CC BY
70
СИСТЕМНЫЙ АНАЛИЗ, УПРАВЛЕНИЕ И ОБРАБОТКА ИНФОРМАЦИИ
УДК 004.056
СИСТЕМА ЗАЩИТЫ АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ РАСПРЕДЕЛЕННОЙ ОБРАБОТКИ ИНФОРМАЦИИ
Е.М. Баранова, А.Н. Баранов, С.Ю. Борзенкова
Приведено описание функционирования автоматизированной системы класса защищённости 1Г, приведены возможные угрозы и уязвимости автоматизированной системы, представлены варианты комплексной системы защиты информации, обрабатываемой в информационной автоматизированной системе.
Ключевые слова: автоматизированная система, конфиденциальная информация, утечка информации, канал утечки информации, угрозы, уязвимости, система защиты информации.
В настоящее время информация имеет огромную ценность, что влечет за собой возрастание требований по обеспечению защиты информации.
Для обеспечения комплексной защиты информации организации (предприятия) необходим детальный анализ объекта информатизации, в качестве которого выступает выделенное помещение, автоматизированные системы, эксплуатируемые в нем, информационные ресурсы автоматизированных систем, персонал, осуществляющий текущие процессы в организации.
Утечка информации, в частности утечка конфиденциальной информации, может отразиться на деятельности предприятия самым неблагоприятным образом, так как последствия утечки информации могут проявляться как в потерях финансовых активов, так и в приостановке деятельности всей организации на неопределенный период.
В статье рассмотрена организация комплексной системы защиты автоматизированной системы (АС) промышленного предприятия, которая обрабатывает конфиденциальную информацию и в состав которой входят: центральный сервер промышленного предприятия (ЦСПП), 6 рабочих станций (РС), 4 удаленных РС, коммутатор, маршрутизатор.
ЦСПП имеет выход в сеть Интернет для поддержания возможности подключения удаленных РС по протоколу RDP. ЦСПП имеет статический IP-адрес. Второе сетевое подключение ЦСПП отвечает за организацию обмена данными по локальной вычислительной сети (далее ЛВС). ЦСПП не пробрасывает на это подключение выход в сеть Интернет, поэтому локальные РС отключены от внешней сети. ЦСПП имеет выход в сеть Интернет для поддержания возможности подключения удаленных РС по протоколу RDP. ЦСПП подключен к межсетевому экрану, который, в свою очередь, получает выход в Интернет через маршрутизатор, имеющий статический IP-адрес. Набор РС в пределах одного кабинета подключается к сетевому коммутатору кабинета, каждый из которых подключен к общему сетевому коммутатору, соединенным с ЦСПП. Предусмотрен класс защищенности АС - 1Г (многопользовательские автоматизированные системы с различным уровнем конфиденциальности информации).
В табл. 1 приведен перечень угроз рассматриваемой АС.
Для разработки системы защиты АС были проанализированы нарушители:
- недоверенные лица (лица, которые не имеют санкционированных прав для работы с АС);
- доверенные лица (вследствие нарушения организационных мер по защите информации или нарушения должностных инструкций как непредумышленно, так и в корыстных целях).
Структурная схема уязвимостей АС представлена на рис.2.
Ядро АС - ЦСПП, которой принадлежит типу «контроллер домена», что позволяет на уровне операционной системы (ОС) Windows Server 2008 решить ряд проблем по обеспечению безопасности, а именно:
журналирование событий (идентификация и результаты аутентификации пользователей, доступ к ресурсам, вывод документов на печать, попытки инсталляции внешних носителей); контроль использования доверенных внешних носителей;
настройка обмена информации между сотрудниками посредством электронной почты (ЭП) собственного домена внутри локальной вычислительной сети.
Таблица 1
Перечень угроз рассматриваемой АС_
Угрозы Способ устранения
Разглашение и/или хищение информации вследствие случайной потери / умышленного хищения носителя информации Запрет выноса внешних носителей за пределы контролируемой зоны (зоны ЛВС)
Разглашение и/или хищение информации вследствие копирования на не предназначенные для этого носители(умышленное/неумышленное) Запрет использования нештатных носителей информации
Блокирование данных вследствие неумышленного запуска/установки ПО, не связанного с исполнением служебных обязанностей (в т.ч. вредоносного ПО). Запрет запуска/установки программ
Несанкционированный доступ (НСД) вследствие загрузки альтернативной операционной системы с нештатного носителя Установка порядка загрузки в BIOS, защита BIOS от изменения паролем
На рис. 1 показана схема соответствия типа обрабатываемой в АС информации предположительной угрозе.
| 4-
Рис.1. Соответствие типа обрабатываемой в АС информации и предположительной угрозы
еациоянпсокнигг канал.-¡-щ^учт-л.иео-™ J -ОИМЧ^СЕКН НСД К Ср=£ГГ! 0&Q3&S7EK И
Рис.2. Структурная схемауязвимостей АС
387
Все указанные пункты реализуются при помощи компонентов службы каталогов Active Directory в составе ОС.
