16 октября, вторник 11:27
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

Технические мероприятия (наложенные средства)

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • Технические мероприятия (наложенные средства)

    Коллеги, подскажите технические решения (наложенные средства) по защите информации от несанкционированного копирования. Т.е. права на чтение на файл есть, а скопировать низя.
    P.S.
    АРМ без дисководов, USB и связи с внешним миром не предлагать.

  • #2
    а запомнить, напечатать, переписать или сфоткать с экрана можно?

    Комментарий


    • #3
      Нет. Речь идет о ключевой информации, о невозможности ее использования за пределами АРМ.

      Комментарий


      • #4
        тогда ей богу непонятно почему арм должен иметь связь с внешним миром...кстати что за связь? эп? в каком виде ключевая информация? дискетка? образ дискетки на диске? Токен? зачем нужны усб?

        Комментарий


        • #5
          Есть рабочее место пользователя с неким ПО (причем ПО общедоступно и может быть получен через инет). Для осуществления операций используется ЭЦП, не принципиально какое...результат файл на локальном диске. От несанкционированного использования защита на файл паролем (стандарт). Рассматривается риск выноса файла за пределы организации и использование его из вне. Например для осуществления перевода по системе клиент-банк или допустим Интернет-трейдинг и т.д.
          Понятно риск не велик (хотя как сказать) и мер отключения носителей, опечатывания блоков, лишение почты и т.д. вполне достаточно....просто задался вопросом, есть ли какие решения еще, например смарт-карта и считыватель и считать ее можно только на этом считывателе...

          Комментарий


          • #6
            Сообщение от dbsnmp1 Посмотреть сообщение
            Коллеги, подскажите технические решения (наложенные средства) по защите информации от несанкционированного копирования. Т.е. права на чтение на файл есть, а скопировать низя.
            P.S.
            АРМ без дисководов, USB и связи с внешним миром не предлагать.
            В той или иной мере задачу могут решить Панцирь, Perimetrix SafeUse, Cisco Security Agent, SecretNet (насчет последнего не уверен). В разных продуктах реализовано по-разному, но смысл один: для файла с определенной меткой создается определенная политика (набор запретов - запрет на запись в определенные каталоги и съемные носители, запрет на установление сетевых соединений, запрет на использование Clipboard и механизмов межпроцессного взаимодействия и т.п.) Соответственно, эта политика автоматически применяется к любому процессу, открывшему на чтение помеченый файл.

            Дальше все зависит от того, какой квалификацией вы "награждаете" своего нарушителя. Механизмов передачи данных между процессами слишком много, и я не уверен, что есть продукт. который закрывает их все.

            Комментарий


            • #7
              гм...буду рассматривать риск выноса ЭЦП, а не риск выноса файла подписаного ЭЦП (непонятно просто написано)...итак способы увода файла
              1. через инет...ну тут понятно все режем оставляем только доступ до сайтов и портов где ждут наш подписанный эцп файлик.
              2. доступ по локалке до машинки где установлен АРМ...настраиваем фаервол
              3. доступ к ЖД опечатываем системник
              4. доступ к портам...ПО типа DeviceLock а лучше вообще зарезать ибо не понял нафига оставлять...
              5. утечка с носителя...смотря какой носитель...принципиально ничего не мешает сделать образ дискетки и кинуть его на ЖД...смарт карта...есть собственно секретный ключ...доступ до него будет получен если известен ПИН...доверить ключ одному лицу, а ПИН другому... )) необычный ход
              6. не париться и подумать например о том, что гораздо проще внести изменения в честно отправляемый с вашего рабочего места файлик до того как его подпишут ЭЦП

              Комментарий


              • #8
                В той или иной мере задачу могут решить Панцирь, Perimetrix SafeUse, Cisco Security Agent, SecretNet (насчет последнего не уверен). - сенкс, посмотрим их функционал, чем может он нам помочь.
                Что касается нарушителя - квалификация средняя (грамотный пользователь, так сказать) при этом допущенный к использованию ЭЦП. Т.е. мы рассматриваем имеено инсайд, риск выноса ЭЦП лицом уполномоченным его использовать и использование за территорией...но уже не во благо работодателя

