Технология «Океан» как совокупность методов и аппаратных/программных средств достижения заданного уровня информационной безопасности, предназначена для использования в составе автоматизированных систем, обрабатывающих информацию ограниченного доступа.

В основе технологии лежат адаптируемые к условиям применения (характеристикам защищаемой автоматизированной системы) принципы управления и обработки информации.

Суть технологии: контролируемый доступ к информации при регистрации действий пользователей и системных событий в автоматизированной системе с принудительным контролем целостности системных и информационных ресурсов.

Предлагаемое решение предназначено для интеграции приложений через транспортный сетевой уровень, используя защищенное промежуточное программное обеспечение, в распределенных системах, основанных на применении архитектуры клиент-сервер.

Защищенное промежуточное программное обеспечение - программный уровень, находящийся между операционной системой и приложениями на каждом узле сетевой системы, обеспечивающий интеграцию распределенных приложений при реализации сервисов безопасности. Предназначено для организации защищенного взаимодействия пользователей с внешними и внутренними информационными ресурсами.

Преимущества решения:

• Интеграция приложений, не обеспечивающих достаточную защищенность самостоятельно или являющихся несовместимыми;
• Уменьшение рисков, связанных с информационной безопасностью, и стоимости проекта за счет комбинирования улучшенной информационной безопасности и минимизации расходов на управление безопасностью.

Цель разработки решения: предоставление гибких услуг информационной безопасности всех объектов и компонент платформы распределенных систем через обеспечение безопасности промежуточного программного обеспечения.

В предлагаемом решении мы используем защищенное промежуточное программное обеспечение, поддерживающее стандарт CORBA и использующее программное средство централизованного управления политикой безопасности для его администрирования.

Все процессы распределенной системы контролируются защищенным промежуточным программным обеспечением, обеспечивающим функции интеграционной шины и функции защиты информации.

В состав технологии "Океан" входят:

• АРМ администратора безопасности информации (АРМ АБИ);
• Комплекс сетевых средств защиты;
• Комплекс контроля доступа;
• Комплекс средств обеспечения.

В состав комплекса контроля доступа включены:

• Комплекс программного обеспечения идентификации и аутентификации;
• Комплекс программного обеспечения контроля доступа к ресурсам АС;
• Комплекс программного обеспечения контроля доступа к внешним устройствам ПЭВМ;
• Средства контроля вскрытия технических средств.

Комплекс программного обеспечения идентификации и аутентификации предназначен для:

• проверки подлинности пользователей и определения прав доступа, привилегий, свойств и характеристик пользователя;
• проверки подлинности средств вычислительной техники защищаемой автоматизированной системы.

Основные программные модули комплекса программного обеспечения идентификации и аутентификации устанавливаются на серверах автоматизированной системы, управление подсистемой может осуществляться как локально, так и удаленно с АРМ администратора безопасности. Клиентские программные модули устанавливаются на АРМ пользователей и предназначены для реализации диалоговой системы между пользователем и основными программными модулями.

Основные функции комплекса программного обеспечения идентификации и аутентификации:

• аутентификация пользователя при его первом входе в систему;
• контроль количества попыток ввода корректного имени и пароля пользователя;
• блокировка АРМ по истечению заданного количества ввода корректного имени и пароля пользователя;
• разблокирование АРМ администратором безопасности как локально, так и удаленно;
• формирование и запись в журнал аудита данных о попытках идентификации и аутентификации, а также связанных с ними событий безопасности;
• оперативная сигнализация на АРМ администратора безопасности о попытках несанкционированного доступа (неудачных попытках аутентификации и идентификации пользователя);
• идентификация пользователя (определение его прав доступа, привилегий, свойств, характеристик), передача сведений о бюджете пользователя управляющей подсистеме;
• использование базы данных бюджетов пользователей;
• использование базы данных характеристик АРМ;
• аутентификация АРМ, проверка допустимости работы пользователя на АРМ;
• определение системных и информационных ресурсов системы, доступ к которым разрешен с данного АРМ, передача сведений управляющей подсистеме;
• передача данных идентификации, аутентификации, других сведений между клиентской частью и основными программными модулями;
• генерация ключа с определенным сроком действия для последующей аутентификации при выполнении действий в системе, передача ключа управляющей подсистеме.

Комплекс программного обеспечения контроля доступа к ресурсам АС предназначен для:

• разграничения прав доступа к системным и информационным ресурсам автоматизированной системы установленных категорий лиц, ограничения доступа лиц, не имеющих на это прав;
• управления точками входа (регистрации в автоматизированной системе) пользователей;
• анализа действий пользователей как в процессе их регистрации, так и в процессе выполнения любых действий в автоматизированной системе;
• реализации промежуточного программного обеспечения (middleware) объектного типа, задача которого заключается в связывании программных приложений для обмена данными.

