Файл: Конспект лекций профессиональная образовательная программа.docx

е) ставить на аудит успешные и/или неудачные попытки применения пользователями полномочий в процессе работы с СПО;

включать/отключать аудит на события блокировки/разблокировки работы СПО;

ж) включать/отключать аудит изменений полномочий доменных пользователей или групп в СПО (включений/исключений их из тех или иных функциональных ролей и/или ролей безопасности СПО);

з) задавать полное имя и путь к файлу, содержащему ТРД субъектов «закрытого» контура к объектам, управляемым СПО;

и) выполнять операции блокировки/разблокировки работы СПО.

ДДД должен регистрировать в журнале безопасности ОС следующие события, которые должны быть доступны для аудита:

• 
  успешные и/или неудачные попытки идентификации, аутентификации и авторизации пользователей в СПО;
  
• 
  выход или прерывание сеанса работы пользователя в СПО;
  
• 
  успешные и/или неудачные попытки доступа к объектам, управляемым СПО, со стороны пользователей по дискреционному принципу;
  
• 
  успешные и/или неудачные попытки верификации пользователей при выполнении тех или иных действий в системе;
  
• 
  успешные и/или неудачные попытки назначение доменным пользователям или группам тех или иных встроенных функциональных ролей безопасности в СПО с консоли администрирования «закрытого» контура;
  
• 
  события блокировки/разблокировки работы СПО;
  
• 
  критические и фатальные ошибки, возникающие в программном коде ДДД без возможности его отключения;
  
• 
  успешные и/или неудачные попытки доступа к объектам со стороны пользователей по мандатному признаку;
  
• 
  запрашиваемые права доступа к объекту.
  

При записи событий в журнале должны фиксироваться:

• 
  код (ID) события;
  
• 
  тип события (успех, неудача);
  
• 
  категория события («начало сеанса работы», «прекращение сеанса работы», «доступ к объектам», «применение полномочий», «изменение полномочий», «блокировка работы СПО», «разблокировка работы СПО», «критическая ошибка», «фатальная ошибка»)»
  
• 
  дата и время события;
  
• 
  источник события;
  
• 
  пользователь, инициировавший данное событие;
  
• 
  компьютер, на котором инициировано данное событие;
  
• 
  описание события.
  

Администрирование доступом субъектов «закрытого» контура к защищенным объектам должно быть реализовано с помощью отдельной оснастки, консоли либо утилиты администрирования «закрытого» контура, представляющая собой отдельный файл, в которой должна быть реализована возможность

• 
  разграничения доступа доменных пользователей и групп к объектам «закрытого» контура с учетом явного или косвенного (через несколько вложений в группы) включение пользователя во все группы, которым разрешен или явно запрещен доступ к указанному объекту с возможностью блокировки доступа в случае его запрета (дискреционный принцип).
  
• 
  задавать мандатные метки объектов, управляемых СПО «закрытого» контура;
  
• 
  назначения отдельным пользователям или группам пользователей встроенных ролей прикладного ПО;
  
• 
  регламентацию доступа пользователей к физическим устройствам АРМ (дискам, портам ввода-вывода);
  
• 
  разграничение доступа к маршрутизаторам и к серверам «закрытого» контура на уровне сетевых служб и процессов, обеспечивающих доступ к сетевым ресурсам по следующим параметрам:
  

---

а) пользователям;

б) процессам;

в) времени доступа;

г) по службам доступа (портам);

д) политике безопасности (запрещенные/разрешенные сервера и службы).

• 
  создание замкнутой программной среды разрешенных для запуска программ, расположенных как на локальных, так и на сетевых дисках АРМ «закрытого» контура. Управление замкнутой программной средой должно осуществляться централизованно.
  
• 
  контроль целостности модулей системы защиты, системных областей диска и произвольных списков файлов в автоматическом режиме и по командам АИБ «закрытого» контура:
  

а) контроль целостности должен выполняться по контрольным суммам, как в процессе загрузки, так и динамически;

б) механизм верификации контрольных сумм должен использовать аттестованный алгоритм;

в) анализ контрольных сумм должен проводиться как в процессе загрузки, так и динамически.

• 
  оперативное восстановление средств защиты от НСД после сбоев и отказов оборудования в штатном режиме работы;
  
• 
  регистрацию всех действий пользователя в защищенном журнале «закрытого» контура с учетом наличия нескольких уровней регистрации;
  
• 
  оповещение АИБ «закрытого» контура обо всех событиях НСД, происходящих в «закрытом» контуре.
  

2.2.2.2. Требования к криптографической подсистеме.

Подсистема криптографической защиты информации предназначена для обеспечения конфиденциальности, целостности и авторизации информации, хранимой, передаваемой и обрабатываемой в «закрытом» контуре.

