Файл: Федеральное государственное бюджетное образовательное учреждение высшего образования санктпетербургский.pdf

– оперативного восстановления средств защиты от НСД после сбоев и отказов оборудования в штатном режиме работы;
– регистрации всех действий пользователя в защищенном журнале
«закрытого» контура с учетом наличия нескольких уровней регистрации;
– оповещения АИБ «закрытого» контура обо всех событиях НСД, происходящих в «закрытом» контуре.
3.2.2. Требования к криптографической подсистеме
Подсистема защиты криптографической информации предназначена для обеспечения конфиденциальности, целостности и авторизации информации, хранящейся, передаваемой и обрабатываемой в замкнутом контуре.
Подсистема криптографической защиты информации обеспечивает выполнение функций шифрования согласно
ГОСТ
28147-89 и формирование/проверку электронной цифровой подписи (далее –
ЭЦП).
Следует использовать только стандартизированные алгоритмы цифровой подписи.
Подсистема защиты криптографической информации должна включать в себя компонент управления и распространения ключевой информации, а также компоненты, работающие на объектах управления, серверах и рабочих станциях администраторов и операторов ИС.
Компонент управления и распространения ключевой информации подсистемы криптографической защиты информации должен включать в себя формирование ключевых элементов шифрования и ЭЦП.
Подсистема криптографической защиты информации должна обеспечивать:
– шифрование всей секретной информации, которая записывается на совместно используемых различными субъектами носителей доступа
(разделенных) данных, а также на съемных портативных носителях данных
(дискетах, компакт-дисках, флэш-носителях и т.д.) долговременной внешней памяти для хранения вне сеансов уполномоченных субъектов доступа.
Необходимо выполнить принудительную очистку областей внешней памяти, содержащих ранее незашифрованную информацию. Доступ субъектов к операциям шифрования и соответствующим криптографическим ключам должен далее контролироваться подсистемой управления доступом. Порядок работы с ключевыми материалами криптографических систем защиты информации регулируется;
– использование различных ключей шифрования для групп пользователей в соответствии с их полномочиями для доступа к защищенным ресурсам при использовании криптографических средств для контроля доступа уполномоченных пользователей к информационным ресурсам «закрытого» контура. Ключи шифрования должны быть защищены;
– формирование и проверка ЭЦП;
– формирование ключевых элементов шифрования для пользователей
«закрытого» контура ЛВС, пользователей «открытого» контура и для

пользователей
«закрытых» контуров взаимодействующих систем ведомственных сегментов;
– управление ключевой информацией и ее распространение;
– криптографическую стойкость и многоуровневую защиту от компрометации ключевой информации, разделение пользователей по уровням защиты и областям их взаимодействия между собой и пользователями других уровней;
– криптографическую защиту межсетевого обмена между ЛВС
«закрытого» контура и взаимодействующими системами ведомственных сегментов. Информация должна быть зашифрована перед отправкой по сети.
При передаче секретной информации на носителе - перед записью на носитель.
– раздельное шифрование всей конфиденциальной информации, которая записывается на совместно используемую различными субъектами внешнюю память, а также на съемных носителях данных (компакт-дисках, носителях
USB и т. д.
– принудительную очистку участков внешней памяти, содержащих ранее незашифрованную информацию. Доступ субъектов к операциям шифрования и соответствующим криптографическим ключам должен контролироваться подсистемой управления доступом и др.
Должны использоваться сертифицированные средства криптографической защиты.
3.2.3. Подсистема контроля целостности «закрытого» контура
Подсистема контроля целостности «закрытого» контура должна обеспечивать контроль:
– файлов операционной системы до ее загрузки;
– изменения файлов;
– создания и удаления файлов;
– переименования файлов;
– создания и удаления каталогов;
– переименования файлов;
– перемещения файлов из каталога в каталог;
– содержимого системных областей.
Подсистема должна запускаться автоматически при инициализации аппаратно-программных средств «закрытого» контура, а также в ручном режиме.
Контроль целостности должен осуществляться путем:
– перехвата обращений к функциям ОС работы с файловой системой и задания перечня разрешенных действий;
– сравнения зафиксированного эталонного состояния объектов с их текущим состоянием. Фиксация эталонного состояния контролируемых объектов должна осуществляться путем создания эталонных копий, хранение которых осуществляется в защищенных областях жесткого диска или на защищенных внешних носителях.

