Технология защиты от утечек конфиденциальной информации и персональных данных

От компании ЗАО «НПП «ИНФОРМАЦИОННЫЕ ТЕХНОЛОГИИ В БИЗНЕСЕ»

На проблему и современное состояние вопроса утечек конфиденциальной информации и персональных данных на сегодняшний день существуют диаметрально противоположные взгляды. Проиллюстрируем сказанное.

Например, из материалов «Проблема внутренних угроз компьютерной сети Вашей организации», опубликованных по ссылке: http://is-v.ru/sd.html?14:

«Актуальность проблемы внутренних угроз подтверждает статистика: по различным оценкам, от 70 до 80 % потерь от преступлений в сфере ИТ приходится на атаки изнутри. При этом топ-менеджеры ИТ-компаний, уделяющие серьезное внимание обеспечению сетевой безопасности своих систем, очень часто недооценивают тот ущерб, который может быть нанесен бизнесу их собственными сотрудниками».

А вот совсем иное (диаметрально противоположное) мнение. Из статьи А. Лукацкого «Миф №47 "80% всех нарушителей находятся внутри организации", опубликованной по ссылке: http://www.bankir.ru/news/experts/lukatsky/2196686:

«В 2004-м году ситуация практически не изменилась. Доля внутренних угроз для малого бизнеса осталась неизменной, а внешних упала до 53%. Для среднего бизнеса соотношение внутренних угроз к внешним будет 46/43, а для крупного - 44/38. Последний отчет ISBS 2008 вновь подтвердил, что угроза снаружи для большинства компаний происходит чаще.

Отчет «2009 Data Breach Investigations Report», опубликованный компанией Verizon показал, что ситуация за 5 лет еще больше изменилась, но опять не в пользу внутренних нарушителей. В 74% случаев источников инцидентов с ИБ были внешние причины и только в 20% - внутренние. Еще в 32% источником стали партнеры по бизнесу, имеющие доступ в корпоративную сеть, и к которым можно отнести поставщиков, клиентов и т.п. Надо заметить, что по статистике Verizon, ведущейся с 2004 года, внешняя угроза постепенно спадает - с 91% в 2004 году до 74% в 2008. Внутренняя угроза же растет, но тоже не семимильными шагами - от 13% в 2004-м году до 20% в 2008.

Что мы в итоге видим? Соотношение 80/20 в пользу внутренних угроз не наблюдается уже много лет, а распространенное мнение о том, что большинство угроз исходит изнутри, не соответствует действительности. Хотя, конечно, и сбрасывать их со счетов ни в коем случае не стоит».   

Однако, не смотря на различающиеся оценки, эксперты сходятся во мнении, что проблема защиты от утечек конфиденциальной информации и персональных данных весьма актуальна и требует пристального внимания. А вот техническое решение данной задачи защиты (если мы, конечно, говорим об эффективной защите) далеко не так тривиально, как, к сожалению,  многим кажется.

Сегодня на практике, подчас, используются, специализированные системы предотвращения  утечек (англ. Data Leak Prevention, DLP). Вот лишь один из многих комментариев по поводу их эффективности: выдержки из статьи «Как правильно внедрить DLP-систему?» 24.03.2009 19:35 | CNews.ru.

«По определению известного отраслевого эксперта Рича Могулла, классической DLP-системой можно назвать черный ящик, который прогоняет через себя информацию, "глубоко анализирует" ее и блокирует какую-то часть трафика…

Нынешние заказчики уже перестали верить в красивые слова "морфологическая фильтрация" и "семантический анализ". В условиях кризиса они не могут доверять свою безопасность черным ящикам, которые угадывают конфиденциальность информации с помощью брендированных проприетарных алгоритмов. По оценкам компании Gartner (Hype Cycle of Information Security), эффективность механизмов контентной фильтрации не превышает 80%, а это автоматически означает не менее 20% пропущенных конфиденциальных файлов.

Однако неэффективность контентной фильтрации на самом деле является не причиной, а следствием глубинных просчетов, которые произошли еще на старте разработки DLP-систем…».
Задача защиты от утечек может (и должна) рассматриваться в предположении, что на компьютере сотрудника предприятия (в данном случае речь идет об инсайдере – потенциальном злоумышленнике, являющимся сотрудником предприятия) обрабатывается, либо потенциально может оказаться, защищаемая конфиденциальная информация или персональные данные. Целью инсайдерской атаки является передача информации за пределы АС с целью её последующего несанкционированного использования – продажи, опубликования её в открытом доступе и т.д. Как правило, выделяют следующие возможные каналы утечки защищаемой информации:

• несанкционированная передача защищаемой информации по сети на внешние серверы, расположенные вне контролируемой зоны – с использованием электронной почты, интернет-сервисов (например, злоумышленник может передать защищаемую информацию на внешние серверы сети Интернет, а затем загрузить её оттуда, находясь в любом другом месте);
• несанкционированное копирование защищаемой информации на внешние носители (накопители) и вынос её за пределы контролируемой зоны (территории предприятия). Примерами таких носителей, в первую очередь, являются Flash-носители;
• в меньшей степени (по очевидным причинам), вывод на печать защищаемой информации и вынос распечатанных документов за пределы контролируемой зоны. В данном случае могут использоваться как локальные принтеры, которые непосредственно подключены к компьютеру злоумышленника, так и удалённые, взаимодействие с которыми осуществляется по сети.
• Все это в полной мере подтверждается экспертной оценкой того, с чем, в первую очередь, потребители средств защиты связывают потенциальную возможность утечки персональных данных, см. рис.1 (Из исследования «Инсайдерские угрозы в России 2009», опубликованного на сайте http://www.securitylab.ru/ от 12 февраля 2009 г.).

