Учебное пособие по ИБ (Лекции по информационной безопасности), страница 23

Обеверсии сертифицированы Гостехкомиссией России по 3 класузащищенности.Комплект поставки Dallas Lock• Набор адаптеров и считывателей (по количеству защищаемыхкомпьютеров)• Набор идентификаторов по количеству пользователей• Набор дискет с программным обеспечением• Мастер-карта для инсталляции программного обеспечения• Комплект документации188Возможности ПАК СЗИ «Dallas lock»•Система запрещает посторонним лицам доступ к ресурсам компьютераи позволяет администратору безопасности разграничить полномочияпользователей при работе на компьютере.•В качестве средства опознавания пользователей служат электронныеидентификаторы Touch Memory фирмы "Dallas Semiconductor Inc."(США) или карты Proximity фирмы HID corporation. Реализован весьмавысокий уровень защиты. Число уникальных 48-битовых ключейсоставляет более 280 триллионов.•Запрос идентификатора при входе на ПЭВМ инициируется из ПЗУ наплате защиты до загрузки операционной системы.

Загрузкаоперационной системы с жёсткого диска осуществляется только послепредъявления зарегистрированного идентификатора (электроннойкарты) и ввода личного пароля. Исключается возможность загрузки ссистемной дискеты.•Поддерживается работа до 32 зарегистрированных пользователей накаждом защищенном компьютере. Один пользователь может бытьзарегистрирован на нескольких ПЭВМ с разными полномочиями.Возможности ПАК СЗИ «Dallas lock»• Данные о пользователях хранятся в энергонезависимой памяти на платезащиты.• Энергонезависимая память платы защиты содержит образ системных областейкомпьютера, что позволяет контролировать их целостность.• Обеспечивается защита файлов CONFIG.SYS и MSDOS.SYS от доступа состороны пользователей.• Для пользователей возможна блокировка клавиатуры на время загрузкикомпьютера, что позволяет избежать пошагового выполнения файловCONFIG.SYS и AUTOEXEC.BAT или вообще отмену их выполнения.

Дляадминистратора клавиатура не блокируется.• Для пользователей возможно ограничение круга доступных объектов (дисков,папок и файлов) компьютера.• Обеспечивается ограничение доступа пользователей к компьютеру по времени.Таймер компьютера может быть защищен от вмешательства пользователей.• Гарантированное удаление информации обеспечивается при установке дляпользователя соответствующих режимов.• Разграничение доступа к периферийным устройствам обеспечивается путемуправления доступом к последовательным (СОМ) и параллельным (LPT) портамкомпьютера.189Возможности ПАК СЗИ «Dallas lock»• При регистрации можно создать для каждого пользователяиндивидуальный файл автозапуска, который будет выполняться призагрузке операционной системы данным пользователем.• В электронных журналах фиксируются действия пользователей по работена компьютере.

Электронные журналы доступны только администратору.• Пользователи могут самостоятельно менять личные пароли для входа накомпьютер.• Администратор может включать для пользователей режимпринудительной смены пароля входа.• Предусмотрена временная блокировка компьютера с очисткой экранадисплея, срабатывающая автоматически по истечении временинеактивности ПЭВМ (нет работы с клавиатурой или манипулятором"мышь").• Для усиления защиты конфиденциальной информации, хранящейся на"винчестере" и дискетах пользователей, предусмотрены модули дляшифрования в статическом или "прозрачном" режиме. Процессшифрования незаметен для пользователя.Программно-аппаратная СЗИ «Dallas lock»•Модули контроля целостности объектов компьютера обеспечивают:- автоматический контроль целостности файлов системы защиты иблокирование входа пользователей на компьютер при выявлении изменений- контроль целостности запускаемых программ и блокировку запуска привыявлении изменений- контроль целостности информации пользователя- контроль целостности CMOS-памяти компьютера- контроль целостности энергонезависимой памяти платы защиты- обнаружение создания новых файлов.• Модуль входа в сеть по Touch Memory позволяет вместо ввода имени и пароляпользователя при регистрации в сети предъявлять предварительнозарегистрированную карту Touch Memory типов DS1992 - DS1996.

