secret net зачем нужен

Secret net зачем нужен

Сервер безопасности устанавливается на выделенный компьютер или контроллер домена. Сервер безопасности обрабатывает собранную с клиентов Secret Net информацию и хранит данные о состоянии всей системы защиты.

Защита информации

В Secret Net используются такие механизмы защиты как аутентификация и идентификация, шифрование сетевых ресурсов, доступ к информации в соответствии с грифом конфиденциальности (полномочное управление доступом), замкнутая программная среда и другие.

Кроме того, Secret Net предоставляет механизмы контроля состояния важных пользовательских и системных файлов.

Система «понимает», что происходит на защищаемом компьютере, ведет регистрацию событий и контролирует работу пользователя на компьютере.

Обо всех важных событиях, происшедших на рабочих станциях, Secret Net сообщает немедленно в единый центр управления и предоставляет возможность своевременно пресечь неправомерную деятельность злоумышленника.

Управление безопасностью

Централизованное управление
Система Secret Net позволяет из единого центра управления конфигурировать защитные механизмы клиентов Secret Net и управлять встроенными возможностями операционных систем. При этом осуществляется сбор информации со всех рабочих станций и серверов сети и их централизованная обработка в едином журнале регистрации.

Управление в терминах реальной предметной области
Модель управления безопасностью, реализованная в Secret Net, позволяет управлять информационной безопасностью в бизнес терминах, оперируя такими объектами управления как «сотрудник», «АРМ сотрудника», «задача, решаемая сотрудником» и др. Что позволяет с помощью простых и понятных операций сделать информационную систему полностью соответствующей требованиям политики безопасности. Однажды определив, какие ресурсы информационной системы должны быть доступны для решения той или иной задачи, затем Вы только назначаете сотрудника на исполнение данной задачи. Все остальное (права доступа тех или иных пользователей в различных доменах на те или иные ресурсы и приложения, контроль состояния этих ресурсов) система сделает сама.

Регистрация событий
Вся собираемая информация с защищаемых рабочих станций и серверов передается в центральную базу данных. Затем эти данные обрабатываются и передаются на консоль управления администратора системы. В журнале регистрации фиксируются события с указанием конкретного сотрудника, совершившего операцию, имени ресурса и уровня конфиденциальности информации.

Контроль

Достоинства Secret Net

Удобное управление
Система Secret Net предоставляет администратору безопасности не только традиционные возможности по защите информации, но и развитый набор средств для гибкого конфигурирования системы, позволяющий автоматизировать целый ряд рутинных операций по управлению системой.

Использование технологии клиент-сервер
Безопасность информации в огромной сети с различными операционными системами и их механизмами защиты, с бесчисленным количеством настроек и потенциальными проблемами можно обеспечить лишь с помощь средств использующих мощь технологии «клиент-сервер».

Мониторинг и оперативное управление
Secret Net содержит подсистему оперативного управления, позволяющую контролировать работу защищаемых компьютеров в режиме реального времени и немедленно реагировать на попытки неправомерных действий пользователей.

Система генерации отчетов
Благодаря встроенной в Secret Net возможности генерации отчетов система позволяет получать различные отчеты о состоянии защищаемой системы, обобщенной или детальной информации о конфигурации АРМ и серверов сети, настройках защитных механизмов, правах доступа пользователей к корпоративным ресурсам и т.д.

Автономный вариант
Если у вас мало компьютеров или они не объединены в сеть, то для защиты достаточно установить только клиенты Secret Net без сервера безопасности. В такой ситуации Вы будете единственным хозяином своего компьютера.

Сертификаты
Семейство средств защиты информации Secret Net имеет все необходимые сертификаты Гостехкомиссии России и Федерального агентства правительственной связи и информации России (№302 от 04.02.2000, №321 от 04.05.2000, №324 от 16.05.2000, №342 от 22.05.2000, №342/1 от 18.05.2000, №343 от 27.07.2000, №343/1 от 18.05.2000, №385 от 13.11.2000).