 

Рис.1

В общем случае, на построение защиты от утечек сказываются реализованные на предприятии технологии и условия обработки на вычислительных средствах конфиденциальной информации и персональных данных. Но об этом чуть ниже. Безусловным является следующий тезис – защитить можно только тот объект, который локализован (обладает заданным фиксированным набором), как в части подключаемых устройств, так и в части используемых приложений, как следствие, может быть формально описан.

Заметим, что эта безусловная истина нашла свое отражение и в существующих документах в области защиты информации, например, в действующем сегодня нормативном документе: «Гостехкомиссия России. Руководящий документ. Автоматизированные системы. Защита от несанкционированного доступа к информации. Показатели защищенности от НСД к информации».

Данный нормативный документ используется при аттестации объектов информатизации.

В части защиты конфиденциальной информации это требования к классу защищенности АС 1Г.

Применительно к вопросам реализации разграничительной политики доступа к ресурсам эти требования гласят:

• Должна осуществляться идентификация терминалов, ЭВМ, узлов сети ЭВМ, каналов связи, внешних устройств ЭВМ по их логическим адресам (номерам);
• Должна осуществляться идентификация программ, томов, каталогов, файлов, записей, полей записей по именам;
• Должен осуществляться контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа.

Таким образом, данное требование предполагает, что ко всем используемым в системе защищаемым ресурсам (файловые объекты, объекты реестра ОС, внешние накопители, сетевые ресурсы, принтеры и т.д.; вообще говоря, практически невозможно сказать, применительно к какому-либо компьютерному ресурсу, что он не требует защиты, т.е. не может использоваться либо в качестве, либо для создания «канала» несанкционированного доступа к защищаемой информации, в том числе, с целью ее хищения) средством защиты должен быть реализован контроль доступа. Другими словами, это требование можно перефразировать следующим образом: «Есть ресурс – к нему должен контролироваться (разграничиваться) доступ, не контролируется доступ – не должно быть ресурса». Например, нет контроля доступа к реестру ОС (этот ресурс всегда присутствует в системе), значит средство защиты не самодостаточно – необходимо дополнительное средство защиты, реализующее подобный контроль; нет контроля доступа к сетевым ресурсам, например, к хостам по их именам или адресам - средство не самодостаточно для защиты компьютеров в сети – необходимо дополнительное средство, реализующее подобный контроль, и т.д..

В порядке замечания отметим, что наличие механизма контроля доступа к сетевым ресурсам является необходимым условием использования средства защиты в сетевых приложениях, но его отсутствие не обусловливает возможность применения этого средства для защиты автономных компьютеров, в случае, если не контролируется монтирование устройств доступа к сети, т.к. не составляет труда подключить данный компьютер к сети, если в нем существуют необходимые для этого устройства, либо они могут быть примонтированы к системе.

Несколько слов о современных универсальных ОС. Следуя рассмотренному выше требованию, ко всем устройствам, которые позволяет подключать система, должен контролироваться доступ, только  в этом случае средство защиты становится достаточным по набору механизмов для защиты конфиденциальной информации и персональных данных. Но ведь «львиная доля» устройств, которые можно смонтировать к современной универсальной ОС, никогда не будет использоваться в корпоративных приложениях, следовательно, в составе средства защиты должен присутствовать механизм, контролирующий (управляющий) монтирование к системе устройств (иначе потребуется разграничивать доступ «ко всему на свете»).

Суть рассматриваемого механизма защиты - механизма управления монтированием (подключением/отключением) устройств сводится к тому, что достаточность механизмов защиты, применительно к условиям использования средства защиты, достигается предотвращением несанкционированного подключения (монтирования) к системе иных устройств, кроме тех, которые определяются областью практического использования системы.

Но ведь, например, и встроенные в ОС Windows возможности защиты позволяют контролировать монтирование устройств? Здесь уже следует говорить о корректности реализации механизма защиты для корпоративных приложений.

Модель безопасности принято называть индуктивной, если для системы, однажды установленной в безопасное состояние, гарантируется ее нахождение в безопасном состоянии в последующие моменты времени. Основополагающим условием реализации индуктивной модели безопасности, являющейся основополагающей для корпоративных приложений, является реализация разрешительной разграничительной политики: «Все, что не разрешено – явно не прописано, то запрещено», которая в данном случае, применительно к рассматриваемому механизму защиты, состоит в следующем: «Все устройства, которые явно не разрешено монтировать (подключать) к системе, монтировать запрещено». Другими словами, данное требование предполагает, что механизмом защиты должны задаваться (естественно, что настройка механизма должна допускаться только с правами администратора) разрешенные к монтированию устройства, с предотвращению возможности подключения любого устройства, не вошедшего в список разрешенных для монтирования.

А, например,  в ОС Windows (на примере реализации в Windows XP), все наоборот - администратору предоставляется возможность отключать (запрещать монтировать) те устройства, которые ранее были подключены к системе, т.е. реализуется не разрешительная, а запретительная политика, кроме того, устройства не могут идентифицироваться по номерам (но об этом ниже).

Рассмотрим, как решена данная задача защиты соответствующим механизмом в составе КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С».

При этом, прежде всего, напомним читателю, что иерархия задания устройств, принятая в ОС Windows, следующая: класс устройств, модель устройств, устройство (устройство может сопровождаться серийным номером). Представление иерархии устройств в ОС Windows проиллюстрировано на рис.2.

Из рис.2 видим, что далеко не все классы устройств следует контролировать, например, клавиатуру или монитор. С учетом этого и с учетом того, что основной политикой является разрешительная политика: «Все устройства, которые явно не разрешено монтировать (подключать) к системе, монтировать запрещено», при реализации механизма предусмотрена возможность задания классов контролируемых устройств (для выбранных классов реализуется разрешительная разграничительная политика), остальные классы не контролируются. В порядке замечания отметим, что новый класс устройств может быть создан только администратором.

