29 августа 2014
Съемные носители для переноса и защищенного хранения конфиденциальной информации. Текущее состояние и определение предпочтений. Часть 3
Екатерина Маренникова,
аналитик информационно-аналитической
группы ОКБ САПР
В предыдущих частях [1, 2]:
-
определен набор функций, характеризующих защищенные носители информации (ЗН);
-
сформирован каталог-справочник защищенных съемных носителей информации;
-
определены критерии сравнения ЗН, предназначенные для работы с данными, конфиденциальность которых критична, и которые, вместе с тем, должны храниться на носителе информации и переноситься сотрудником в рамках его должностных обязанностей на различные рабочие станции (РС), в том числе и не входящие в состав корпоративной сети;
-
проведен сравнительный анализ таких ЗН.
В этой части статьи рассмотрены ЗН, которые предназначены для использования на служебных РС, объединенных в корпоративную сеть (служебные ЗН). Такие носители должны использоваться только внутри системы согласно ее внутренним правилам.
Служебный ЗН должен:
-
исключать хищение, несанкционированную модификацию корпоративной информации;
-
препятствовать утечке информации в результате кражи или потери ЗН;
-
препятствовать блокированию или уничтожению обрабатываемой информации в результате привнесения вредоносного ПО в систему;
-
препятствовать несанкционированному привнесению в систему информации извне.
Только в этом случае ЗН не будет снижать общего уровня защищенности системы даже при физическом выносе за ее периметр.
Критерии сравнения ЗН, предназначенных для использования в информационной системе сетевой структуры
Набор критериев для выполнения сравнительного анализа ЗН сформирован таким образом, чтобы определить, соответствует ли тот или иной продукт понятию и требованиям безопасности, предъявляемым к защищенному носителю, используемому только в корпоративной среде:
-
Защищает ли продукт информацию от доступа к ней посторонних лиц?
-
Препятствует ли продукт проникновению вредоносного ПО в систему?
-
Исключает ли продукт возможность выноса корпоративной информации за пределы системы, препятствует ли продукт несанкционированному привнесению в систему информацию извне?
В соответствии с требованиями, предъявляемыми к защищенному носителю информации, а также целевыми характеристиками ЗН, определенными в [1], в качестве оценочных критериев для сравнительного анализа ЗН следует использовать:
-
наличие удаленной аутентификации пользователя (доступ к информации ЗН предоставляется после успешной аутентификации ЗН и защищенного сервера);
-
наличие возможности ограничения использования в организации посторонних ЗН за счет использования процедуры эмиссии ЗН;
-
возможность настройки политики доступа к ЗН на РС;
-
наличие фильтра USB –устройств;
-
защита от вирусов;
-
наличие возможности разделения ролей эксплуатирующего персонала;
-
шифрование данных;
-
защита от взлома.