Это повышаетудобство процедуры идентификации.• Дополнительные сервисные функции предоставляет модуль Картотека,позволяющий вести учет выданных пользователям электронных карт, а такжехранить некоторые данные о самих пользователях.• Работа пользователей вне Windows 95/98 (в режиме эмуляции MS-DOS)невозможна. При попытке пользователя перейти в режим эмуляции MS-DOSкомпьютер перезагружается. Администраторам работа в режиме эмуляции MS-DOSпо-прежнему остается доступна.190Вопрос занятия:1. Общие сведения о средствах защитыинформации от НСД (средствобезопасной аутентификации «eToken»,электронный замок «Соболь», системы«Страж-NT», «Secret Net», «eLock»,«Dallas lock», «Аккорд», «Спектр-Z» идругие).1.8.

Программно-аппаратный комплексзащиты информации от НСД «Аккорд».СЗИ от НСД серии «Аккорд»СЗИ НСД "Аккорд" - программно-аппаратный комплекс для ПЭВМразрабатывается в следующих модификациях:•“Аккорд-АМДЗ" - программно-аппаратный для ПЭВМ - аппаратныймодуль доверенной загрузки.•"Аккорд-СБ"изделиеcопроцессорбезопасностимногофункциональное программируемое устройство.• "Аккорд-1.95", "Аккорд-NT" - программно-аппаратный комплексыСЗИ от НСД для ПЭВМ с применением персональных идентификаторовпользователей.СЗИ выполняют: идентификацию, аутентификацию пользователей,регистрацию действий; контроль целостности технических и программныхсредств (файлов общего, прикладного ПО и данных) ПЭВМ (РС);обеспечение режима доверенной загрузки в различных операционныхсредах (MS DOS, Windows 9х, Windows Millenium, Windows NT, Windows2000, OS/2, UNIX, LINUX), а также для любых ОС, использующих FAT 12,FAT 16, FAT 32, NTFS, HPFS, FreeBSD, Linux EXT2FS примногопользовательском режиме эксплуатации ПЭВМ (рабочих станцийЛВС).191СЗИ от НСД серии «Аккорд»Контроллер"Аккорд-4.5"Контроллер"Аккорд-5"Контроллер"Аккорд-PC 104"Контроллеры системы "Аккорд СБ"Характеристики СЗИ от НСД серии «Аккорд-АМДЗ»"Аккорд- АМДЗ" набазе "Аккорд-4.5"Режим довереннойзагрузки дляоперационных системРабота с файловымисистемамиРегистрацияпользователей"Аккорд- АМДЗ" набазе "Аккорд-5""Аккорд- АМДЗ" набазе "Аккорд-РС104"MS DOS, Windows 9х, Windows Millenium, Windows NT, Windows 2000,OS/2, UNIX.FAT 12, FAT 16, FAT 32, NTFS, HPFS, FreeBSD, Linux EXT2FSдо 32до 32до 1024Наличие сертификатаФАПСИ***Наличие сертификатаГостехкомиссииРоссии№246/3 10 июля 2001г.№246/1 26 октября2000 г.**Наличие сертификатаГосстандарта Россиипо требованиямбезопасности№ 4680187 РОССRU.ME 06.В0130229сентября 2001 г.№ 4680188 РОССRU.ME 06.В0130329сентября 2001 г.192Характеристики СЗИ от НСД серии «Аккорд-АМДЗ»Наличие санитарноэпидемологическогозаключения насоответствиесанитарным правилами нормамИдентификация (типидентификатора)Аутентификацияпользователя№ 50.РВ.01.401.П.006113.08.01 30августа 2001 г.№ 50.РВ.01.401.П.006112.08.01 30августа 2001 г.Touch memory DS199xпо паролю, вводимому с клавиатурышифрование по ГОСТ28147-89 до 30КБ/секСпециализированныересурсы дляуправления ключевойинформациейхеширование по ГОСТР 34.11-94 до 17 КБ/секВыработка/ проверказащитных кодоваутентификации 17 ЗКА/секХарактеристики СЗИ от НСД «Аккорд-СБ»"Аккорд-СБ”- сопроцессор безопасности многофункциональноепрограммируемое устройство, предназначенное для защиты информации ввычислительных системах, требующих высокого уровня защищенности.Реализован на базе контроллера "Аккорд-СБ/2" (PCI - контроллер).Специальное программное обеспечение "Аккорд-СБ" включает в себя:• Загрузчик - настраивает параметры, загружает в ОЗУ монитор и ОС.• Монитор - инициализирует ресурсы и запускает ОС.

