Средства защиты информации и где дёготь

Под возможностью установки я понимаю различия архитектуры СЗИ и требования к наличию аппаратной части. К примеру, Dallas Lock (или Страж NT) перехватывают управление компьютером на этапе загрузки, не позволяя запуститься операционной системе, пока пользователь не введет пароль и не предъявит идентификатор. Различие в реализации этого механизма — Страж NT для этого использует PCI-плату расширения, которую необходимо установить внутрь ПК (в новых версиях это необязательно, в версии 2.5 тоже заявлялось, но не работало было проще воспользоваться другим СЗИ). Соответственно, на ноутбук ставился, например, Dallas Lock — вся реализация доверенной загрузки полностью программна.

Под уровнем взаимоотношений с поставщиками следует читать «возможный процент с перепродажи». Последнее время удается убедить начальство и в пунктах «качество тех. поддержки», «удобство эксплуатации».

Применение

Практически все заказы требуют аттестации локальных автоматизированных рабочих мест (АРМ). Соответственно, сетевые версии защитного ПО редко получается пощупать используются. В автономных же версиях все просто — фаворитом является Secret Net, за весьма удобную, простую и понятную настройку — полное встраивание в компоненты Windows (оснастки консолей), четкое разграничение доступа. На втором месте Страж NT — настройка более сложна и механизм мандатного контроля доступа несколько неочевиден пользователям. Dallas Lock, касательно версии 7.5, использовался крайне редко в следствии отсутствия контроля USB-устройств. С появлением версии 7.7 ситуация изменится — не в последнюю очередь из-за ценовой политики.

В сетевом варианте (соответственно, рассматриваем только Secret Net и Dallas Lock) ситуация противоположная. И менее простая. С одной стороны, удобство настроек Secret Net’а никуда не делось. Да и встраивание в Active Directory, работа через механизмы ОС достаточно проста и понятна. С другой стороны, все возможности сетевой версии (конкретно Сервера Безопасности, по терминологии Secret Net) состоят в удаленном сборе журналов, тогда как АРМ администратора безопасности в Dallas Lock позволяет удаленное манипулирование всеми настройками безопасности каждого подключенного клиента. Зачастую это является решающим фактором в выборе СЗИ. Однажды мне пришлось выслушать много удивления и разочарования от администратора заказчика, когда он увидел свою обновленную вотчину. К сожалению, заказчик завязан на «Информзащите» и приобрести продукт «Конфидента» было невозможно.

Проблемы

Многие ошибки возникают просто из-за невнимательности или непонимания принципов работы конкретного СЗИ. Понятно, что справка/руководство спасет отца русской демократии поможет в разрешении ситуации, однако зачастую проще вызвать интегратора системы защиты. Естественно, проблема будет устранена — но потеряно время. Как заказчика, так и интегратора. Я хочу поделиться личным опытом, который возможно поможет в разрешении наиболее типичных жалоб пользователя.

Secret Net

Фаворит — он везде фаворит

Многие проблемы возникают из-за незнания практически фундаментального свойства установленного СЗИ — все папки создаются в файловой системе всегда несекретными, а файлы — с текущим уровнем секретности сессии, который можно проверить во всплывающем окошке:

Часто возникает проблема неработоспособности офисного пакета (Word, Excel). К слову, не стоит забывать что с OpenOffice. org СЗИ не работает. Ошибки могут быть самыми разными, но причина у всех одна — не были корректно настроены папки, необходимые для проведения служебных операций, по мандатному разграничению доступа. Полный список папок приведен в документации, а конкретные проблемы всегда можно диагностировать через журнал Secret Net — в журнале появляется информация о любых действиях программы. При назначении мандатных меток файлам и папкам, следует помнить что гриф папки должен быть максимально допустимый для конкретного АРМ, так как Secret Net позволяет хранить в папках любые файлы грифом не выше грифа папки. Соответственно, если запущен Microsoft Word в секретной сессии — для записи файлов автосохранения ему нужен гриф «секретно» на определенной папке.

