ключевая информация присваивается объекту) + - Использование аттестованных (сертифицированных) криптографических средств (подключен криптопровайдер "Signal-COM CSP" + Примечание. Реализовано подключение аппаратных средств хранения и ввода ключей шифровани: файловых устройств (Flash-устройство, дискета, CD-ROM диск), электронного ключа eToken. Обеспечение целостности Подсистема обеспечения целостности СЗИ НСД при загрузке системы + Подсистема периодического контроля целостности программных и информационных компонент СЗИ НСД + Подсистема контроля целостности файловых объектов: - Периодический контроль + - Асинхронный контроль (по факту выявления несанкционированного события) + Подсистема периодического контроля целостности объектов реестра ОС + Подсистема контроля целостности программ (исполняемых файлов) перед запуском + Подсистема контроля санкционированности событий (противодействие ошибкам и закладкам в системном и прикладном ПО) + Подсистема периодического контроля работоспособности и восстановления СЗИ НСД + Подсистема контроля активности СЗИ НСД: - Аппаратно (с использованием платы - опционально) + - Программно - удаленно с сервера безопасности + Подсистема доверенной загрузки ОС и СЗИ НСД (опционально с использованием платы) +

Реализация данных дополнительных возможностей позволяет говорить о реализации комплексной системы защиты информации (КСЗИ):

• Эффективная защита информации от несанкционированного доступа (эффективная, т.к. возможности СЗИ НСД принципиально расширены);
• Криптографическая защита информации - шифрование локальных и разделенных в сети файловых объектов (логических дисков, каталогов, файлов) на жестком диске и внешних носителях, с реализацией ключевой политики (в том числе и сетевой), не позволяющей несанкционированно раскрыть данные даже санкционированному пользователю, при наличии у него ключа шифрования, зашифрованных данных, и средства шифрования;
• Противодействие ошибкам и закладкам в системном и прикладном ПО (механизм контроля санкционированных событий);
• Антивирусное противодействие и противодействие шпионским программам, основанные на использовании механизмов контроля доступа к ресурсам (механизма обеспечение замкнутости программной среды и доверительного контроля доступа к ресурсам – контроля доступа процессов к ресурсам).

Читайте далее:
Дурная наследственность-ii
Основы работы с videocad часть 3
Автоматизация и безопасность объектов оао ржд
Дурная наследственность-iii
Ip–революция
Ip–революция iii
Профессиональные системы cvs с внешними матричными коммутаторами