Управляющий партнер Консалтинговое агентство «Емельянников, Попова и партнеры» М.Ю.Емельянников Управляющий партнер Консалтинговое агентство «Емельянников, Попова и партнеры» Москва, 7 февраля 2012 г. М.Ю.Емельянников Обеспечение безопасности информационных систем государственных органов в виртуальной облачной среде

2 Выбор между доверенной средой и безопасностью: возможен ли компромисс

3 Доверенная среда ОбъектТребования Компьютер, серверВ защищенном исполнении Операционная системаСертифицированный Linux российской сборки ПриложенияПредназначенные исключительно для обработки сведений ограниченного доступа Программная средаЗамкнутая ИнфраструктураЖестко детерминирована Обновления аппаратной и программной платформы Только в рамках аттестата соответствия Подключения к информационно- телекоммуникационным сетям международного информационного обмена Отсутствуют Объект информатизацииАттестован по 1Г минимально Контролируемая зонаПозволяет снизить информативный сигнал на границе до приемлемого значения (получение невозможно) Расположение объектаНа охраняемой территории

4 Суровая реальность жизни ОбъектРеальное положение Компьютер, серверСовременный, не российской сборки, отвечающий требованиям по производительности Операционная системаНе сертифицированная, отвечающая требованиям платформы и приложений ПриложенияОфисный комплект + не специализированные +не лицензионные Программная средаНезамкнутая ИнфраструктураВиртуализованная, с использованием облачных сервисов Обновления аппаратной и программной платформы По мере технической необходимости и выхода у вендоров Подключения к информационно- телекоммуникационным сетям международного информационного обмена Есть, в том числе – для межведомственного обмена и предоставления госуслуг Объект информатизацииНе аттестован или аттестован формально Контролируемая зонаНикто не задумывался Расположение объектаИногда – в облаке

5 Направления развития Модели поведения Владелец ИСВендор СЗИ Отказаться от применения современных технологий, для которых нет сертифицированных средств защиты информации Ждать выхода руководящих документов. Начинать разработку после их появления Оценивать угрозы. Применять не сертифицированные СЗИ, нейтрализующие актуальные для новых технологий Исходя из сформулированных НПА и регуляторами требований, разрабатывать СЗИ для нейтрализации угроз, возникающих при использовании современных технологий, формировать ТУ, согласовывать с регуляторами Игнорировать требования госрегуляторов, применять самые новые технологии, безопасность – не главное

6 Основные тенденции развития информационных технологий Виртуализация Облачные вычисления и облачные сервисы XaaS Терминальный доступ Управление электронными правами

7 Новые технологии и требования государственных регуляторов при межведомственном взаимодействии, доступе в ИКТС, защите ИС госорганов и персональных данных

8 Доступ к ИТКС Постановление Правительства РФ от «Об особенностях подключения федеральных государственных информационных систем к информационно- телекоммуникационным сетям» Операторы федеральных ГИС, созданных или используемых в целях реализации полномочий ФОИВ, при подключении ИСОП к информационно-телекоммуникационным сетям, доступ к которым не ограничен определенным кругом лиц, обязаны обеспечить: защиту информации, содержащейся в ИСОП, от уничтожения, изменения и блокирования доступа к ней; использование при подключении ИСОП к информационно- телекоммуникационным сетям СЗИ, прошедших оценку соответствия (в том числе в установленных случаях сертификацию), в порядке, установленном законодательством РФ.

9 Требования к безопасности информации в ИСОП Приказ ФСБ России и ФСТЭК от /489 «Об утверждении Требований о защите информации, содержащейся в ИСОП» ИСОП должны обеспечивать: целостность информации доступность информации защиту от неправомерных действий При создании и эксплуатации ИСОП должны выполняться следующие требования по защите информации: использование сертифицированных СЗИ от неправомерных действий, в том числе СКЗИ (ЭЦП, при этом средства ЭЦП должны применяться к публикуемому информационному наполнению) использование сертифицированных средств обнаружения вредоносного программного обеспечения, в том числе антивирусных средств использование сертифицированных средств контроля доступа к информации, в том числе средств обнаружения компьютерных атак использование сертифицированных средств фильтрации и блокирования сетевого трафика, в том числе средств МЭ

10 Требования к безопасности межведомственного взаимодействия Приказ Минкомсвязи России от «Об утверждении Технических требований к взаимодействию информационных систем в единой системе межведомственного электронного взаимодействия» 67. Все каналы связи системы взаимодействия, выходящие за пределы контролируемых зон участников взаимодействия, должны быть защищены с помощью сертифицированных средств криптографической защиты информации, удовлетворяющих установленным требованиям к средствам криптографической защиты информации класса не ниже КСЗ и находящихся в пределах контролируемых зон участников взаимодействия. 68. Доступ к электронным сервисам информационных систем участников взаимодействия должен осуществляться с использованием сертифицированных средств межсетевого экранирования.

