КСЗИ «Панцирь-К

Общие сведения
о КСЗИ «Панцирь-К»
КСЗИ «Панцирь-К»
инновационная
система
ЗАЩИТЫ
LOGO
конфиденциальной
информации и
персональных данных
Что такое КСЗИ «Панцирь-К»?
КСЗИ «Панцирь-К» - это комплексная
система защиты информации.
Реализована программно,
имеет как автономное, так и
сетевое решение.
Обеспечивает эффективную
защиту от большинства
современных угроз.
Как СЗИ НСД
сертифицирована ФСТЭК
России
Функционирует под управлением
ОС Windows
2000/XP/2003/Vista/2008
Возможности применения
сертифицированной СЗИ НСД
1
КСЗИ «Панцирь-К»
имеет сертификат
ФСТЭК России на
соответствие 5
классу СВТ и 4
уровню контроля
НДВ
2
3
Выполняет все
требования к
классу
защищенности 1Г
для АС
Выполняет все
требования по
защите от НСД
для ИСПДн
класса К1
(В соответствии с
приказом ФСТЭК
России №58 от
05.02.2010г)
Назначение КСЗИ «Панцирь-К».
Решаемые задачи защиты
КСЗИ «Панцирь-К» предназначена для решения в комплексе наиболее
актуальных задач защиты конфиденциальной информации,
персональных данных и системных ресурсов, неминуемо отражаемых в
модели угроз:
1. Защита от внешних угроз - обеспечивается эффективное
противодействие атакам со стороны хакеров
2. Защита от внутренних угроз - обеспечивается эффективное
противодействие
атакам
со
стороны
инсайдеров
(санкционированных пользователей)
3. Защита от вирусных атак, вредоносных, шпионских и любых иных
деструктивных программ.
4. Защита от атак на ошибки программирования в системном и
прикладном ПО (эксплойты)
5. Защита как от известных, так и потенциально возможных атак на
защищаемые системные ресурсы, обеспечивает устранение
архитектурных недостатков защиты современных ОС семейства
Windows
КСЗИ «Панцирь-К» инновации
Запатентованные технические решения
В КСЗИ «Панцирь-К» реализовано 11 патентов на изобретения ЗАО «НПП «ИТБ»:











№2166792. Система защиты рабочих станций, информационных и функциональных
серверов вычислительных систем и сетей с динамическими списками санкционированных
событий.
№2169941. Система защиты рабочих станций, информационных и функциональных
серверов вычислительных систем и сетей.
№2169942. Распределенная система защиты вычислительных систем и сетей.
№2174254. Система оптимизации структуры ядра открытых операционных систем по
требованиям информационной безопасности.
№2180135. Система обеспечения целостности обработки информации вычислительных
систем.
№2185657. Система защиты и контроля целостности резидентной программы.
№2202122. Система контроля доступа к запускаемым процессам (программам).
№2207618. Система контроля доступа к информационным ресурсам.
№2207619. Система разграничения доступа к ресурсам.
№2234122. Система мониторинга запущенных процессов.
№2234123. Система разграничения прав доступа к файловым объектам.
Запатентована реализация всех ключевых механизмов защиты из состава КСЗИ
«Панцирь-К»
Принципиальные отличия от иных
СЗИ НСД
КСЗИ «Панцирь-К» - это инновационная система защиты, созданная на основании
глубокого анализа современных угроз безопасности. В результате этого
реализованы, как принципиально новые свойства широко применяемых на
практике механизмов защиты, так и принципиально новые механизмы защиты.
Примеры инновационных решений:
1.
Практически во всех механизмах, реализующих разграничения доступа к ресурсам (к
файловым объектам, к объектам реестра ОС, к сетевым ресурсам и др.) реализована
возможность устанавливать собственные разграничения, как для пользователей, так и
для процессов (системных и прикладных), а также совместные разграничения для пары
«пользователь-процесс». В ОС Windows любой процесс, запускаемый пользователем,
наследует права доступа этого пользователя к ресурсам. В то же время, на практике,
именно процесс несет в себе большинство современных угроз, как следствие, его права
доступа должны быть ограничены именно назначением применения, а не учетной
записью пользователя, под которой осуществлен вход в систему.