Основные программные модули, реализующие функции диспетчера доступа, устанавливаются на серверах автоматизированной системы, и обеспечивают перехват явных и скрытых запросов пользователей к системным и информационным ресурсам автоматизированной системы. Запросы пользователей на доступ к системным и информационным ресурсам серверов формируются только клиентскими частями подсистемы.

Основные функции комплекса программного обеспечения контроля доступа к ресурсам АС:

• реализация брокера объектных запросов (ORB);
• реализация дискреционного и мандатного принципов контроля доступа;
• создание замкнутой программной среды пользователя, позволяющей ему запуск только разрешенных приложений;
• избирательное разграничение доступа пользователей к защищаемым ресурсам (дискам, каталогам, файлам и др.);
• ведение архива событий;
• учет рабочего времени;
• автоматическое реагирование на события;
• мониторинг за действиями пользователей;
• изоляция ресурсов;
• использование индивидуальных учетных записей (бюджетов) пользователей, регистрация в системе под которыми возможна только через процедуру авторизации.

Комплекс программного обеспечения контроля доступа к внешним устройствам ПЭВМ предназначен для ограничения и контроля доступа пользователей к внешним устройствам ПЭВМ, например, к USB-flash дискам и внешним накопителям.

Для каждого типа устройств комплекс программного обеспечения контроля доступа к внешним устройствам ПЭВМ предполагает возможность гибкой настройки прав доступа на основе списков контроля доступа. Для каждого физического или логического устройства и для каждого пользователя или группы пользователей можно разрешить либо полный доступ, либо чтение, либо запретить доступ. Подключаемые устройства могут идентифицироваться по любым признакам, таким как класс устройства, код производителя, код устройства, серийный номер и т.д. Это дает возможность назначать разные права доступа к устройствам одного класса, например, запретить использование USB-flash дисков, но при этом разрешить использование USB-ключей для аутентификации пользователей.

Программные модули устанавливаются на АРМ и сервера автоматизированной системы. Управление подсистемой осуществляется централизованно, с использованием единой системы администрирования, устанавливаемой на АРМ администратора безопасности.

Основные функции комплекса программного обеспечения контроля доступа к внешним устройствам ПЭВМ:

• управление доступом к устройствам на базе политик доступа, связывающих описание одного или нескольких устройств (классов устройств) и прав доступа к ним;
• поддержка любого количества политик для удобного и гибкого управления доступом к устройствам для различных пользователей;
• назначение и поддержка приоритетов политик, которые используются для разрешения конфликта, если одно и тоже устройство соответствует больше чем одной политике;
• ведение расписаний - предусмотрены ежедневные, еженедельные и ежемесячные политики, которые действуют только в заданные дни и часы;
• поддержка одноразовых политик, которые действуют до отключения устройства или до выхода пользователя из сети;
• поддержка специального вида политики - политики по умолчанию, в которой задается, что делать с устройствами, не описанными в других политиках;
• ведение каталога устройств;
• периодический опрос рабочих станций, на которых установлена клиентская часть подсистемы, и выдача предупреждений в случаях несанкционированного отключения клиентского модуля, а также изменения настроек или политик доступа;
• ведение и анализ журнала событий. В журнал записываются все существенные события - подключение и отключение устройств, а также все операции по чтению, записи, удалению и переименованию файлов на контролируемых устройствах.

Средства контроля вскрытия технических средств предусматривают оборудование средств вычислительной техники защищаемой АС приспособлениями, исключающими несанкционированное подключение к информационным кабелям, расстыковку кабельных разъемов и вскрытие технических средств. Сигналы о несанкционированном вскрытии средства вычислительной техники передаются в реальном масштабе времени на АРМ администратора безопасности.

В состав комплекса средств обеспечения включены:

• Комплекс программного обеспечения контроля целостности;
• Комплекс программного обеспечения регистрации и аудита;
• Комплекс программного обеспечения тестирования корректности функционирования средств защиты информации;
• Комплекс программного обеспечения защищенной печати документов;
• Программные средства антивирусной защиты;
• Средства гарантированного уничтожения информации.

Комплекс программного обеспечения контроля целостности предназначен для контроля изменений программной среды, позволяет администратору своевременно обнаруживать изменения критически важных компонентов информационной системы и оперативно реагировать на вторжение.

Общие принципы работы механизма контроля целостности:

• формирование кодов (шаблонов) контролируемых элементов файловой системы;
• сопоставление новых элементов с шаблонными значениями - несоответствие является указанием на изменение;
• возможность корректировки шаблона.