Встречаются ситуации, когда производится установка ПО в режиме, отличном от «не секретно». Конечно, стоит перелогиниться и выбрать не секретную сессию, чтобы все заработало:

В случае, когда на АРМ допустимо использовать USB-флэш накопители, бывает невозможно скопировать большие объемы данных, рассортированных по папкам. Здесь все то же самое — вновь созданная папка стала несекретной, а файлы автоматом получают текущий гриф. Если же использовать флэшки запрещено, то при попытке подключения таковой ПК блокируется — за это отвечают выделенные два параметра, выставленные в «жесткий»:

Если пользователи непрерывно жалуются на медленную работу компьютера, а в организации используется антивирус Касперского, стоит проверить версию — часто версия 6.0.3 оказывается несвоместима с SecretNet 5.x. Вот так тормоза точно исчезнут:

Страж NT

Для этого СЗИ проблемы встречаются гораздо реже (как минимум у наших клиентов), что может говорить о более дружелюбном к пользователю механизму защиты.

Непонимание в случае данного ПО связано с необходимостью выбора уровня секретности каждого приложения отдельно и невозможности делегировать какие-либо права стандартному проводнику. Соответственно, если на АРМ есть прописанные USB-флэш диски и они секретны, попытка открыть их проводником приведет к ошибке доступа. Следует выбрать установленный файловый менеджер, выбрав при запуске гриф допуска, соответствующий секретности флэшки.

Также, если при открытии документа Word/Excel сначала появляется окно выбора грифа секретности, а далее разворачивается окно соответствующего редактора без запрошенного документа — это нормально. Следует открыть файл повторно, используя уже само офисное приложение.

Dallas Lock

Как и в случае Стража, ошибок крайне мало — не подходили пароли, пропадал параметр «категория конфиденциальности» с окна логина и ошибка привязки электронного идентификатора.

Первая ошибка связана с возможным использованием двух паролей — для Dallas Lock’а и Windows можно установить разные, в том числе и случайно (например, сменой пароля администратором). В подобном случае можно после загрузки окна приветствия Windows ввести пароль Dallas Lock и нажав «ОК» в диалоге несовпадения пароля СЗИ и ОС, ввести пароль пользователя Windows и отметить галочку «Использовать в Dallas Lock».

Вторая связана со скрытым по-умолчанию полем выбора грифа сеанса. Бывает, пользователи забывают об этом — а потом жалуются, что не могут попасть даже в папки с грифом ДСП.

Электронный идентификатор может не привязываться, если эту операцию делают для администратора, или если используемый токен не подходит по версии. Так, в версии 7.5 применимы eToken 64k с драйвером eToken RTE. Давно доступный eToken PKI не подойдет, равно как и eToken 72k Java, к примеру.

При включении компьютера при инициализации системных сервисов Secret Net на Windows не проходит инициализацию подсистема контроля целостности: зависает в ожидании старта.

Через какое-то время система всё-таки загружается, но на экране входа в Windows появляется надпись: «Произошла ошибка функционального контроля. Вход разрешен только администраторам.»

Администратор входит в систему, и она работает. Под обычным пользователем нет.

Проблема решилась сбросом настроек подсистемы контроля целостности:

1) В папке C:Program FilesSecret NetClientetalons удаляем всё, кроме файла SnIcEtlDB. sdb

2) В папке C:Program FilesSecret NetClienticheck удаляем всё, кроме файла snicdb. sdb

3) Перезагружаем компьютер.

После этого Secret Net заново запустит подсистему контроля целостности с настройками по-умолчанию.

Проблема была в том, что Secret Net не мог прочитать log-файл, находящийся в папке etalons

Для отправки комментария необходимо авторизоваться.

Страницы работы

Фрагмент текста работы

часто задаваемые вопросы

1. Что такое система Secret Net?

Системы семейства Secret Net представляют собой сертифицированные программно-аппаратные комплексы защиты информации, хранимой и обрабатываемой на автономных компьютерах или рабочих станциях локальных вычислительных сетей.

