3.2.3. Подсистема контроля целостности «закрытого» контура

Подсистема контроля целостности «закрытого» контура должна обеспечивать контроль:

– файлов операционной системы до ее загрузки;

– изменения файлов;

– создания и удаления файлов;

– переименования файлов;

– создания и удаления каталогов;

– переименования файлов;

– перемещения файлов из каталога в каталог;

– содержимого системных областей.

Подсистема должна запускаться автоматически при инициализации аппаратно-программных средств «закрытого» контура, а также в ручном режиме.

Контроль целостности должен осуществляться путем:

– перехвата обращений к функциям ОС работы с файловой системой и задания перечня разрешенных действий;

– сравнения зафиксированного эталонного состояния объектов с их текущим состоянием. Фиксация эталонного состояния контролируемых объектов должна осуществляться путем создания эталонных копий, хранение которых осуществляется в защищенных областях жесткого диска или на защищенных внешних носителях.

Подсистема должна иметь удобный пользовательский интерфейс для создания списка контролируемых объектов с помощью масок, шаблонов и поисковой системы.

Контроль целостности должен осуществляться в соответствии с контрольными суммами как во время загрузки, так и динамически. Механизм проверки контрольной суммы должен использовать сертифицированный алгоритм. Анализ контрольной суммы должен выполняться как во время загрузки, так и динамически.

Защита должна включать в себя процедуру восстановления от отказов и отказов оборудования, которая должна обеспечивать восстановление свойств.

Должен быть реализован механизм восстановления работоспособности средств защиты в случае нарушений в его нормальном режиме работы. Функциональность должна быть восстановлена сразу после обнаружения сбоя в нормальной работе.

3.2.4. Подсистема защиты межсетевого взаимодействия «закрытого» контура

Подсистема защиты межсетевого взаимодействия, закрытого «закрытого» контура предназначена для защиты однонаправленной передачи данных из «открытого» контура в «закрытый» контур и сегментирования ЛВС указанных контуров.

Подсистема защиты межсетевого взаимодействия, закрытого «закрытого» контура должна обеспечивать:

1. Сегментацию ЛВС «закрытого» контура и ЛВС «открытого» контура на канальном, сетевом и прикладном уровнях семиуровневой модели OSI. Управление потоками между ЛВС «закрытого» контура и ЛВС «открытого» контура обеспечивается:

а) однонаправленной фильтрацией потока данных между «открытым» контуром и «закрытым» контуром;

б) фильтрацией на канальном уровне, а именно:

– фильтрацией потока данных на основе MAC-адресов отправителя и получателя;

– фильтрацией средствами защиты с учетом входного и выходного сетевого интерфейса и проверкой подлинности сетевых адресов. В настройках параметров фильтрации должна присутствовать возможность допускать или – запрещать прохождение сетевыми пакетами из списка адресов указанный сетевой интерфейс;

– фильтрацией с учетом даты/времени и возможности определения временных интервалов для выполнения правил фильтрации.

в) фильтрация на сетевом уровне, а именно:

– фильтрацией каждого сетевого пакета независимо на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов. Фильтрация производится по IP-адресам и MAC-адресам;

– фильтрацией на межсетевых экранах с учетом любых значимых полей сетевых пакетов;

– фильтрацией пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств «закрытого» контура. Должна обеспечиваться поддержка фильтрации протокола ICMP;

– фильтрацией с учетом даты/времени и возможность определения временных интервалов для выполнения правил фильтрации;

– регистрацией и учетом фильтруемых пакетов. В параметры регистрации должны включаться адрес, время и результат фильтрации.

г) фильтрация на транспортном уровне, а именно:

– фильтрацией запросов на установление виртуальных соединений. При этом должны учитываться транспортные адреса отправителя и получателя. Фильтрация должна производиться по IP-адресам для TCP и UDP соединений;

– фильтрацией с учетом даты/времени и возможности определения временных интервалов для выполнения правил фильтрации;

регистрацией и учетом запросов на установление виртуальных соединений.

д) фильтрация на прикладном уровне, а именно:

– фильтрацией на прикладном уровне запросов к прикладным сервисам. При этом должны учитываться прикладные адреса отправителя и получателя; Фильтрация производится по сокетам (sockets) для TCP и UDP соединений;

– возможностью сокрытия субъектов (объектов) и/или прикладных функций «закрытого» контура;

– фильтрацией с учетом даты/времени и возможности определения временных интервалов для выполнения правил фильтрации;

– регистрацией и учетом запрашиваемых сервисов прикладного уровня (посредством связки IP-адреса и номера порта удаленного сервера для устанавливаемого сеанса связи).

2. Авторизация MAC-адресов АРМ пользователей с «закрытым» контуром при подключении к локальной сети с «закрытым» контуром. При обнаружении неавторизованного MAC-адреса порт соответствующего устройства должен быть автоматически отключен.

3. Использует режим концентратора, который принимает пакеты, адресованные только авторизованному MAC-адресу.

4. Исключить и контролировать доступ к несанкционированным удаленным подключениям к локальным ресурсам «закрытого» контура.

5. Обязательный мониторинг открытых точек доступа к периметру «закрытого» контура. При организации однонаправленных соединений из «открытого» контура в «закрытый» контур для обеспечения доступа к секретной информации, обрабатываемой на серверах «закрытого» контура, необходимо заранее решить вопрос криптографической защиты трафика этих соединений с помощью сертифицированных средств ФСБ России. В то же время для разрешенных TCP-соединений, исходящих из «открытого» контура, необходимо указать адрес назначения, адрес источника и номер IP-порта, соответствующие службе, внешней для «открытого» контура.

6. Регистрация входящих пакетов в «закрытый» контур, не соответствующих правилам листов доступа маршрутизатора и внутреннего MЭ, путем отображения соответствующих событий в системном журнале.

7. Контроль информации, передаваемой через электронную систему обмена сообщениями в «закрытом» контуре путем фильтрации протоколов передачи электронной почты специализированными средствами, установленными на серверах, обеспечивающих работу почтовой системы внутри «закрытого» контура. Правила фильтрации должны регулироваться. Рабочие данные фильтра передаются в подсистему управления безопасностью.

8. Программируемый ответ на события в устройстве защиты (возможность генерировать заданный уровень детализации событий в журнале AИБ. Регистрация категорий событий, таких как изменение конфигурации и т.д.).

9. Оперативная сигнализация на основе защищенного протокола SNMP v.3, а именно:

– локальная сигнализация попыток нарушения правил фильтрации (оповещение АИБ «закрытого» контура о попытках установления запрещенных соединений непосредственно фильтрующим модулем (звуковое сопровождение, вывод сообщения на экран, световая индикация и т.п.));

– дистанционная сигнализация попыток нарушения правил фильтрации (информирование АИБ «закрытого» контура и уполномоченных лиц о попытках установления запрещенных соединений с помощью электронной почты, SMS-сообщений или внешних систем оповещения).