Рис.2

Механизм защиты реализован программно, в виде системного драйвера (здесь, как в иных механизма защиты КСЗИ, не используются возможности встроенных в ОС механизмов защиты), имеет собственный интерфейс,  для доступа к которому администратору необходимо авторизоваться.

Интерфейс механизма защиты представлен на рис.3.

Для настройки механизма защиты, как ранее отмечали, сначала администратору следует выбрать контролируемые классы устройств, см. рис.3. В результате этого механизмом защиты будет контролироваться подключение устройств только входящих в выбранные классы. Затем для каждого контролируемого класса устройств следует задать политику, см. рис.4, а для каждого устройства задать разрешение/запрет его подключения, см. рис.5. Заданные настройки отобразятся в окне интерфейса, см. рис.3.

 

Рис.4

Некоторые устройства могут иметь родительские и/или дочерние устройства (при подключении устройства, «записи» о нем могут попадать в различные классы устройств). Для разрешения подключения устройства (при реализации разрешительной политики) необходимо установить соответствующие разрешения для всех соответствующих устройств в иерархии. Для этого в интерфейсе настройки механизма предусмотрено автоматическое отображение и переход от устройства к его родительским и/или дочерним устройства (если такие есть), см. рис.6.

 

Рис.6

В случае, если устройство имеет серийный номер изготовителя, то при реализации разрешительной политики, при задании данного устройства в качестве разрешенного для подключения, будет разрешено подключать к системе  устройство только с данным серийным номером (аналогичные устройства с иным номером, либо не имеющим номера, подключить становится невозможным).

Наличие серийного номера устройства и собственно номер можно посмотреть из интерфейса, выбрав для соответствующее устройства закладку «Информация», см. рис.6.  Справочная информация, представляемая по устройству и вид ее представления проиллюстрированы на рис.7.

 

Рис.7

Теперь, в двух словах, остановимся на вопросе, почему так важно иметь возможность идентифицировать устройства по серийным номерах при их монтировании к системе. Во-первых, это является требованием соответствующего нормативного документа в области защиты информации, напомним: «Должна осуществляться идентификация …внешних устройств ЭВМ по их логическим адресам (номерам)», см. выше. Без возможности идентификации по серийным номерам два однотипных устройства, например, Flash-устройства, становятся неразличимыми. Фактически неразличимы они и при реализации организационных мер защиты. Напомним, что для АС класса защищенности 1Г (обработка конфиденциальной информации) данные требования состоят в следующем:

• должен проводиться учет всех защищаемых носителей информации с помощью их маркировки и с занесением учетных данных в журнал (учетную карточку);
• учет защищаемых носителей должен проводиться в журнале (картотеке) с регистрацией их выдачи (приема).

Во-вторых, необходимость идентификации устройств по серийным номерам связана и с некоторыми особенностями работы современных ОС, в частности ОС Windows. Например, только Flash-устройство с одним и тем же серийным номером будет всегда монтироваться к одной и той же букве диска. Это важно при реализации разграничительной политики доступа к файловым объектам и их криптографической защиты, но об этом чуть ниже.

Итак, применив данный механизм защиты, мы обеспечим возможность подключения только тех устройств, которые необходимы для выполнение работ на защищаемом компьютере (иные подключить невозможно), возможность использования только конкретных мобильных накопителей (например, Flash-устройств), если их использование предусмотрено технологией обработки защищаемой информации, в отношение которых уже могут быть применены соответствующие организационные меры защиты – теперь маркировка накопителя может быть однозначно сопоставлена с конкретным накопителем, т.к. эти накопители уникальны – имеют уникальные идентификаторы (серийные номера) – всегда можно проверить соответствие маркировки накопителю. Причем используемые накопители будут монтироваться на одни и те же буквы диска, поэтому к ним в дальнейшем можно реализовать разграничительную политику доступа как к файловым ресурсам и криптографическую защиту сохраняемых на них данных.

Но управление (контроль) монтированием устройств – это лишь пол дела при локализации защищаемого объекта! Другая, не менее важная задача – это локализация среды исполнения (локализация используемого на защищаемом компьютере ПО). Наверное, излишним будет сказать, что, если пользователь (в данном случае инсайдер) может запустить на компьютере любую свою программу, то защита у вас отсутствует. Механизм защиты, призванный решать данную задачу, принято называть механизмом обеспечения замкнутости программной среды, который должен обеспечивать реализацию разграничительной политики доступа к исполняемым файловым объектам.

Рассмотрим, как решена данная задача защиты соответствующим механизмом в составе КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С».

Прежде всего, в двух словах, о ключевых особенностях реализации рассматриваемых механизмов защиты в КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С».

В КСЗИ реализованы следующие схемы задания разграничительной политики доступа к ресурсам:

• Разграничение прав доступа к объектам процессов вне разграничений пользователей (эксклюзивный режим обработки запросов процессов - доступ к объекту разрешается, если он разрешен процессу);
• Разграничение прав доступа к объектам пользователей, вне разграничений процессов (эксклюзивный режим обработки запросов пользователей - доступ к объекту разрешается, если он разрешен пользователю);
• Комбинированное разграничение прав доступа - разграничение прав доступа к объектам процессов в рамках разграничений пользователей (доступ к объекту разрешается, если он разрешен и пользователю, и процессу).

Таким образом, в качестве субъекта доступа может рассматриваться либо только пользователь, либо только процесс, либо «пара» – процесс и пользователь. Нас далее будет интересовать реализация разграничительной политики доступа к ресурсам для субъекта процесс. Это важно тем, что при задании разграничений для процессов, они будут действовать на всех пользователей, включая системных.