2. В каких операционных системах может работать система Secret Net?

Существующие версии системы Secret Net могут работать на компьютерах, функционирующих под управлением следующих операционных систем: Windows 95, Windows 98, Windows NT 4.0 и Windows 2000.

3. Можно ли использовать систему Secret Net на других ОС, например Windows XP или Windows ME?

Secret Net нельзя использовать на других ОС. Даже очень незначительные отличия в ядре ОС должны учитываться в системе защиты, поэтому Secret Net для Window 2000 не подходит для использования в Windows XP (аналогично, Secret Net для Window 9x не подходит для использования в Windows ME).

4. Каковы требования к конфигурации компьютера для системы Secret Net?

Подробную информацию о системных требованиях к Secret Net Вы можете найти на нашем сайте в разделе «системные требования к Secret Net».

5. В чем отличие сетевой и автономной версии системы Secret Net?

Автономный вариант Secret Net предназначен для защиты информации на автономных компьютерах. При этом управление Secret Net осуществляется локально. Автономный вариант может использоваться для защиты рабочих станций небольшой (20–25 компьютеров) локальной сети, при этом будет отсутствовать централизованное управление системой Secret Net.

Сетевая версия системы Secret Net – более сложный комплекс, предназначенный для защиты информации на рабочих станциях и серверах сети. Сетевая версия системы Secret Net включает функции централизованного управления, содержит единый журнал регистрации и систему мониторинга событий.

6. Заменяет ли сетевая версия Secret Net систему администрирования сетевой ОС?

Сетевая версия системы Secret Net дополняет систему администрирования ОС новыми функциями защиты информации и разграничения доступа к ресурсам сети и не заменяет ее.

7. Я установил сетевой вариант системы Secret Net. Означает ли это, что теперь в сети будет две службы администрирования?

Установка системы Secret Net не избавляет от необходимости заниматься администрированием сети и создает потребность в том, чтобы кто-то выполнял дополнительные функции – функции администратора безопасности. Эти службы обычно объединяют в небольших сетях. Но будут ли сетевым администрированием и администрированием системы безопасности заниматься две разных службы или одна, зависит от того, какое решение по этому вопросу будет принято в вашей организации.

8. Может ли система Secret Net работать без аппаратной поддержки?

Без аппаратной поддержки система Secret Net остается полностью работоспособной. Аппаратная поддержка необходима для защиты от загрузки внештатной ОС с гибких дисков и CD-ROM.

При этом система Secret Net сертифицирована именно как программно-аппаратный комплекс и без средств аппаратной поддержки не может полностью соответствовать 3-му классу защищенности.

Функциональный контроль предназначен для обеспечения гарантии того, что к моменту завершения загрузки ОС все ключевые компоненты Secret Net 6 загружены и функционируют. Функциональный контроль осуществляется перед входом пользователя в систему.

При функциональном контроле проверяется наличие в системе и работоспособность следующих компонентов:

· модуль входа в систему;

· подсистема контроля целостности;

· подсистема аппаратной поддержки.

В случае нарушении функциональной целостности:

· В журнале Secret Net регистрируется факт нарушения. Это возможно при условии работоспособности ядра Secret Net 6.

· Администратор информируется об ошибочном завершении функционального контроля.

· Вход в систему разрешается только пользователям, входящим в локальную группу администраторов компьютера.

Запуск функционального контроля инициирует модуль входа в систему. При обнаружении нарушений этот модуль управляет административным входом пользователя в систему. Кроме того, он информирует администратора об ошибках контроля.

Если нарушен и сам модуль входа в систему, то при входе пользователя в систему функциональный контроль проводит модуль репликации. Он проверяет, был ли выполнен функциональный контроль, и если нет — инициирует его выполнение. Далее при обнаружении нарушений он управляет административным входом пользователя в систему и информирует администратора об ошибках контроля.