Для защищаемой АС выделены следующие барьеры безопасности: инженерно-техническая защита;
защита от утечки за счет побочных электромагнитных излучений и наводок (ПЭМИН); межсетевой экран; контроль доступа;
защита от несанкционированного доступа; антивирусная защита.
В соответствии с выделенными барьерами безопасности, построена схема направления атаки со стороны злоумышленников или схема преодоления злоумышленником барьеров безопасности (рис. 3).
Рис. 3. Барьеры безопасности и направления атаки со стороны злоумышленников
Для реализации системы защиты АС были предложены следующие мероприятия: 1. Усиление физических барьеров.
Предложено установить системы контроля управления доступом (СКУД). Сравнительная характеристика средств СКУД представлена в табл. 2.
Сравнительная характеристика СКУД
Таблица 2
Критерий Gate-Server-Terminal ЭНТ Контроль доступа
Интеграции с другими системами + -
Количество контролируемых мест (одним контроллером) 2 1
Количество контролируемых помещений системой Более 64 Более 64
Количество пользователей Неограничено Неограничено
Условия эксплуатации В закрытых отапливаемых помещениях Под навесом на улице в условиях умеренно-холодного климата
Также предложено установить металлодектор.
В табл. 3 приставлены характеристики актуальных металлодетекторов.
Таблица 3
Характеристики актуальных металлодетекторов
Параметр Профи 01/2 Блокпост PC Z1
Габариты контрольной кабины, мм 760х500х2020 750х280х2010
Ширина прохода, мм 760 750
Время выхода в рабочий режим после включения, сек 10 12
Чувствительность металла, от: (гр) 5 7
Вероятность обнаружения 0,98 0,97
Максимальная потребляемая мощность, Вт 30 30
Электропитание (В, Гц) 220, 50 220, 50
2. Защита от утечки информации по техническим каналам.
Наибольшую популярность сегодня имеет устройство защиты объектов информатизации от утечки информации за счет ПЭМИН «Соната-Р2».
Характеристики устройства «Соната-Р2» приведены в табл. 4.
Таблица 4
Сводная таблица характеристик устройство защиты объектов информатизации от утечки
за счет ПЭМИН «Соната-Р2»
Параметр Значение
Максимальные значения спектральной плотности электрической составляющей электромагнитного поля шума
(ЭМПШ) на расстоянии 1 метр от излучателя
От 0,5 до 2,5 МГц 59,5 дБ (мкВ/м/Гц)
От 2,5 до 30 МГц 69,7 дБ (мкВ/м/Гц)
От 30 до 200 МГц 74,1 дБ (мкВ/м/Гц)
От 200 до 800 МГц 74,3 дБ (мкВ/м/Гц)
От 800 до 1000 МГц 59,1 дБ (мкВ/м/Гц)
От 1000 до 1800 МГц 49,7 дБ (мкВ/м/Гц)
Минимальные значения спектральной плотности магнитной составляющей электромагнитного поля шума (ЭМПШ)
на расстоянии 1 метр от излучателя
От 0,1 до 0,15 МГц 46,2 дБ (мкВ/м/Гц)
От 0,15 до 5 МГц 45,0 дБ (мкВ/м/Гц)
От 5 до 15 МГц 40,2 дБ (мкВ/м/Гц)
От 15 до 30 МГц 35,8 дБ (мкВ/м/Гц)
Минимальные значения спектральной плотности напряжения шума, наводимого САЗ
От 0,1 до 0,15 МГц 30,3 (мкВ/м/Гц)
От 0,15 до 0,5 МГц 31,4 (мкВ/м/Гц)
От 0,5 до 30 МГц 31,4 (мкВ/м/Гц)
От 30 до 400 МГц 10,6 (мкВ/м/Гц)
Потребляемая мощность 10 Вт
Так же для исключения возможности утечки информации с помощью электронных устройств необходимо регулярно осуществлять проверку помещений и электронно-компонентной базы технических средств обработки конфиденциальной информации. Также необходимо провести специальное лабораторное исследование для выявления ПЭМИН в сетях электропитания, заземления, линиях коммуникаций.
Для проведения специальной проверки и специального исследования необходимо обратиться в организацию, имеющую лицензию ФСБ России и ФСТЭК РФ, разрешающая деятельность по технической защите конфиденциальной информации.
