Защита данных на ПК с ОС Microsoft На основе продуктов и решений Аладдин. Часть 1
Март, 2012
Защита данных пользователей — один из важнейших аспектов ИБ. В цикле статей рассматриваются подходы к построению решений по обеспечению конфиденциальности данных, хранимых на рабочих станциях.
Модель многоуровневой защиты
Заголовок раздела «Модель многоуровневой защиты»Один из подходов к проектированию систем безопасности — многоуровневая защита. Аналогия — авиаперелёт: сдача багажа с проверкой, рамка металлодетектора, сканер, паспортный контроль, проверка самолёта, медконтроль экипажа — на каждом этапе могут быть выявлены нарушения, у злоумышленника растёт риск обнаружения и падают шансы на успех. Многоэтапные проверки дорожают, но существенно повышают защищённость — вычислительные системы не исключение.
Политики и процедуры: построение защиты начинается не с технических средств — важны организационные меры, определяющие правила работы: политика безопасности из регламентов и инструкций, обучение сотрудников правильной работе и противостоянию всё более изощрённой социотехнике. Работа не вызывает энтузиазма у ИТ-персонала, но крайне значима; нужна поддержка руководства, а организационные меры — одно из самых эффективных средств защиты от инсайдеров. Физический уровень: при потенциальной возможности несанкционированного физического доступа к компьютеру другие меры бесполезны — одна из главнейших заповедей; серверы — в помещениях со строго ограниченным доступом, но не забываем о грубых вторжениях и о том, что наиболее уязвимы компьютеры мобильных пользователей. Периметр — взаимодействие с недоверенными сетями (чаще всего Интернет, но также клиенты удалённого доступа и партнёры): брандмауэры, NAT, VPN и шифрование, антивирусная защита, анализ трафика и контентная фильтрация. Уровень сети: угрозы — несанкционированный обмен данными, посторонние узлы (посетители с ноутбуками и мобильными устройствами), анализ пакетов (особенно в беспроводных сетях); принцип снижения рисков — проверка подлинности взаимодействующих узлов (например, цифровыми сертификатами при установлении связи) плюс шифрование передачи. Уровень узла — защита ОС и её сервисов: главная брешь — уязвимости ОС, снижаемые своевременными обновлениями самой системы и антивируса (центр обновления Microsoft, WSUS). Уровень приложений — ПО на узлах (службы, Microsoft Office): незащищённость приложений и конфигурации по умолчанию (стандартная не всегда безопасна); в Windows 7 — Microsoft Forefront Protection Manager и защитник Windows. Уровень данных — файлы данных, файлы приложений, базы данных, доменные службы Active Directory: при взломе возможны чтение, изменение и потеря данных посторонними пользователями, сброс паролей и проникновение через AD вплоть до полного краха службы каталога, выполнение изменёнными файлами приложений нежелательных задач (копирование данных в Интернет). Риски чрезвычайно высоки; NTFS-разрешения и общие папки дают строго определённый доступ, но при физическом доступе к компьютеру этого недостаточно — для конфиденциальности нужно шифрование: у Microsoft это EFS и BitLocker (плюс технология RMS, но в статье рассматриваются именно технологии шифрования носителей).
Требования к системам шифрования носителей
Заголовок раздела «Требования к системам шифрования носителей»Комплекс требований служб безопасности: защита данных не только на томах с данными, но и на системных и виртуальных дисках; сокрытие самого факта наличия зашифрованных данных (уже сама информация о них — стимул к попытке вскрытия); аутентификация для доступа — надёжная, двухфакторная, для системного тома — до загрузки ОС (простейший способ — смарт-карта или USB-ключ; TPM не везде есть и есть ограничения на импорт); для конфиденциальной информации и персональных данных регуляторы запрещают несертифицированные СКЗИ — только сертифицированные, реализующие алгоритмы по стандартам ГОСТ; для корпоративного пользователя — централизованное управление, мониторинг и аудит, работающие и вне офиса; гибкая ролевая модель для разделения полномочий; защита не только Windows 7 (со встроенными BitLocker и BitLocker To Go), но и Windows XP и более ранних ОС. Перечень внушителен.
Обзор семейства продуктов Secret Disk
Заголовок раздела «Обзор семейства продуктов Secret Disk»Продукты Secret Disk используют “прозрачное” шифрование стойкими криптоалгоритмами: при чтении — расшифрование, при записи — зашифрование; данные на жёстком диске всегда зашифрованы и недоступны злоумышленнику при краже, изъятии или утере как диска, так и всего компьютера. Защищаются логические диски, отделькие жёсткие диски, дисковые массивы и съёмные носители; доступ — после двухфакторной аутентификации по USB-токену или смарт-карте, а от не прошедших её пользователей скрывается сам факт наличия зашифрованной информации — решается и вопрос сокрытия данных (в отличие от EFS, которая не скрывает факт шифрования и даже позволяет прочитать имена всех зашифрованных файлов). Есть сертифицированные версии для защиты баз данных, конфиденциальной информации и персональных данных граждан в системах органов государственной власти — применимые в автоматизированных системах до класса защищённости 1Г.
Состав семейства: Secret Disk 4 — защита конфиденциальной информации и персональных данных на ПК под Windows 2000/XP/Vista/7 с возможностью защиты системного раздела и двухфакторной аутентификацией до загрузки ОС; Secret Disk 4 для рабочих групп — то же с возможностью до 10 сетевых подключений (без интеграции со службами каталога — не корпоративное средство, но подойдёт небольшой компании без централизованной службы каталога); Secret Disk Server NG — защита корпоративной информации (базы данных, серверная почта, файловые архивы, бизнес-приложения) на серверах Windows Server 2000/2003/2008; Secret Disk Enterprise — защита рабочих станций в локальной сети плюс централизованное управление, аудит и мониторинг событий ИБ — именно оно и является эффективным решением для корпоративных рабочих станций.
Возможности Secret Disk Enterprise
Заголовок раздела «Возможности Secret Disk Enterprise»Автоматизация большей части операций по защите и шифрованию; защита системного раздела, шифрование разделов жёстких дисков и создание виртуальных зашифрованных дисков с “прозрачностью” процедур для пользователя; централизованное управление любыми операциями с рабочего места администратора безопасности; без потерь информации при сбоях электропитания во время шифрования; доступ только после успешной аутентификации с ключевым носителем (смарт-карта, USB-токен); алгоритмы AES-256, Triple DES и отечественный ГОСТ 28147-89; работа без глубоких знаний от конечного пользователя; восстановление доступа при утере или поломке eToken; работа с зашифрованными дисками вне корпоративной сети (командировки); аудит использования защищённых ресурсов и действий пользователей; резервное копирование утилитой ntbackup или сторонними продуктами без доступа к конфиденциальным данным (в копию они попадают зашифрованными); интеграция с Microsoft Active Directory — управление жизненным циклом продукта, автоматизированная установка, настройка и поддержка клиентского ПО групповыми политиками. Продукт соответствует требованиям администраторов безопасности по защите носителей на рабочих станциях; сценарии развёртывания для компаний разного уровня — в следующей части.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: “Системный администратор”, № 1-2, 2012
Эксперт: Леонид Шапиро, Аладдин