26 августа 2014
ОКБ САПР: защита терминальных клиентов
Терминальные системы хороши тем, что позволяют использовать в качестве клиентов практически что угодно. Это значит, что можно использовать все, что уже никому не нужно, а выбросить жалко. Однако это далеко не единственный плюс такой неприхотливости терминальных систем. В качестве терминальных клиентов можно использовать и машины с прекрасными характеристиками. Это позволяет учитывать разнородность служебных функций сотрудников организации, а значит, создать терминальную систему, в которой могли бы работать даже те, кто в силу своих задач не может работать на терминале типа «тонкий клиент».
Такие сотрудники могут не работать в системе терминального доступа, но это заметно снизит эффект от ее внедрения, поскольку использование централизованного ресурса наиболее значимо как раз для тех задач и данных, которые являются общими для сотрудников всех категорий.
Использование в качестве терминального клиента не только специализированных аппаратных терминалов, но и разнообразных средств вычислительной техники (СВТ) — как с высокими, так и с практически отсутствующими характеристиками позволит избегнуть двух главных проблем:
1) Монопольный поставщик терминалов (с ним может случиться неприятность, или он может начать вести себя не совсем хорошо);
2) Постоянные обновления модельного ряда терминалов, чем грешат практически все
«бренды» (а в результате либо теряется преимущество унификации, либо внезапно снятую с производства модель необходимо разыскивать чуть ли не «с рук»).
Итак, возможность строить систему на разнородных СВТ — это очень существенный плюс. Однако в тени этого плюса скрывается сложность, связанная с тем, что среда исполнения терминального клиента во всех этих случаях (на подлежащих списанию ПЭВМ под Windows XP, мощных машинах проектировщиков под каким-нибудь специфическим Linux, ноутбуке руководителя с Windows 8, ноутбуках или планшетах агентов или инспекторов — вовсе с гарвардской архитектурой) окажется разная.
Это не проблема, если в терминальной системе не нужно обеспечивать информационную безопасность, так как клиенты ICA и RDP есть практически для любой ОС.
Если же система терминального доступа должна быть защищенной, то контролировать необходимо вычислительную среду всех типов терминальных клиентов.
Выгода системы терминального доступа в части организации защиты информации связана ведь именно с унификацией предмета защиты — ОС терминального клиента, узкоспециальной, обычно небольшой по объему, а следовательно, легко контролируемой. Если мы теряем эту особенность, то, задача с точки зрения защиты информации становится более, а не менее сложной.
Решение, позволяющее не терять ни выгоды унификации терминального клиента, ни возможности использовать в этом качестве практически любые СВТ — это загрузка на СВТ необходимой (унифицированной, контролируемой) среды только на тот период, когда оно должно работать в качестве терминального клиента.
Естественно, для СВТ разных типов и назначений нужно использовать разные способы обеспечения загрузки терминального клиента, но всегда она должна быть организована таким образом, чтобы загружаемая для работы в системе терминального доступа среда не влияла на основную среду СВТ, и наоборот.
1. Унифицировать среду исполнения ПО терминального клиента и одновременно сделать ее защищенной, но гибкой и администрируемой, можно с использованием ПАК «Центр-Т».
Универсальная часть образа ОС терминального клиента при этом загружается с отчуждаемого персонального устройства пользователя (ШИПКИ-К), а затем, со специального сервера хранения и сетевой загрузки на клиент скачивается и после успешной проверки целостности и аутентичности полученного образа — загружается та его часть, которая требует администрирования. Эта часть образа, включающая средства поддержки периферии, ограничения доступа к устройствам ввода-вывода и съемным носителям (принтерам, флешкам) и тому подобные «индивидуальные» настройки, должна быть доступной для изменений, но в то же время верифицируемой. Это и обеспечивается ПАК «Центр-Т».
2. Если работа в терминальной сессии является эпизодической задачей, то требования к ОС терминального клиента минимальны, а его модификации маловероятны и, во всяком случае, крайне редки.
Для таких случаев идеально подходит СОДС «МАРШ!» — загрузка эталонного неизменяемого терминального клиента из его защищенной памяти. После окончания работы в терминальной сессии пользователю достаточно отключить устройство и перезагрузиться, чтобы вернуться к работе с ресурсами основного СВТ.
3. На руководителя как правило возлагается так много совершенно необходимых обязанностей, что от выполнения «лишних» действий и от ненужных задержек он закономерно хочет быть избавлен. Это значит, что терминальный клиент должен загружаться на такой компьютер прямо из Аккорда-АМДЗ, требуя от пользователя только указания желаемого в данный момент режима: терминальный или автономный.
Являясь разработками ОКБ САПР, все эти решения, естественно, могут одновременно работать в одной терминальной системе.