2.
Реализован механизм контроля сервисов олицетворения, позволяющий
противодействовать повышению привилегий пользователя при доступе к ресурсам. ОС
Windows представляет сервисы олицетворения – возможность запросить у системы и
получить права другого пользователя при доступе к ресурсам, что широко используется
на практике для обхода разграничительной политики доступа к ресурсам.
3.
И многое, многое другое, без чего в современных условиях невозможна реализация
эффективной защиты информации.
Принципиальные отличия в
реализации интерфейсов
- Права доступа назначаются пользователям (не устанавливаются в качестве атрибутов
для объектов);
- Права доступа назначаются администратором (исключается сущность «Владения»
объектом);
- Реализована разрешительная разграничительная политика доступа к ресурсам
(запретительная может быть реализована опционально);
- Реализована возможность использования масок (маска - это регулярное выражение,
содержащее метасимволы «*», «?» и т.п., покрывающие несколько имен ресурсов сразу);
- Минимизирована номенклатура настраиваемых прав доступа (чтение, запись,
исполнение), остальные права устанавливаются КСЗИ автоматически.
Механизмы формирования
объекта защиты
Задача формирования объекта защиты.
Решение
Формирование
объекта
защиты
является
ключевой
и
первостепенной задачей – пока объект защиты не сформирован,
не определены его аппаратные и программные возможности,
любые
разговоры
об
его
безопасности
становятся
бессмысленными!
-
В КСЗИ для формирования объекта защиты применяются два механизма:
Механизм управления монтированием к системе устройств (в том числе, с
учетом их серийных номеров);
Механизм обеспечения замкнутости программной среды.
Управление монтированием к системе
устройств
Реализована разрешительная политика (запретительная может использоваться опционально) –
разрешается монтирование к системе только определенных устройств с учетом их серийных
номеров, любое иное устройство подключить нельзя.
Без реализации данного механизма в том числе невозможно корректное выполнение
следующего требования ФСТЭК: «должен проводиться учет всех защищаемых носителей
информации с помощью их маркировки и с занесением учетных данных в журнал (учетную
карточку)».
Обеспечение замкнутости
программной среды
Замкнутость программной среды реализуется не заданием списков разрешенных к запуску
приложений и системных процессов с предотвращением возможности их модификации, а
заданием папок, из которых пользователем разрешен запуск исполняемых файлов, в которые
администратор
штатными
средствами
инсталлирует
необходимые
приложения,
с
предотвращением возможности модификации пользователями этих папок.
Идентификация и
аутентификация в КСЗИ
«Панцирь-К»
Возможности механизмов защиты
Аутентификация
пользователей
при входе в систему, в т.ч.
администратора в безопасном
режиме, при доступе к файловым
объектам, в т.ч. при запуске
критичных приложений.
Возможность использования
широкой номенклатуры
аппаратных решений для
аутентификации пользователей
(в том числе для двухфакторной
аутентификации):
•Aladdin eToken USB
•Aladdin eToken смарт-карта
•И др. …
Обеспечение совместимости с
электронными ключами
Нивелирование актуальных
угроз – парадигма защиты
персональных данных.
