Защита от несанкционированного доступа к ПК
Защита от несанкционированного доступа к ПК – это одна из тех задач защиты информации, которая кажется всем понятной и очевидной, почти как антивирусная защита. И эта очевидность практически столь же мнимая, поскольку до сих пор еще жив миф о возможности программной защиты от НСД.
Каждый день, выходя из дома, мы, даже не задумываясь, запираем дверь, так как накопленный за многие годы опыт однозначен – это полезно для сохранения в неприкосновенности принадлежащих нам вещей. Конечно, дверь, замок и ключ не решают проблему воровства полностью, но ни у кого не возникает сомнения, что дверь все же должна быть, и чтобы вор в нее не влез – необходимо ее не носить с собой, а запирать по месту установки. Заметим еще раз – вещи, находящиеся в квартире, будут в большей безопасности, если квартиру защищать.
Аналогия верна и для компьютера. Программы и данные, составляющие информационные ресурсы, легче сохранить, если компьютер будет защищен.
Конечно, запертая дверь не гарантирует, что вещи не украдут. Защита компьютера тоже не гарантия от нарушения целостности программ, но это абсолютно необходимый рубеж защиты. Вещи из квартиры точно украдут, если дверь оставить нараспашку. Без защиты компьютера невозможно обеспечить защиту программ.
Но даже если ваши вещи будут находиться внутри защищенной квартиры, вовсе не обязательно они сохранятся в первозданном виде. Если Вы в этом не уверены – попробуйте, не выходя из квартиры, вместе с рубашкой простирать паспорт.
Похожая ситуация и в виртуальном мире – в процессе исполнения одна программа вполне может изменить состояние данных другой программы и даже код другой программы – так, собственно, и ведут себя вирусы, да и не только они.
Чтобы убедиться в неизменности аппаратной и программной среды компьютера, необходимо провести контрольные процедуры. Однако очевидно, что если контрольные процедуры производятся измененным в свою очередь компонентом, то в них нет никакого смысла.
Именно поэтому контролировать неизменность среды нельзя программными средствами – так как программа может быть изменена. Для того чтобы убедиться, что она не была изменена – ее нужно сначала проверить. Если ее мы проверяем другой программой, то сначала нужно проверить ту программу, которой мы проверяем первую… и так далее. Мы попадаем в зону действия известного парадокса «кто будет сторожить сторожей?». В защите информации попытки контролировать целостность среды программными средствами носят название «синдром Мюнхгаузена», поскольку они аналогичны попыткам вытащить себя самого из болота за волосы.
Продолжая эту аналогию, легко прийти к правильным выводам: вытащить себя из болота за волосы – нельзя, потому что нет точки опоры. А вот если тянуть за ветку дерева, растущего на кочке – то можно, потому что у дерева есть точка опоры.
Что может означать «точка опоры» применительно к компьютерной системе фон-неймановского типа (а абсолютное большинство современных настольных компьютеров имеют именно такую архитектуру), не различающей команды и данные, системе, в которой одним из основных действий является «запись», то есть системе принципиально модифицируемой?
«Точка опоры» может означать только одно: контролирующие процедуры должны быть вынесены из этой модифицируемой среды в среду немодифицируемую и легко проверяемую, то есть простую, небольшую по объему (тогда легко обеспечить ее верифицируемость). Это означает аппаратное устройство, независимое от компьютера, который оно проверяет.
Независимость контролирующего устройства – обязательное требование: если часть процедур или решений об обработке их результатов вынесены в основной (контролируемый) компьютер, то модифицированной системой могут быть навязаны любые результаты контроля. Эффект от применения аппаратуры сведется к нулю.
И наконец, самое главное – независимое аппаратное контролирующее устройство должно стартовать первым, до старта операционной системы (ОС), иначе у модифицированной системы будет возможность отключить контролёра. «Кто первый встал, того и тапки». Стартовать первым должно то, чему мы доверяем.
Такое аппаратное, простое, независимое от компьютера контролирующее устройство, стартующее первым, до загрузки ОС компьютера – называется резидентный компонент безопасности (РКБ).
Резидентный компонент безопасности – это встроенный в вычислительную систему объект, способный контролировать целостность среды путем сравнения ее параметров с эталонными.
Задача РКБ – сделать так, чтобы на этапе прохождения контрольных процедур защищаемый компьютер не был универсальным, или «машиной Тьюринга», а потом, после их успешного завершения, пользователю снова становились доступны все плюсы универсальности.