Secret Net Studio

Совместимость с ключами JaCarta

12 апреля 2021 года компания «Аладдин Р. Д.» сообщила, что совместно с «Кодом Безопасности» завершили тестирование на совместимость последних версий своих продуктов. По результатам тестирования подтверждена корректность работы USB-токенов и смарт-карт JaCarta от «Алладин Р. Д.» со средством защиты информации Secret Net Studio и средством доверенной загрузки ПАК «Соболь» (релиз 4.3) от «Кода Безопасности». Подробнее здесь.

Продление сертификата ФСТЭК для Secret Net Studio 8.6

Программный комплекс средств защиты информации Secret Net Studio 8.6, разработчиком которого является российский вендор «Код Безопасности», прошел очередной этап сертификации соответствия в Федеральной службе по экспортному и техническому контролю (ФСТЭК). Об этом 25 февраля 2021 года сообщили в «Коде Безопасности».

В соответствие с сертификатом, Secret Net Studio соответствует требованиям к средствам обеспечения безопасности информационных технологий по 4 уровню доверия, к межсетевым экранам типа В по 4 классу, по профилю антивирусной защиты типа Б 4-го класса, профилю защиты средств антивирусной защиты типа Г-4 класса и к средствам защиты от несанкционированного доступа 5-го класса.

В версии 8.6 был усилен контроль административных привилегий: программа позволяет разграничивать роли администратора информационной системы (ИС) и администратора безопасности, накладывая дополнительные ограничения на возможности администратора ИС влиять на политику безопасности, тем самым снизив риск от внутренних угроз. Также в версии 8.6 реализовано централизованное управление и безопасностью в несвязанных лесах Active Directory, для обеспечения безопасности в крупных, холдинговых структурах. Кроме этого был добавлен почтовый антивирус для защиты от вредоносного ПО, передаваемого по почте.

2020: Secret Net Studio 8.6

15 января 2020 года компания «Код Безопасности» объявила о выходе версии 8.6 продукта Secret Net Studio. В версии 8.6 был усилен контроль административных привилегий, появились расширенные возможности централизованного развертывания и управления продуктом, а также дополнительный функционал для выполнения требований по защите объектов КИИ. Важнейшим нововведением Secret Net Studio 8.6 стал усовершенствованный механизм самозащиты приложения и контроля административных привилегий.

По информации компании, большие нововведения коснулись централизованного режима развертывания и конфигурирования. В сетевом режиме появилась возможность функционирования в несвязанных лесах Windows Active Directory (AD), а также централизованного развертывания через Windows System Center Configuration Manager.

Важным обновлением стало появление в составе Secret Net Studio 8.6 почтового клиентского антивируса.

В подсистеме идентификации и аутентификации были реализованы функции, обеспечивающие выполнение мер по защите объектов критической информационной инфраструктуры (КИИ) в соответствии с приказом ФСТЭК России №239. В рамках поддержки обновленных платформ и технологий была обеспечена работа Secret Net Studio 8.6 с обновлениями 1903 и 1909 операционной системы Windows 10, реализована поддержка аппаратных средств аутентификации – GuardantID, соответствующего требованиям 2-го уровня контроля отсутствия НДВ (с возможностью применения в системах, обрабатывающих гостайну), и Rutoken Микрон 2151.

Secret Net Studio 8.6 выпускается в двух редакциях: Secret Net Studio (для защиты конфиденциальной информации) и Secret Net Studio – C (для защиты гостайны). Редакция Secret Net Studio (в отличие от Secret Net Studio – C) содержит антивирусный модуль и модуль системы обнаружения и предотвращения вторжений. Обе редакции Secret Net Studio 8.6 должны будут пройти оценку соответствия требованиям ФСТЭК России (инспекционный контроль). Продукт поступит в продажу после прохождения инспекционного контроля.

Выпуск версии 8.5

31 января 2019 года компания «Код безопасности» объявила о выходе очередной версии продукта Secret Net Studio, предназначенного для комплексной защиты рабочих станций и серверов от внешних и внутренних угроз. В Secret Net Studio 8.5 значительно усилена самозащита процессов и драйверов, расширена функциональность подсистем безопасности, а также оптимизирован процесс развертывания продукта.