После проведения мероприятий проверяющая организация должна предоставить:
- заключение о проведённой специальной проверке, содержащие информацию об отсутствие электронных средств разведки в составе основных технических средств системы (ОТСС);
- протокол, содержащий результаты специальных лабораторных исследований по каналу
ПЭМИН;
- определение значения параметра зоны Я2, которая представляет собой опасную зону, в пределах которой возможен перехват средством разведки по каналу ПЭМИН (зона в пределах которой отношение информационный сигнал/помеха не превышает допустимого значения).
Кроме того, предложено установить межсетевые экраны (МЭ), при этом МЭ должен обеспечивать контролируемый обмен пакетами по протоколам 1Ру4 и 1Ру6 между защищаемыми РС сотрудников и ЦСПП, а также для подключение к домену клиент-банка, файлы из которого загружаются в программу «1С:Предприятие 8».
Для класса защищенности систем 1Г межсетевой экран должен быть не ниже класса 4. Анализ существующих на рынке решений показал, что среди сертифицированных средств фильтрации трафика можно выбрать следующие МЭ (табл.5).
Таблица 5
Сравнительные характеристики МЭ__
Критерий Cisco PIX-515E Cisco ASA-5520
Количество сетевых интерфейсов Fast Ethernet 2 1
Количество сетевых интерфейсов Gigabit Ethernet 0 4
Пропускная способность до 188 Мбит/с до 450 Мбит/с
3. Контроль и управление доступом
Для построения разграничительной системы доступа к ресурсам АС проанализированы пользователи АС (табл. 6).
Таблица 6
Сопоставление идентификатора ^ и должностных лиц _
№ п/п Идентификаторы субъектов АС Должность Группа пользователей РС
1. Admin Администратор Администратор Администратор. 1
2. Security Сотрудник охраны Охрана КПП.1
3. Operator1 Оператор Оператор Оператор.1
4. Operator2 Оператор Оператор Оператор.2
5. Operator3 Оператор Оператор Оператор.3
6. GManager Директор Директор Директор.1
7. HManager Бухгалтер Директор Директор.2
8. RemOperator1 Оператор Оператор Удаленный. 1
9. RemOperator2 Оператор Оператор Удаленный.2
10. RemGManager Директор Директор Удаленный.3
11. RemHManager Бухгалтер Директор Удаленный.4
В файловой системе располагается конфиденциальная информация, дублирующая или являющаяся результатом некоторых операций в программе «1С:Предприятие 8»: сформированные отчеты;
дубликаты персональных данных (паспортные, финансовые ведомости, медицинские данные сотрудников);
программно сформированные таблицы Excel информативного характера, содержащие статистические данные об объемах производства, продаж, движения товара как в количественном, так и в суммовом разрезах;
данные выгрузки с клиент-банков.
Поэтому доступ к выгруженным из программы «1С:Предприятие 8» данным должен быть ограничен в соответствии с ограничениями для каждой из ролей 1 С. Предложен дискреционный принцип, то есть предложено создать для каждой группы пользователей свой каталог в файловой системе сервера, в пределах которого сотрудники одного подразделения могут свободно обмениваться информацией друг с другом (табл. 7).
Таблица 7
Разграничение контроля доступа_
Наименование (тип) ресурса Права доступа групп пользователей АС
Оператор Охрана Директор Администратор
Средства ОС + - + +
Средства СЗИ от НСД, антивирусное средства, средства контроля целостности - - - +
Средства СКУД, видеонаблюдения - RE - +
Персональные данные: Паспортные данные + - + +
Персональные данные: Остальное - - + +
Коммерческая информация: Сведения об объемах закупок, ресурсов и производства + - + +
Коммерческая информация: Остальное - - + +
Служебная информация - - - +
В выше представленной таблице: Я - чтение, W - запись, Б - удаление, N - переименование, Е - исполнение, «+» - «-» - ничего из выше перечисленного.
Для каждой из ролей в программе «1С:Предприятие 8» для каждого объекта базы должен быть выставлен модификатор доступа, не конфликтующий с правами доступа к типу информации.
Для рассматриваемой АС процесс идентификации и аутентификации пользователя РС строится по принципу двухфакторной идентификации и аутентификации. Использование двухфакторной аутентификации исключает угрозу доступа к РС незарегистрированных пользователей и угрозу доступа к конфиденциальной информации путем подбора пароля.
Двухфакторная аутентификация - усовершенствованный вид парольной защиты, при которой пользователь авторизуется, предоставляя не менее двух средств аутентификации, одно из которых -токен, а второе - персональный PIN-код доступа к использованию токена.