Ключевые характеристики РКБ:
- это устройство памяти с очень высоким уровнем защищенности (его внутреннее программное обеспечение должно быть немодифицируемым)
- примитивное (иначе обеспечение его собственной защищенности эквивалентно задаче защиты компьютера, который он защищает)
- встроенное в контролируемую систему и стартующее до старта основной ОС (иначе его функционирование будет необязательным)
- независимое от контролируемой системы (функционирующее автономно)
- перестраиваемое (то есть предполагающее функционирование в режиме управления, когда возможно изменение политик (только специальным привилегированным пользователем) и в пользовательском режиме, когда изменение политик невозможно, и осуществляется только контроль их выполнения).
Концепция РКБ реализована во всех решениях, которые описаны в этом разделе. Каждое из них включает в себя аппаратный компонент (базис) и может включать в себя программную надстройку, неразрывно связанную с этим базисом.
Первым, с чего началась практическая реализация парадигмы аппаратной защиты в нашей стране и в мире, стало СЗИ НСД «Аккорд-АМДЗ», положивший начало линейке «Аккорд», которой так или иначе посвящен весь этот раздел.
Планшет СКЗИ ready «ПКЗ 2020»
Для того чтобы на планшете можно было использовать криптографию приличного класса (КС2 и выше), необходимы и особенное СДЗ, и особенный планшет.
Подобрать такую пару самостоятельно — задача.
Источник
Программно-аппаратный комплекс «Соболь»
Сертифицированный аппаратно-программный модуль доверенной загрузки (АПМДЗ).
Актуальная версия продукта, сертифицированного ФСТЭК России: 3.0 М.2.
Актуальная версия продукта, сертифицированного ФСБ России: 3.0.6, 3.1, 3.2.
В реестре отечественного ПО.
- Доверенная загрузка ОС.
ПАК «Соболь» обеспечивает запрет загрузки ОС с внешних носителей, что гарантирует загрузку штатной доверенной операционной системы.
- Использование электронных идентификаторов.
Идентификация и аутентификация пользователей в ПАК «Соболь» обеспечивается до загрузки ОС с помощью ключей iButton, iKey2032, eToken, Rutoken и др.
- Сторожевой таймер.
Модуль сторожевого таймера блокирует доступ к компьютеру при обнаружении попытки отключения электронного замка.
- Сертифицированный ФСТЭК и ФСБ России модуль доверенной загрузки.
ПАК «Соболь» сертифицирован ФСТЭК, ФСБ и Минобороны России, может применяться для защиты ИСПДн до УЗ1 включительно и ГИС до К1 включительно, а также для защиты АСУ ТП до К1 включительно и АС до 1Б (гостайна с грифом «совершенно секретно»). Кроме того, ПАК «Соболь» может применяться для повышения класса защищённости СКЗИ.
Назначение
Электронный замок «Соболь» может быть использован для того, чтобы:
- доступ к информации на компьютере получили только те сотрудники, которые имеют на это право;
- в случае повреждения ОС или важных информационных массивов, хранящихся на компьютере, администратор мог вовремя принять меры по восстановлению информации.
- Выбор форматов исполнения.
- Поддержка платы PCI,
- Поддержка платы PCI Express,
- Поддержка платы Mini PCI Express,
- Поддержка платы Mini PCI Express Half Size,
- Поддержка платы М.2 type 2230-A-E.
- Аутентификация пользователей.
Идентификация и усиленная (двухфакторная) аутентификация пользователей с использованием персональных идентификаторов. В качестве персональных идентификаторов пользователей могут применяться:
- iButton (DS1992, DS1993, DS1994, DS1995, DS1996),
- eToken PRO / eToken PRO (Java),
- смарт-карта eToken PRO через USB-считыватель Athena ASEDrive IIIe USB V2,
- iKey 2032,
- Рутокен S / Рутокен S RF.
- Блокировка загрузки ОС со съёмных носителей.
- После включения питания компьютера, замок «Соболь» перехватывает управление всеми устройствами ввода-вывода и не позволяет загрузиться нештатной ОС.
- После успешной загрузки штатной копии ОС доступ к этим устройствам восстанавливается.
- Запрет распространяется на всех пользователей компьютера, за исключением администратора.
- Контроль целостности программной среды.
Используемый в комплексе «Соболь» механизм контроля целостности позволяет контролировать неизменность файлов и физических секторов жёсткого диска до загрузки операционной системы.
