Конявская Текхнологии зашчишченного применения УСБ-носителеы 2014

•повышение контроля над технологией (сотрудник более ответственно относится к «своему»);

•повышение компетентности в использовании технологии (сотрудник будет с интересом изучать возможности наиболее эффективного применения технологии);

•возникновение сверхролевого поведения (если сотрудник обладает необходимым уровнем компетенции в технологии и получает удовлетворение от ее использования, весьма вероятно, что он будет продолжать ее использовать даже в свое свободное время);

•удовлетворение условиями труда и повышение производительности труда; другие.

В качестве предпосылок возникновения эффекта психологического обладания принято рассматривать:

3.потребность в автономности и желание контролировать (через владение объектом сотрудник организации получает возможность контролировать его использование);

4.желание получать удовольствие (если сотрудник организации обладает некоторой властью (в том числе за счет освоения технологии и повышения компетентности) над технологией, он получает удовольствие от более частого ее использования и лучше относится к задачам, которые он выполняет с ее помощью);

5.стремление к безопасности (знание особенностей технологии (компетентность) и связанное с этим знанием доверие к ней вызывают ощущение защищенности);

6.ожидание удовлетворения (сотрудник организации может испытывать удовлетворение от ощущений контроля, безопасности

икомпетентности, связанных с использованием технологии).

Даже если признать, что сетевая инфраструктура организации предоставляет альтернативные использованию флешек механизмы, которые в той или иной мере могут способствовать достижению целей сотрудников в части хранения и распространения информации, кажется крайне маловероятным, что сеть можно сравнивать с флешками с точки зрения психологических эффектов.

91

Таблица 3. Характер психологического обладания при использовании флешек и сетевых механизмов

92

Заметим, что в этом сравнении не учитываются эффекты от применения не просто флешки, а «Секрета» – устройства корпоративного, окрашенного стилистически и функционально в героической и несколько детективной палитре. Применение таких флешек существенно усилит значимость символических функций и может позитивно сказаться на корпоративной обстановке в целом, способствуя укреплению духа единства, общих интересов и личной преданности сотрудников делу.

Очевидно, что сама попытка такого сравнения выглядит несколько комично. Выбор между сетью и флешкой – всегда искусственный и вынужденный. Если есть возможность не выбирать, то ни один разумный владелец или архитектор системы делать этого не будет.

А применение «Секретов» дает возможность не выбирать, а использовать и то, и другое – по своему прямому назначению. Вспомним, что ответ на вопрос: «кто кого победит – кит или слон?» – зависит от того, где они будут (если вдруг будут) бороться

– на земле или в воде. Не надо заставлять действительно хорошие технологии конкурировать в условиях, для которых они не предназначены. Передавать данные естественно по сети. А хранить их – в «Секрете».

Особняком стоит вопрос сравнения «Секретов» с другими продуктами, позиционирующимися как «защищенные носители». В

93

качестве дополнительной информации по теме можно предложить обучающимся сравнительный анализ таких решений, приведенный в Приложении 2. В зависимости от наличия свободных часов можно разобрать этот текст со слушателями либо дать для самостоятельного прочтения.

3.5.1. Макеты систем

Ниже описаны примеры обобщенных сценариев применения каждого из продуктов линейки «Секрет», которые помогут более наглядно представить себе их функционирование в конкретных системах.

3.5.1.1. «Личный Секрет»

Общий принципе корпоративного применения ПАК «Личный Секрет» уже был описан выше. Он сводится к выделению для выполнения административных операций одного защищенного АРМ, который станет «первичным» ПК для всех СН в организации, и ряду несложных организационных мер по разделению критичных данных – Кода Регистрации и PIN-кода.

Самый интересный с нашей точки зрения случай построения системы таким образом – это применение СН для хранения данных СКЗИ [15]. Как правило, эта задача сводится к хранению исключительно ключей, а это столь небольшой объем данных, что применение продуктов линейки «Секрет» при всех их плюсах признается избыточным – токены стоят дешевле и, при допущении, что используются они только в доверенной среде, в принципе, выполняют необходимые функции.

Однако хорошо понятно, что использование токена только в доверенной среде не обеспечивается ничем кроме доброй воли пользователя. Более того, при наличии у него другой копии того же СКЗИ, он может использовать «служебные» ключи в личных целях.

Это создает предпосылки для более пристальной оценки СН «Секрет» в качестве хранилища данных СКЗИ, поскольку оно позволит ограничить применение этих данных только легальными АРМ.

Более того, оказывается, что ключи – это не единственная информация, которая по требованиям к применению тех или иных

94

СКЗИ должна храниться защищенно. И хранение в памяти традиционных токенов другой информации программных СКЗИ (например, справочников сертификатов), невозможно: во-первых, они занимают существенно больший объем, а во-вторых, существуют в форматах, отличных от PKCS#11 (с которым умеет работать токен). И вот для таких случаев идеально подходит «Личный Секрет», который обладает достаточным объемом памяти и физически не способен монтироваться на неразрешенных АРМ.