Подсистема криптографической защиты информации должна обеспечивать выполнение функций шифрования по ГОСТ 28147-89 и выработки/проверки электронной цифровой подписи (далее - ЭЦП). При этом должны использоваться только стандартизованные алгоритмы цифровой подписи.

Подсистема криптографической защиты информации должна включать в свой состав компоненту управления и распределения ключевой информации, а также компоненты, функционирующие на объектах управления, серверах и рабочих местах администраторов и операторов ИС.

Компонента управления и распределения ключевой информации подсистемы криптографической защиты информации должна включать в свой состав АРМ генерации ключевых элементов шифрования и ЭЦП.

 Подсистема криптографической защиты информации должна обеспечивать:

• 
  шифрование всей секретной информации, записываемой на совместно используемые различными субъектами доступа (разделяемые) носители данных, а также на съемные портативные носители данных (дискеты, CD-диски, магнитные ленты и др.) долговременной внешней памяти для хранения за пределами сеансов работы санкционированных субъектов доступа. При этом должна выполняться принудительная очистка областей внешней памяти, содержавших ранее незашифрованную информацию. Доступ субъектов к операциям шифрования и к соответствующим криптографическим ключам должен дополнительно контролироваться посредством подсистемы управления доступом. Порядок работы с ключевыми материалами систем криптографической защиты информации должны быть регламентирован;
  
• 
  использование различных ключей шифрования для групп пользователей в соответствии с их полномочиями по доступу к защищаемым ресурсам при использовании криптографических средств для управления доступом санкционированных пользователей к информационным ресурсам «закрытого» контура. Защита ключей шифрования должна осуществляться механизмами управления доступом к элементам системы безопасности;
  
• 
  формирование и проверку ЭЦП;
  
• 
  генерацию ключевых элементов шифрования для пользователей «закрытого» контура ЛВС, пользователей «открытого» контура и для пользователей закрытых контуров взаимодействующих систем ведомственных сегментов.
  
• 
  управление и распределение ключевой информацией.
  
• 
  криптографическую живучесть и многоуровневую защиту от компрометации ключевой информации, разделение пользователей по уровням обеспечения защиты и зонам их взаимодействия между собой и пользователями других уровней.
  
• 
  криптографическую защиту гарантированной стойкости межсетевого обмена между ЛВС «закрытого» контура и взаимодействующими системами ведомственных сегментов. При этом информация должна шифроваться до начала отправки по сети за счет применения в шифросредств абонентского и на отдельных направлениях канального шифрования. При передаче секретной информации на носителях – до записи на носитель.
  

---

Должно осуществляться шифрование всей конфиденциальной информации, записываемой на совместно используемые различными субъектами доступа (разделяемые) носители данных, а также на съемные портативные носители данных (дискеты, CD-диски, магнитные ленты и др.) долговременной внешней памяти для хранения за пределами сеансов работы санкционированных субъектов доступа:

• 
  должна выполняться принудительная очистка областей внешней памяти, содержавших ранее незашифрованную информацию;
  

Доступ субъектов к операциям шифрования и к соответствующим криптографическим ключам должен дополнительно контролироваться посредством подсистемы управления доступом:

• 
  доступ должен предоставляться выделенным субъектам доступа;
  
• 
  доступ должен быть реализован предусмотренными средствами управления.
  

Должны использоваться сертифицированные средства криптографической защиты.
2.2.2.3. Подсистема антивирусного контроля.

В подсистеме антивирусного контроля должна быть реализована архитектура, позволяющая организовать централизованное управление антивирусными шлюзами с помощью средств управления ИС, включающих в свой состав средства антивирусной защиты рабочих станций и серверов как «закрытого» контура, так и «открытого» контура.

Архитектура антивирусных шлюзов должна быть основана на принципе централизованного управления шлюзами как компонентами системы антивирусной защиты ИС.

Антивирусные шлюзы должны быть реализованы в виде программных агентов, устанавливаемых на серверные ОС, используемые для организации межсетевого взаимодействия в ИС, которые должны обеспечивать выполнение функций антивирусной проверки содержимого передаваемой по сетевым каналам информации.

Управление агентами должно осуществляться по защищенному логическому каналу, с аутентификацией пользователей (должна быть предусмотрена защита от навязывания управляющих воздействий агентам антивирусной системы).

Подсистема управления должна обеспечивать возможность создания логической структуры системы антивирусной защиты, не зависящей от логической структуры ЛВС. Возможность включения в сегмент, защищаемый с помощью антивирусных агентов не должна зависеть от количества доменов сети, от сегментации сети с помощью средств физической и логической сегментации, а также должна быть реализована возможность управления агентами через межсетевые экраны.

---

Агенты должны интегрироваться в системы передачи данных ИС в качестве дополнительного модуля.