                Комментарий


                • #9
                  Сообщение от dbsnmp1 Посмотреть сообщение
                  В той или иной мере задачу могут решить Панцирь, Perimetrix SafeUse, Cisco Security Agent, SecretNet (насчет последнего не уверен). - сенкс, посмотрим их функционал, чем может он нам помочь.
                  Что касается нарушителя - квалификация средняя (грамотный пользователь, так сказать) при этом допущенный к использованию ЭЦП. Т.е. мы рассматриваем имеено инсайд, риск выноса ЭЦП лицом уполномоченным его использовать и использование за территорией...но уже не во благо работодателя
                  То есть я имею полное право хранить и использовать ключевой носитель (дискету) и надо отловить меня на выходе с этой дискетой?

                  Комментарий


                  • #10
                    Сообщение от ykov Посмотреть сообщение
                    То есть я имею полное право хранить и использовать ключевой носитель (дискету) и надо отловить меня на выходе с этой дискетой?
                    Да, кстати, если речь действительно об ограничении на вынос ключевого носителя, то я не знаю решения.

                    Комментарий


                    • #11
                      Да, кстати, если речь действительно об ограничении на вынос ключевого носителя, то я не знаю решения.
                      Не уверен, что правильно понял постановку вопроса, но свои пять копеек вставлю.
                      В ПО Device Control есть функционал шифования всех флешек, циркулирующих в организации. При этом содержимое флешки расшифровывается агентами Device Control прозрачно для пользователя. Но на компьютере, на котором не стоит агент, имеющий связь с центральным сервером (например дома или в другой организации), содержимое флешки не видно.
                      Сам проверял - флешка вообще отказывалась расозноваться как USB Disk.

                      Комментарий


                      • #12
                        а почему ru-token или e-token, какой-нить не заюзать? по сетке ключи не тиснут, ключевой носитель выдавать по журналу с росписью в нем юзверя и соответсвенно вечером забирать с росписью админа безоп СКЗИ. + объяснить ответственность, напомнить какие доки подписывал юзверь перед устройством на работу+ознакомить под роспись с инструкцией по обращению с ключевой инфой или там как назовете (воопщем аля 152 приказ фапси).
                        на лок диске ты не обрежешь права, в реестре тоже... сторонний софт нужно еще срастить с софтом арма - админы по-любому и на диск и в реестр попадут, если машина в сетке.

                        Комментарий


                        • #13
                          Если уж речь идет о невозможности стащить носитель с ключевой информацией, то я бы думал в сторону схемы с разделением ключей.

                          Ничто не мешает притащить на работу новый токен и вечером сдать его (ну не проверять же в самом деле сданные токены?) и в комфортных условиях скопировать ключи :-)

                          Комментарий


                          • #14
                            Сообщение от Corvax Посмотреть сообщение
                            Если уж речь идет о невозможности стащить носитель с ключевой информацией, то я бы думал в сторону схемы с разделением ключей.
                            Насколько я помню, для ГОСТ 34.10 схем расщепления ключей нет. Если знаете реализацию - поделитесь ссылочкой.

                            Комментарий


                            • #15
                              Видимо правильней было говорить о множественной подписи\шифровании, и реализованной в ПО проверке. Если речь идет о уже имеющемся ПО (а тем паче ГОСТовских алгоритмах), боюсь тут помогут только маразматические меры обыска, как на ювелирных заводах...