В нескольких словах об особенностях интерфейса. Права доступа назначаются не объектам (в качестве атрибутов), а субъектам (в качестве их прав доступа). Настраиваются всего три типа доступа: чтение, запись, выполнение. Остальные типы доступа (удаление, переименование, создание и т.д.) КСЗИ устанавливаются по умолчанию на основании заданных настроек. Для настраиваемых типов доступа может быть задана разрешительная (Ресурсы, разрешенные для…), либо запретительная (Ресурсы, запрещенные для…) политика. Субъект (для решения рассматриваемой нами задачи защиты) «Процесс» задается своим полнопутевым именем, могут также использоваться маски и регулярные выражения. Для каждого субъекта устанавливаются его права доступа (разрешения или запреты по трем типам доступа) к объектам, указываемым своими полнопутевыми именами, масками, либо регулярными выражениями.

Интерфейс механизма разграничения прав доступа к файловым объектам (локальным и разделенным в сети, на жестком диске и на внешних накопителях) представлен на рис.8.

Для простоты будем считать, что исполняемые файлы, динамические библиотеки, драйверы  (т.е. все, что требует запуска) системы и приложений установлены в папках Windows и Program Files. Для возможности последующего тиражирования настроек зададим соответствующие объекты с использованием переменных среды окружения.

 

Рис.8

Теперь о решении рассматриваемой задачи защиты. Она решается при настройках механизма защиты КСЗИ, представленных на рис.8. Рассмотрим эти настройки. Видим, что для всех процессов (субъект доступа задан маской «*») в качестве исполняемых в системе заданы (определены, как «Ресурсы, разрешенные для выполнения», см. рис.8) файлы с определенными расширениями – эти объекты задаются масками: *.exe, *.sys и т.д. Т.е. в системе можно будет выполнить только файлы с заданными расширениями. Кроме того, возможность исполнения файлов определяется не только их расширениями, но и их местом расположения – исполнять файлы мы разрешили только из папок Windows и Program Files загруженной ОС. При этом реализована разрешительная разграничительная политика – исполнение файлов из каких-либо иных мест (в том числе, и с внешних накопителей) невозможен.  Определив же эти же объекты (и еще некоторые дополнительно, например *.com, *.bat) в качестве «Ресурсов, запрещенных для записи», см. рис.8, мы достигаем невозможности модификации существующих файлов с заданными расширениями (определенных нами в качестве исполняемых), их переименования, любым способом создания новых файлов с заданными расширениями.

Что же мы получаем при реализации подобных простейших настроек (всего несколькими записями в интерфейсе)? Решаются задачи защиты и от внедрения на компьютер любой внешней программы, и от запуска подобной программы. Внедрить новые, либо модифицировать существующие исполняемые файлы, динамические библиотеки, драйверы не удастся даже с системными правами (разграничения устанавливаются не для пользователей, а для процессов – при данном режиме задания разграничений не анализируется, от какого пользователя осуществлен запрос доступа к файловому объекту).

В порядке замечания отметим, что этот механизм защиты является основой защиты от вредоносного ПО, вне зависимости от способов попытки его внедрения и запуска (локально инсайдером, либо удаленно из сети). В этом смысле мы не устаем повторять, что защита компьютера должна быть комплексной! Это обусловливается тем, что одни и те же механизмы защиты (если они реализованы в рамках построения комплексной системы защиты информации, КСЗИ, к которым относятся и средства семейства «Панцирь») используются для защиты от различных угроз, при этом, как правило, для нейтрализации каждой отдельной угрозы необходимо одновременное использование нескольких механизмов из состава КСЗИ.

Продолжим. Теперь можно сказать, что мы реализовали первый этап защиты от утечек – локализовали набор подключаемых устройств и используемых приложений, оставив только необходимые для работы устройства и приложения, возможности которых нам известны. Теперь уже можно ставить и решать задачу реализации разграничительной политики доступа к ресурсам, направленной на защиту от утечек конфиденциальной информации и персональных данных.

Начнем по порядку, с учетом выделенных ранее возможных каналов утечки защищаемой информации.

Несанкционированная передача защищаемой информации по сети на внешние серверы, расположенные вне контролируемой зоны – с использованием электронной почты, интернет-сервисов (например, злоумышленник может передать защищаемую информацию на внешние серверы сети Интернет, а затем загрузить её оттуда, находясь в любом другом месте).

В зависимости от технологии обработки защищаемой информации на предприятии, здесь могут быть рассмотрены задачи защиты в различных постановках (общим здесь и далее является то, что на защищаемом компьютере обрабатывается конфиденциальная информация и персональные данные). Рассмотрим некоторые из них.

- на компьютере осуществляется локальная обработка информации, доступ в сеть не предусмотрен. Решение задачи защиты состоит в отключении от системы и в предотвращении монтирования устройств доступа к сети, см. рис.3.

- на компьютере осуществляется локальная обработка защищаемой информации (конфиденциальной информации и персональных данных), доступ в сеть регламентируется только для обмена открытой информацией. Решение задачи защиты состоит в следующем. Во-первых, в отключении от системы и в предотвращении монтирования не используемых устройств доступа к сети, см. рис.3. Во-вторых, в реализации режима изолированной обработки на компьютере защищаемой и открытой информации, при которой предотвращается утечка в сеть защищаемой информации и возможность ее несанкционированной модификации при работе с открытой информацией. Решение данной задачи защиты рассмотрим на примере.

Пусть нам требуется разрешить доступ в сеть Интернет приложению Internet Explorer для работы с открытой информацией, причем разрешить доступ требуется только к одному сайту: www.mail.ru. Для реализации данной разграничительной политики воспользуемся механизмом разграничения прав доступа к сетевым ресурсам из состава КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С», интерфейс которого с настройками приведен на рис.9.

 

Рис.9

Приложению Internet Explorer разрешен доступ к требуемому ресурсу, всем остальным процессам (задаются маской «*») какой-либо доступ в сеть запрещен.

После того, как мы локализовали набор приложений, которым разрешен доступ в сеть, максимально разграничим права доступа приложению Internet Explorer к информационным и системным ресурсам компьютера.