В процессе функционирования подсистема антивирусного контроля должна обеспечивать:

• 
  централизованное управление антивирусной защитой, в соответствии с регламентом антивирусной защиты выделенными субъектами системы безопасности (администраторами антивирусной защиты) и передачу данных, формируемых в результате антивирусных проверок в подсистему управления безопасности
  
• 
  автоматический запуск при инициализации ИС, а также в ручном режиме. В активном режиме антивирусный контроль должен обеспечивать обнаружение вирусов в программах и файлах данных, получаемых по каналам связи и с отчуждаемых носителей. В пассивном режиме запускаться как самостоятельная задача и после окончания текущей проверки завершать работу. Работать в пассивном режиме (т.е. запускается как самостоятельная задача) и после окончания текущей проверки завершать работу.
  

2.2.2.4. Подсистема контроля целостности «закрытого» контура.

Подсистема контроля целостности «закрытого» контура должна обеспечивать контроль:

• 
  файлов операционной системы до ее загрузки;
  
• 
  изменения файлов;
  
• 
  создания и удаления файлов;
  
• 
  переименования файлов;
  
• 
  создания и удаления каталогов;
  
• 
  переименования файлов;
  
• 
  перемещения файлов из каталога в каталог;
  
• 
  содержимого системных областей.
  

Подсистема должна запускаться автоматически при инициализации аппаратно-программных средств «закрытого» контура, а также в ручном режиме.

Контроль целостности должен осуществляться

• 
  путем перехвата обращений к функциям ОС работы с файловой системой и задания перечня разрешенных действий;
  
• 
  путем сравнения зафиксированного эталонного состояния объектов с их текущим состоянием. Фиксация эталонного состояния контролируемых объектов должна осуществляться путем создания эталонных копий, хранение которых осуществляется в защищенных областях жесткого диска или на защищенных внешних носителях.
  

В подсистеме должен существовать удобный пользовательский интерфейс по созданию перечня контролируемых объектов с помощью масок, шаблонов, поискового аппарата.

Контроль за целостностью должен выполняться по контрольным суммам как в процессе загрузки, так и динамически.

Механизм верификации контрольных сумм должен использовать аттестованный алгоритм.

---

Анализ контрольных сумм должен проводиться как в процессе загрузки, так и динамически.

Средство защиты должно предусматривать процедуру восстановления после сбоев и отказов оборудования, которые должны обеспечивать восстановление свойств.

Должен быть реализован механизм восстановления функциональности средства защиты при нарушениях в его штатном режиме работы.

Восстановление функциональности должно производиться сразу после обнаружения сбоя в штатной работе.

2.2.2.5. Подсистема защиты межсетевого взаимодействия закрытого «закрытого» контура

Подсистема защиты межсетевого взаимодействия закрытого «закрытого» контура предназначена для защиты однонаправленной передачи данных из «открытого» контура в «закрытый» контур и сегментирования ЛВС указанных контуров.

Подсистема защиты межсетевого взаимодействия закрытого «закрытого» контура должна обеспечивать:

1. 
   Сегментацию ЛВС «закрытого» контора и ЛВС «открытого» контура на канальном, сетевом и прикладном уровнях семиуровневой модели OSI.
   
2. 
   Управление потоками между ЛВС «закрытого» контора и ЛВС «открытого» контура в соответствии со следующими принципами:
   

а) однонаправленная фильтрация потока данных между «открытым» контуром и «закрытым» контуром;

б) фильтрация на канальном уровне:

• 
  должна обеспечиваться фильтрация потока данных на основе MAC-адресов отправителя и получателя;
  
• 
  средства защиты должны выполнять фильтрацию с учетом входного и выходного сетевого интерфейса как средство проверки подлинности сетевых адресов. В настройках параметров фильтрации должна присутствовать возможность допускать или запрещать прохождение сетевыми пакетами из списка адресов указанный сетевой интерфейс;
  
• 
  должна обеспечиваться фильтрация с учетом даты/времени и возможности определения временных интервалов для выполнения правил фильтрации.
  

в) фильтрация на сетевом уровне:

• 
  решение по фильтрации должно приниматься для каждого сетевого пакета независимо на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов. Фильтрация производится по IP-адресам и MAC-адресам;
  
• 
  межсетевые экраны должны обеспечивать фильтрацию с учетом любых значимых полей сетевых пакетов;
  
• 
  должна обеспечиваться фильтрация пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств «закрытого» контура. Должна обеспечиваться поддержка фильтрации протокола ICMP;
  
• 
  должна обеспечиваться фильтрация с учетом даты/времени и возможность определения временных интервалов для выполнения правил фильтрации;
  
• 
  должна обеспечиваться регистрация и учет фильтруемых пакетов. В параметры регистрации должны включаться адрес, время и результат фильтрации.
  

---