Secret Disk для защиты корпоративных данных
Июль, 2006
Коммерческой информации угрожает множество опасностей, некоторые способны её уничтожить — но системы резервного копирования есть почти везде, и беда превращается в мелкую неприятность. Гораздо хуже, когда данные, составляющие коммерческую тайну, попадают к конкурентам или мошенникам: серьёзных убытков не избежать, а известны случаи, когда утечка становилась причиной банкротства. Самый надёжный способ защиты от несанкционированного доступа — шифрование. Речь пойдёт о серии продуктов Secret Disk компании Aladdin — одном из лидеров российского крипторынка; программно-аппаратные комплексы для надёжной защиты конфиденциальных данных. Впрочем, криптография — не панацея (от инсайдеров, например, она не спасает): защита корпоративной системы должна быть комплексной, шифрование — лишь её часть.
Выбор криптографической системы
Заголовок раздела «Выбор криптографической системы»Выбор криптосистемы — важнейший момент: от него зависит безопасность информации, а ошибка стоит очень дорого. Сначала определиться с целью (данные на сервере, персональных компьютерах, ноутбуках), затем очертить круг продуктов — после первого этапа остаётся обычно 5–6 претендентов. Параметры сравнения: используемые алгоритмы — предпочтительны продукты либо с известными криптотехнологиями, либо вовсе без встроенной криптографии (“оболочка” с подключаемыми внешними криптопровайдерами — компании не нужны лицензии, а клиенты застрахованы от ошибок реализации); никому не известные алгоритмы собственной разработки крайне нежелательны — со временем в них находят “дыры”, и секретность алгоритма надёжности не добавляет. Способ хранения ключевой информации: ключ вместе с защищённой информацией, открываемый паролем — по сути парольная защита, целиком зависящая от человеческого фактора; надёжнее хранение в защищённой памяти USB-ключа или смарт-карты — корпоративным заказчикам удобнее и экономичнее приобретать программно-аппаратные комплексы. Далее — функциональные возможности, где наибольшую важность играют уникальные “фишки”, расширяющие круг задач, и известность разработчика: дело в надёжности — у признанных фирм можно не опасаться backdoor’ов, а заботящиеся о репутации постоянно улучшают продукты и исправляют ошибки.
Защита данных на сервере
Заголовок раздела «Защита данных на сервере»Вся важная информация практически во всех компаниях хранится на серверах (файловых, почтовых), и главная задача ИБ — защита размещённых на них данных. Пример — Secret Disk Server NG от Aladdin: удовлетворяет всем требованиям выбора, а компания — один из лидеров сегмента “3А” российского рынка ИБ.
Состав коробочной версии: дистрибутив, два USB-ключа (лицензия и безопасное администрирование), удлинительный USB-кабель, документация и проводное устройство “красная кнопка” для сигнала “тревога”; по желанию — собственная конфигурация: дополнительные ключи и смарт-карты, “красные кнопки”, “радио-тревога”, ключи с RFID-метками. Программная часть — три утилиты: серверная (собственно защита “прозрачным шифрованием” — в фоне, незаметно для пользователя), оснастка управления на базе MMC на компьютере офицера безопасности (удалённое администрирование — офицеру не нужен физический доступ в серверную) и модуль подачи “тревоги” с клавиатуры, мыши или аппаратных устройств на компьютерах уполномоченных сотрудников.
Настройка: к серверу подключается ключ eToken с лицензией (без него продукт не работает); офицер запускает интерфейс администратора, подключает ключ с лицензией администратора и вводит PIN. Создаётся контейнер — раздел винчестера, целый винчестер или RAID-массив (не системные диски); выбирается алгоритм. Собственной криптографии в продукте нет — только внешние модули: стандартный драйвер Windows с DES (56 бит — уже ненадёжен) и Triple DES (168 бит — тяжеловесен: на AMD Athlon MP 2200+ всего 10,67 Мб/с); рекомендуется бесплатный Secret Disk NG Crypt Pack — AES (46,55 Мб/с на 128-битном ключе, 36,57 на 256-битном) и Twofish (42,67 Мб/с со 128-битным); поддержаны и сертифицированные отечественные КриптоПро CSP 2.0 и Signal-COM CSP с ГОСТ 28147-89. Важная инженерная доработка — многопоточное шифрование: равномерное распределение нагрузки между процессорами даёт на многопроцессорных серверах и системах с Hyper-Threading значительный рост скорости чтения/записи; временные потери снижаются в 3–5 раз, а общее быстродействие версии 3.1 выросло на 30–50% против ранних (чьё влияние на производительность сервера, как признают сами разработчики, сдерживало весь класс серверной защиты).