Ограничение, связанное с тем, что для установки ПО «Секретный агент» требуются права Администратора системы, в данном случае не является критичным, так как для установки в систему СКЗИ, например, тоже требуются соответствующие права, использовать данные СКЗИ на «любом» компьютере в любых условиях – не только ненужно, но и недопустимо.

Таким образом, не только злоумышленник, даже если он завладел и Секретом, и его PIN-кодом, все равно не сможет получить доступ к данным, но и легальный пользователь, пожелай он воспользоваться собственными ключами в нарушение правил пользования СКЗИ.

Как и все самые оригинальные с нашей точки зрения схемы применения, эта была нам предложена пользователями.

3.5.1.2. «Секрет Особого Назначения»

Особенность применения «Секрета Особого Назначения» очевидным образом вытекает из его ключевых особенностей: возможность применения на ПК, на которых невозможна установка ПО (нет прав Администратора системы, в частности), и фиксация всех попыток подключения – то есть полная контролируемость истории использования.

При этом очень важно, что круг компьютеров, на которых будет монтироваться СН, можно не ограничивать вовсе. Возможность аудита, о которой пользователь будет в полной мере осведомлен, причем аудита, который невозможно обмануть, стерев или исказив данные, будет являться своего рода «совестью» (которая «лучший контролер»).

Такая флешка незаменима для менеджеров, инспекторов, бухгалтеров, системных администраторов и многих других, для кото-

95

рых чистоплотность является не личным положительным качеством, а требованием профессиональной пригодности.

Сфера применения, связанная со второй стороной продукта – некритичность потери/кражи при возможности самостоятельно управлять перечнем разрешенных компьютеров, диктует другую модель, также предложенную нам пользователями: использования «Секрета Особого Назначения» для ношения portable версий приложений и личных данных. Например, это portable почтовый клиент с базой адресов и архивом переписки. Удобно иметь его под рукой и не страшно потерять.

Персональная информационная среда у каждого человека своя, но каждый к ней ощутимо привязан. Попытки сделать ее мобильной и защищенной одновременно люди будут предпринимать всегда, и чем больше есть для этого различных инструментов, тем лучше.

3.5.1.3. «Секрет Фирмы»

Компания «Рассвет» имеет головное предприятие и 3 филиала. Головное предприятие находится в Москве, 2 филиала в СанктПетербурге и 1 филиал в Перми. Сотрудники компании работают в общей корпоративной сети, состоящей, соответственно, из 4-х обособленных сегментов [16].

Головное предприятие выполняет преимущественно функции управления филиалами, собственных задач, связанных с профилем компании, у его сотрудников нет, однако на предприятие стекаются сведения о результатах работы всех филиалов и проводится их обработка и исследование. Получает эти данные головное предприятие от аналитического отдела каждого из филиалов. В отношении применения системы «Секрет» нас интересует то, что на каждом из предприятий компании есть отдел кадров, аналитический отдел, и в филиалах – профильные отделы. Остальные отделы в данном случае можно не рассматривать, так как они либо не обрабатывают конфиденциальную информацию, либо, как в случае с бухгалтерией, там просто не применяются никакие USB-носители, так как перенос информации с компьютера на компьютер не производится вообще.

96

Схематично сеть компании «Рассвет» может выглядеть так:

Рис. 32. Обобщенная структурная схема информационной системы

Итак, есть 4 сегмента сети, в каждой есть 3 (на головном предприятии – 2) группы компьютеров, на которых обрабатывается конфиденциальная информация. Причем информация, обрабатываемая в каждой из групп компьютеров, не должна попадать не только на компьютеры вне сети, но и на компьютеры других групп той же сети.

При этом в ряде случаев сотрудник, работающий с данными, которые можно обрабатывать на компьютерах одной из групп (группы профильного отдела), должен работать с ними не в своем сегменте, а в соответствующей группе компьютеров другого филиала.

Несколько раз в год сотрудники аналитического отдела головного предприятия выезжают в филиалы с целью проведения расширенного аудита. Тогда они должны иметь возможность работать с USB-носителями на компьютерах аналогичных отделов филиалов.

Информационная безопасность в компании «Рассвет» обеспечивается системой «Секрет» следующим образом.

97

Вкаждом отделении установлен свой сервер аутентификации (СА), являющийся первичным для всех секретных носителей (СН) «Секрет», выданных сотрудникам данного отделения, и зарегистрированных на этом СА. Постоянная связь on-line между СА не поддерживается.

На каждом СА находится база регистрации «Секретов», в которой установлено, на каких именно компьютерах может применяться тот или иной СН (в соответствии с описанной в специальном документе, утвержденном руководством «Рассвета» политикой безопасности), и какому именно пользователю он принадлежит. Использование любых других USB-устройств на этих компьютерах запрещено.

Вслучае, если сотрудник пытается открыть «Секрет» на своем домашнем компьютере, на компьютере другой организации, в отделе, компьютеры которой не зарегистрированы в на СА, или на компьютерах, зарегистрированных на СА, но не разрешенных для данного «Секрета», доступа к информации во внутренней памяти устройства они не получают (ни на чтение, ни на запись).