Применение комплекса программного обеспечения контроля целостности позволяет:

• повысить уровень контроля ИТ-процессов;
• уменьшить время реакции на инциденты информационной безопасности;
• своевременно выявить несанкционированные изменения программной среды (критически важных файлов, каталогов, системного реестра, настроек глобального каталога, конфигураций сетевых устройств);
• обеспечить защиту от несанкционированных модификаций и внедрения разрушающих программных воздействий (закладок, вирусов и т.д.);
• определить характер изменений;
• проводить эффективное восстановление системы в случае несанкционированных воздействий, сократив, тем самым, размеры ущерба;
• сократить накладные расходы на администрирование информационной системы;
• обеспечить предупреждение инцидентов безопасности, а также соответствие требованиям нормативной базы в области ИБ.

Основные функции комплекса программного обеспечения контроля целостности:

• обнаружение внешних/внутренних несанкционированных изменений программной среды в гетерогенной ИТ-инфраструктуре и их последствий, являющихся нарушениями политики безопасности;
• обеспечение режима доверенной загрузки;
• фиксация фактов и характера изменений программной среды, являющихся следствием сделанных персоналом системных перенастроек, результатом установки/удаления разрешенного/запрещенного ПО, внедрения вирусов, сетевых червей, программ-троянов, изменений системного реестра, настроек сервера каталога, лог-файлов и др.;
• обеспечение единой точки контроля программных изменений ИТ-инфраструктуры;
• анализ истории зафиксированных изменений;
• введение приоритизации событий об изменениях для обеспечения более гибких возможностей при анализе;
• интеграция с комплексами программного обеспечения технологии «Океан»;
• обеспечение соответствия стандартам и нормативным документам в области аудита безопасности.

Комплекс программного обеспечения регистрации и аудита предназначен для документирования и анализа событий в защищаемой автоматизированной системе, в том числе событий, связанных с информационной безопасностью. Включает:

• службы регистрации событий, осуществляющие запись событий в соответствующие журналы регистрации;
• средства выборочного ознакомления с данными журналов регистрации;
• средства защиты журналов регистрации от несанкционированного удаления и модификации;
• журналы регистрации событий:
  • журнал регистрации системных событий, содержащий сведения обо всех событиях, связанных с функционированием операционной системы и установленных устройств (например, события, отражающие уровень загрузки операционной системы, запуск и остановку служб, сообщения об ошибках подсистемы ввода/вывода и другие подобные события);
  • журнал регистрации событий, связанных с работой различных приложений и прикладных служб, например баз данных;
  • журнал регистрации событий системы безопасности.

Основные функции комплекса программного обеспечения регистрации и аудита:

• Ведение журналов регистрации событий;
• Оперативный контроль состояния защищаемой автоматизированной системы (получение информации о состоянии рабочих станций и работающих на них пользователях);
• Централизованный сбор журналов (как по команде администратора, так и по составленному администратором расписанию) с возможностью оперативного просмотра в любой момент времени, а также хранение и архивирование журналов;
• Оповещение администратора о событиях НСД в режиме реального времени;
• Оперативное реагирование на события НСД - выключение, перезагрузка или блокировка контролируемых компьютеров.

Комплекс программного обеспечения тестирования корректности функционирования средств защиты информации предназначен для проверки фактической работоспособности реализованных механизмов безопасности и их соответствия предъявленным требованиям, а также обеспечения получения статистических данных. Включает набор программных средств автоматизации тестирования механизмов защиты технологии, методические рекомендации по проведению тестирования и интерпретации результатов тестирования.

Комплекс программного обеспечения защищенной печати документов позволяет пользователям контролировать печать документов в режиме "конфиденциальности" и "секретности" - никто кроме пользователя, выславшего задание на печать, не увидит содержания документа. Поддерживает режим защиты доступа к сетевому принтеру, используя функцию защищенной печати и функцию сетевой идентификации.

Функция защищенной печати обеспечивает сохранение и печать секретной или конфиденциальной информации: печать документа производится только в том случае, когда пользователь самостоятельно вводит собственный пароль на панели управления печатью, разрешающий печать документа (пароль задается в драйвере печати при отправке задания на печать), таким образом, обеспечивая конфиденциальность содержания документа.

Функция сетевой идентификации разработана для защиты работы сетевого принтера в сети от несанкционированного доступа пользователей, т.е. не авторизованных пользователей для работы с данным устройством. Любой пользователь, отправляющий документ на печать, должен ввести ID пользователя и пароль для обеспечения доступа к этой функции. Обеспечивает маркировку документов в соответствии с требованиями нормативных документов, используя для определения параметров маркирования диалоговую систему с пользователем, осуществляющим операцию печати документа.

Осуществляет регистрацию фактов печати документов.

Программные средства антивирусной защиты предназначены для обнаружения и нейтрализации попыток проникновения в вычислительную сеть защищаемой автоматизированной системы всех типов вредоносных программ: Интернет червей, Троянских коней, опасных Java и ActiveX аплетов и компьютерных вирусов, в том числе вирусов, созданных специально для Linux и Unix.