Предоставляетвозможность работы с ресурсами платы в многозадачном режиме.• Операционная система реального времени.•КриптодрайверпрограммаподдержкикриптоускорителяКриптодрайвер обеспечивает взаимодействие монитора с платойкриптоускорителя, установленной в шину расширения платы "АккордСБ/2". Код драйвера находиться в энергонезависимой памятирасположенной на плате криптоускорителя и активизируется монитором.•Прикладные библиотеки - набор вспомогательных процедур длясамостоятельного программирования сопроцессора безопасности "АккордСБ/2".193Комплексы «Аккорд – 1.95», «Аккорд – NT»Комплексы включают в себя следующие подсистемы:•Подсистему управления доступом•Подсистему регистрации и учета (аудит)•Подсистему обеспечения целостности• Подсистему удаленного централизованного управления настройкамисистемы защиты "Автоматизированное Рабочее Место АдминистратораБезопасности" (АРМ АБИ).Администратор БИ для каждого пользователя определяет:• перечень файлов, целостность которых должна контролироваться;•наличие, либо отсутствие привилегий супервизора;•детальность журнала доступа;•назначение/изменение пароля для аутентификации;•временные ограничения - время по дням недели (с дискретностью 30мин), в которое разрешено начало работ для данного субъекта;•параметры управления экраном - гашение экрана через заранееопределенный интервал времени (в случае, если в течение указанногоинтервала действия оператором не выполнялись), подача соответствующихзвуковых и визуальных сигналов.Характеристики «Аккорд – 1.95», «Аккорд – NT»Работа под операционнымисистемамиКласс защиты"Аккорд-1.95""Аккорд-NT/2000"MS DOS, Windows9х,Windows MilleniumWindows NT, Windows 2000,Windows XPдо 1B включительнодо 1B включительноНаличие сертификатаГостехкомиссии России№ 153/2 30 ноября 1999 г.№ 153/3 14 июля 2000 г.№ 153/4 12 июля 2001 г.Работа на базе комплекса"Аккорд-АМДЗ" сиспользованием контроллеров"Аккорд-4+" "Аккорд-4++", "Аккорд-4.5", "Аккорд5", "Аккорд-PC104", "Аккорд-СБ/2".Идентификация (типидентификатора)Touch memory DS199x.Touch memory DS199x.Аутентификацияпользователяпо паролю, вводимому склавиатурыпо паролю, вводимому склавиатуры№ 600 1 апреля 2002 г.194Вопрос занятия:1.

Общие сведения о средствах защитыинформации от НСД (средствобезопасной аутентификации «eToken»,электронный замок «Соболь», системы«Страж-NT», «Secret Net», «eLock»,«Dallas lock», «Аккорд», «Спектр-Z» идругие).1.9. Программная система защитыинформации от НСД «Спектр-Z».Программная СЗИ от НСД "Спектр-Z""Спектр-Z" - программа, предназначенная для обеспечения безопасностихранения и обработки информации в персональных компьютерах(настольных, портативных, переносных), функционирующих подуправлением операционной системы Windows 95/98. В качестве средстваутентификации используются ключевые дискеты и вводимые склавиатуры логин и пароль пользователя.Возможности Спектр-Z:• Предоставляет пользователю широкий набор средств для обеспеченияразличных вариантов защиты информации и обеспечения эталонногосостояния программной среды рабочей станции.• Позволяет создать защищенное рабочее место для работы с Internet.•Обеспечивает широкие возможности по управлению полномочиямипользователей (полный доступ, только чтение, нет доступа, режимпреобразования) для логических устройств: A,B,C,...,Z и дисков PCMCIA.Санкционируется доступ к LPT и COM портам.