Вслучае, когда пользователю необходимо отправиться в командировку в другой филиал или головное предприятие, он со служебным заданием, подписанным руководителем предприятия, из которого однозначно следует, в какой именно группе компьютеров какого из сегментов сети он будет работать, приходит к Администратору СА. Администратор СА средствами ПО СА выдает на «Секрет» пользователя мандат на повторную регистрацию.

После этого пользователь с «Секретом» отправляется в командировку, а мандат повторной регистрации отправляется каким-либо защищенным способом, например, по защищенной электронной почте на СА, который управляет «Секретами» того сегмента сети, в котором предстоит работать командированному пользователю.

Если пользователь приезжает без мандата на повторную регистрацию, то работать со своим «Секретом» в «чужом» сегменте сети он не сможет. После окончания командировки повторная регистрация «Секрета» пользователя может быть сброшена, либо сохранена, в зависимости от решения, принятого руководством.

Компания «Закат» – основной конкурент компании «Рассвет», поддерживающий хорошие дипломатические отношения с «Рассве-

98

том», выполняет с компанией «Рассвет» ряд совместных проектов, и, пользуясь этим, считает возможным осуществлять попытки «промышленного шпионажа» путем кражи данных из профильного и аналитического отделов компании «Рассвет», а так же вредительства – путем записывания на компьютеры профильного отдела компании «Рассвет» вредоносных программ.

Столкнувшись с невозможностью подключения к компьютерам компании «Рассвет» своих USB-носителей, компания «Закат» узнала о системе «Секрет» и установила ее в своих офисах, в расчете на то, что с применением своих «Секретов» ее сотрудники смогут получить доступ к «Секретам» «Рассвета». Однако ни попытки открыть на своих компьютерах «Секрет», украденный в «Рассвете», ни попытки подключить собственные «Секреты» в компьютерам «Рассвета» ни к чему не привели, так как работать с «Секретом» можно только в той сети, в которой он зарегистрирован.

Однако выгоду компания «Закат» все же получила. Теперь в ней налажена защищенная работа с применением USB-носителей.

4.Выполнение упражнений по работе с продуктами линейки

4.1. Самостоятельное задание по ПАК «Личный секрет»

Начальные условия

На каждом персональном компьютере (далее – ПК) установлено ПО «Секретный агент».

ПК подключен к принтеру (в случае невозможности выполнения

– каждому слушателю должны быть выданы бумага и ручка\карандаш).

Каждому слушателю выдается новый (неиспользованный ранее) ПАК «Личный секрет» (далее – ЛС).

Перед началом выполнения задания преподаватель формирует мини-группы (по 2 слушателя в каждой).

Задание

1. Зарегистрировать ЛС в ПК, получить доступ к ЛС, создать на ЛС произвольный файл.

99

2.В составе мини-группы обменяться ЛС и регистрационными данными, зарегистрировать ЛС, получить доступ к ЛС, ознакомиться с содержимым ЛС, отменить регистрацию ЛС.

3.В составе мини-группы произвести обратный обмен ЛС, получить доступ к ЛС, отменить регистрацию ЛС.

4.Зарегистрировать ЛС заново, получить доступ к ЛС, ознакомиться с содержимым ЛС, отменить регистрацию ЛС.

План работ

1.Подключите ЛС к USB-порту ПК.

2.Зарегистрируйте ЛС в ПК (регистрация ЛС в «первичном» ПК, см. пункт 3.2 руководства администратора ПАК «Личный секрет»).

ВАЖНО! Необходимо распечатать или записать PIN-код и код авторизации.

3.Получите доступ к закрытому диску ЛС.

4.Создайте на закрытом диске ЛС произвольный файл.

5.Переподключите ЛС к USB-порту ПК.

6.Получите доступ к закрытому диску ЛС. Обратите внимание, что ЛС, доступ к закрытому диску которого получен, исчез из списка в ПО «Секретный агент».

7.Убедитесь в сохранности содержимого закрытого диска ЛС.

8.Обменяйтесь с товарищем по мини-группе вашими ЛС и записями регистрационных данных.

9.Подключите ЛС товарища по мини-группе к USB-порту ПК.

10.Зарегистрируйте ЛС товарища по мини-группе в ПК (реги-

страция ЛС во «вторичном» ПК, см. пункт 3.3 руководства администратора ПАК «Личный секрет»).

11.Обратите внимание на отличия в регистрации ЛС на «первичном» и «вторичном» ПК.

12.Получите доступ к закрытому диску ЛС товарища по минигруппе, не изменяя содержимого ЛС.

13.Переподключите ЛС товарища по мини-группе к USB-порту ПК.

14.Отмените регистрацию ЛС товарища по мини-группе в ПК (отмена регистрации ЛС во «вторичном» ПК, см. пункт 3.4 руководства администратора ПАК «Личный секрет»).

100