Вайнштейн Ю.В., Демин С.Л., Кирко И.Н. и др. Основы информационной безопасности
Подождите немного. Документ загружается.
12. Регистрация, сбор, хранение и выдача данных о событиях, происходящих
в ПЭВМ (PC) в части системы защиты от несанкционированного доступа в
ЛВС.
13. Разграничение доступа пользователей и программ ПЭВМ (PC) к
аппаратным устройствам в соответствии с уровнем их полномочий.
8.4.8. Аппаратно-программный комплекс IP Safe-PRO
Предназначен для построения защищенных виртуальных частных IP-
сетей, создаваемых на–базе сетей общего пользования (в–том числе и
Интернет).
Выполнен на–базе IBM РС-совместимого
компьютера с–двумя Ethernet-интерфейсами
(базовая конфигурация) с–операционной системой
FreeBSD (рис. 9).
Рис. 9.
Дополнительные возможности:
- статическая маршрутизация и функции межсетевого экрана (защита
от–спуфинга, обработка данных по–адресам, портам, протоколам и–др.);
- возможность поддержки интерфейсных стандартов G.703, G.704, V.35,
RS-232 и–др.;
- система "горячего" резервирования;
- работа в–синхронном и асинхронном режимах.
Технические характеристики:
1. Используемый протокол семейства IPsec–- ESP (Encapsulating Security
Payload, RFC–2406) в–туннельном режиме (с–предоставлением следующих
услуг безопасности: конфиденциальности и целостности данных,
аутентификации источника данных, сокрытия топологии локальных
корпоративных сетей, защиты от–анализа трафика).
2. Ключевая система–- симметричная (с–возможностью централизованного и
децентрализованного администрирования).
3. Криптоалгоритмы–- ГОСТ–28147, RC5, 3DES, DES, SHA-1, MD5.
131
8.4.9. Аппаратно-программный комплекс "КОНТИНЕНТ-К"
Предназначен для построения VPN на–основе глобальных сетей общего
пользования, использующих протоколы семейства TCP/IP.
В–качестве составных частей VPN,
построенной на–базе комплекса, могут
выступать корпоративные ЛВС, их сегменты и
отдельные компьютеры (в–том числе
переносные или домашние компьютеры
руководителей и сотрудников) (рис. 10.).
Рис. 10.
АПК "Континент-К" обеспечивает:
- защиту внутренних сегментов сети от несанкционированного доступа
со–стороны сетей общего пользования;
- статическую маршрутизацию IP-пакетов;
- фильтрацию IP-пакетов в–соответствии с–заданными правилами;
- сокрытие внутренней структуры защищаемых сегментов сети;
- криптографическую защиту данных, передаваемых по–каналам связи
сетей общего пользования между составными частями VPN;
- безопасный доступ пользователей VPN к–ресурсам сетей общего
пользования;
- централизованное управление настройками VPN-устройств;
- удаленный доступ к–ресурсам VPN по–выделенным и коммутируемым
каналам связи.
Основным элементом комплекса является криптографический шлюз,
который представляет собой специализированное аппаратно-программное
устройство, функционирующее на–платформе Intel под управлением
сокращенной версии ОС FreeBSD. Криптографический шлюз оснащается
сетевыми интерфейсами стандарта Ethernet, а–также платой электронный
замок "Соболь", обеспечивающей локальную идентификацию и
аутентификацию администратора КШ и контроль целостности программного
обеспечения. Криптошлюз "Континент-К" предназначен для работы
в–необслуживаемом режиме, т.е. в–момент его включения или во–время его
132
работы не требуется присутствия обслуживающего персонала для ввода
ключей, паролей или иной информации.
В–сети "Континент-К" возможно установить до–5000 криптошлюзов.
Добавление новых и изменение настроек уже установленных компонентов
производятся без вмешательства в–процесс функционирования системы.
Комплекс "Континент-К" сертифицирован Гостехкомиссией России
на–соответствие третьему классу защищенности для межсетевых экранов и
ФАПСИ на–соответствие требованиям ГОСТ 28147-89 и требованиям к–
стойкости средств криптографической защиты конфиденциальной
информации.
