Презентация ЭФРОС Config Inspector

Линейка программных продуктов
«ЭФРОС»
Департамент разработки и испытаний
ООО “Газинформсервис”
Проблема
Обеспечение целостности и контроль
конфигураций сетевого оборудования
Большинство ошибок и отказов сетевого оборудования связано с
изменениями или ошибками настройки конфигураций
Изменения не авторизованы и не учтены
Отсутствие резервных копий конфигураций на случай
восстановления
Выполнение требования РД ФСТЭК по контролю целостности
программной и информационной части МЭ
Требования
Обеспечение целостности и контроль
конфигураций сетевого оборудования
Управление конфигурациями
загрузка и обнаружение изменений
хранение истории версий
восстановление конфигураций
запуск проверок по расписанию и по событию
отправка оповещений об ошибках и изменениях
ЭФРОС Config Inspector
Требования и объекты контроля сетевых
устройств
Требования
• целостности программного обеспечения;
Объекты
Программное обеспечение версия
Программное обеспечение –
список файлов
• целостности конфигурационных файлов;
Рабочая и загрузочная
конфигурации
• целостности аппаратных средств;
Список аппаратных модулей
• состояния физических и виртуальных интерфейсов;
Физические и виртуальные
интерфейсы
• наличия запущенных сервисов;
• состояния программных портов (TCP/UDP);
• регистрационных журналов;
• целостности таблиц маршрутизации;
• целостности таблиц коммутации.
Запущенные процессы
Программные порты (TCP/UDP)
Буфер журнала сообщений
Таблица маршрутизации
MAC, ARP таблицы
ЭФРОС Config Inspector
Преимущества
Клиент-серверная архитектура
Защищенное хранилище конфигураций
Выполнение заданий по расписанию или по событию
Расширенные возможности контроля и обеспечения
целостности
Поддержка как безопасных так и небезопасных протоколов
ЭФРОС Config Inspector
Архитектура
ЭФРОС Config Inspector
Решаемые задачи
ЭФРОС Config Inspector
Решаемые задачи:
 Контроль и управление конфигурациями;
 Обнаружение изменений в реальном времени;
 Централизованное управление локальными пользователями;
 Расширенный контроль и обеспечение целостности;
 программное и аппаратное обеспечение;
 таблица маршрутизации, MAC и ARP таблицы, список процессов.
 Прием Syslog и SNMP-trap сообщений;
 Оповещение администраторов по почте и отправка уведомлений средствам
мониторинга.
ЭФРОС Config Inspector
Событийный механизм
ЭФРОС Config Inspector
Интерфейс
ЭФРОС Config Inspector
Совместимость с S-Terra
Совместимость продуктов – залог успешного сотрудничества
аудит изменений
Config Inspector
управление
С-Терра КП
CSP VPN Gate 100B/100/1000/3000/7000,
NME-RVPN (МСМ)
ЭФРОС Config Inspector
Возможности - поддержка NME RVPN
S-Terra NME RVPN
контроль рабочей конфигурации
контроль настроек (Cisco-like команды)
версия (show version);
список маршрутов (show ip route).
контроль настроек (команды NME RVPN)
список сертификатов (show key_mgr);
список ключей (show key_mgr);
конфигурация (show lsp_mgr);
список интерфейсов (show if_mgr);
лицензия (show lic_mgr);
настройки IPSec драйвера (show drv_mgr).
запуск регламентной проверки целостности
ЭФРОС Config Inspector
Возможности - поддержка Cisco IOS
Cisco 2911
контроль конфигураций
контроль настроек
версия (show version);
аппаратные модули (show inventory);
интерфейсы (show interface);
список маршрутов (show route).
контроль списков (обнаружение новых значений)
ARP (show arp);
MAC (show mac address-table dynamic);
процессов (show process).
мониторинг (отображение) списков:
открытых портов (show control-plane host open-ports);
журнала сообщений (show logging).