Для удобства анализа характеристики ЗН, представленные в 1 части данной статьи [1], сведены в Таблицу 1. В ней качества ЗН, критичные для безопасности работы в информационной системе сетевой структуры, выделены цветами, а дополнительные (потребительские) характеристики оставлены без выделения:
|
|
–
|
критерии, которым удовлетворяет ЗН;
|
|
|
–
|
критерии, которым не удовлетворяет ЗН;
|
|
|
–
|
отсутствие информации по соответствующему критерию;
|
|
|
–
|
общеинформационные колонки
|
Таблица 1. Сравнительный анализ ЗН
|
|
наличие удаленной аутентификации пользователя
|
наличие возможности ограничения использования в организации посторонних ЗН за счет использования процедуры эмиссии ЗН
|
наличие возможности настройки политики доступа к ЗН на РС
|
наличие фильтра USB –устройств
|
наличие защиты от вирусов
|
возможность разделения ролей
|
наличие шифрования данных
|
наличие защиты от взлома
|
|
ПАК «Секрет Фирмы»
|
+
|
+
|
+
|
+
|
+
|
+
|
+
|
+
|
|
Kanguru Defender Elite
|
-
|
-
|
+
|
-
|
+
|
+
|
+
|
+
|
|
Verbatim Secure`n`Go
|
-
|
-
|
-
|
+
|
-
|
-
|
+
|
+
|
|
MXI Security Stealth
|
-
|
-
|
-
|
-
|
+
|
-
|
+
|
Информация отсутствует
|
|
eToken
NG-FLASH
|
-
|
-
|
-
|
-
|
-
|
+
|
+
|
+
|
|
IronKey
|
-
|
-
|
-
|
-
|
-
|
-
|
+
|
+
|
|
LockHeed Martin IronClad
|
-
|
-
|
-
|
-
|
-
|
-
|
+
|
+
|
|
Kingston DataTraveler
|
-
|
-
|
-
|
-
|
-
|
-
|
+
|
+
|
|
SanDisk Cruzer Profile
|
-
|
-
|
-
|
-
|
-
|
-
|
+
|
+
|
|
Corsair Flash Padlock 2
|
-
|
-
|
-
|
-
|
-
|
-
|
+
|
+
|
|
Runtex Samurai
|
-
|
-
|
-
|
-
|
-
|
-
|
+
|
+
|
|
Сhinavasion USB Fingerprint Security CVGI K38
|
-
|
-
|
-
|
-
|
-
|
-
|
+
|
Информация отсутствует
|
|
ZamLock Pro Secure Flash Drive
|
-
|
-
|
-
|
-
|
-
|
-
|
+
|
+
|
|
|
наличие эксплуатационной документации в комплекте поставки
|
возможность выбора устройства с шифрованием или без шифрования
|
особенности дизайна
|
емкость устройства
|
скорость чтения
|
скорость записи
|
операционные системы
|
цена
|
наличие эксплуатационной документации в комплекте поставки
|
|
ПАК «Секрет Фирмы»
|
+
|
-
|
Выбор цвета Заказ эксклюзивного корпуса
|
4Гб
|
0,2Мб/с, 7,8-11,5Мб/с (в зависимости от вариантов исполнения ЗН)
|
0,2Мб/с, 5-8,5Мб/с (в зависимости от вариантов исполнения ЗН)
|
Microsoft Windows XP/Vista/7 SP1 (x32 или x64)
|
2100-2500 руб., система эмиссии: 200000 руб., система управления: 50000 руб.
|
+
|
|
Kanguru Defender Elite
|
Информация отсутствует
|
-
|
Прорезиненный корпус с защитой от внешних воздействий.
Выбор цвета
|
От 1 до 128Гб
|
28-33Мб/с
|
10-13Мб/с
|
Windows XP/SP3/Server 2003/Vista/7, Maс OS X 10.5 и выше (только на основе Intel), Red Hat Enterprise Linux 5, Ubuntu 9/10 Linux Kernel 2.6.02-2.6.34
|
120$
|
Информация отсутствует
|
|
Verbatim Secure`n`Go
|
+
|
-
|
Информация отсутствует
|
4-16 Гб
|
от 14 Мб/с
|
от 8 Мб/с
|
Windows XP/Vista/7
|
от 50$
|
+
|
|
MXI Security Stealth
|
Информация отсутствует
|
-
|
Влаго- и пыленепроницаемый корпус
|
1-64 Гб
|
Информация отсутствует
|
Информация отсутствует
|
Windows 2000/XP/Vista, MAC, Linux
|
120$
|
Информация отсутствует
|
|
eToken
NG-FLASH
|
Информация отсутствует
|
-
|
-
|
8-16Гб
|
Информация отсутствует
|
Информация отсутствует
|
Microsoft Windows 2000/XP/Vista/7, Microsoft Windows Server 2003/2008/2008 R2, Linux, MacOS
|
4140-5199 руб
|
Информация отсутствует
|
|
IronKey
|
+
|
-
|
Стальной водо- и пыленепроницаемый корпус
|
2-64 Гб
|
29-31 Мб/с
|
13-34 Мб/с
|
Microsoft Windows XP/SP2+/Vista/7/8,
Mac OS X 10.5+, Linux 2.6+
|
4500-15000 руб.