11 Требования к безопасности персональных данных в ИСПДн Федеральный закон от ФЗ «О персональных данных» Статья 19. Меры по обеспечению безопасности персональных данных при их обработке 2. Обеспечение безопасности персональных данных достигается, в частности: применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации; обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;

12 Поиск способов нейтрализации угроз для новых технологий и сертификация средств защиты от них как путь преодоления проблем и противоречий

Атака на гипервизор из физической сети Атака на гипервизор с ВМ Атака на средства администрирования ВИ Атака на ВМ с другой ВМ внутри хоста Атака на диск ВМ Атака на сеть репликации ВМ Неконтролируемый рост числа ВМ Виртуальная среда: проблемы, не решаемые традиционными СЗИ

Пути решения проблем безопасности в виртуальной среде Защита информации от утечек через специфические каналы среды виртуализации: Контроль виртуальных устройств Контроль целостности и доверенная загрузка ВМ Контроль доступа к элементам инфраструктуры Запрет доступа администратора ВИ к данным ВМ Управление доступом: Разделение ролей для исключения «суперпользователя» Усиленная аутентификация администраторов Делегирование административных полномочий Мандатное управление доступом Контроль изменений

Решение: vGate R2 и vGate-S R2

16 Сервер авторизации Модули защиты ESX- серверов Агент аутентификации администратора ВИ Консоль управления администратора ИБ Архитектура VGate R2

Мандатное управление: система неиерархических меток безопасности

18 Как это работает

Отчеты Изменение конфигурации политик безопасности Использование учётных записей VMware Мониторинг учётных записей vGate Проблемы с доверенной загрузкой ВМ Настройка правил сетевой безопасности Настройки доступа к защищаемым объектам Соответствие стандартам безопасности Мониторинг событий Регистрация попыток доступа к инфраструктуре Интеграция с SIEM-системами Мониторинг событий Структурированные отчеты

Фильтрация и блокирование сетевого трафика Решаемые проблемы: Предотвращение несанкционированного доступа изнутри и снаружи сети Защита сетевых соединений Сегментация и изоляция защищаемых подсетей, серверов, других элементов сети

Фильтрация и блокирование сетевого трафика СТР-К (Приказ ГТК от г. 282) Если объединяются АС различных классов защищенности, то интегрированная АС должна классифицироваться по высшему классу защищенности входящих в нее АС. Исключением является случай их объединения посредством МЭ, когда каждая объединяющаяся АС может сохранять свой класс защищенности.

Решение: TrustAccess и TrustAccess-S Распределенный межсетевой экран высокого класса защиты с централизованным управлением, предназначенный для защиты серверов и рабочих станций локальной сети от несанкционированного доступа, разграничения сетевого доступа к информационным системам предприятия.

Архитектура TrustAccess

Возможности TrustAccess Аутентификация сетевых соединений Фильтрация сетевых соединений Защита сетевых соединений Регистрация событий, связанных с информационной безопасностью Контроль целостности и защита от НСД компонентов СЗИ Централизованное управление

Сценарии использования TrustAccess Защита клиент-серверных и многозвенных ИС Снижение класса ИС Разграничение доступа к файл-серверу на уровне общих папок Разграничение доступа пользователей к серверам Защита терминальных соединений Защита виртуальных машин

Защита каналов связи в частном облаке

27 Безопасность мобильного доступа в защищаемую среду: российские технологии и алгоритмы в зарубежных решениях

Мобильный доступ и BYOD

29 Защищенный Планшет «Континент Т-10» (ОS Android) обладает интегрированными средствами безопасности. Функции: защита трафика защита локальной информации (шифрование файлов) удаленное администрирование (управление настройками безопасности) Планы и сроки Технический релиз: II квартал 2012 г Сертифицированная версия: IV квартал 2012 г Защищенный планшет «Континент Т-10» от компании «Код безопасности»

30 Защита информации при использовании мобильных устройств

Сертифицированная защита при использовании мобильных устройств Континент АП – сертифицированный программный клиент, работающий на мобильных устройствах под Android и IOS и позволяющий защищать каналы связи при использовании мобильных устройств. После установки на устройство обеспечивает криптозащиту всего трафика устройства. Планы и сроки Технический релиз: II квартал 2012 г Сертифицированная версия: IV квартал 2012 г

32 Управляющий партнер Консалтинговое агентство «Емельянников, Попова и партнеры» Москва, 7 февраля 2012 г. М.Ю.Емельянников Компания «Код Безопасности» +7 (495) СПАСИБО ЗА ВНИМАНИЕ! ВОПРОСЫ?