Основные функции:

• антивирусная проверка дисков (локальных и сетевых) по требованию выполняющего проверку;
• перехват файловых операций (запуск, открытие и инициализация) с последующим выполнением проверки на наличие вирусов;
• контроль изменений, происходящих на рабочих станциях и серверах автоматизированной системы (контроль целостности осуществляется на основе снятия оригинальных отпечатков файлов (CRC-сумм) и их последующего сравнения с измененными файлами);
• обновление антивирусной базы;
• удаленное администрирование антивирусным комплектом с АРМ администратора безопасности;
• централизованный сбор и анализ инфицированных файлов;
• уведомление администратора системы об обнаружении инфицированных файлов;
• анализ ОС во время загрузки;
• анализ загрузочных секторов.

Средства гарантированного уничтожения информации предназначены для:

• мгновенного гарантированного уничтожения данных на магнитных носителях (жестких дисках) без возможности ее дальнейшего восстановления;
• очистки оперативной памяти в процессе функционирования автоматизированной системы.

Включают:

• монтируемый в любой стандартный корпус ПЭВМ уничтожитель информации, уничтожение защищаемой информации происходит путем создания магнитного поля в модуле уничтожения, которое формирует однотонную магнитную картину;
• программное средство очистки оперативной памяти, дополнительно устанавливаемое на ПЭВМ.

Комплекс сетевых средств защиты включает:

• Межсетевой экран;
• Систему обнаружения вторжений;
• Программу передачи журналов регистрации на АРМ АБИ.

Межсетевой экран в составе технологии используется для создания защищенного периметра ЛВС автоматизированной системы с контролируемыми точками входа, защищенного подключения к иным вычислительным сетям; разграничения доступа к ресурсам внутри ЛВС автоматизированной системы; а также для обеспечения контроля информационных потоков между различными сегментами ЛВС автоматизированной системы и внешними сетями.

В составе технологии имеется межсетевой экран прикладного уровня, при этом обеспечена возможность использования межсетевых экранов, соответствующих требованиям 2 класса защищенности руководящего документа Гостехкомиссии России "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации" при интеграции их утилит администрирования с комплексом программного обеспечения АРМ АБИ.

Система обнаружения вторжений предназначена для обнаружения и реагирования на несанкционированную деятельность внутри защищаемой автоматизированной системы, а также на попытки осуществления атак извне.

Включает:

• средства обнаружения атак сетевого уровня (Network IDS);
• средства обнаружения атак уровня узлов сети (Host IDS).

Средства обнаружения сетевых атак производят анализ сетевого трафика на предмет наличия аномалий или попыток несанкционированного использования сетевых протоколов, а также признаков известных атак (например, SQL Slammer и множества других).

Средства обнаружения атак на конечные узлы обнаруживают и фиксируют атаки, направленные на конечные узлы сети, используют два источника информации: журналы регистрации событий (куда входят журналы регистрации событий операционной системы, журналы баз данных, а также журналы прикладных систем и служб) и содержимое сетевого трафика, поступающего на узел.

Основные функции системы обнаружения вторжений:

• обнаружение в реальном масштабе времени сетевых атак на различных уровнях защищаемой автоматизированной системы: сетевом уровне и уровне информационных узлов (АРМ и серверов);
• оперативное оповещение администратора безопасности в случае обнаружения атаки и предотвращение ее воздействия;
• обнаружение уязвимости, позволяющей реализовать атаку;
• устранение (компенсирование) уязвимости;
• контроль и анализ активности пользователей и вычислительной системы;
• фиксирование конфигурации системы и уязвимостей;
• оценка целостности критических системных файлов и файлов данных;
• распознавание шаблонов активности, отражающих известные атаки;
• проведение статистического анализа для выявления аномального поведения;
• распознавание нарушения политики безопасности пользователем системы.

АРМ администратора безопасности используется для реализации централизованного управления политикой безопасности.

Назначение АРМ АБИ: централизация комплексного управления политикой доступа к ресурсам защищаемой распределенной системы, контроля целостности программных средств и неизменности программной среды, аудита безопасности, оперативного реагирования на факты обнаружения вторжений и нарушения политики безопасности, централизованного управления межсетевыми экранами.

Преимущества АРМ АБИ: хранение однородной политики безопасности в центральном архиве и автоматическое применение во всех охватываемых ей сетевых системах и взаимодействующих приложениях. Правила безопасности устанавливаются и контролируются в центральном графическом интерфейсе пользователя. Обеспечивает предотвращение ошибок спецификации и внедрения политики безопасности, легкое обнаружение и устранение несогласованности политики безопасности.