Возможности и механизмы
защиты от наиболее
актуальных угроз
современности
Угроза вредоносного ПО – главная
угроза современности
Временной
период
1987 – 2006
Кол-во
обнаружений
250 000
Кол-во добавленных
сигнатур
250 000
2007
2008
500 000
1 500 000
250 000
1 000 000
Независимые
тесты
компонентов
эвристического анализа показывают,
что
уровень
обнаружения
новых
вредоносных программ составляет не
более чем 40-50 % от их числа (по
некоторой статистике значение этого
параметра не превышает 19%), что не
позволяет нивелировать данную угрозу с
использованием
современных
антивирусных решений
Защита от вредоносного ПО
Главную угрозу современности – внедрение и запуск вредоносного ПО,
достаточно просто предотвратить реализацией разграничительной
политики доступа к ресурсам, но для решения этой задачи защиты
должны использоваться специализированные средства, такие как КСЗИ
«Панцирь-К», т.к. требуется кардинальное изменение возможностей и
интерфейса механизма разграничения прав доступа к файловым
объектам, по сравнению с реализацией данного механизма защиты в
современных универсальных ОС и иных СЗИ НСД. На рисунке представлены
настройки КСЗИ, при которых внедрение и запуск вредоносных программ
Защита от самозапускающегося
вредоносного ПО
«Исследователи McAfee установили, что за 30 дней самозапускающееся
вредоносное ПО заразило более 27 млн. файлов. Данное ПО использует
особенности Windows, позволяющие запускать приложения автоматически, не
требуя от пользователя даже клика мышкой для активации программы. Оно
наиболее часто распространяется через Usb - flash drive и другие устройства для
внешнего хранения информации. Количество обнаружений данного ПО превзошло
даже показатели печально известного червя Conficker на 400%, что делает его
угрозой №1 во всем мире». Предотвращение данной угрозы не вызывает сложности с
использованием КСЗИ «Панцирь-К»
Сетевые атаки. Основные источники и
цели
Всего исправлено 57.58% уязвимостей,
исправления отсутствуют для 39.91%
уязвимостей.
Подавляющее число сетевых атак
сводится к хищению, либо к
модификации/удалению
конфиденциальной информации,
обрабатываемой на компьютере
Защита от сетевых атак
К защищаемым
данным на
компьютере
разрешен доступ
только офисным
приложениям, иным
процессам (включая
системные), службам
и приложениям
доступ к
защищаемым
данным запрещен
Разграничения для критичных
процессов
Приложению Internet
Explorer разрешен
доступ только к
определенному
хосту
Приложению
Internet Explorer
не разрешена
возможность
модификации
файлов на
защищаемом
компьютере,
запрещено
выполнять какиелибо программы
Статистика уязвимостей ОС и
приложений
Как в ОС, так и в приложениях доминируют следующие уязвимости: отказ в обслуживании,
компрометация системы и повышение привилегий.
Защита от атак на уязвимости ОС и
приложений
Защита от атак на
компрометации системы
уязвимости
отказа
в
обслуживании
и
Запуск
только
санкционированных программ,
включая
приложения
и
системные процессы – только
программ из папок Windows и
Program Files (никакие иные
программы не могут быть
запущены). Это и защита от
атак
на
уязвимости
компрометации
системы
и
одновременно
предотвращение
любой
возможности
модификации
исполняемых
файлов
и
файлов настроек системы и
приложений – запрет записи в
папки Windows и Program Files
- защита от атак на уязвимости
отказов обслуживании.
Защита от атак на повышение привилегий
При таких простейших настройках пользователю, несанкционированно повысив свои
права до системных, будет не получить доступ к тем ресурсам, к которым разрешен
доступ пользователю System и не разрешен доступ любому иному пользователю,
совершившему несанкционированное олицетворение.
Используя данный механизм защиты из состава КСЗИ, можно усилить и механизм
идентификации и аутентификации пользователя при входе в систему.
Внутренние угрозы. Портрет инсайдера
Существующие методы защиты от
инсайдерских атак
Для защиты от инсайдерских атак сегодня широко применяются, так называемые, системы
предотвращения утечек или DLP-системы. DLP (англ. Data Leak Prevention) -системы
строятся на контентном анализе потоков данных, пересекающих периметр защищаемой
информационной системы.
По оценкам компании Gartner (Hype Cycle of Information Security), эффективность
механизмов контентной фильтрации не превышает 80%, а это автоматически означает не
менее 20% пропущенных конфиденциальных файлов.