Система М-506
На основе Secret Net NT 4.0 реализовано средство криптографической защиты информации М-506. В дополнении к возможностям Secret Net, М-506 реализует функции по шифрованию сетевого трафика и по созданию и проверке электронной цифровой подписи файлов. М-506 сертифицировано ФАПСИ (№ СФ/022-0386 от 29.12.2000 г.).

Техническая поддержка
Пользователи легально приобретенных копий системы Secret Net в течение года обеспечиваются качественной и своевременной технической поддержкой.

Обучение
Все пользователи могут пройти авторизованное обучение применению аппаратно-программных средств защиты информации семейства Secret Net в Учебном центре «ИНФОРМЗАЩИТА».

О НИП «ИНФОРМЗАЩИТА»
Научно-инженерное предприятие «Информзащита» было основано в 1995 году в результате изменения правового статуса существовавшей с 1990 г. одноименной ассоциации. Свою деятельность фирма осуществляет на основе Лицензий Государственной технической комиссии при Президенте РФ, Федерального агентства правительственной связи и информации при Президенте РФ, Федеральной службы безопасности, Министерства обороны. С 1997г. НИП «Информзащита» является Microsoft Certified Solution Provider по вопросам обеспечения информационной безопасности.

Источник

Secret Net. Возможности по защите информации от НСД

Механизм управления Secret Net

Средство защиты информации от несанкционированного доступа Secret Net может функционировать в одном из режимов – автономном и сетевом.

Автономный вариант предназначен полностью настраивается администратором на той рабочей станции, где установлен Secret Net. Управление защитными механизмами осуществляется локально. Часть параметров интегрированы непосредственно в Windows, другие можно настроить в панели управления. Например, мандатные метки и дискреционные параметры доступа настраиваются в интегрированной в проводник Windows вкладке.

Сетевой режим работы подразумевает централизованное управление механизмами защиты, а также централизованную работу с событиями безопасности.

Сервера безопасности Secret Net поддерживают подчиненные иерархические структуры, резервирование и гибкое разграничение прав администраторов, с возможностью построения сложных инфраструктур.

Централизованное управление осуществляется в двух режимах: конфигурирование и мониторинг.

Политики безопасности

Secret Net позволяет настроить гибкую систему управления с помощью группировки рабочих станций и серверов, и назначения политик безопасности для каждого отдельного подразделения или группы, согласно принятой в компании иерархии.

В версии Secret Net 7.3 добавлена возможность назначения политик на сервера безопасности. При этом наследование политик между серверами обратное, т.е. чем ниже уровень сервера безопасности, тем ниже приоритет его политик. Это значит, что на верхнем сервере можно настроить политики, которые нельзя изменить с подчиненных серверов безопасности.

Защита входа в систему.

Secret Net обеспечивает усиленную защиту входа в систему. Помимо собственных механизмов парольной аутентификации Secret Net позволяет использовать режимы идентификации и аутентификации пользователей с использованием аппаратных идентификаторов, таких как:

Идентификаторы присваиваются к каждому пользователю в панели управления паролями безопасности. После этого пользователь может авторизоваться по паролю или просто подключить идентификатор к рабочей станции.

Разграничение доступа.

В Secret Net реализовано дискреционное и полномочное управление доступом.

Дискреционный принцип доступа подразумевает задание каждому пользователю «своих» папок

Механизм полномочного разграничения доступа обеспечивает контроль подключения и использования устройств с назначенными категориями конфиденциальности, контроль сетевых интерфейсов и печати конфиденциальных документов. Всего Secret Net позволяет задать до 16 уровней конфиденциальности с именами, соответствующими стандартам Вашей организации. Обеспечение строгого соответствия принципам полномочного доступа осуществляется включением контроля потоков конфиденциальной информации в системе. При входе в систему пользователь может самостоятельно выбрать категорию конфиденциальной информации, с которой он будет работать. Кроме того, при установке соответствующих прав доступа пользователь может сам задавать уровень конфиденциальности файлов и папок.