|
+
|
|
LockHeed Martin IronClad
|
Информация отсутствует
|
-
|
Стальной водо- и пыленепроницаемый корпус
|
Информация отсутствует
|
Информация отсутствует
|
Информация отсутствует
|
Информация отсутствует
|
информация отсутствует
|
Информация отсутствует
|
|
Kingston DataTraveler
|
-
|
-
|
Водонепроницаемый корпус из нержавеющей стали с титановым покрытием
|
2-32 Гб
|
До 11 Мб/с
|
5 Мб/с
|
Windows XP/Vista//7/8
Mac OS (10.5 и выше)
|
3000-7000 руб.
|
-
|
|
SanDisk Cruzer Profile
|
-
|
-
|
Вид маленького навесного замка.
Встроенный биометрический датчик на корпусе
|
512Мб-1 Гб
|
8 Мб/с
|
5 Мб/с
|
Windows 2000/XP
|
60$
|
-
|
|
Corsair Flash Padlock 2
|
Информация отсутствует
|
-
|
Прорезиненный корпус с защитой от внешних воздействий, Кнопки для ввода пароля на корпусе
|
8-16 Гб
|
до 10 Мб/с
|
3 Мб/с
|
Windows, Mac и Linux
|
50$
|
Информация отсутствует
|
|
Runtex Samurai
|
-
|
-
|
Цельнометаллический корпус. Кнопки для ввода пароля и уничтожения информации на корпусе
|
4-8 Гб
|
0.5 Мб/с
|
0.5 Мб/с
|
Windows, Mac и Linux
|
320$
|
-
|
|
Сhinavasion USB Fingerprint Security CVGI K38
|
Информация отсутствует
|
-
|
Биометрический датчик на корпусе
|
4-8 Гб
|
8 Мб/с
|
7 Мб/с
|
Windows 2000, XP, Vista (только для 32 версии)
|
от 40$
|
Информация отсутствует
|
|
ZamLock Pro Secure Flash Drive
|
-
|
-
|
Влаго- и пыленепроницаемый корпус из анодированного алюминия
|
4-8 Гб
|
до 30Мб/с
|
20Мб/с
|
Windows 2000, XP, Vista, Windows 7; Mac OS X или Linux
|
47$-245$
|
-
|
Сопоставление ЗН, используемых в информационной системе сетевой структуры
В графической форме результаты таблицы представлены на рисунке 1: защищенным носителям поставлены в соответствие круги, на пересечении которых цифрами обозначены общие для соответствующих ЗН характеристики безопасности. Вне пресечений цифры указывают на отличительные свойства ЗН.
Рисунок 1. Графическая интерпретация таблицы 1
Исходя из определенных в начале статьи требований, принципиальным для ЗН, предназначенного для работы с данными в информационной системе сетевой структуры, является защита от мотивированного инсайдера. Для ее обеспечения необходимо, чтобы защищенный носитель представлял возможности настройки политики доступа к ЗН на РС, ограничения использования в организации посторонних ЗН за счет использования процедуры эмиссии, разделения ролей эксплуатирующего персонала, а также наличия удаленной аутентификации пользователя и фильтра USB-устройств.
Из рисунка 1 видно, что большинство из рассмотренных защищенных носителей хотя и обладают множеством достоинств, связанных с удобством эксплуатации, однако поддерживают наличие только двух характеристик безопасности: шифрование данных и защита от взлома. Очевидно, что для защиты от мотивированного инсайдера данный перечень недостаточен и, более того, не включает в себя ни одного из свойств ЗН, принципиальных для решения рассматриваемой задачи.
Из всего списка рассмотренных защищенных носителей лишь пять – Kanguru Defender Elite, MXI Security Stealth MXP, eToken NG-FLASH, Verbatim Secure`n`Go и ПАК «Секрет Фирмы» – обладают характеристиками, позволяющими рассматривать их как удовлетворяющие условиям решения поставленной задачи. Однако четыре из них удовлетворяют условиям решения задачи лишь частично.
