Конявская Текхнологии зашчишченного применения УСБ-носителеы 2014

НАЦИОНАЛЬНЫЙ ИССЛЕДОВАТЕЛЬСКИЙ ЯДЕРНЫЙ УНИВЕРСИТЕТ «МИФИ»

ОКБ САПР

УЧЕБНАЯ КНИГА ФАКУЛЬТЕТА «КИБЕРНЕТИКА И ИНФОРМАЦИОННАЯ

БЕЗОПАСНОСТЬ» НИЯУ МИФИ

С.В. Конявская, Д.Ю. Счастный, С.С. Лыдин, Е.А. Маренникова, Д.В. Грунтович, Е.Г. Чепанова

Технологии защищенного применения USB-носителей

Под общей редакцией В. А. Конявского

Москва

2014

1

УДК 004.056.53 (07) ББК 32.81.я 7 Т 38

Технологии защищенного применения USB-носителей: методическое пособие. Авт.: С.В. Конявская, Д.Ю. Счастный, С.С. Лыдин, Е.А. Маренникова, Д.В. Грунтович, Е.Г. Чепанова. (Серия «Учебная книга факультета «Кибернетика и информационная безопасность» НИЯУ МИФИ»). − М.: НИЯУ МИФИ, 2014. − 196 с.

Пособие предназначено для преподавателей курсов по прикладным вопросам защиты информации, а также для самообучения Администраторов безопасности информации и/или других сотрудников подразделений информатизации и/или безопасности, непосредственно работающих с различными средствами защиты информации, проектирующих и/или внедряющих подсистемы защиты информации. Предполагается, что обучающиеся в соответствии с данным пособием специалисты имеют практические навыки работы со средствами вычислительной техники и имеют представление об информационных инфраструктурах, решения по защите которых рассматриваются в рамках обучения.

Пособие составлено с участием разработчиков продуктов семейства «Секрет» на базе проводимых ими курсов стажировки в рамках совместной работы с НИЯУ МИФИ при финансовой поддержке Министерства образования и науки Российской Федерации в рамках проекта «Создание инженерно-технических решений для высокотехнологичного производства инновационных программно-аппаратных средств защиты информации на базе перспективных высокоскоростных интерфейсов информационного взаимодействия», выполняемого ООО «ОКБ САПР» по договору № 02.G25.31.0050.

ISBN 978-5-7262-1954-7

© С. В. Конявская, Д. Ю. Счастный, С. С. Лыдин, Е. А. Маренникова, Д. В. Грунтович, Е. Г. Чепанова 2014

©Национальный исследовательский ядерный университет «МИФИ», 2014

©ОКБ САПР, 2014

2

1.Основные проблемы применения USB-накопителей и причины неэффективности традиционных методов

3

ВВЕДЕНИЕ

Данное пособие – одно из 4-х, построенных на базе проводящихся в ОКБ САПР курсов стажировок. Полный цикл обучения включает в себя 4 курса и охватывает материал по всем наиболее востребованным в плане обучения продуктам компании. В общей сложности получается программа, рассчитанная на 8 дней обучения.

Вто же время мы не советуем проводить обучение по предложенным материалам в рамках единого непрерывного курса. Это одна из причин, по которым материал разбит на отдельные пособия, а не издан одной общей книгой. Темы сгруппированы в разделы по семействам продуктов. Рекомендуем даже в случае заинтересованности группы всеми продуктами без исключения проводить занятия в 4 цикла, в соответствии с этими разделами, продолжительностью в 4, 2, 1 и 1 день соответственно, делая перерывы между циклами. Иной порядок стажировки повлечет за собой и слишком значительный отрыв обучающихся от производства, и слишком высокую нагрузку как на обучающихся, так и на преподавателей, это негативно скажется на качестве усвоения материала.

Вданном пособии представлен материал курса по семейству продуктов «Секрет» и технологиям, положенным в его основу. Курс рассчитан на 1 день. В случае если с группой проводится полный цикл занятий, рекомендуем ставить этот курс 3-м или 4-м.

Предлагаемые темы занятий разделены на лекционные и практические. На лекционных занятиях рекомендуется использовать наглядные материалы – образцы и макрофотографии устройств, схемы и таблицы. Крайне желательно визуализировать на доске (или с помощью презентации) архитектурные и инфраструктурные аспекты подаваемого материала.

Впрактической части обучения различаются «демонстрации» и непосредственная работа обучающихся с устройствами. В последнем случае каждый обучающийся следует за действиями преподавателя на собственном АРМ с использованием выданного ему экземпляра изучаемого продукта. В случае демонстрации – действия производятся только преподавателем, а значит, изображения экрана его компьютера должно проецироваться на большой экран, который хорошо видно всем учащимся.