Контроль устройств.

Secret Net позволяет ограничить доступ практически к любым устройствам, как централизованно, так и локально. Настройка осуществляется для отдельных устройств, классов или групп. Это означает, что можно задать политику для всех сетевых плат, всех флешек, а также устройств по их серийному номеру или модели.

В соответствии с политиками безопасности, подключение может разрешаться или запрещаться, варианты контроля могут варьироваться. Например, компьютер при подключении может блокироваться или отключаться. Политики работы с устройствами складываются. На устройства в Secret Net можно добавить возможность запрета или разрешения устройства в зависимости от уровня конфиденциальности пользователя. Новое устройство в системе включается в соответствующую ему группу, класс или модель. Доступ к нему устанавливается автоматически, в соответствии с верхними правилами.

Принтеры в Secret Net контролируются по аналогии с другими устройствами. Для них также можно настроить дискреционные и мандатные разрешения. Для расследования инцидентов можно включить теневое копирование распечатанных документов. В Secret Net поддерживается маркировка выводимых на печать документов в соответствии с требованиями законодательства для работы с государственной тайной.

Контроль целостности и замкнутая программная среда.

В Secret Net реализован механизм контроля целостности, который позволяет поставить на контроль изменения ресурсов компьютера, файлов, директорий, элементов реестра windows. Для элементов Secret Net и Windows в модуле контроль программ и данных есть шаблоны, которые включаются по умолчанию. При этом администратор может создавать свои задания и шаблоны реакции на изменения, менять методы контроля.

Контроль целостности может осуществляться как по содержимому файлов, так и по атрибутам, правам доступа, дате и времени последнего изменения. При обнаружении несоответствия можно игнорировать инцидент, блокировать компьютер или автоматически восстанавливать измененные файлы.

Контроль целостности может производиться по расписанию:

Замкнутая программная среда позволяет ограничить список запускаемых пользователем приложений. При запуске приложений может автоматически проверяться его целостность. Благодаря этому механизму пользователь не сможет подменить приложения простым переименованием программ.

Оперативное управление

Программа оперативного управления позволяет одновременно видеть все компьютеры и пользователей системы, а также их статусы и события НСД. Оперативное управление в Secret Net предусматривает отправку оперативных команд на все компьютеры и сервера, стоящие ниже по иерархии. Это могут быть команды оперативного управления, такие как блокировка, перезагрузка, включение/выключение компьютера, обновление политик, управление механизмами защиты, утверждение изменений аппаратной конфигурации. Доступна также отправка команд к компьютерам, подключенным к подчиненным серверам, с передачей команды по иерархии серверов.

Работа с журналами и отчетами.

Secret Net записывает все события безопасности на локальную рабочую станцию. Централизованно доступен сбор журналов. В программе управления настраиваются журналы и периодичность сбора, определяется какие журналы нужно собирать и что делать при заполнении.

Наряду с критичными событиями, в Secret Net ведется журналирование всех событий и действий пользователей. Кроме того, в Secret Net реализован механизм отчетов. Отчет можно создать по ресурсам автоматизированного рабочего места, электронным идентификаторам или построить связанные отчеты с ПАК «Соболь». Отчет может быть персонализирован с помощью добавления информации об организации. Это позволяет администраторам максимально быстро создать отчет для руководства.

Источник

Программная сегментация

Проверка имени пользователя, компьютера

и исполняемого процесса перед установкой соединения

Не влияет на сетевую топологию

Масштабируемая система управления

До десяти тысяч управляемых ПК на один сервер управления

До 1000 зарегистрированных USB-устройств на автономном рабочем месте

Объединение серверов управления в иерархическую структуру

Защита от несанкционированного доступа к конфиденциальным файлам

Разграничение доступа как к файлам, так и к NTFS-потокам

До 16 уровней конфиденциальности для мандатной системы разграничения доступа

Низкая задержка при распечатке «грифованных» файлов большого размера

Шаблоны настроек

Шаблон под требования 17, 21, 239 приказов ФСТЭК

Шаблон под требования ГОСТ 57580.1-2017 для финансовых организаций

Адаптация шаблонов под собственные требования

Масштабируемая система управления

Защита от несанкционированного доступа

Сертифицирован по требованиям ФСТЭК

4-й уровень доверия

5-й класс защищенности СВТ

4-й класс защиты СКН

4-й класс защиты САВЗ

4-й класс защиты СОВ уровня хоста

4-й класс защиты МЭ типа «В»