Начнем с объектов файловой системы, где хранится защищаемая информация – (конфиденциальная информация и персональные данные). Предположим, что защищаемая информация на компьютере располагается в папке D:\ПД. Для реализации разграничительной политики к файловым объектам воспользуемся механизмом разграничения прав доступа к объектам файловой системы (рассмотрен выше), интерфейс которого с настройками прав доступа для процесса Internet Explorer, обеспечивающими его корректное функционирование, приведен на рис.10.

Рис.10

Как следует из рис.10, процессу Internet Explorer разрешен запуск только из папки, в которую установлено это приложение, вообще запрещена какая-либо запись (модификация) файловых объектов, запрещено чтение из папки D:\ПД. При необходимости, можно создать отдельную папку для работы с сетью Интернет, в нее разрешить запись, разрешить из нее чтение и не разрешать выполнение из этой папки процессу Internet Explorer.

Другая группа важнейших объектов, требующих первоочередной защиты, особенно при возможности работы с открытыми ресурсами в сети -  это объекты реестра ОС. Для реализации разграничительной политики к объектам реестра ОС воспользуемся механизмом разграничения прав доступа к объектам реестра ОС из состава КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С», интерфейс которого с настройками прав доступа для процесса Internet Explorer, обеспечивающими его корректное функционирование, приведен на рис.11.

Рис.11

Как следует из рис.11, процессу Internet Explorer вообще не предоставляется возможность модификации объектов реестра ОС, при этом приложение корректно работает.

В части защиты от утечек необходимо предусмотреть потенциальную возможность использования злоумышленником копирования данных из иного приложения через буфер обмена. Для предотвращения подобной возможности следует воспользоваться механизмом контроля доступа к буферу обмена из состава КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С»,  см. рис.12, рис.13.

Рис.12

Рис.13

Как следует из рис.12, рис.13, буфером обмена при наших настройках в системе разрешается пользоваться всем процессам, кроме приложения Internet Explorer.

Режим изолированной обработки на компьютере защищаемой и открытой информации, при которой предотвращается утечка в сеть защищаемой информации и возможность ее несанкционированной модификации при работе с открытой информацией, реализован.

Следующая возможная постановка задачи защиты.

- на компьютере осуществляется сетевая обработка информации в рамках корпоративной сети, доступ в открытую сеть не предусмотрен. Решение задачи защиты состоит в следующем. Во-первых, должны быть отключены от системы и предотвращено монтирование не используемых в корпоративной сети устройств доступа к сети, см. рис.3. Во-вторых, реализуется режим защиты, по аналогии с выше описанным. Отличие состоит в том, что доступ в сеть (как на рабочей станции, так и на сервере) разрешается только необходимому сетевому приложению, обрабатывающему конфиденциальную информацию и персональные данные, причем устанавливаются такие разграничения прав доступа к сетевым ресурсам для этого приложения, чтобы была предотвращена возможность обмена информацией с открытыми сетевыми ресурсами. Для реализации данной разграничительной политики воспользуемся механизмом разграничения прав доступа к сетевым ресурсам из состава КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С», настройки которого осуществляются из интерфейса, приведенного на рис.14.

 

Рис.14

И, наконец, постановка задачи в общем виде:

- на компьютере осуществляется сетевая обработка защищаемой информации в рамках корпоративной сети, также разрешается доступ в сеть для обмена открытой информацией. Данная задача в своей постановке является совокупностью задач рассмотренных ранее. Решаться она должна соответствующей совокупностью мер, рассмотренных выше.

Замечания.

1. Все разграничения, приведенные выше, выполнены для субъекта доступа «Процесс». При этом права доступа к ресурсам пользователей не учитываются, как следствие, данные разграничения будут действовать при обращении к защищаемым ресурсам любого пользователя, в том числе, системного и администратора. Если требуется разграничить доступ и для пользователей (на защищаемом компьютере может работать несколько пользователей с различными правами доступа к ресурсам, то для этого должен использоваться режим комбинированного разграничения прав доступа - разграничение прав доступа к объектам процессов в рамках разграничений пользователей (доступ к объекту разрешается, если он разрешен и пользователю, и процессу). Проиллюстрируем на простом примере. Пусть приложению Internet Explorer для различных пользователей требует разрешить доступ к различным сетевым ресурсам, см. рис.9. Для настройки потребуется установить галку «Совместно с правами пользователя», см. рис.9, затем уже для пользователей из интерфейса, см. рис.14, задать необходимые права доступа к сетевым ресурсам (при необходимости, соответствующим образом задать права доступа к сетевым ресурсам для приложения Internet Explorer). После этого доступ к сетевому ресурсу будет разрешен только в том случае, если он разрешен конкретному пользователю, и приложению Internet Explorer.

2. При передаче по сети защищаемой информации целесообразно обеспечить ее криптографическую защиту. Данный функционал в КСЗИ «Панцирь-К» и в КСЗИ «Панцирь-С» отсутствует.

Далее по порядку у нас защита от несанкционированного копирования защищаемой информации на внешние носители (накопители) и вынос её за пределы контролируемой зоны (территории предприятия). Примерами таких носителей, в первую очередь, являются Flash-носители;

В зависимости от технологии обработки защищаемой информации на предприятии, здесь также могут быть рассмотрены задачи защиты в различных постановках (общим здесь и далее является то, что на защищаемом компьютере обрабатывается конфиденциальная информация и персональные данные). Рассмотрим некоторые из них.

- обработка информации на компьютере не предполагает ее сохранения на внешние носители (наиболее распространенный случай при обработке конфиденциальной информации и персональных данных). Решение задачи защиты состоит в отключении от системы и в предотвращении монтирования всех устройств, потенциально являющихся внешними накопителями, см. рис.3.