Далее генерируется ключ шифрования, зашифровывается открытым ключом сертификата администратора и в таком виде пишется в защищённое хранилище на системном диске — управлять контейнером может любое число доверенных сотрудников (ключ кодируется открытым ключом каждого): работа компании не зависит от одного человека, а при утере USB-ключа используются резервные токены. Шифрование посекторное — можно приостановить или отменить в любой момент с гарантией сохранности данных и защитой от потерь при сбоях и отключении питания. После шифрования — дополнительная настройка: регистрация других администраторов (по умолчанию равные права на все диски; при необходимости — уникальный список администраторов для каждого диска с наследованием прав при добавлении); контроль сетевого доступа — полный запрет прямого удалённого доступа (для серверов приложений и баз данных: доступ никто, даже администратор домена Windows, не получит — только через программы на сервере: почтовые, СУБД; для файлового сервера доступ нужен — разграничивается штатными средствами ОС); реакция на ЧП: сигнал “тревога” горячей комбинацией клавиш или мышью (через модуль Secret Disk NG Alarm), проводной “красной кнопкой” или радиобрелком с приёмником; интерфейс внешних устройств открыт — интеграция с физической безопасностью офиса (сигнализация здания, датчики движения в серверной, сигнал входа под принуждением). Реакция — общая для всех дисков или отдельная: удаление ключей шифрования из оперативной памяти (диски отключаются и подключаются обратно через интерфейс администратора) либо полное уничтожение защищённого хранилища с ключами (доступ невозможен даже администратору — только восстановление из резервной копии). Для каждого диска — сценарии до/после подключения-отключения на JavaScript, VBScript, Perl, “Monad”: для сервера БД — автозапуск СУБД при подключении диска, для файлового — закрытие удалённых сессий перед отключением. Для работы администратор подключает диск своим ключом; сотрудники пользуются стандартными средствами ОС или привычными программами; на компьютеры пользователей ничего ставить не нужно (кроме Secret Disk NG Alarm для отдельных сотрудников) — большинство может вообще не догадываться о существовании защиты, что снижает последствия “человеческого фактора”.
Защита данных на персональных компьютерах
Заголовок раздела «Защита данных на персональных компьютерах»Нередко коммерческие данные оказываются на обычных ПК и ноутбуках — последние особенно актуальны: ими пользуются руководители и узкие специалисты (PR-менеджеры на выставках), информация критически важна, а кража ноутбука — слабейшее звено ИБ. Для этого — Secret Disk NG/Personal Edition, технологически схожий с серверной версией. Три варианта: персональный, для рабочих групп (до 10 человек) и сертифицированная версия; первые два — “коробки” или заказная конфигурация (дистрибутив, краткое руководство, USB-ключ eToken PRO; программу можно ставить на любое число компьютеров — работает одна копия); корпоративная поставка отличается нужным количеством ключей с лицензиями. Создание контейнера повторяет серверный процесс (подключить eToken администратора, ввести PIN): шифруются разделы жёстких дисков и съёмные носители, есть механизм виртуальных дисков (файл, представляемый системе как виртуальный жёсткий диск); криптография — только внешние провайдеры, включая пакет дополнительных алгоритмов. Работа: подключить eToken, ввести PIN — система открывает контейнер или монтирует виртуальный диск; через интерфейс администратора или панель управления настраиваются реакция на отключение ключа (блокировка компьютера, отключение контейнеров), блокировка сетевого доступа, другие пользователи диска, резервные копии ключей. По сути это “младший брат” Secret Disk Server NG без сугубо серверских возможностей — в остальном продукты очень похожи.
Сертифицированная защита данных
Заголовок раздела «Сертифицированная защита данных»По российскому законодательству некоторые правительственные организации обязаны использовать только сертифицированные СЗИ, причём сертификаты выдают две организации: ФСБ — на реализации криптоалгоритмов, ФСТЭК — на всё остальное, то есть СЗИ на госпредприятии должна иметь два сертификата. На практике обычно уже есть работающие криптопровайдеры ГОСТ 28147-89 с сертификатом ФСБ (КриптоПро CSP 2.0, Signal-COM) — достаточно приобрести “оболочку” с “прозрачным” шифрованием на внешнем провайдере, имеющую сертификат ФСТЭК. Именно такая — Secret Disk NG cert: сертифицирована ФСТЭК по 4-му уровню контроля отсутствия НДВ и на соответствие заданию по безопасности ALD.ETN-SD.ЗБ с уровнем доверия ОУД1 (усиленный) по “общим критериям”. От обычной версии отличается практически только составом: сертифицированный USB-ключ eToken с более серьёзными настройками безопасности и повышенными требованиями к PIN-кодам, плюс обязательный особый набор драйверов eToken RTE 3.51.19; поставляется строго в регламентированном коробочном виде с полным пакетом документации.
Подводим итоги
Заголовок раздела «Подводим итоги»Серия Secret Disk NG — распространённые программно-аппаратные комплексы, надёжно защищающие коммерческую информацию от многих опасностей: несанкционированного доступа, ущерба от хищения ноутбуков и техники, частично — даже от действий инсайдеров. Следуя рекомендациям разработчиков, действительно надёжную защиту построить несложно, а управление системой не требует от администратора или офицера безопасности сверхглубоких знаний.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: IXBT, июль 2006
Эксперт: Редакционный эксперт