По информации компании, одним из важнейших обновлений Secret Net Studio версии 8.5 – модуль «Доверенная среда», который позволяет реализовывать внешний по отношению к ОС контроль процессов Secret Net Studio и драйверов в реальном времени. На работу модуля невозможно оказать влияние из рабочей среды, так как «Доверенная среда» функционирует независимо от ОС.

В данную версию Secret Net Studio были интегрированы технологии «Лаборатории Касперского». В результате у пользователей расширился выбор доступных к установке антивирусных модулей ведущих мировых производителей, а в функционал модуля системы обнаружения и предотвращения вторжений была добавлена возможность блокировки вредоносных адресов.

Помимо вышеуказанных обновлений, в версии 8.5 появились такие функциональные возможности, как генератор отчетов о настройках и защищаемых объектах, режим централизованного развертывания через групповые политики Active Directory (GPO), а также массовый импорт объектов в подсистеме контроля устройств.

В рамках поддержки новых платформ и технологий была обеспечена работа Secret Net Studio 8.5 на Windows Server 2019 и выполнена интеграция управления ПАК «Соболь» версии 4.2. В обновленном продукте также реализована поддержка средств аппаратной аутентификации JaCarta PRO, JaCarta-2 PRO/ГОСТ, JaCarta-2 SE, JaCarta U2F, JaCarta WebPass.

В данной версии учтены требования ФСТЭК России по обеспечению безопасности ГИС и объектов КИИ РФ. В частности, реализован функционал оповещений пользователей о наличии в системе мер по защите информации, а также о предыдущей успешной попытке входа в систему.

Secret Net Studio 8.5 выпускается в двух редакциях: Secret Net Studio (для защиты конфиденциальной информации) и Secret Net Studio – C (для защиты гостайны). Редакция Secret Net Studio (в отличие от Secret Net Studio – C) содержит антивирусный модуль и модуль системы обнаружения и предотвращения вторжений. Обе редакции Secret Net Studio 8.5 должны будут пройти оценку соответствия требованиям ФСТЭК России (инспекционный контроль). О результатах прохождения испытаний будет объявлено дополнительно. Продукт поступит в продажу после прохождения инспекционного контроля.

2018: Выпуск версии 8.4

Компания «Код безопасности» 20 апреля 2018 года объявила о выходе очередной версии продукта Secret Net Studio, предназначенного для комплексной защиты рабочих станций и серверов от внешних и внутренних угроз. По словам разработчиков, в Secret Net Studio версии 8.4 увеличена производительность ряда механизмов продукта, а также повышено удобство инструментов управления и мониторинга.

Одной из главных особенностей версии 8.4 является возможность централизованного управления клиентами под ОС Linux с установленным СЗИ Secret Net LSP версии 1.7.

Важным дополнением стал функционал шаблонов политик безопасности, позволяющий оперативно привести систему защиты в соответствие требованиям регуляторов либо вернуть ее в эталонное состояние, определенное администратором, отметили в «Коде безопасности». У администраторов также появилась возможность получать оперативные данные о защищенности инфраструктуры с помощью настраиваемых дашбордов.

Заказчики Secret Net Studio 8.4 и последующих версий получат возможность проводить паспортизацию имеющегося на серверах и рабочих станциях программного обеспечения, смогут контролировать неизменность существующего и появление нового ПО в системе.

В рамках поддержки платформ и технологий была обеспечена работа Secret Net Studio 8.4 на Windows Server 2016. Обновленный продукт поддерживает и современные средства аппаратной аутентификации JaCarta-2 ГОСТ, JaСarta-2 PKI/ГОСТ и JaCarta LT.