- обработка информации на компьютере предполагает сохранение защищаемой конфиденциальной информации и персональных данных на внешние носители (накопители). Решение задачи защиты состоит в следующем. Во-первых, в отключении от системы и в предотвращении монтирования всех устройств, потенциально являющихся внешними накопителями, см. рис.3, кроме тех устройств, например Flash-устройств, которые будут использованы для хранения защищаемой информации. Эти устройства должны иметь серийные номера изготовителей. Для этого следует примонтировать к системе разрешенные для использования устройства, каждое из которых создаст свою букву диска, например, F:, G: и т.д., реализовать необходимые организационные меры защиты:

• обеспечить учет всех защищаемых носителей информации с помощью их маркировки и с занесением учетных данных в журнал (учетную карточку);
• обеспечить учет защищаемых носителей в журнале (картотеке) с регистрацией их выдачи (приема).

Замечание. При реализации учета выдачи/приема следует помнить, что конкретная маркировка однозначно будет соответствовать конкретному носителю, имеющему уникальный идентификационный серийный номер, который всегда можно узнать при подключении устройства к компьютеру, на котором установлена КСЗИ.

В-третьих, механизмом разграничения прав доступа к объектам файловой системы из состава КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С», интерфейс которого для разграничения по пользователям приведен на рис.15, следует разрешить соответствующим пользователем необходимый доступ к необходимым устройствам (к соответствующим устройствам дискам, либо к соответствующим папкам на диске, в случае, если одно и то же устройство используется несколькими пользователями).

 

Замечание. При этом должны использоваться и настройки, приведенные для процессов на рис.8, но в интерфейсе, приведенном на рис.8 в этом случае должна быть установлена галка «Вместе с правами пользователя».

В принципе, задачу мы решили. Однако, на наш взгляд, при работе с внешними устройствами (при хранении на них конфиденциальной информации и персональных данных) без их криптозащиты не обойтись. Все организационные меры, конечно, нужны, но здесь говорим об эффективной защите информации.

Для дополнительной защиты средствами криптографии может использоваться компонента из состава КСЗИ – Система защиты данных (СЗД), которая реализует автоматическое шифрование любых файловых объектов (дисков, каталогов, файлов, локальных на жестком диске и внешних накопителях, разделенных в сети), «прозрачное» для пользователя. При этом можно обеспечить следующий режим защиты - имея зашифрованные данные и ключ шифрования, пользователь будет иметь возможность расшифрования данных только на определенных компьютерах. При этом, с учетом необходимости (как правило) реализации коллективного доступа к данным, ключ шифрования никоим образом не взаимосвязан с паролем пользователя. Для различных файловых объектов (например, для двух папок, располагающихся на одном устройстве), образующих различные группы в СЗД, могут быть установлены различные ключи шифрования. Ключ шифрования может храниться в файле, в реестре ОС, на внешнем накопителе (в том числе и на том, где хранится защищаемая информация, т.к. его будет недостаточно для расшифрования данных), на специальном ключевом устройстве eToken или RuToken, на пластиковой карте. Усилить защиту также можно контролем доступа к зашифрованным объектам «по ключу» (пока носитель с ключом шифрования не будет подключен к компьютеру, доступ к устройству будет невозможен, а также сокрытием защищенной информации (пока носитель с ключом шифрования не будет подключен к компьютеру, защищаемые файловые объекты на устройстве не будут отображаться как объекты файловой системы). Интерфейс СЗД приведен на рис.16.

Рис.16

Замечание. Реализованная в СЗД технология криптографической защиты позволяет организовать коллективно используемые хранилища данных (в зашифрованном виде), в том числе, и на внешних накопителях. При этом накопитель может монтироваться к защищаемому компьютеру ответственного лица (например, руководителя подразделения), а располагаемые на нем файловые объекты (папки) «расшариваются» (разделяются в сети) между пользователями, осуществляющими удаленный коллективный доступ к файловому накопителю защищаемой информации.

Следующая задача.

- обработка информации на компьютере предполагает сохранение открытой информации на внешние носители (накопители). На самом деле – это вырожденный случай, но и он потенциально может встретиться на практике. Решение задачи защиты состоит в следующем. При реализации эффективной защиты здесь уже не обойтись без разделения режимов обработки с защищаемой и с открытой информацией по учетным записям. Для решения задачи защиты необходимо. Во-первых, описанным выше способом разрешить монтировать только определенные внешние накопители. Во-вторых, для работы на компьютере сотруднику завести две учетные записи – одну для обработки конфиденциальной информации и персональных данных, другую – для работы с открытой информацией. В-третьих, задать соответствующие права доступа альтернативных учетных записей к файловым объектам, в том числе, к объектам на внешнем накопителе. Для одной учетной записи должно задаваться право доступа к объектам, предназначенным для хранения открытой информации и соответственно, к объектам на внешнем накопителе, для другой -  к объектам, предназначенным для хранения защищаемой информации.

Замечание. При использовании КСЗИ «Панцирь-С» для этого может использоваться мандатный принцип контроля доступа, реализующий разграничения на основе меток конфиденциальности:

• Субъект имеет право доступа «Зп/Чт» к объекту в том случае, если категория субъекта и категория объекта совпадают;
• Субъект имеет право доступа «Чт» к объекту в том случае, если категория субъекта выше, чем категория объекта;
• Субъект не имеет прав доступа к объекту в том случае, если категория субъекта ниже, чем категория объекта.

Проиллюстрируем в двух словах. Пусть метки безопасности (еще называют мандатами) являются элементами линейно упорядоченного множества M = {M1,…, Mk}. Метки безопасности назначаются субъектам и объектам (группам субъектов и объектов), служат для соответствующего формализованного представления их уровня  полномочий и категории. Будем считать, что чем выше полномочия субъекта и категория объекта (меньше их порядковый номер в линейно полномочно упорядоченных множествах субъектов и объектов - С = {С1,…, Ск} и О = {О1,…, Оk}), тем меньшее значение метки безопасности Mi, i = 1, …, k им присваивается, т.е.: M1 < M2 < M3<…<Mk.