Технические характеристики:
- алгоритм шифрования – ГОСТ 28147-89;
- длина ключа шифрования – 256 бит;
- количество сетевых интерфейсов – до 16;
- пропускная способность (шифрование, имитозащита, туннелирование) –
до 80 Мбит/с;
- пропускная способность абонентского пункта – до 14 Мбит/с;
- увеличение длины IP-пакета – до 36 байт;
- поддержка режима горячего резервирования.
8.4.10. Кейс для транспортировки ноутбуков «ТЕНЬ К1»
"ТЕНЬ К1" предназначен для транспортировки ноутбуков или
отдельных накопителей на жестких и магнитных дисках (НЖМД)
(стриммерных картриджей, ZIP дисков) с возможностью экстренного
уничтожения информации при попытке НСД (рис. 11).
Конструктивно комплекс монтируется в пыле-, влаго-,
взрывозащищенный кейс, в котором будет производиться транспортировка
ноутбука. Защищаемая информация размещается на дополнительном
жестком диске, который находится в кейсе отдельно от ноутбука в
специальном отсеке и соединен с ним внешним интерфейсным кабелем.
Экстренное уничтожение информации производится:
133
- автоматически при попытках несанкционированного вскрытия кейса;
- автоматически при попытках
несанкционированного вскрытии отсека, где
находится охраняемый жесткий диск;
- автоматически, по истечению 24 часов
автономной работы;
- дистанционно по команде пользователя.
Процесс уничтожения не влияет на
работоспособность ноутбука и не зависит от того,
происходила работа;
Рис. 11.
- с информацией в этот момент или нет. Возможен вариант изготовления
комплекса для транспортировки жестких дисков, дискет, аудио-, видео-,
стримерных кассет.
Комплекс может находиться в двух режимах: режим ожидания (РО) и
режим охраны (Р1). В режиме РО происходит тестирование всех основных
узлов, блоков и датчиков. Осуществляется свободный доступ к ноутбуку или
магнитным носителям. В режиме Р1 автоматически происходит уничтожение
информации при попытке НСД или пользователем в любой момент времени
по радиоканалу (дальность до 100 метров). Снятие – постановка в режим
охраны осуществляется при помощи бесконтактной электронной Proximity
карты.
Комплекс ТЕНЬ имеет автономный источник питания,
обеспечивающий бесперебойную работу до 24 часов.
Дополнительные возможности:
- уничтожение информации по команде пользователя с любого сотового
телефона по GSM каналу;
- полная защита корпуса, исключающая некорректное вскрытие и
высверливание;
- полное протоколирование работы в реальном времени, фиксирующее в
энергонезависимой памяти последние 96 событий с подробным описанием.
134
8.4.11. Аппаратно – программная система криптографической защиты
сообщений «SX-1»
Аппаратно-программная система SX-1 предназначена для
криптографической защиты передаваемых по каналам связи между ПЭВМ
или хранящихся в памяти ПЭВМ сообщений (рис. 12).
Рис. 12.
В системе SX-1 впервые в отечественной и зарубежной
криптографической практике реализован “хаотический” поточный шифр.
Система SX-1 обеспечивает:
- криптографическое преобразование передаваемых (принимаемых) или
сформированных текстовых и (или) графических сообщений, оформленных в
виде файлов, и запись их на жесткий или гибкий диски;
- высокую стойкость ключевых данных к их компрометации при любых
действиях злоумышленников и обслуживающего аппаратно-программное
средство персонала;
- гарантированное выполнение заданных функций не менее 2 лет без смены
системного ключа.
Система SX-1 включает:
1. плату с однокристальной ЭВМ (ОЭВМ), устанавливаемую в слот ISA
ПЭВМ IBM PC/AT (или размещаемую в отдельном контейнере размером
140х110х35 мм) и подключаемую к ПЭВМ с помощью разъема СОМ;
2. специальное программное обеспечение (СПО), устанавливаемое в ПЭВМ
с ОС Windows 9X.
135
Перечислим основные характеристики системы:
- Вероятность угадывания системного ключа с k-ой попытки - не более k2
-
240
.
- Вероятность угадывания сеансового ключа с k-ой попытки - не более k10
-
10
.