Secret Net Studio 8.4 выпускается в двух редакциях: Secret Net Studio (для защиты конфиденциальной информации) и Secret Net Studio – C (для защиты гостайны). Редакция Secret Net Studio (в отличие от Secret Net Studio – C) содержит антивирусный модуль и модуль системы обнаружения и предотвращения вторжений. Обе редакции Secret Net Studio 8.4 будут переданы на инспекционный контроль в системе сертификации ФСТЭК России. О результатах прохождения испытаний будет объявлено дополнительно.

Также необходимо отметить, что пользователям Secret Net 6 и Secret Net 7 доступна миграция на Secret Net Studio с сохранением выполненных настроек.

Прохождение версией 8.2 инспекционного контроля во ФСТЭК России

Компания «Код безопасности» 18 сентября 2017 года объявила о прохождении продуктом Secret Net Studio версии 8.2 инспекционного контроля во ФСТЭК России. В этой версии пользователи получили возможность обработки на рабочих станциях под управлением Windows 10 с Creators Update конфиденциальной информации или данных, содержавших гостайну.

В сертифицированной версии Secret Net Studio реализованы такие возможности, как интеграция с системой управления токенами JaCarta Management System, контроль печати для приложений магазина Windows, затирание удаляемых файлов по требованию пользователя, переключение между автономным и сетевым режимом работы без переустановки клиента. Также был выполнен ряд доработок, повышающих удобство централизованного управления системой. Продукт полностью совместим с обновлением Windows 10 Creators Update (1703).

Secret Net Studio 8.2 выпускается в двух редакциях: Secret Net Studio, для защиты конфиденциальной информации, и Secret Net Studio – C, для защиты гостайны. Редакция Secret Net Studio дополнительно содержит антивирусный модуль и модуль системы обнаружения и предотвращения вторжений.

На версию 8.2 можно перейти с продуктов Secret Net Studio – C (версия 8.0.660.0) и Secret Net Studio (версия 8.1.721.0). При апгрейде до последней версии в аттестованной информационной системе заказчикам необходимо уведомить орган по аттестации об обновлении Secret Net Studio. Переаттестация информационной системы не требуется.

Выпуск версии 8.2

10 июля 2017 года компания «Код безопасности» объявила о выходе версии продукта Secret Net Studio, предназначенного для комплексной защиты рабочих станций и серверов от внешних и внутренних угроз. В Secret Net Studio 8.2 существенно усилены защитные механизмы компонентов системы, обеспечена совместимость с продуктами других производителей, упрощен процесс развертывания.

Версия 8.2 претерпела ряд изменений и улучшений. В их числе – доработка входящего в состав Secret Net Studio персонального межсетевого экрана в соответствии с требованиями ФСТЭК России.

Сертификат ФСТЭК России

Компания «Код безопасности» объявила в декабре о том, что средство обеспечения комплексной защиты рабочих станций и серверов Secret Net Studio-С версии 8.0 прошло сертификационные испытания и получило сертификат соответствия ФСТЭК России №3675 от 12 декабря 2016 г.

Документ подтверждает, что продукт Secret Net Studio соответствует требованиям регулятора по 3-му классу защищенности по СВТ, 2-му уровню контроля на отсутствие недекларированных возможностей (НДВ) и требованиям к межсетевым экранам по 2-му классу защищенности.

Сертифицированное средство защиты от внешних и внутренних угроз Secret Net Studio может применяться для защиты автоматизированных систем (АС) до класса 1Б (в том числе для защиты государственной тайны с грифом «совершенно секретно»), ИСПДн до 1 уровня защищенности, государственных информационных систем и АСУ ТП до 1-го класса включительно.

Выход версии 8.1

Летом 2016 года вышла версия Secret Net Studio 8.1 с расширенными возможностями анализа и корреляции событий безопасности. В Secret Net Studio 8.1 расширены возможности анализа и корреляции событий, добавлены поддержка Windows 10 и функция централизованного управления парольными политиками.

Помимо перечисленных изменений, в версии Secret Net Studio появилась поддержка Windows 10 и возможность настройки парольных политик. В Центре управления могут быть заданы требования к паролям – длина, сложность и срок действия.

2015: Выпуск