Таким образом, в качестве учетной информации субъектов и объектов доступа, кроме их идентификаторов – имен, каждому субъекту и объекту задаются метки безопасности из множества M. Контроль доступа диспетчером реализуется на основе правил, определяющих отношение линейного порядка на множестве M,  где для любой пары элементов из множества M, задается один из типов отношения {>,<,=} (на практике реализуется выбор подмножества M, изоморфного конечному подмножеству натуральных чисел – такой выбор делает естественным арифметическое сравнение меток безопасности).

Рассмотрим правила анализа меток диспетчером доступа. Для этого  введем следующие обозначения:

• Ms – метка безопасности субъекта  (группы субъектов) доступа;
• Mo – метка безопасности объекта (группы объектов) доступа;
• Метка безопасности с порядковым номером i – Mi устанавливается для субъекта доступа с порядковым номером i – Ci и для объекта доступа с порядковым номером i – Oi.

Тогда правила доступа состоят в следующем:

1. Субъект С имеет доступ к объекту О в режиме “Чтения” в случае, если выполняется условие: Mc <, = Mo.
2. Субъект С имеет доступ к объекту О в режиме “Записи” в случае, если выполняется условие: Mc = Mo.

Не трудно увидеть, что все эти требования в полном объеме могут быть реализованы и настройкой дискреционного механизма контроля доступа из состава КСЗИ «Панцирь-К», поэтому использование данного механизма в КСЗИ «Панцирь-С» можно рассматривать исключительно в качестве интерфейсного решения, призванного упростить задачу администрирования.

Интерфейс мандатного механизма контроля доступа (к локальным и разделенным в сети файловым объектам на жестком диске и на внешних накопителях), реализованного в КСЗИ, приведен на рис.17.

 

В этом окне заводятся мандатные уровни – метки безопасности (которые могут определяться либо цифрами, либо их смысловыми интерпретациями, например, «открыто», «конфиденциально» и т.д.), число которых не ограничено (так же не ограничивается и возможность смысловой интерпретации любой метки), каждому уровню сопоставляются пользователи (учетные записи) и объекты – этим для них назначается выбранная метка, см. рис.17.

С точки зрения работы пользователя под различными учетными записями очень удобен режим запуска приложений - утилита runas (запуск исполняемого файла под иной учетной записью по правой кнопки мыши, начиная с Windows XP). Однако, при использовании данного удобного режима в рассматриваемых приложениях – в предположении, что обработка информации между различными учетными записями должна быть полностью разделена, необходимо помнить о том, что буфер обмена является в ОС принадлежностью «Рабочего стола» и при подобном запуске приложения не разделяется между пользователями. Данный недостаток (применительно к рассматриваемой задаче защиты) механизмов ОС, устраняется использованием соответствующего механизма защиты в составе КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С». В КСЗИ присутствует собственный механизм разделения буфера обмена между учетными записями, настраиваемый из интерфейса, приведенного на рис.18. Этот механизм позволяет разграничить буфер обмена между учетными записями, в том числе, и при запуске приложения с правами другого пользователя.

И, наконец, задача:

- обработка информации на компьютере предполагает сохранение как открытой, так и защищаемой информации на внешние носители (накопители). Решение задачи защиты здесь во многом такое же, как случаях, описанных выше, основанное на разделении обработки открытой и защищаемой информации между учетными записями. Особенность состоит в том, что для сохранения информации могут использоваться, как два внешних носителя, так и один. В случае использования двух носителей, на один из них сохраняется защищаемая информация в шифрованном виде и к нему применяются соответствующие организационные меры защиты, на другой – открытая в открытом виде, к нему организационные меры защиты не применяются. Это обеспечивается заданием соответствующих прав доступа учетных записей к дискам (к носителям). В случае использования одного носителя, на нем должны быть созданы две папки, в одну из них сохраняется защищаемая информация в шифрованном виде, в другую – открытая в открытом виде. Это обеспечивается заданием соответствующих прав доступа учетных записей к дискам (к носителям). К устройству применяются соответствующие организационные меры защиты.

И последний, из наиболее актуальных каналов утечки - вывод на печать защищаемой информации и вынос распечатанных документов за пределы контролируемой зоны. В данном случае могут использоваться как локальные принтеры, которые непосредственно подключены к компьютеру злоумышленника, так и удалённые, взаимодействие с которыми осуществляется по сети. По понятным причинам этот канал утечки не столь критичен, как описанные ранее (что, кстати говоря, подтверждают и исследования, приведенные ранее). Вместе с тем, канал существует – защита должна обеспечиваться.

Здесь также возможно несколько постановок задач защиты.

- на защищаемом компьютере печать запрещена (в штатном режиме работы не используется).

Решается эта задача следующим образом. С использованием механизма  контроля монтирования устройств из состава КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С» (см. рис.3) должна быть предотвращена возможность монтирования к системе принтеров.

- на локальном принтере, который непосредственно подключен к компьютеру, на котором обрабатывается защищаемая информация, либо на удалённом принтере, взаимодействие с которыми осуществляется по сети, должна осуществляться печать защищаемой информации. В данном случае актуальна задача предотвращения выноса распечатанных документов за пределы контролируемой зоны. Эта задача может быть решена организационными мерами, в том числе принтер, используемый для печати защищаемой информации, должен быть размещен в контролируемом месте. Техническая же задача защиты состоит в том, чтобы разрешить печать документов только на этом контролируемом локальном или сетевом принтере. Соответствующим механизмом защиты, из состава КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С», интерфейс которого приведен на рис.19, данная задача решается следующим образом. Разграничивать доступ для пользователей можно, как к локальным, так и к сетевым принтерам, драйверы которых установлены на компьютере (к иным принтерам обращение с компьютера невозможно).

