Интернет в чем-то похож на флешку. В том, что это такое неизбежное зло, с которым приходится смириться потому, что плюсы этого зла так очевидны и соблазнительны, что запрещать – просто бесполезно. Если Интернет запрещен на предприятии полностью, то пользователь принесет USB-модем. Хорошо, если он подключит его прямо к рабочему компьютеру, и, поскольку тот, конечно, прекрасно оборудован в смысле информационной безопасности, это сразу создаст инцидент, который приведет к блокировке неразрешенного действия и воспитательным мерам в отношении нарушителя. Хуже, ибо сложнее обнаружить, если пользователь использует Интернет на собственном устройстве, не подключенном к корпоративной сети, а значит, неконтролируемом, а затем из лучших побуждений переносит полученную информацию – вместе с вирусами и другими потенциально опасными объектами – в корпоративную сеть. Способов для этого много – от электронной почты, до тех же флешек.
Компромиссным вариантом является решение с выделенными рабочими местами – специально отведенными для работы с Интернетом. При организации разного рода санитарных зон и других полуорганизационных мер, это позволяет получать из сети данные только после того, как их безопасность подтверждена. Однако это решение и не до конца безопасное, и неудобное для пользователей.
Хотелось бы выработать подход, который сочетал бы в себе плюсы полной изоляции корпоративной сети от сети Интернет с плюсами наличия Интернета на каждом рабочем месте, и в то же время лишенный минусов обоих подходов.
В качестве серебряной пули предлагается технология одновременной изолированной работы пользователя с корпоративной сетью и сетью Интернет на одном рабочем месте в рамках двух независимых терминальных сессий с их одновременным отображением на экране одного монитора в разных «окнах».
Описание предлагаемого решения
Предполагаемую корпоративную сеть представим в виде терминальной системы, в которой пользователь работает с терминальным сервером по RDP.
Предполагается, что терминальный сервер и терминальный клиент, а также их взаимодействие – защищены надлежащим образом, этот аспект не будет рассматриваться, чтобы не запутывать описание решения.
На этом терминальном сервере – будем называть его «функциональный терминальный сервер» (ФТС) – нет ни браузера, ни каких других средств и инструментов работы с сетью Интернет.
К той же локальной сети, через которую взаимодействуют терминальные клиенты с ФТС, подключен другой терминальный сервер, но не напрямую, а через специальный фильтр, как показано на рисунке.
Это терминальный сервер (далее – ТС) под управлением ОС Linux, имеющий соединение с сетью Интернет. На терминальном сервере опубликован браузер.
На рисунке в качестве терминального клиента показана ПЭВМ с ОС Windows, однако с тем же успехом может быть тонкий клиент под управлением ОС Linux, в том числе, загружаемой по сети (или локально с отчуждаемого устройства).
Обмен данными между ТС и сетью Интернет производится в штатном порядке, без ограничений и/или изменений. Для соединения с Интернет у ТС предусмотрена отдельная сетевая карта.
На терминальный сервер установлен полный комплект средств защиты информации: средства защиты от воздействия вредоносных кодов, средство обнаружения вторжений, межсетевой экран, ПАК СЗИ НСД «Аккорд-Х».
Через отдельный сетевой интерфейс (вторую сетевую карту) ТС взаимодействует с аппаратным комплексом с функциональностью фильтра (Фильтр «Рассвет»).
Фильтр также оборудован двумя сетевыми картами. Через одну из них Фильтр взаимодействует с ТС. В фильтр передаются все команды и данные от ТС, которые не были заблокированы МЭ, СОВ, СЗ ВВК или ПАК СЗИ НСД «Аккорд-Х».
От фильтра на ТС передаются только нажатия клавиш клавиатуры и движение мыши. Все команды и данные, не являющиеся нажатиями клавиш клавиатуры и/или движениями мыши, не передаются на ТС, а попытка их передачи фиксируется в журнале событий.
Через другой сетевой интерфейс (вторую сетевую карту) фильтр взаимодействует с ЛВС предприятия. От фильтра в ЛВС передаются только изображения рабочего стола. Все команды и данные, не являющиеся изображениями рабочего стола, не передаются в ЛВС, а попытка их передачи фиксируется в журнале событий.
От ЛВС в фильтр передаются все данные и команды без ограничений.
Взаимодействие пользователя с ЛВС производится через установленный на АРМ пользователя модифицированный RDP-клиент (далее RDP-клиент «Рассвет»). Для пользователя взаимодействие происходит обычным порядком, без изменений, все изменения взаимодействия от него скрыты. Он работает параллельно в окне браузера и в окне сессии с ФТС.
Схематично взаимодействие компонентов системы показано на рисунке.
На первый взгляд, решение выглядит несколько экзотически. Однако оно в полной мере воплощает мечту о «старом добром безопасном Интернете», сохраняющим в то же время все столь дорогие пользователю возможности.