4

Преподавателю необходимо подробно комментировать все свои действия и путем фронтального опроса контролировать понимание аудиторией демонстрируемого, с тем чтобы своевременно вернуться к непонятным моментам и их прояснить.

Самостоятельные задания отличаются от двух перечисленных видов учебной деятельности тем, что учащиеся не повторяют за преподавателям, а выполняют действия сами. Самостоятельные задания в данном пособии делятся на «Упражнения» и «Лабораторные работы».

«Упражнение» – это тип самостоятельного задания, для выполнения которого не требуется выработки собственного решения, оно не содержит проблемы, для которой необходимо найти верный подход, а содержит лишь задачу, требующую тщательного выполнения полученной инструкции или следования документации.

Для выполнения упражнения обучающимся необходимо раздать текст задания, ручку и листок бумаги, собственно тот продукт на усвоение навыков работы с которым нацелено упражнение, а также обеспечить доступность эксплуатационной документации на этот продукт.

«Лабораторная работа» – это тип самостоятельного задания, содержащий постановку задачи, требующей выработки собственного подхода к ее решению, оптимальной реализации этого подхода, а также описания подхода, мотивов его выбора и непосредственно предложенного решения задачи.

Для выполнения Лабораторных работ обучающимся необходимо предоставлять инструментарий, указанный в соответствующем разделе описания каждой Лабораторной работы, а также оказывать при необходимости консультативную помощь, пресекая категорически неверные подходы, с тем чтобы обучающийся, даже ошибаясь, успел за выделенное время осознанно прийти если не к оптимальному решению, то хотя бы к продуктивному подходу.

Самостоятельные задания не следует путать в видами текущего или выходного контроля. Их задача – не проверка полученных знаний, а выработка умений и формирование навыков.

Текущий контроль в ходе обучения осуществляется с помощью контрольных вопросов, задаваемых в форме фронтального опроса (то есть задавания произвольного вопроса из списка произвольному учащемуся из группы). В случае неуспешного ответа препода-

5

вателю следует поинтересоваться мнением группы, выслушать соображения других учащихся, затем объяснить, почему предложенный ответ был неверен, даже если до этого от других учащихся уже был получен верный ответ. Желательно, чтобы преподаватель был способен проанализировать, почему учащимся был дан именно такой ответ, в чем причина его заблуждения. Если преподаватель смог сделать такие выводы и они полезны для усвоения материала (а не сводятся к тому, что учащийся «плохо слушал»), то этими данными необходимо поделиться с аудиторией, объяснив механизм возникновения ошибки. Это поможет обучаемым в дальнейшем более точно отдавать себе отчет в механизме формирования своих выводов и критически оценивать их правильность.

Выходной контроль предлагается осуществлять в виде письменного экзамена, содержащего вопросы, на которые необходимо дать развернутые ответы. В случае наличия такой возможности, предпочтительно предоставлять обучающимся возможность печатать ответы на компьютере, а не писать от руки, так как такие ответы лучше поддаются проверке.

Обязательно следует довести до учащихся правильные ответы на экзаменационные вопросы, иначе их собственные (возможно, неправильные) ответы останутся в их памяти как единственно верные.

Выставление оценок за экзаменационные ответы – опционально на усмотрение преподавателя. В зависимости от состава группы и цели обучения оно может быть как целесообразно, так и нецелесообразно.

Полный цикл обучения включает в себя следующий набор тем.

Темы занятий, составляющие полный цикл обучения:

Вводная лекция: «Резидентный компонент безопасности: концепция корректного старта и ее развитие в истории эволюции СВТ и СЗИ» (Лекция – 1 уч.ч)

Эта лекция должна читаться единожды за цикл. То есть если группа занимается по программе одного любого курса из цикла, лекция включается в состав занятий, если же группа проходит цикл из всех 4-х курсов целиком, то лекция читается только в самом начале цикла обучения.

6

Раздел «Семейство СЗИ НСД “Аккорд”» (продолжительность – 4 дня)

2.Методы и технологии защиты информации от несанкционированного доступа с использованием программноаппаратных комплексов (ПАК) СЗИ НСД семейства «Аккорд».

(Лекция – 2 уч.ч.)

2.1.Общие требования по защите информации от несанкционированного доступа в АС. Подсистемы защиты информации в АС.

2.2.Общие сведения о ПАК СЗИ НСД семейства «Аккорд» и построение системы защиты информации на их основе.

2.3.Аккорд-АМДЗ на базе MS DOS и Linux. Общее и различия.

2.4.Особенности и принципы функционирования комплексов СЗИ НСД семейства «Аккорд». Комплекс СЗИ НСД «АккордАМДЗ» (аппаратный модуль доверенной загрузки). Комплекс СЗИ НСД «Аккорд-Win32». Комплекс СЗИ НСД «Аккорд-Win64».

