При внедрении системы терминального доступа одним из решающих мотивов является предполагаемый эффект значительного снижения нагрузки на администраторов – как администраторов СВТ, так и сетей, и безопасности информации.
Даже при условии построения системы, в которой комплексно защищены все элементы инфраструктуры, действия по настройке и поддержанию функционирования как ресурсов системы, так и ее подсистемы информационной безопасности, – в среднем проще и требуются реже.
Схематично можно выделить следующие этапы, на которых требуются действия административного персонала:
1) Ввод в действие и первоначальная настройка системы,
2) Мониторинг и аудит,
3) Нештатные ситуации разных типов,
4) Ввод в систему нового пользователя,
5) Изменение прав существующему пользователю,
6) Существенные изменения системы или требований к ней.
Очевидно, что все работы из данного списка тем менее хлопотны, чем более централизовано управление системой. Именно это является одной из наиболее существенных причин развития от автономных АРМ через классические терминальные системы к терминальным системам с централизованным управленем образами терминальных станций (КАМИ-терминал, Центр-Т или других альтернативных решений, обязательно предполагающих формирование образов и их доставку на рабочие станции пользователей без физического посещения рабочих мест администраторами), разработки и внедрения разнообразных средств централизованного мониторинга и управления различными подсистемами.
Казалось бы, действия, которые необходимо производить на клиентских АРМах стремятся к нулю – пользователь подключает ШИПКУ и вводит PIN-код. Если необходимо изменить состав поддерживаемого оборудования, терминальный протоколов, адрес терминального сервера – практически любой параметр ПО терминальной станции – изменения эти производятся на специальном АРМе и затем доставляются пользователю без участия администраторов и без работ с терминальной станцией как таковой. Даже журнал работы терминального клиента до старта терминальной сессии – ведется (и, соотвественно, анализируется) централизовано – на Сервере хранения и сетевой загрузки.
Но в обязанности администраторов информационной безопасности (далее – АИБ) входит разблокировка сессии пользователя после неверного ввода последним пароля, разблокировка ШИПОК после превышения допустимого количества вводов неверного пароля, смена паролей, когда пользователь их просто забыл и вспомнить не может, а работать ему надо, и так далее.Причемдля оказания помощи пользователюзачастую им нужно отправляться физически в другое здание, которое, возможно, существенно удалено.
Всеэтонегативно сказывается на продуктивности использования рабочего времени – уже не только АИБами, но и пользователями. А в случае с недобросовестными пользователями возможен и осознанный саботаж – заблокировал ШИПКУ и можешь не работать на законных основаниях, терминальная станция не загружается.
Чтобы всего этого избежать, можно предложить заменить их на аутентификацию с помощью биометрического признака, который невозможно забыть или потерять.
В качестве конкретной реализации изменения подсистемы аутентификации в этом направлении можно предложить интеграцию в ПАК «Аккорд TSE» биометрической аутентификации на основе сканирования сосудистого русла ладони руки.
Пользователь подносит руку к сканеру и предъявляет идентификатор (может использоваться ТМ-идентификатор, подключает ШИПКУ или устанавливает смарт-карту в считываетель). Из идентификатора система получает записанный при регистрации эталон, со сканера – предъявляемый биометрический признак, производится верификация, результат которой обрабатывается Аккордом как пароль пользователя (а как идентификатор пользователя, как и прежде, обрабатывается идентификатор).
Метод верификации с предъявленным эталоном, в отличии от поиска подходящего эталона в базе, позволяет избежать созданий базы биометрических персональных данных, которая, помимо всех прочих следствий из сопровождения дополнительной базы данных, еще и является ИСПДн класса К1 и нуждается в соотвествующей защите. Очевидно, что создавать дополнительный объект защиты, совершенствуя подсистему защиты информации, нецелесообразно.
В предлагаемом решении применяется технология сканирования сосудистого русла PalmSecure фирмы Fudjitsu, реализованная на двух типах устройств:
- совмещенный с манипулятором мышь сканер сосудистого русла, дополненным подставкой для удобства размещения руки над сканером (PalmSecure). После прохождения верификации мышь вынимается из подставки и используется по назначению;
- сканер сосудистого русла, совмещенный со считывателем контактной смарт-карты (PalmSecure);
Характеристики сканера:
Способ сканирования – Бесконтактный
Время аутентификации – менее 1 с
Коэффициент ложного отказа – 0.01%.
Вероятность допуска «чужого» – 0.00008%
Объем эталонного образца – 860 байт/3,5 КБайт