- Для этого вычисляются некоторые контрольные значения проверяемых объектов и сравниваются с ранее рассчитанными для каждого из этих объектов эталонными значениями.
- Формирование списка подлежащих контролю объектов с указанием пути к каждому контролируемому файлу и координат каждого контролируемого сектора производится с помощью программы управления шаблонами контроля целостности.
- Контроль целостности функционирует под управлением операционных систем, использующих следующие файловые системы: NTFS5, NTFS, FAT32, FAT16, FAT12, UFS, EXT2, EXT3 и EXT4.
Администратор имеет возможность задать режим работы электронного замка, при котором будет блокирован вход пользователей в систему при нарушении целостности контролируемых файлов.
Контроль целостности системного реестра Windows.
Данная возможность позволяет контролировать неизменность системного реестра Windows, что существенно повышает защищённость рабочих станций от несанкционированных действий внутри операционной системы.
Сторожевой таймер.
Механизм сторожевого таймера обеспечивает блокировку доступа к компьютеру при условии, что после включения компьютера и по истечении заданного интервала времени управление не передано расширению BIOS комплекса «Соболь».
Регистрация попыток доступа к ПЭВМ.
Электронный замок «Соболь» осуществляет ведение системного журнала, записи которого хранятся в специальной энергонезависимой памяти. Таким образом, электронный замок «Соболь» предоставляет администратору информацию обо всех попытках доступа к ПЭВМ. В системном журнале фиксируются следующие события:
- факт входа пользователя и имя пользователя;
- предъявление незарегистрированного идентификатора пользователя;
- введение неправильного пароля;
- превышение числа попыток входа в систему;
- число и дата НСД.
- Контроль конфигурации.
ПАК «Соболь» позволяет контролировать неизменность конфигурации компьютера – PCI-устройств, ACPI, SMBIOS и оперативной памяти. Данная возможность существенно повышает защиту рабочей станции.
Платы
Идентификаторы, доступные к заказу
Дополнительные устройства
- PCI 50х120 мм (ФСТЭК России);
- PCI Express 65х140 мм (ФСБ России);
- PCI Express 57х80 мм (ФСТЭК и ФСБ России);
- Mini PCI Express 50х30 мм (ФСТЭК и ФСБ России);
- Mini PCI Express Half Size 26х30 мм (ФСТЭК и ФСБ России);
- M.2 А-E 30х22 мм (ФСТЭК России).
- iButton DS1992 (1 Кбит);
- iButton DS1994 (4 Кбит);
- iButton DS1995 (16 Кбит);
- iButton DS1996 (64 Кбит);
- USB-ключи Rutoken S (до уровня «секретно»).
- Дополнительный адаптер для mini PCI-E;
- Дополнительные адаптеры для mini PCI-E Half Size и M.2;
- Устройство блокировки питания;
- Внутренний считыватель;
- Внешний считыватель.
Для ПАК «Соболь» с сертификатом ФСБ России:
Операционные системы семейства Windows
- Windows 8;
- Windows 7/7 x64 Edition;
- Windows Vista/Vista x64 Edition;
- Windows XP Professional/XP Professional x64 Edition;
- Windows Server 2012;
- Windows Server 2008/Server 2008 x64 Edition/Server 2008 R2;
- Windows Server 2003/Server 2003 x64 Edition/Server 2003 R2/Server 2003 R2 x64 Edition.
Операционные системы семейства Linux
- ALT Linux 7.0;
- МСВС 3.0 x86;
- Альт Линукс СПТ 6.0.0 х86/х64;
- ALT Linux Desktop 4.0.2 Secure Edition x86/Lite x86;
- ALT Linux Server 4.0.0 Secure Edition x86/x64;
- Astra Linux Special Edition «Смоленск» х64;
- ContinentOS 1.0;
- Debian 6.0.3 x86/х64, Debian 5.0.3 x86/5.0.5 x86;
- Mandriva ROSA Desktop 2011.0 x86/x64;
- Mandriva 2008 Spring x86/x64;
- Red Hat Enterprise Linux 6.0 x86/x64;
- Red Hat Enterprise Linux 4.1 Update 1 Secure Edition x64.
Семейство ОС Unix:
- FreeBSD 6.2/6.3/7.2/8.2.
NTFS, FAT32, FAT16, UFS2, UFS, EXT4, EXT3, EXT2
В соответствии с требованиями операционной системы, установленной на компьютер
Минимально 50 МБ свободного пространства
Требование необязательно при наличии общедоступного сетевого ресурса с программным обеспечением комплекса «Соболь».