Потеря токена не компрометирует его зашифрованное содержимое, так как необходимо знать PIN-код доступа одной из ролей.
Для рассматриваемой АС предложен электронный идентификатор Рутокен S (64 Кб), который представляет собой защищенное устройство, предназначенное для строгой аутентификации, безопасного хранения секретных данных, выполнения криптографических вычислений и работы с асимметричными ключами и цифровыми сертификатами.
Решение Рутокен S позволяет организовать двухфакторную аутентификацию как к самой удаленной РС, так и к учетной записи в домене при подключении по протоколу RDP.
4. Контроль целостности информации, обрабатываемой в АС
Предложена программное средство ФИКС (версия 2.0.2, разработчик - ЗАО «ЦБИ-сервис»), которое является программным средством контроля эффективности применения СЗИ - по 2 уровню не декларированных возможностей (НДВ).
Программное средство ФИКС было внесено в реестр ФСТЭК 15 января 2008 года (сертификат №1548; срок действия продлен до 15 января 2020 года).
Так же с целью журналирования событий предложено программное средство Active Directory в составе ОС Windows Server 2008, позволяющее вести следующие стандартные журналы событий: журнал входов в АС; журнал доступа к ресурсам АС; журнал запуска процессов в АС; журнал управления политиками безопасности; журнал управления учетными записями;
журнал выдачи документов на твердые копии (журнал печати).
Кроме того, Active Directory позволяет ограничить применение внешних носителей, то есть выполняет функции:
обновляет базу внешних носителей информации; осуществляет запрет установки новых внешних носителей; ведет журнала контроля подключаемых устройств.
5. Антивирусная защита
Сегодня к достаточно эффективным средствам антивирусной защиты относятся программные средства: Dr.Web, Kaspersky, ESET NOD32.
Сравнение характеристик указанных антивирусных средств представлено в табл. 8.
Таблица 8
Сравнительные характеристик антивирусных средств _
Параметр Dr.Web Kaspersky ESET NOD32
Проактивная защита + + +
Количество защищаемых устройств по лицензии, шт 5 10 26
Срок лицензии, месяцев 12 12 12
Сертификат ФСТЭК РФ №3509 до 27.01.2024 №3155 до 06.05.2020 №3243 до 13.10.2020
Цена, рубл. 7250 19 210 79 401
5. Организационная защита. Предлагается установить дополнительную РС для сотрудников охраны на контрольно-пропускном пункте (КПП) с целью контроля попыток доступа в офисное здание предприятия, в кабинеты обработки информации, а также для наблюдения за контролируемой зоной. Так же в пределах контролируемой зоны должны быть установлен камеры слежения.
Также для усиления организационных мер по защите информационной безопасности необходимо установить взломостойкий сейф для хранения документов, содержащих конфиденциальную информацию. Характеристики сейфов представлены в табл. 9.
Характеристики взломостойких сейфов
Таблица 9
Параметр Карат ASK-67T EL Контур ПК-10т
Замок Электронный, 6-8 знаков Сейфовый механический
Толщина металла двери 10 мм 10 мм
Толщина стенок корпуса 24 мм 32 мм
Система запирания Ригельная трехсторонняя Ригельная двусторонняя
Внешние размеры 670*440*380 мм. 645*450*395 мм
Объем 56 л 47
Не следует так же забывать про необходимость ведения календарно-планового руководства и оперативно-диспетчерского управления по обслуживанию АС, куда входят процессы ремонта технических средств, ликвидация сбоев в работе ПО, планирование и подготовка работ по обновлению компонентов АС и прочее.
Таким образом, выполнены требования, предъявляемые к АС класса защищенности 1Г (табл.
Таблица 10
Выполнение требований к АС класса защищенности 1Г_
№ Наименование подсистемы Выполнения требований в рамках подсистемы (предложенные мероприятия)
1 Наличие подсистемы управления доступом Рутокен S обеспечивает идентификацию и аутентификацию пользователей на этапе входа в ОС Active Directory позволяет контролировать доступ к файловой системе, реестру и устройствам
2 Подсистема регистрации и учета В процессе работы компьютеров и пользователей домена все события регистрируются в журналах контроллера домена. Аудит этих журналов позволяет получить информацию обо всех процессах в АС
3 Подсистема обеспечения целостности ПО ФИКС позволяет контролировать целостность программно-аппаратной среды компьютера
Криптографическая защита (четвертая подсистема) для класса защищенности АС 1Г не требует-
ся.
На рис. 4 приведена структурная схема, отображающее соответствие средств защиты информации и барьеров безопасности.