Сертифицирован по требованиям ФСБ

Класс защиты от НСД АК3

Сертифицирован по требованиям ФСТЭК для Secret Net Studio –C

2-й уровень контроля отсутствия НДВ

3-й класс защищенности СВТ

2-й класс защиты МЭ типа «В»

Защита государственных информационных систем

Защита объектов критической информационной инфраструктуры

Защита информационных систем в кредитных и некредитных финансовых организациях

Защита информации в учреждениях здравоохранения

Новости

​​«Код Безопасности» проводит традиционный осенний технический семинар

«Код Безопасности» представляет альфа-версию Secret Net Studio 8.7 для тестирования

«Код безопасности» продлил сертификат соответствия ФСТЭК на Secret Net Studio 8.6

Технологические решения от Кода Безопасности для удаленной работы

Дополнительные материалы

Где используется Secret Net Studio

Защита рабочих мест сотрудников от несанкционированного доступа

Подтверждает соответствие требованиям руководящих документов по 3 классу защищенности СВТ, 2 классу защиты МЭ тип «В» (ИТ.МЭ.В2.ПЗ). Может применяться в АС до классов 1Б, 2А, 3А включительно (РД АС, 1992 г.), АС до классов 3А, 3Б, 2А, 2Б включительно (приказ ФСТЭК России №025 от 20.10.2016), ИСПДн до УЗ1 включительно, ГИС до 1 класса включительно, АСУ ТП до 1 класса включительно, объектах КИИ до 1 категории значимости включительно

Подтверждает соответствие «Требованиям к средствам защиты информации ограниченного доступа, не содержащей сведений, составляющих государственную тайну, от несанкционированного доступа» для класса АК3 при совместном использовании с АПМДЗ соответствующего класса

Подтверждает соответствие требованиям руководящих документов по 4 уровню доверия, 5 классу защищенности СВТ, 4 классу защиты СКН (ИТ.СКН.П4.ПЗ), 4 классу защиты САВЗ (ИТ.САВЗ.А4.ПЗ, ИТ.САВЗ.Б4.ПЗ, ИТ.САВЗ.В4.ПЗ, ИТ.САВЗ.Г4.ПЗ), 4 классу защиты МЭ тип «В» (ИТ.МЭ.В4.ПЗ), 4 классу защиты СОВ (ИТ.СОВ.У4.ПЗ). Может применяться в АС до класса 1Г включительно, ИСПДн до УЗ1 включительно, ГИС до 1 класса включительно, АСУ ТП до 1 класса включительно

Secret Net Studio 8.6

Компонент «Клиент»

Компонент «Сервер безопасности»

Компонент «Центр управления»

Документация Secret Net Studio

Информация, содержащаяся в этих документах, может быть изменена разработчиком без специального уведомления, что не является нарушением обязательств по отношению к пользователю со стороны компании-разработчика.

Описание основных особенностей и ограничений, которые необходимо учитывать при эксплуатации СЗИ Secret Net Studio.

Сведения, позволяющие быстро установить и приступить к работе с Secret Net Studio.

Сведения об общих принципах построения и функционирования системы Secret Net Studio.

Сведения для развертывания системы, ее обновления, исправления и удаления.

Сведения для работы с компонентом «Secret Net Studio — Центр управления».

Сведения для настройки и управления основными механизмами защиты.

Сведения для настройки и управления антивирусом и механизмом обнаружения вторжений.