Наличие свободного разъёма системной шины стандарта PCI/PCI Express/Mini PCI Express.
Для реализации механизма сторожевого таймера наличие хотя бы одного из разъёмов:
- разъём Reset;
- 20- или 24-контактный разъём питания стандарта ATX.
Для ПАК «Соболь» с сертификатом ФСТЭК России:
Операционные системы семейства Windows
- Windows 10;
- Windows 8;
- Windows 7/7 x64 Edition;
- Windows Vista/Vista x64 Edition;
- Windows XP Professional/XP Professional x64 Edition;
- Windows Server 2012;
- Windows Server 2008/Server 2008 x64 Edition/Server 2008 R2;
- Windows Server 2003/Server 2003 x64 Edition/Server 2003 R2/Server 2003 R2 x64 Edition.
Операционные системы семейства Linux
- МСВС 5.0;
- Альт Линукс 7.0 Кентавр x64;
- Astra Linux Special Edition «Смоленск» 1.4 х64;
- CentOS 6.5;
- ContinentOS 4.2 x64;
- Debian 7.6 x86/х64;
- Mandriva ROSA Никель;
- Red Hat Enterprise Linux 7.0 x64;
- Ubuntu 14.04 LTS Desktop/Server;
- VMware vSphere ESXi 5.5 x64.
Семейство ОС Unix:
- FreeBSD 7.2/8.2/8.3
NTFS, FAT32, FAT16, UFS2, UFS, EXT4, EXT3, EXT2
В соответствии с требованиями операционной системы, установленной на компьютер
Минимально 50 МБ свободного пространства
Требование необязательно при наличии общедоступного сетевого ресурса с программным обеспечением комплекса «Соболь».
Наличие свободного разъёма системной шины стандарта PCI/PCI Express/Mini PCI Express/М.2.
Для реализации механизма сторожевого таймера наличие хотя бы одного из разъёмов:
- разъём Reset;
- 20- или 24-контактный разъём питания стандарта ATX.
Некоторые операционные системы и их версии не поддерживаются в связи с архитектурными особенностями.
Возможна техническая несовместимость с некоторыми моделями системных плат ЭВМ.
Ведомство
Номер
Продукт
Описания
Действителен до:
Заключение на Соболь 8 УГШ МО от 07.04.2011 №317/9/1053
ПАК «Соболь» версия 3.0
Подтверждает соответствие руководящих документов по 2 уровню контроля отсутствия НДВ и возможность использования в автоматизированных системах до класса защищённости 1Б включительно
ПАК «Соболь» версия 3.0
Подтверждает соответствие требованиям технических регламентов Таможенного Союза: ТР ТС 004/2011 и ТР ТС 020/2011
ПАК «Соболь» версия 3.0
Подтверждает соответствие требованиям к аппаратно-программным модулям доверенной загрузки ЭВМ класса 1Б и возможность использования для защиты информации, содержащей сведения, составляющие государственную тайну
ПАК «Соболь» версия 3.1 (исполнение 1)
Подтверждает соответствие требованиям к аппаратно-программным модулям доверенной загрузки ЭВМ класса 3Б и возможность использования для защиты от несанкционированного доступа к информации, не содержащей сведений, составляющих государственную тайну
ПАК «Соболь» версия 3.2 (исполнение 1)
Подтверждает соответствие требованиям к аппаратно-программным модулям доверенной загрузки ЭВМ класса 3Б и возможность использования для защиты от несанкционированного доступа к информации, не содержащей сведений, составляющих государственную тайну
ПАК «Соболь» версия 3.1 (исполнение 2)
Подтверждает соответствие требованиям к аппаратно-программным модулям доверенной загрузки ЭВМ класса 1Б и возможность использования для защиты от несанкционированного доступа к информации, содержащей сведения, составляющие государственную тайну
ПАК «Соболь» версия 3.2 (исполнение 2)
Подтверждает соответствие требованиям к аппаратно-программным модулям доверенной загрузки ЭВМ класса 1Б и возможность использования для защиты от несанкционированного доступа к информации, содержащей сведения, составляющие государственную тайну
ПАК «Соболь» версия 3.0
Подтверждает соответствие требованиям руководящих документов к средствам доверенной загрузки уровня платы расширения второго класса и возможность использования в автоматизированных системах до класса защищённости 1Б включительно, в ИСПДн до УЗ1 включительно и в ГИС до 1-го класса защищённости включительно
Источник