                              Комментарий


                              • #16
                                Сообщение от Corvax Посмотреть сообщение
                                Видимо правильней было говорить о множественной подписи\шифровании, и реализованной в ПО проверке.
                                Да, вы правы, об этом я не подумал

                                Комментарий


                                • #17
                                  А собственно еще раз огласите задачу плиз
                                  задача чтоб ключ не увели 3 лица или чтобы тот кто им пользуется не увел?
                                  если 3 лица...рассматривать будем только тех кто имеет доступ к компу...ком вынести из домена, сделать составной пароль на админа часть знаете вы, часть например админ..сеть зарубить всю, (кроме тех адресов на которые отсылают файлики),
                                  можно еще дополнительное ПО поставить..
                                  если тот кто пользуется...раз пользуется значит имеет право подписи руки же ему не отрубаете? но как вариант либо действительно 2 эцп, либо хранить эцп на диске (что не есть правильно, но зато надежно раз уж так не доверяете)...а вообще еще раз повторю вопрос, вы абсолютно уверены, что тот файлик который нужно отправить НЕ ИЗМЕНЕН до подписи эцп?

                                  Комментарий


                                  • #18
                                    На мой взгляд вашу задачу полностью решит сикрет нет.
                                    А некую конфиденциальнубю инфу можно хранить на Далласе, к примеру.
                                    Спереть не смогут, разве что сам даллас. Но если и сопрут, то толку от него ноль.

                                    Честно говоря, я не понимаю чем Ваша задача отличается от обычной задачи защиты конфиденциальной информации.

                                    Комментарий


                                    • #19
                                      Кстати вот бюджетный комбинированный вариант из токена и "разделения" секрета: ключ на токене, физически хранящийся у одного лица, и пин-код, который для доступа к ключу вводит другой человек.

                                      Комментарий


                                      • #20
                                        Что касается нарушителя - квалификация средняя (грамотный пользователь, так сказать) при этом допущенный к использованию ЭЦП. Т.е. мы рассматриваем имеено инсайд, риск выноса ЭЦП лицом уполномоченным его использовать и использование за территорией...но уже не во благо работодателя
                                        Если я правильно понял, то вот тут лежит ответ на Вашу проблему.

                                        При этом секретный ключ ЭЦП генерируется самим токеном при инициализации, хранится в защищенной памяти токена и никогда, никем и ни при каких условиях не может быть считан из токена.

                                        Комментарий


                                        • #21
                                          Сообщение от Berrimor Посмотреть сообщение
                                          На мой взгляд вашу задачу полностью решит сикрет нет.
                                          короче, каждый понял вопрос по-своему

                                          Если я правильно понял, постановка задачи: есть файл с конфиденциальной информацией, при этом у пользователя "права на чтение на файл есть, а скопировать низя" и есть ограничение "АРМ без дисководов, USB и связи с внешним миром не предлагать". То есть у одного и того же пользователя есть "безобидная" информация, которую можно передавать во внешний мир, и есть конфиденциальная информация, которую можно читать, но нельзя передавать во внешний мир.

                                          Угрозы:
                                          1. пользователь может скопировать файл на съемный носитель
                                          2. пользователь может снять "несъемный" носитель
                                          3. пользователь может отправить файл по эелектронной почте/через внешний сайт
                                          4. пользователь может скопировать данные в безобидный файл
                                          5. опльзователь руками перебивает данные из конфиденциального файла в безобидный файл


                                          П. 1,2 и 3 лечатся банальным шифрованием. Но и шифрование, и управление доступом к файлам/устройствам пасуют перед п. 4. Я могу открыть файл на чтение, скопировать данные и вставить в другой файл. Насколько я понимаю, Панцирь в этом случае блокирует Clipboard, Perimetrix (в дополнение к шифрованию) и CSA изменяют политику для второго файла (приравнивая его по конфиденциальности к исходному и применяя к нему те же ограничения).

                                          SecretNet и Security Studio такого не умеют.

                                          П.5 - совсем труба. Единственное, что приходит в голову - SafeEdge от Perimetrix, но я не уверен, что при лингвистическом анализе производится сравнение с классифицированными документами.

                                          Комментарий


                                          • #22
                                            С помощью какой СКЗИ генерятся ключи? большинство криптух умеет генерить не экспортируемые ключи и в самом носителе ru-token, e-token - по суте HSM...носитель по журналам выдавать, ПИН отдать другому юзверю - вот и фсё.