Сведения для развертывания и настройки средства автоматического обновления антивирусных баз и баз решающих правил системы обнаружения вторжений на рабочих станциях в локальной сети.

Сведения для установки, настройки и эксплуатации компьютера с функционирующей ДС.

Сведения для работы с системой Secret Net Studio, установленной на компьютере.

Сведения о совместимости СЗИ Secret Net Studio версии 8.6.8330.0 с некоторыми другими программными средствами при совместном функционировании.

Сведения о дополнительных средствах, предназначенных для настройки и управления Secret Net Studio.

Как обновиться до версии 8.6.

Сведения для развертывания системы, ее обновления, исправления и удаления.

Сведения для настройки и управления основными механизмами защиты.

Сведения для установки, настройки и эксплуатации компьютера с функционирующей ДС.

Как обновиться до версии 8.5.

Сведения о переходе от использования изделия «Средство защиты информации Secret Net 7» к использованию Secret Net Studio с сохранением имеющихся настроек.

Сведения о переносе настроек из изделия «Средство защиты информации TrustAccess» в Secret Net Studio.

Источник

Средства защиты информации и где дёготь

Предисловие

Основные инструменты

Под возможностью установки я понимаю различия архитектуры СЗИ и требования к наличию аппаратной части. К примеру, Dallas Lock (или Страж NT) перехватывают управление компьютером на этапе загрузки, не позволяя запуститься операционной системе, пока пользователь не введет пароль и не предъявит идентификатор. Различие в реализации этого механизма — Страж NT для этого использует PCI-плату расширения, которую необходимо установить внутрь ПК (в новых версиях это необязательно, в версии 2.5 тоже заявлялось, но не работало было проще воспользоваться другим СЗИ). Соответственно, на ноутбук ставился, например, Dallas Lock — вся реализация доверенной загрузки полностью программна.

Под уровнем взаимоотношений с поставщиками следует читать «возможный процент с перепродажи». Последнее время удается убедить начальство и в пунктах «качество тех.поддержки», «удобство эксплуатации».

Применение

Практически все заказы требуют аттестации локальных автоматизированных рабочих мест (АРМ). Соответственно, сетевые версии защитного ПО редко получается пощупать используются. В автономных же версиях все просто — фаворитом является Secret Net, за весьма удобную, простую и понятную настройку — полное встраивание в компоненты Windows (оснастки консолей), четкое разграничение доступа. На втором месте Страж NT — настройка более сложна и механизм мандатного контроля доступа несколько неочевиден пользователям. Dallas Lock, касательно версии 7.5, использовался крайне редко в следствии отсутствия контроля USB-устройств. С появлением версии 7.7 ситуация изменится — не в последнюю очередь из-за ценовой политики.

В сетевом варианте (соответственно, рассматриваем только Secret Net и Dallas Lock) ситуация противоположная. И менее простая. С одной стороны, удобство настроек Secret Net’а никуда не делось. Да и встраивание в Active Directory, работа через механизмы ОС достаточно проста и понятна. С другой стороны, все возможности сетевой версии (конкретно Сервера Безопасности, по терминологии Secret Net) состоят в удаленном сборе журналов, тогда как АРМ администратора безопасности в Dallas Lock позволяет удаленное манипулирование всеми настройками безопасности каждого подключенного клиента. Зачастую это является решающим фактором в выборе СЗИ. Однажды мне пришлось выслушать много удивления и разочарования от администратора заказчика, когда он увидел свою обновленную вотчину. К сожалению, заказчик завязан на «Информзащите» и приобрести продукт «Конфидента» было невозможно.

Проблемы

Многие ошибки возникают просто из-за невнимательности или непонимания принципов работы конкретного СЗИ. Понятно, что справка/руководство спасет отца русской демократии поможет в разрешении ситуации, однако зачастую проще вызвать интегратора системы защиты. Естественно, проблема будет устранена — но потеряно время. Как заказчика, так и интегратора. Я хочу поделиться личным опытом, который возможно поможет в разрешении наиболее типичных жалоб пользователя.