Устройство Verbatim Secure`n`Go обладает фильтром USB –устройств [1]. Однако отсутствие возможности настройки политики доступа к ЗН на РС позволяет подключать устройство к любой РС на усмотрение пользователя, и в тот момент, когда носитель отключен от РС, на РС можно использовать любые другие носители, что увеличивает риск кражи информации конфиденциального характера и проникновения в систему вредоносного ПО.
В устройстве MXI Security Stealth MXP реализованы механизмы, призванные препятствовать проникновению в информационную систему организации вредоносного ПО [1]. Однако вследствие применяемого в устройстве аппаратного шифрования AES устройство MXI Security Stealth MXP невозможно сертифицировать в системе сертификации средств защиты информации по требованиям безопасности, действующей в Российской Федерации.
Устройство Kanguru Defender Elite поддерживает настройки общих политик доступа к ЗН, реализуемую через управление длиной пароля и числом попыток авторизации, и идентификацию ЗН на компьютере, однако последнее реализовано через параметры самого РС - идентификатор РС в домене (имя компьютера) и IP адрес РС [1]. Подобный упрощенный подход снижает защитные свойства устройства и увеличивает угрозу проникновения мотивированного инсайдера в систему.
Дополнительные проблемы пользователю создает невозможность сертифицировать Kanguru Defender Elite в системе сертификации средств защиты информации по требованиям безопасности, действующей в Российской Федерации (вследствие применяемого в устройстве аппаратного шифрования AES). Кроме того, чисто потребительски эксплуатация данного ЗН невозможна без дополнительного приобретения на него лицензии [1].
Устройство eToken NG-FLASH хотя и обеспечивает возможность настройки общих политик доступа к ЗН (управление длиной и сложностью пароля, управление числом попыток авторизации, разделение ролей эксплуатирующего персонала [1]), однако управление политиками доступа к ЗН на РС не поддерживает вовсе. Кроме того, как и Kanguru Defender Elite, данный защищенный носитель аппаратный журнал событий не ведет.
Лишь пятое устройство ПАК «Секрет Фирмы» можно рассматривать, как способное защитить от действий мотивированного инсайдера в информационной системе сетевой структуры. Данный ЗН отвечает всем принципиальным критериям:
позволяет ограничить доступ USB-устройств за счет использования фильтра USB-устройств;
позволяет настраивать политики доступа к ЗН на РС;
обеспечивает возможность ограничения использования в организации посторонних ЗН за счет использования процедуры эмиссии;
поддерживает выполнение операции удаленной аутентификации пользователя;
обеспечивает возможность разделения ролей эксплуатирующего персонала.
***
Подводя итоги, можно констатировать, что среди выбранных для сравнения защищенных носителей наилучшую защиту от действий компетентного злоумышленника в информационной системе сетевой структуры обеспечивают и могут успешно использоваться Kanguru Defender Elite, ПАК «Секрет Фирмы».
_______________________________
[1] Е.А. Маренникова. Съемные носители для переноса и защищенного хранения конфиденциальной информации. Текущее состояние и определение предпочтений. Часть 1, http://daily.sec.ru/2014/04/18/Semnie-nositeli-dlya-perenosa-i-zashishennogo-hraneniya-konfidentsialnoy-informatsii-Tekushee-sostoyanie-i-opredelenie-predpochteniy-CHast-1.html;
[2] Е.А. Маренникова. Съемные носители для переноса и защищенного хранения конфиденциальной информации. Текущее состояние и определение предпочтений. Часть 2, http://daily.sec.ru/2014/06/27/Semnie-nositeli-dlya-perenosa-i-zashishennogo-hraneniya-konfidentsialnoy-informatsii-Tekushee-sostoyanie-i-opredelenie-predpochteniy-CHast-2.html.