контроль целостности файлов
ЭФРОС Config Inspector
Возможности - поддержка РКСС
РКСС RSOS6850
контроль конфигураций
рабочая (show configuration snapshot);
working (more /flash/working/boot.cfg);
certified (more /flash/certified/boot.cfg);
проверка синхронизации рабочей и working конфигураций;
проверка синхронизации working и certified конфигураций.
контроль настроек
аппаратное обеспечение (show hardware info);
модули (show module);
модули шасси (show cmm);
источники питания (show power);
системная информация (show system);
пользователи (show user);
списки доступа (show ip access-list);
микропрограммы (show microcode loaded);
интерфейсы (show interfaces status);
маршруты (show ip route).
контроль списков (обнаружение новых значений)
ARP (show arp);
MAC (show mac address-table dynamic);
процессов (show process).
контроль целостности файлов
ЭФРОС Config Inspector
поддержка VMware
(в разработке )
Требования
• Поддержка гипервизоров ESXi
+ ESXi базируется на
закрытой от
легитимных изменений
Linux системе
новая модель управления в ESXi
ЭФРОС Config Inspector
поддержка VMware
(в разработке )
Требования
• Поддержка гипервизоров ESXi
• Поддержка режима Lockdown mode
Lockdown Mode –
режим в котором запрещены все подключения к ESXi,
кроме root пользователя локальной консоли.
при этом управление гипервизором выполняется
через vCenter.
ЭФРОС Config Inspector
поддержка VMware
(в разработке )
Требования
• Поддержка гипервизоров ESXi
• Поддержка режима Lockdown mode
• Использование API VMware (VI SDK)
• Контроль как настроек, так и файлов
• Сбор событий и контроль по событиям
• (например, по событию – загрузка виртуальной машины)
ЭФРОС Config Inspector
поддержка VMware
(в разработке )
контроль
SOAP(HTTPs)
vCenter
- настройки
- события безопасности
SOAP (HTTPs), SSH
гипервизоры(ESX и ESXi)
- настройки
- целостность
Config Inspector
виртуальные машины
- настройки
- целостность файлов(BIOS)
виртуальные сети
роли
хранилища
пулы ресурсов
ЭФРОС Config Inspector
Разработка – проверка Compliance
Проверка конфигураций на соответствие заданным
политикам(шаблонам настройки).
1. Проверка Compliance для сетевого оборудования
(по конфигурациям)
1-ый квартал 2013
2. Проверка Compliance для инфраструктуры VMware
2-3-ий квартал 2013
3. Добавление поддержки языка OVAL для сетевых устройств
открытый язык описания и оценки уязвимостей OVAL
планируется
ЭФРОС Config Inspector
Сертификаты
На программный комплекс ЭФРОС Config Inspector v.2.0 выданы следующие сертификаты:
 сертификат соответствия № 2360 от 26.05.2011 ФСТЭК России по 4 уровню контроля и
технических условий;
 сертификат соответствия № ГО00.RU.1313.Н00113 от 20.04.2011 г. ГАЗПРОМСЕРТ на
соответствие требованиям по безопасности, заданным в ТУ.
ИК «ЭФРОС-IOS»:
инструментальный
комплекс
контроля
и
разграничения
доступа к сетевому оборудованию.
Предназначен для осуществления контроля и разграничения
уровней доступа к командам маршрутизирующего оборудования
Cisco IOS.
ИК «ЭФРОС-PIX»:
инструментальный комплекс контроля и разграничения доступа к сетевому
оборудованию.
Предназначен для осуществления контроля и разграничения доступа к командам
маршрутизирующего оборудования Cisco PIX.
ЭФРОС Config Inspector
Сертификаты
На программные комплексы ЭФРОС IOS, ЭФРОС PIX и ЭФРОС Config Inspector выданы
следующие сертификаты:
 сертификат соответствия № 1123 от 15.05.2006 ФСТЭК России требованиям технических
условий ТУ 425790.005.72410666.04.;
 сертификат соответствия № 1124 от 15.05.2006 ФСТЭК России требованиям технических
условий ТУ 425790.006.72410666.04.;
Спасибо за внимание!
Вопросы?