- Скорость криптографического преобразования – не менее 190000 бит/с.
- Использование для шифрования данных криптостойких алгоритмов
шифрования с длиной ключа от 128 бит;
- Возможность подключения сертифицированного ФАПСИ
криптографического модуля "Криптон" производства фирмы "Анкад", или
платы "Криптон", реализующих алгоритм шифрования ГОСТ 28147-89 с
длиной ключа 256 бит;
- Формирование уникальных ключей шифрования на основе
последовательности случайных чисел.
Для установки системы необходимо:
- Инсталлировать систему SX-1 с входящего в комплект поставки гибкого
диска, строго следуя пунктам инструкции, последовательно отображаемым
на экране дисплея ПЭВМ.
- Подключить к разъемам контейнера с однокристальной ЭВМ провод
питания от входящего в комплект поставки адаптера и входящий в комплект
поставки кабель, предназначенный для подключения контейнера к ПЭВМ.
- Подключить контейнер с помощью кабеля к разъему COM.
- Подключить адаптер к сети переменного тока напряжением 220 В 50 Гц.
Для исключения потери системой SX-1 работоспособного состояния
необходимо пользоваться только входящими в комплект поставки
адаптерами.
Для того, чтобы произвести кодирование файлов необходимо:
1. Запустить систему SX-1.
2. В подменю “Установки” меню “Опции” выбрать последовательный порт,
к которому подключен контейнер системы SX-1 с однокристальной ЭВМ
(COM1, COM2, COM3 или COM4). Для ПЭВМ типа “lop-top” – COM1.
3. Выбрать режим кодирования, нажав на клавишу “Coder”, и файл,
предназначенный для кодирования. Если контейнер подключен именно к
выбранному с помощью подменю “Установки” порту, то система потребует
136
ввода персонального конфиденциального ключа, в противном случае будет
отмечена ошибка в инициализации порта.
4. Осуществить ввод персонального конфиденциального ключа,
представляющего собой любое из целых чисел от 1 до 2147483647.
5. Сохранить закодированный файл (файл с расширением .crp) на жестком
или гибком дисках. При необходимости удалить исходный файл.
Для того, чтобы произвести декодирование файлов необходимо:
1. Запустить систему SX-1, если она не запущена.
2. Выбрать режим декодирования, нажав на клавишу “Decoder”, и файл,
предназначенный для декодирования. Если номер последовательного порта
ПЭВМ, к которому подключен контейнер системы, соответствует номеру,
выбранному в подменю “Установки”, то система потребует ввода
персонального конфиденциального ключа, в противном случае будет
отмечена ошибка в инициализации порта.
3. Осуществить ввод персонального конфиденциального ключа.
4. Сохранить полученный декодированный файл на жестком или гибком
дисках.
8.4.12. Межсетевой экран и шифратор IP-протоков
Предназначен для межсетевого экранирования и криптографической
защиты данных при создании виртуальных частных сетей (Virtual Private
Network) в–сетях общего доступа (рис. 13).
За–счет сжатия информации комплекс обеспечивает заметное
повышение скорости передачи данных, имеет возможность одновременной
поддержки до–1024 криптографически защищенных соединений при скорости
шифрования суммарного IP-потока "на–проходе" до 90 Мбит/с. В–комплексе
используются только собственные реализации всех протокольных стеков
TCP/IP, алгоритмов автоматизированного управления комплексами и
заложенными в–них средствами криптозащиты.
Перечислим основные характеристики:
1. Производительность – обеспечивается скорость передачи IP-потоков от 65
Mбит/с и выше при включении всех режимов защиты
(фильтрация+сжатие+шифрование).
2. Алгоритм шифрования – ГОСТ 28147-89
137
3. Ключевая система/централизованное распределение ключей –
симметричная/централизованное.
4. ОС/стек протоколов – 32–разрядная DОS-подобная /собственный.
5. Обрабатываемые уровни ЭМВОС – сетевой–+ транспортный, сеансовый и
прикладной (выборочно).
6. Тип и количество интерфейсов – 2; 10/100Ethernet, FDDI.