3.Установка и администрирование комплексов СЗИ НСД семейства «Аккорд». (Практическое занятие – 6 уч.ч.)

3.1.Специальный режим работы комплекса (технологический).

3.2.Установка в ПЭВМ аппаратной части комплекса СЗИ НСД «Аккорд» (последовательно для DOS и Linux прошивки).

3.3.Установка на жесткий диск ПЭВМ специального программного обеспечения разграничения доступа и драйвера контроллера АМДЗ в составе ОС (СПО «Аккорд-Win32» и «Аккорд-Win64»).

3.4.Снятие средств защиты комплекса «Аккорд-Win32».

3.5.Редактирование параметров пользователей:

3.5.1.Регистрация нового пользователя.

3.5.2.Переименование, удаление пользователей.

3.5.3.Поиск пользователя по ТМ-идентификатору.

3.5.4.Синхронизация параметров пользователей.

3.6.Контрольные вопросы

4.Управление механизмами защиты комплексов семейства СЗИ НСД «Аккорд». (Практическое занятие – 8 уч.ч.)

4.1.Настройка подсистемы разграничения доступа:

4.1.1.Задание имени пользователя

4.1.2.Установка параметров пользователя:

7

6.Сетевое администрирование комплексов СЗИ НСД семейства «Аккорд». (Практическое занятие – 3 уч.ч.)

6.1.Подсистема распределенного аудита и управления «Аккорд РАУ», установка, настройка, возможности сетевого администрирования и управления.

6.2.Система удаленного централизованного управления СЗИ НСД семейства «Аккорд» – СУЦУ.

7.Защита систем терминального доступа с помощью комплекса СЗИ НСД «Аккорд-Win32» и «Аккорд-Win64» TSE.

(Практическое занятие – 4 уч.ч.)

7.1.Особенности технологии «Терминальный сервер» – «Тонкий клиент» и дополнительные требования к СЗИ НСД, необходимые для защиты СТД (система терминального доступа).

7.2.Защита информации от НСД с помощью комплекса «Ак- корд-Win32» и «Аккорд-Win64» TSE (Terminal Server Edition) в СТД.

7.3.Применение ПСКЗИ ШИПКА в качестве персонального идентификатора на «тонких» клиентах в СТД, в том числе гарвардской архитектуры.

7.4.Особенности работы Администратора Безопасности Информации при удаленном подключении к терминальному серверу.

7.5.Настройка комплекса защиты с учетом особенностей регистрации пользователей удаленного рабочего стола в AD на контроллере домена.

8.Особенности управления механизмами защиты комплексов СЗИ НСД семейства «Аккорд». (Лекция – 3 уч.ч.)

8.1.Основы организационных мероприятий при эксплуатации комплекса.

8.2.Содержание работы администратора информационной безопасности по применению комплекса «Аккорд», его права и обязанности.

8.3.Примеры типовых правил разграничения доступа к ресурсам автоматизированной системы, ПЭВМ. Управление процессами.

8.4.Рекомендации по созданию изолированной программной среды (ИПС). Особенности работы пользователей в ИПС.

9

8.5. Перспективы развития систем с применением программноаппаратных комплексов «Аккорд».

8.5.1.Модернизация системы с расширением от доверенной загрузки к разграничению доступа

8.5.2.Модернизация терминальной системы в направлении доверенной загрузки терминального клиента

- ПАК «Центр-Т» - МАРШ!

8.5.3.Интеграция со СКУД.

8.5.4.Использование криптографической подсистемы УАПК «Аккорд-У».

8.5.5.Построение систем ДСС на базе Аккорда и коммутатора SATA-устройств.

9.Защита инфраструктуры виртуализации с помощью комплекса «Аккорд-В.»

9.1.Общие сведения об архитектуре и защитных свойствах «Ак- корд-В.». (Лекция – 1 уч. ч.)

9.2.Установка и настройка «Аккорд-В.» (на vCenter (в отличие от «Аккорд-Win32» и «Аккорд-Win64»), установка и настройка на ESX-серверах (в отличие от «Аккорд-АМДЗ»)). (Практическое занятие – 1 уч. ч)

9.3.Работа с виртуальными машинами. (Практическое занятие

–0,5 уч. ч)

9.4.Разбор типовых вопросов. (Лекция – 0,5 уч. ч.)

9.5.Защита клиентских рабочих мест (Лекция – 0,5 уч. ч.):

-ПЭВМ.

-Тонкие клиенты.

9.6. Выполнение упражнений

10. Выходной контроль (1 уч.ч)

Раздел «ПСКЗИ ШИПКА и продукты на ее основе» (продолжительность – 2 дня)

11. ПСКЗИ ШИПКА как устройство, базовые положения, архитектура, блоки функциональности (собственное ПО, рабо-

10