Подсистема должна иметь удобный пользовательский интерфейс для создания списка контролируемых объектов с помощью масок, шаблонов и поисковой системы.
Контроль целостности должен осуществляться в соответствии с контрольными суммами как во время загрузки, так и динамически. Механизм проверки контрольной суммы должен использовать сертифицированный алгоритм. Анализ контрольной суммы должен выполняться как во время загрузки, так и динамически.
Защита должна включать в себя процедуру восстановления от отказов и отказов оборудования, которая должна обеспечивать восстановление свойств.
Должен быть реализован механизм восстановления работоспособности средств защиты в случае нарушений в его нормальном режиме работы.
Функциональность должна быть восстановлена сразу после обнаружения сбоя в нормальной работе.
3.2.4. Подсистема защиты межсетевого взаимодействия «закрытого»
контура
Подсистема защиты межсетевого взаимодействия, закрытого
«закрытого» контура предназначена для защиты однонаправленной передачи данных из «открытого» контура в «закрытый» контур и сегментирования
ЛВС указанных контуров.
Подсистема защиты межсетевого взаимодействия, закрытого
«закрытого» контура должна обеспечивать:
1. Сегментацию ЛВС «закрытого» контура и ЛВС «открытого» контура на канальном, сетевом и прикладном уровнях семиуровневой модели OSI.
Управление потоками между ЛВС «закрытого» контура и ЛВС «открытого» контура обеспечивается:
а) однонаправленной фильтрацией потока данных между «открытым»
контуром и «закрытым» контуром;
б) фильтрацией на канальном уровне, а именно:
– фильтрацией потока данных на основе MAC-адресов отправителя и получателя;
– фильтрацией средствами защиты с учетом входного и выходного сетевого интерфейса и проверкой подлинности сетевых адресов. В настройках параметров фильтрации должна присутствовать возможность допускать или – запрещать прохождение сетевыми пакетами из списка адресов указанный сетевой интерфейс;
– фильтрацией с учетом даты/времени и возможности определения временных интервалов для выполнения правил фильтрации.
в) фильтрация на сетевом уровне, а именно:
– фильтрацией каждого сетевого пакета независимо на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов. Фильтрация производится по IP-адресам и MAC-адресам;

– фильтрацией на межсетевых экранах с учетом любых значимых полей сетевых пакетов;
– фильтрацией пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств «закрытого» контура.
Должна обеспечиваться поддержка фильтрации протокола ICMP;
– фильтрацией с учетом даты/времени и возможность определения временных интервалов для выполнения правил фильтрации;
– регистрацией и учетом фильтруемых пакетов. В параметры регистрации должны включаться адрес, время и результат фильтрации.
г) фильтрация на транспортном уровне, а именно:
– фильтрацией запросов на установление виртуальных соединений.
При этом должны учитываться транспортные адреса отправителя и получателя. Фильтрация должна производиться по IP-адресам для TCP и
UDP соединений;
– фильтрацией с учетом даты/времени и возможности определения временных интервалов для выполнения правил фильтрации; регистрацией и учетом запросов на установление виртуальных соединений.
д) фильтрация на прикладном уровне, а именно:
– фильтрацией на прикладном уровне запросов к прикладным сервисам. При этом должны учитываться прикладные адреса отправителя и получателя; Фильтрация производится по сокетам (sockets) для TCP и UDP соединений;
– возможностью сокрытия субъектов (объектов) и/или прикладных функций «закрытого» контура;
– фильтрацией с учетом даты/времени и возможности определения временных интервалов для выполнения правил фильтрации;
– регистрацией и учетом запрашиваемых сервисов прикладного уровня
(посредством связки IP-адреса и номера порта удаленного сервера для устанавливаемого сеанса связи).
2. Авторизация MAC-адресов АРМ пользователей с «закрытым» контуром при подключении к локальной сети с «закрытым» контуром. При обнаружении неавторизованного MAC-адреса порт соответствующего устройства должен быть автоматически отключен.
3. Использует режим концентратора, который принимает пакеты, адресованные только авторизованному MAC-адресу.
4. Исключить и контролировать доступ к несанкционированным удаленным подключениям к локальным ресурсам «закрытого» контура.
5. Обязательный мониторинг открытых точек доступа к периметру
«закрытого» контура. При организации однонаправленных соединений из
«открытого» контура в «закрытый» контур для обеспечения доступа к секретной информации, обрабатываемой на серверах «закрытого» контура, необходимо заранее решить вопрос криптографической защиты трафика этих соединений с помощью сертифицированных средств ФСБ России. В то же время для разрешенных TCP-соединений, исходящих из «открытого»

