Защита данных на ПК с ОС Microsoft На основе продуктов и решений Аладдин. Часть 2
Апрель, 2012
Леонид Шапиро
Защита данных ограниченного доступа — один из важнейших аспектов ИБ. У любой компании, независимо от масштаба и вида деятельности, встаёт вопрос безопасности данных на рабочих станциях: несанкционированный доступ к конфиденциальным данным оборачивается прямыми финансовыми потерями и репутационными издержками, а последствия утраты ноутбука с реквизитами банковских операций трудно недооценить. В статье (продолжение цикла) рассматривается Secret Disk Enterprise (SDE) компании Аладдин, обеспечивающий конфиденциальность данных на рабочих станциях.
Архитектура SDE
Заголовок раздела «Архитектура SDE»Многоуровневая схема сделала систему масштабируемой, расширяемой и отказоустойчивой. Функционально SDE состоит из серверной части — Secret Disk Management Server (SDMS) для централизованного администрирования — и клиентской Secret Disk Agent (SDA) на рабочих станциях. Концепция — централизованное хранение и управление ключами шифрования дисков, информацией о пользователях и особенностях их работы; все операции основаны на взаимодействии клиента с сервером, причём обращение к клиентской части напрямую не допускается — взаимодействие всегда инициирует агент через шлюз клиентов.
Компоненты SDMS. Сервер бизнес-логики — работы с зашифрованными дисками, сертификатами, учётными записями, лицензиями и компьютерами, сервисные функции; формирует для каждой станции очередь команд. Шлюз клиентов — аутентифицирует агента и перенаправляет его запросы серверу бизнес-логики; при взаимодействии происходит обмен ключами и передача команд и служебной информации. Административный веб-портал — графический интерфейс управления пользователями, сертификатами, дисками и настройками; доступен администратору ИБ, оператору и аудитору с ограничениями по ролям. База данных SQL (Microsoft SQL Server 2005/2008) хранит всё, чем оперирует система: сведения о файловой системе клиентских компьютеров, операциях пользователей, сертификаты и симметричные ключи ко всем зашифрованным дискам; ключи дисков зашифрованы на мастер-ключе, который хранится на USB-ключе или смарт-карте eToken оператора.
Криптография: информация пользователей хранится на зашифрованных дисках; для зашифрования/расшифрования используется криптокопия ключа диска, зашифрованная мастер-ключом базы данных. В БД хранятся криптокопии мастер-ключа, и для его получения криптокопию надо расшифровать — мастером первоначальной настройки (операция называется “подключение криптохранилища”); этот же мастер используется при установке SDMS, а доступ к нему имеет только оператор. Сведения о сотрудниках SQL-база заимствует из Active Directory — только в режиме чтения, так что никто из пользователей SDMS не может вносить изменения в AD. Клиентская часть проще: единственный компонент Secret Disk Agent выполняет полученные от сервера команды автоматически без участия пользователя; по запросу пользователя доступны лишь две операции — подключить и отключить зашифрованный диск.
Варианты развертывания SDE
Заголовок раздела «Варианты развертывания SDE»Хост-установка — все компоненты SDMS на одном сервере; рекомендуется для знакомства с продуктом, пилотов и внедрений до 100 рабочих мест (число от производителя; нагрузочное тестирование официально не анонсировалось). Ограничение связано скорее с требованиями компаний к отказоустойчивости и доступности, чем с продуктом: совмещение ролей негативно сказывается на производительности и отказоустойчивости, но для невысоких требований сценарий вполне подходит.
Выделенный сервер БД — выше защита (критичные данные переносятся в другой сегмент) и ниже нагрузка на сервер управления; отказоустойчивость и балансировка по-прежнему не обеспечены, но появляются возможности развития. Рекомендуется для внедрений от 100 до 500 рабочих мест.
Разделение ролей — административный веб-портал, сервер бизнес-логики и сервер БД разворачиваются отдельно; открываются возможности повышения отказоустойчивости и доступности: кластеризация сервера БД на стандартных средствах Microsoft (Failover Cluster), NLB-кластер для веб-портала, для сервера бизнес-логики — технология stand by (две одинаковые копии SDMS на идентичных серверах: одна рабочая, другая выключенная, обе на одну БД; при выходе из строя резервная заменяет рабочую). С точки зрения развития это наиболее удачный вариант — решение адаптируется с ростом потребностей компании; в следующей версии SDE сервер бизнес-логики будет поддерживать и балансировку Microsoft NLB.
Особенности системы
Заголовок раздела «Особенности системы»Централизованное управление решает задачи настройки клиентского ПО на станциях, создания зашифрованных дисков, их обслуживания (смена ключей, резервное копирование и восстановление), планов сервисных процедур и ведения журналов событий; установка SDA выполняется через групповые политики — интеграция с Active Directory.
Ролевая модель проработана: шесть встроенных ролей — отправная точка, если не противоречит политике компании, плюс возможность создавать собственные специализированные роли под действующую политику ИБ. Первый пользователь, выполнивший первоначальную настройку, получает все роли; далее роли назначает администратор ИБ. Оператор подключает/отключает криптохранилище, выполняет планы обслуживания, просматривает настройки, запускает и останавливает сервер бизнес-логики, делает резервное копирование и восстановление мастер-ключа. Администратор ИБ управляет учётными записями компьютеров и пользователей, сертификатами и дисками, просматривает настройки. Аудитор изменений не вносит — только просматривает конфигурацию сервера, списки компьютеров, дисков, ролей, пользователей и сертификатов, информацию о лицензии и мастер-ключе, журнал событий. Пользователь лишь подключает и отключает защищённые диски. Агент восстановления ключей экспортирует мастер-ключ шифрования системного раздела для экстренного доступа при выходе из строя или потере eToken и обладает правами аудитора. Назначение ролей благодаря интеграции с AD трудностей не вызовет.
SDE устраняет проблемы защиты дисковых накопителей на рабочих станциях, что благотворно скажется на ИБ предприятия в целом. Преимущества: расширяемое решение, соответствующее уровню требований и зрелости компании; поддержка российских криптоалгоритмов, упрощающая применение в РФ; тесная интеграция с Active Directory и гибкая ролевая модель, избавляющая ИТ-службы от многих проблем развёртывания, управления и поддержки.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: “Системный администратор”, № 3, 2012
Эксперт: Леонид Шапиро, Аладдин