                                            Комментарий


                                            • #23
                                              malotavr меня правильно понял. Приношу всем остальным извинения за косоязычие. Именно эти 5 угроз я и рассматривал. Что касается алгоритмов и т.д. Симметричный алгоритм для шифрования передающихся данных (подробности его не знаю, получили только ключ в виде одного единственного файла на диске), с которой было все изумительно скопировано на сеть. Действия администратора по доступу к ключу в данном контексте пока не рассматриваются. Предполагаемый злоумышленник - только лигитимный пользователь, который в течении рабочего дня может пользоваться ключом и которому запрещено пользоваться ключом вне стен родного предприятия.

                                              Комментарий


                                              • #24
                                                тогда только административными методами:
                                                1. этот сотрудник подписывал же какой-нить док о конфидициальности, труд договор или еще что-то, где прописана ответственность за разглашение и т.д. и т.п?
                                                2. хорошо бы прописать эти вещи в его должностных обязанностях или инструкциях за которые взять роспись.
                                                3. логи накрутить чтобы чистить не мог.
                                                паходу больше ничего и не сделаешь

                                                Комментарий


                                                • #25
                                                  Сообщение от dbsnmp1 Посмотреть сообщение
                                                  malotavr меня правильно понял. Приношу всем остальным извинения за косоязычие. Именно эти 5 угроз я и рассматривал. Что касается алгоритмов и т.д. Симметричный алгоритм для шифрования передающихся данных (подробности его не знаю, получили только ключ в виде одного единственного файла на диске), с которой было все изумительно скопировано на сеть. Действия администратора по доступу к ключу в данном контексте пока не рассматриваются. Предполагаемый злоумышленник - только лигитимный пользователь, который в течении рабочего дня может пользоваться ключом и которому запрещено пользоваться ключом вне стен родного предприятия.
                                                  В любом нормальном средстве защиты для корпоративного использования предполагается, что пользователь - потенциальный нарушитель. Поэтому реализуется соответствующая ключевая политика. Примером может служить форум ключей - одна часть ключа у пользователя, другая по усмотрению администратора, например, в реестре конкретного компьютера, на разделенном в сети ресурсе (файле) - ключевой сервер и т.д. Однако форум снижает криптостойкость. Поэтому, на мой взгляд, правильным будет следующее решение (которое мы реализуем в своих разработках). Один ключ непосредственно шифрует данные (файловые объекты) и хранится в зашифрованном виде (реестр, разделеный файловый объект, Flash- устройство и т.д.), другой ключ хранится у пользователя, и этим ключом расшифровывает ключ, шифрующий данные. Все очень просто. Пользователь украл данные, имеет средство защиты, имеет ключ, но не может ничего расшифровать - у него нет второго ключа.
                                                  Все это простейшие задачи в области ИБ, которые уже давно решены!

                                                  Комментарий


                                                  • #26
                                                    уважаемый, А Щеглов, про это уже писалось ниже, но нужно не забывать что - реализованно то многое и много где, но вот если у вас есть система и там этого не рализованно, нет дисководов, usb и ключ хранится на лок диске.
                                                    причем здесь Все это простейшие задачи в области ИБ, которые уже давно решены!

                                                    Комментарий


                                                    • #27
                                                      Сообщение от xell Посмотреть сообщение
                                                      уважаемый, А Щеглов, про это уже писалось ниже, но нужно не забывать что - реализованно то многое и много где, но вот если у вас есть система и там этого не рализованно, нет дисководов, usb и ключ хранится на лок диске.
                                                      причем здесь Все это простейшие задачи в области ИБ, которые уже давно решены!
                                                      Если система не решает элементарных задач защиты, то что и зачем тогда обсуждать?

                                                      Комментарий


                                                      • #28
                                                        А Щеглов название столь загадочной СЭДО таки осталась загадкой

                                                        Комментарий

                                                        Пользователи, просматривающие эту тему

                                                        Свернуть

                                                        Присутствует 1. Участников: 0, гостей: 1.

                                                        Обработка...
                                                        X