Рис. 19

В дополнение к организационным мерам контроля конфиденциальной печати КСЗИ «Панцирь-К» и КСЗИ «Панцирь-С» предоставляют следующие возможности. Во-первых, это аудит печати. На компьютере, с которого буде осуществлена печать, в журнале аудита сохранится информация о том, в какое время, под какой учетной записью и на каком принтере осуществлена печать. Кроме этого, КСЗИ позволяет осуществлять «теневое копирование» (в файл) напечатанных документов, настраиваемое из интерфейсов, представленных на рис.20. КСЗИ поддерживается два режима теневого копирования. Во-первых, документов MSWord (при этом режиме разрешается печать только из этого текстового редактора, кроме того, в этом режиме можно установить произвольные реквизиты печати, см. рис.20, которые автоматически будут печататься КСЗИ на каждой странице распечатываемого документа). Достоинством является то, что документ отображается полностью в том виде, как он распечатан. В любое время администратор сможет ознакомиться с тем, что печатал пользователь. Режим «Теневое копирование любых печатных документов» более универсален в том смысле, что позволяет копировать в файл документ при любом его способе печати (из любого приложения). Однако в этом режиме сохраненный документ не столь идеально структурирован, поскольку приложения имеют различные управляющие символы, которые невозможно обработать в общем случае. Не смотря на это, сохраненная копия документа позволяет однозначно определить, что распечатано пользователем.

 

Иная задача.

- на локальном принтере, который непосредственно подключен к компьютеру, на котором обрабатывается защищаемая информация, либо на удалённом принтере, взаимодействие с которыми осуществляется по сети, должна осуществляться печать открытой информации. В данном случае актуальна задача предотвращения печати на разрешенном принтере защищаемой информации.

Конечно, при решении данной задачи можно «уйти в контроль» - использовать «теневое копирование», см. рис.20, «внушив» пользователю мысль о запрете печати защищаемой информации. Если же говорить о грамотном решении данной задачи защиты, то здесь, как и в случае защиты от несанкционированной записи на внешние носители, целесообразно введение различных учетных записей для обработки открытой и защищаемой информации с полным разделением между ними потоков информации, см. выше. При этом печать на разрешенный принтер (разрешается механизмом контроля монтирования устройств и механизмом разграничения прав доступа к локальным и сетевым принтерам, см. выше) следует разрешить только учетной записи, заведенной для обработки открытой информации.

И, наконец, задача в общем виде.

- на локальном принтере, который непосредственно подключен к компьютеру, на котором обрабатывается защищаемая информация, либо на удалённом принтере, взаимодействие с которыми осуществляется по сети, должна осуществляться печать, как защищаемой, так и открытой информации. Если печать и защищаемой, и открытой информации разрешена на одном принтере, то мы имеем случай описанный ранее – печать защищаемой информации. В данном случае актуальна задача предотвращения выноса распечатанных документов за пределы контролируемой зоны. Однако задача контроля здесь осложняется из-за увеличения объемов контролируемой информации. Грамотное решение данной задачи защиты состоит в разделении печати защищаемой и открытой информации на различных принтерах. В этом случае подходит решение описанное выше - целесообразно введение различных учетных записей для обработки открытой и защищаемой информации с полным разделением между ними потоков информации, в том числе, и по печати. При этом печать на разрешенный принтер печати защищаемой информации (разрешается механизмом контроля монтирования устройств и механизмом разграничения прав доступа к локальным и сетевым принтерам, см. выше) следует разрешить только учетной записи, заведенной для обработки защищаемой информации, на разрешенный принтер печати открытой информации следует разрешить печать только учетной записи, заведенной для обработки открытой информации. Применительно к принтеру, разрешенному для печати защищаемой информации, следует реализовать соответствующие организационные меры защиты и контроля.

На что хотелось бы обратить внимание в порядке общего замечания – это на то, что при использовании средств защиты семейства «Панцирь» не следует беспокоиться об усложнении задачи администрирования, в частности, при включении дополнительной учетной записи. Все интерфейсные решения разработаны для корпоративного применения, ориентированного на реализацию сложных разграничительных политик доступа к ресурсам.

На примере рассмотрим, как легко настраивать сложную разграничительную политику доступа к файловым объектам при реализации рассматриваемых средств защиты, см. рис.21. Так на рис.21 лишь несколькими записями мы разрешили пользователю User 1 (правила доступа задаются для пользователя) только запись и чтение в/из каталог D:\Doc (заметим, что разрешить доступ одной записью можно к файловому объекту любого уровня иерархии – диск, каталог, подкаталог, файл), а выполнение программ только из каталогов C:\Windows и C:\Program Files, одновременно запретив туда запись – реализовали замкнутую программную среду (только из этих папок пользователь сможет запускать программы, не имея возможности модифицировать содержимое этих папок). Реализована разрешительная разграничительная политика, ни к одному иному объекту (локальному, разделенному в сети, на внешнем накопителе), кроме указанных в разграничениях, в том числе и к вновь создаваемым (например, при монтировании какого-либо накопителя) пользователь доступ не получит.

 

В заключение хотелось бы акцентировать внимание читателя на следующем. Во-первых, использовав рассмотренную технологию защиты от утечек, вы не становитесь «счастливым обладателем черного ящика» - вы становитесь непосредственным участником реализации защиты от утечек конфиденциальной информации и персональных данных. Вы получаете в свой арсенал эффективное средство защиты, обладающее широкими функциональными возможностями, которые в той или иной мере можете использовать, реализовав на предприятии ту или иную политику безопасности. Во-вторых, как отмечалось ранее, защита от утечек – это не только защита от инсайдерских атак, но и в не меньшей степени – защита от внешних атак, и, в первую очередь, атак, связанных с внедрением и запуском вредоносных программ и атак на бизнес-приложения (в первую очередь, сетевые). При реализации рассмотренной технологии у вас появляется возможность комплексной защиты от утечек – защиты, как от внутренних, так и от внешних угроз!