Secret Net

Фаворит — он везде фаворит

Многие проблемы возникают из-за незнания практически фундаментального свойства установленного СЗИ — все папки создаются в файловой системе всегда несекретными, а файлы — с текущим уровнем секретности сессии, который можно проверить во всплывающем окошке:

Часто возникает проблема неработоспособности офисного пакета (Word, Excel). К слову, не стоит забывать что с OpenOffice.org СЗИ не работает. Ошибки могут быть самыми разными, но причина у всех одна — не были корректно настроены папки, необходимые для проведения служебных операций, по мандатному разграничению доступа. Полный список папок приведен в документации, а конкретные проблемы всегда можно диагностировать через журнал Secret Net — в журнале появляется информация о любых действиях программы. При назначении мандатных меток файлам и папкам, следует помнить что гриф папки должен быть максимально допустимый для конкретного АРМ, так как Secret Net позволяет хранить в папках любые файлы грифом не выше грифа папки. Соответственно, если запущен Microsoft Word в секретной сессии — для записи файлов автосохранения ему нужен гриф «секретно» на определенной папке.

Встречаются ситуации, когда производится установка ПО в режиме, отличном от «не секретно». Конечно, стоит перелогиниться и выбрать не секретную сессию, чтобы все заработало:

В случае, когда на АРМ допустимо использовать USB-флэш накопители, бывает невозможно скопировать большие объемы данных, рассортированных по папкам. Здесь все то же самое — вновь созданная папка стала несекретной, а файлы автоматом получают текущий гриф. Если же использовать флэшки запрещено, то при попытке подключения таковой ПК блокируется — за это отвечают выделенные два параметра, выставленные в «жесткий»:

Если пользователи непрерывно жалуются на медленную работу компьютера, а в организации используется антивирус Касперского, стоит проверить версию — часто версия 6.0.3 оказывается несвоместима с SecretNet 5.x. Вот так тормоза точно исчезнут:

Страж NT

Для этого СЗИ проблемы встречаются гораздо реже (как минимум у наших клиентов), что может говорить о более дружелюбном к пользователю механизму защиты.

Непонимание в случае данного ПО связано с необходимостью выбора уровня секретности каждого приложения отдельно и невозможности делегировать какие-либо права стандартному проводнику. Соответственно, если на АРМ есть прописанные USB-флэш диски и они секретны, попытка открыть их проводником приведет к ошибке доступа. Следует выбрать установленный файловый менеджер, выбрав при запуске гриф допуска, соответствующий секретности флэшки.

Также, если при открытии документа Word/Excel сначала появляется окно выбора грифа секретности, а далее разворачивается окно соответствующего редактора без запрошенного документа — это нормально. Следует открыть файл повторно, используя уже само офисное приложение.

Dallas Lock

Как и в случае Стража, ошибок крайне мало — не подходили пароли, пропадал параметр «категория конфиденциальности» с окна логина и ошибка привязки электронного идентификатора.

Первая ошибка связана с возможным использованием двух паролей — для Dallas Lock’а и Windows можно установить разные, в том числе и случайно (например, сменой пароля администратором). В подобном случае можно после загрузки окна приветствия Windows ввести пароль Dallas Lock и нажав «ОК» в диалоге несовпадения пароля СЗИ и ОС, ввести пароль пользователя Windows и отметить галочку «Использовать в Dallas Lock».

Вторая связана со скрытым по-умолчанию полем выбора грифа сеанса. Бывает, пользователи забывают об этом — а потом жалуются, что не могут попасть даже в папки с грифом ДСП.

Электронный идентификатор может не привязываться, если эту операцию делают для администратора, или если используемый токен не подходит по версии. Так, в версии 7.5 применимы eToken 64k с драйвером eToken RTE. Давно доступный eToken PKI не подойдет, равно как и eToken 72k Java, к примеру.

Источник