11. Система I видеонаблтодения '«Линия»; |2. Арочный
1металлодетекгор «Профи ¡01/2»;
¡3. СКУД «Gate»;
14. Электронная проходная '«Oxygard Praktika Т-01» В (Составе СКУД «Gate»;
15. Сейф «Карат ASK-67T ¡EL».
I
Инженерно-техническая защита
Защита от утечек за счет ПЭМИН * -И
Межсетевой экран
Контроль доступа
Зашита от НСД
<-
Антивирусная защита
Сервер
Сеть Интернет
1.Проведение специальной I
Iпроверки и специального |__j_ i__j
| исследования,
,2. Установи «Сопата Р2» ' i
Инженерно-техническая защита
Защита от утечек за счет ПЭМИН <-
Контроль доступа
Защита от НСД
Анти вирусная защита <-
Локальные PC
Контроль доступа
Защита от НСД
Антивирусная защита
Удаленные PC
Cisco PIX-515E
I. ПО «Рутокен S» J
h. Ключ «Рутокен 64КБ RF F,M» |
^Служба каталогов «Active Directory» f- -
I., Антивирусное ПО |_ _
~ «Dr. Web Enterprise Security Suite» .
Рис.4. Соответствие средств защиты информации и барьеров безопасности
На рис. 5 показана схема установки технических средств защиты.
Условные обозначения:
Контролируемая зона Системны ii [ ¡| блок, монитор, клавиатура,
§мышь
Сервер
<£$ Принтер
шш
ИБП
Сетевой фильтр Коммутатор Маршрутизатор Эяекгронная проходная Qd—c[J Металяодетектор СКУД в
помещение
В
of
t^sn 1 Серверная
F If И— 2-
S 1— Si
□
PC
ITTI
[gl Прочие
компле кгу ющие
Соната Р2
IP-камера
Взломостойкий сейф
Рис.5. Схема установки технических средств защиты
вэ
Г~| [сОДО!
iqdgioqqoQ
На основе вышеизложенного описания функционирования автоматизированной системы класса защищённости 1Г, были выявлены возможные угрозы и уязвимости характерные автоматизированной системе, были разработаны варианты комплексной системы защиты информации.
Список литературы
1. Баранова Е.М. Анализ современных систем защиты WEB-сервисов // Известия Тульского государственного университета. Технические науки, 2018. Вып. 10. 2018. С. 93-100.
4. Баранова Е.М., Баранов А.Н., Евтехов Д.И. Программное управление модулем производственной линии с применением языка релейно-контактной логики // Известия Тульского государственного университета. Технические науки, 2018. Вып. 10. С. 74-83.
3. Салищев Д.Н., Баранов А.Н., Баранова Е.М. Сравнительная оценка систем защиты информационных ресурсов промышленного предприятия // XIV Всероссийская научно-практическая конференция «Математические методы и информационно-технические средства». Краснодар, Краснодарский университет МВД России, 2018. С. 244-250.
4. Салищев Д.Н., Баранова Е.М. Доктрина информационной безопасности. Что изменилось за 16 лет?// Проблемы фундаментальной и прикладной информатики в управлении, автоматизации и ме-хатронике Сборник научных трудов Международной научно-технической конференции. Ответственный редактор А.А. Горохов. 2017. С. 124-127.
Баранов Андрей Николаевич канд. техн. наук, доцент, an111111 @mail.ru, Россия, Тула, Тульский государственный университет,
Баранова Елизавета Михайловна, канд. техн. наук, доцент, elisafine@yandex.ru, Россия, Тула, Тульский государственный университет,
Борзенкова Светлана Юрьевна, канд. техн. наук, доцент, tehnol@rambler. ru, Россия, Тула, Тульский государственный университет
PROTECTION SYSTEM A UTOMA TED SYSTEM DISTRIB UTED INFORMATION PROCESSING E.M. Baranova, A.N. Baranov, S. U. Borzenkova
The description offunctioning of the automated system of security class 1G is given, possible threats and vulnerabilities of the automated system are given, variants of the complex system of protection of the information processed in the information automated system are presented.
Key words: automated system, confidential information, information leakage, information leakage channel, threats, vulnerabilities, information protection
Baranov Andrei Nikolaevich, candidate of technical science, docent, an111111 @mail. ru, Russia, Tula, Tula state university.
Baranova Elizabeth Mikhaelovna, candidate of technical science, docent, an111111 @mail. ru, Russia, Tula, Tula state university.
Borzenkova Svetlana Urievna, candidate of technical sciences, docent, tehnol@rambler. ru, Russia, Tula, Tula State University