7. VPN-протокол/избыточность/сжатие данных – собственный/не–более
22–байт на–пакет/за–счет проходного сжатия данных достигается эффект
ускорения информационных взаимодействий.
8. Поддержка служб QoS – организация до–8 независимых VPN-туннелей
в–рамках попарных соединений с–установкой приоритетов потоков
информации.
9. Управление и мониторинг комплексов – локальное и удаленное,
механизмами "отката" сбоев. До–1024 комплексов на–один–АРМ.
Обеспечивается наглядное (графическое) отображение состояния работы
защищаемых сетей, сигнализация нештатных событий, тотальный аудит
информационных и управленческих взаимодействий.
10. Протокол удаленного управления комплексами – собственный
туннельный протокол со строгой двухсторонней аутентификацией согласно
Х.509.
11. Собственная безопасность - полный аудит событий и действий персонала,
разграничение доступа с–помошью iButton и USB-Key. Использование
специальных процедур маршрутизации и поддержки VPN-туннелей
с–применением адаптивного управления потоками данных в–целях
повышения устойчивости (живучести) систем.
12. Эффективное противостояние активным и пассивным информационным
воздействиям разведывательного характера – сокрытие реальной топологии
VPN, NAT, сокрытие фактов применения комплексов, проксирование
протоколов SMNP/SMNP-Trap, Telnet, TFTP, HTTP управления
пограничными маршрутизаторами, корректная эмуляция отсутствия
используемых, но–скрываемых адресов и сервисов.
13. Возможность каскадного включения комплексов – обеспечивает
выделение отдельных сегментов сетей в–изолированные зоны повышенной
защищенности.
138
14. Удаленный клиент (программное обеспечение для встречной работы с
"ФПСУ-IP" + USB-Key) – для Windows–98, NT, 2000.
Рис. 13. Типовая схема применения комплекса
Контрольные вопросы
1. В чем состоят слабые стороны аппаратных средств защиты информации?
2. Какие принципы защиты информации обеспечивают рациональный
уровень защиты и позволяют сократить затраты?
3. От каких параметров зависит ИБ в КЗ?
4. Чем отличается информационное и энергетическое скрытие?
5. Что такое информационный портрет?
6. Какие существуют способы изменения информационного портрета?
7. Каких результатов позволяет достичь информационное скрытие?
8. В чем заключается принципиальное отличие информационного скрытия
путем изменения информационного портрета от дезинформирования?
9. По каким причинам дезинформирование относят к числу наиболее
эффективных способов защиты информации?
10. Какие существуют способы дезинформамирования?
139
ГЛАВА 9. ОБЩАЯ ХАРАКТЕРИСТИКА
КОМПЛЕКСНОЙ ЗАЩИТЫ ИНФОРМАЦИИ
9.1. Сущность и задачи комплексной защиты информации
Комплексная защита информации (КЗИ) – совокупность людей,
процедур и оборудования, защищающих информацию от
несанкционированного доступа, модификации либо отказа доступа.
Рассмотрим задачи КЗИ:
1. Регламентация действий пользователей с целью защиты информации;
2. Обучение и установление юридической ответственности за выполнение
правил информационной безопасности (ИБ);
3. Явный и скрытый контроль за порядком информационного обмена;
4. Блокирование всех возможных каналов утечки;
5. Выявление закладных устройств в технических средствах (ТС) и
программном обеспечении (ПО);
6. Обнаружение зондирований, навязываний и излучений;
7. Обеспечение санкционированного доступа в физическое и
информационное пространство;
8. Обнаружение вторжений в физическое и информационное пространство;
9. Обнаружение возгораний, затоплений и иных чрезвычайных
ситуаций (ЧС);
10. Обеспечение резервирования важной информации;
11. Организация оборота физических носителей защищаемой
информации;
12. Обеспечение достоверности электронного документооборота ЭЦП;
13. Шифрование информации на любых этапах обработки;
14. Восстановление ключевых структур при компрометации;
15. Генерация, распределение и хранение ключей и паролей;
16. Регистрация событий и обнаружение нарушений;
17. Расследование во взаимодействии с правоохранительными органами
нарушений политики безопасности;
18. Непрерывный контроль и управление КЗИ.
9.2. Стратегии комплексной защиты информации
140