Реакция
потребителя
факт утечки данных
компании:
на
из
Подход к защите, реализованный в
КСЗИ «Панцирь-К»
Основная идея построения защиты – конфиденциальная и открытая информация
должны обрабатываться в различных режимах, в том числе, с использованием
различных устройств и сетевых ресурсов. Эти режимы должны быть полностью
изолированными. В этом случае предотвращается сама возможность утечки
конфиденциальной информации, не актуальная, как таковая, становится и задача
контроля информации, покидающей защищаемый периметр.
В КСЗИ реализовано ролевое разграничение прав доступа, состоящее в следующем:
1.
Для каждого сотрудника, работающего на компьютере, создается число учетных
записей (для входа в систему для них создается один пароль), по числу ролей,
каждая роль предполагает выполнение определенных обязанностей с
соответствующими ограничениями (например, обработка конфиденциальных
документов определенными приложениями, работа в сети интернет и т.д.).
2.
Для каждой роли (каждой учетной записи) устанавливаются соответствующие
разграничения прав доступа к файловым объектам, внешним накопителям,
сетевым ресурсам, принтерам и т.д., с учетом политики организации по обработке
защищаемой информации. При невозможности разделения объектов – это касается
принтеров, для печати конфиденциальной и открытой информации, может быть
использован механизм контроля печати (теневого копирования) из состава КСЗИ.
3.
Полностью изолируется обработка информации в различных режимах (для
различных ролей сотрудника), для чего используются следующие механизмы
защиты из состава КСЗИ: сведение обработки к однопользовательской, контроль
сервисов олицетворения, разделение буфера обмена и т.д.
Основные механизмы защиты
Механизмы разграничения доступа к
ресурсам
Разграничения доступа, реализованные
в КСЗИ «Панцирь-К»:
Разграничение доступа к файловой системе
Разграничение доступа к реестру системы
Разграничение доступа к сети
Разграничение доступа к принтерам
Управление подключением устройств
Управление переназначением путей к
каталогам
Управление олицетворением
Управление доступом к буферу обмена
Управление доступом к сетевым службам
Удаленное
администрирование
Решаемые задачи
Серверная часть КСЗИ «Панцирь-К» предназначена для решения
следующих основных задач:
Удаленное администрирование механизмов защиты клиентских частей КСЗИ;
Создание и хранение центральной базы данных настроек клиентских частей КСЗИ, и их
синхронизации с локальными базами данных настроек, хранящихся на клиентских частях
КСЗИ;
 Удаленное управление КСЗИ и защищаемым объектом,
 Удаленный контроль:
- Функционирования защищаемого объекта,
- Активности клиентских частей КСЗИ,
- Действий пользователей на защищаемых объектах;
 Справочная подсистема (база данных):
По защищаемым объектам (рабочим станциям и серверам в сети);
По субъектам (пользователям защищаемой информации),
 Удаленный сбор и обработка журналов аудита:
- По запросу администратора безопасности,
- В реальном масштабе времени.


Справочная подсистема по
защищаемым объектам
Справочная подсистема по субъектам
Настройка и тиражирование
Контроль активности защищаемых
объектов
Состояния контролируемых объектов:
1) станция выключена (по питанию) или не подключена к сети;
2) станция подключена к сети, но при соединении аутентификация не прошла;
3) станция подключена к сети, но КСЗИ на ней не активна (опасный режим);
4) станция подключена к сети и на ней активна КСЗИ.
Отображения - станция в состоянии (1) обозначается серым, в состоянии (2) –
красно-желтым, в состоянии (3) – красным, и в состоянии (4) – голубым цветом.
Данная возможность может применяться совместно с организационными мерами
защиты от загрузки с внешних накопителей, несанкционированное удаление
КСЗИ (красный цвет при входе в сеть).
Контроль действий пользователей
Статистика работы пользователя с приложениями за контролируемый
промежуток времени
Просмотр снимков экрана в реальном времени (с заданным интервалом) при работе
пользователя с конкретными приложениями
Варианты комплексного
решения по защите Пдн в
ИСПДн
Один из возможных апробированных
вариантов комплексного решения
Награды
Награды и дипломы