контура, необходимо указать адрес назначения, адрес источника и номер IP- порта, соответствующие службе, внешней для «открытого» контура.
6. Регистрация входящих пакетов в «закрытый» контур, не соответствующих правилам листов доступа маршрутизатора и внутреннего
MЭ, путем отображения соответствующих событий в системном журнале.
7. Контроль информации, передаваемой через электронную систему обмена сообщениями в «закрытом» контуре путем фильтрации протоколов передачи электронной почты специализированными средствами, установленными на серверах, обеспечивающих работу почтовой системы внутри «закрытого» контура. Правила фильтрации должны регулироваться.
Рабочие данные фильтра передаются в подсистему управления безопасностью.
8. Программируемый ответ на события в устройстве защиты
(возможность генерировать заданный уровень детализации событий в журнале AИБ. Регистрация категорий событий, таких как изменение конфигурации и т.д.).
9. Оперативная сигнализация на основе защищенного протокола SNMP v.3, а именно:
– локальная сигнализация попыток нарушения правил фильтрации
(оповещение АИБ «закрытого» контура о попытках установления запрещенных соединений непосредственно фильтрующим модулем (звуковое сопровождение, вывод сообщения на экран, световая индикация и т.п.));
– дистанционная сигнализация попыток нарушения правил фильтрации
(информирование АИБ «закрытого» контура и уполномоченных лиц о попытках установления запрещенных соединений с помощью электронной почты, SMS-сообщений или внешних систем оповещения).
3.2.5. Подсистема администрирования «закрытого» контура
Подсистема администрирования «закрытого» контура предназначена для настройки прав разграничения доступа (далее – ПРД) субъектам
«закрытого» контура к объектам управления. В «закрытом» контуре должна быть реализована централизованная подсистема администрирования СЗИ
«закрытого» контура.
Управление активным сетевым оборудованием «закрытого» и
«открытого»контуров ЛВС ИС должно контролироваться специалистами отдела информационной безопасности с использованием механизмов регулярного аудита сетевого оборудования. Подсистема аудита должна управляться подразделениями информационной безопасности.
Администрирование СЗИ «закрытого» контура должно производиться
АИБ «закрытого» контура с локальной консоли или удаленно с использованием шифрования трафика управления на IP-уровне или с использованием протоколов управления с поддержкой шифрования данных
(SNMP v3). Удаленные запросы безопасности должны использовать методы, устойчивые к пассивному и активному перехвату информации. Для этого

следует использовать криптографические механизмы аутентификации с использованием ЭЦП.
В подсистеме администрирования должна быть реализована система агентов, для всех защищенных АРМ, позволяющая АИБ «закрытого» контура в реальном времени получать информацию и осуществлять централизованное управление политикой безопасности системы защиты.
Подсистема администрирования должна обеспечивать:
– установку ключевых элементов и механизмов доступа в средства СЗИ
«закрытого» контура с целью обеспечения им возможности доступа к объектам управления. При этом установка и перестановка ключевых элементов и механизмов доступа должна осуществляться как по команде администратора центра генерации и распространения ключей (ЦГРК), так и по инициативе администратора «закрытого» контура;
– взаимодействие с ЦГРК с целью обеспечения доставки ключевых элементов и механизмов доступа;
– установку ПРД и их изменение;
– идентификацию и аутентификацию АИБ «закрытого» контура при его запросах на доступ;
– возможность делегирования прав (т. е. присвоения пользователю ограниченных административных привилегий управления некоторым набором учетных записей);
– использование универсальных шаблонов настроек политики безопасности «закрытого» контура;
– возможность моделирования существующей организационной иерархии и административной структуры «закрытого» контура – пользователя «закрытого» контура;
– возможность блокировки учетной записи пользователя «закрытого» контура или её ограничения по времени работы;
– возможность доставки информации о нештатных ситуациях и ошибках, возникающих в процессе функционирования механизмов доступа, до АИБ «закрытого» контура.
3.2.6. Подсистема обнаружения и противодействия вторжений
Подсистема обнаружения и противодействия вторжений должна обеспечивать:
– удаленный централизованный, автоматизированный контроль функционирования процессов создания, обработки, хранения и передачи информации в рамках «закрытого» контура;
– контроль за вычислительной средой объектов «закрытого» контура, в которой выполняются прикладные задачи;
– контроль правильности работы прикладного программного обеспечения «закрытого» контура, реализующего функции обработки информации;
– контроль правильности работы операторов и администраторов
«закрытого» контура.

3.2.7. Подсистема мониторинга информационной безопасности
«закрытого» контура
Подсистема мониторинга информационной безопасности «закрытого» контура предназначена для оперативного контроля ее стояния с целью выявления нарушений требований политики ИБ «закрытого» контура и нормативных документов, выявления нештатных (или злоумышленных) действий и локализации инцидентов безопасности. Регистрация и анализ данных аудита должна производится централизованно на серверах (машинах) безопасности (далее – МБ) в режиме реального времени в соответствии с заданной политикой безопасности.
Подсистема аудита ИБ «закрытого» контура должна обеспечивать:
– контроль выполнения требований политики ИБ «закрытого» контура и нормативных документов по ИБ;
– независимый мониторинг действий пользователей «закрытого» контура;
– сбор первичных событий штатных журналов аудита объектов мониторинга, в том числе СЗИ;
– регистрацию первичных событий аудита;
– анализ первичных событий аудита в реальном времени и фиксацию событий ИБ на основе правил анализа событий ИБ от разнотипных источников «закрытого» контура;
– обеспечение возможности создания и редактирования, а также проверки описаний событий ИБ;
– обеспечение централизованного хранения зафиксированной информации о событиях ИБ и их последующий (отложенный) анализ (разбор событий аудита, выявление цепочек операций, выполняемых на серверах, рабочих станциях администраторов и операторов «закрытого» контура;
– формирование сообщений о событиях ИБ и извещения персонала службы ИБ о зафиксированных событиях ИБ;
– расследование событий ИБ и регистрацию инцидентов ИБ.