БЕЗОПАСНОСТЬ

Secret Disk Server NG защитит конфиденциальное хранилище не только от внешних угроз, но и от внутренних

Несколько лет назад на пиратских прилавках появились базы данных одного из крупнейших в стране сотовых операторов. Нет нужды говорить, что существенная часть клиентов этой компании тут же переметнулась к конкурентам. Фирма быстро сделала правильные выводы, и с тех пор ее данные на всеобщее обозрение не выставлялись.

Сергей Груздев:

"Четкое разграничение полномочий - ключ к эффективности любой системы защиты данных!"

Хуже обстоит дело с базами данных, накапливаемыми различными государственными организациями. Свежайшие версии этих БД, содержащие подробнейшие сведения о деятельности и собственности физических и юридических лиц, можно купить буквально за копейки. Печально, что правообладатели этих баз с таким явлением, похоже, никак не борются. Во всяком случае, за кражу этих БД пока ни одно должностное лицо публично не осудили. Во всяком случае, ни об одном громком процессе подобного рода что-то не было слышно. А жаль: ведь, по оценке МВД России (см., например, заметку "Управление "К" МВД: количество выявленных ИТ-преступлений в РФ удваивается ежегодно", www.cnews.ru/newsline/index.shtml?2004/10/11/ 166497), только в первом полугодии нынешнего года число преступлений, связанных с незаконным получением и разглашением сведений, составляющих коммерческую или банковскую тайну (ст. 183 УК РФ) и совершенных с использованием компьютерной техники, возросло по сравнению с аналогичным периодом 2003-го более чем в три раза.

Призывать к совести тех, кто ворует и перепродает эти базы, надо полагать, бесполезно. Процесс расширения круга "ИТ-сыщиков" и ужесточения соответствующих статей УК может растянуться на долгие годы, а то и десятилетия. Но вот ограничить круг лиц, могущих, благодаря своему служебному положению, похитить и выгодно продать ценнейшие информационные массивы, можно уже сегодня. Благо имеющиеся на рынке программно-аппаратные комплексы позволяют это сделать. Вот лишь один из них.

В декабре компания Aladdin Software Security R.D. (www.aladdin.ru), ведущая свою историю с 1995 г., на специальном семинаре впервые представила потенциальным заказчикам программно-аппаратный комплекс Secret Disk Server New Generation (SDS NG) - новое поколение систем защиты корпоративных хранилищ данных, использующих платформу MS Windows Server 2003/2000/XP. Это решение идет на смену более простому комплексу Secret Disk Server (SDS), выпущенному в мае 1999 г. и пользующемуся огромной популярностью: по словам генерального директора Aladdin Сергея Груздева, продажи линейки продуктов Secret Disk - не только в нашей стране, но и за ее пределами - нарастают экспоненциально, и сегодня число пользователей этого продукта исчисляется десятками тысяч. Новинка также вобрала в себя ряд возможностей*1 продукта Secret Disk NG (SD NG), продажи которого начались в сентябре 2002 г. (см. PC Week/RE, N 39/2003, с. 34).

_____

*1 Правильнее сказать, что на SD NG всесторонне обкатывалось ядро, лежащее в основе системы сервисной защиты SDS NG.

Secret Disk Server NG - это современный программно-аппаратный комплекс защиты корпоративной информации (баз данных, файловых архивов, бизнес-приложений и их данных), хранящейся и обрабатывающейся на серверах и рабочих станциях под управлением ОС Microsoft Windows.

С помощью SDS NG можно защитить от несанкционированного доступа информацию на:

- файловых серверах и архивных копиях;

- системах управления базами данных (СУБД);

- почтовых серверах;

- различных бизнес-приложениях, имеющих многоуровневую архитектуру и предоставляющих пользователям сервисы прикладного уровня (например, системы документооборота, ERP- и CRM-системы).

SDS NG использует проверенную и надежную технологию защиты данных методом их "прозрачного" шифрования, а также выполняет контроль доступа по сети к защищенным дискам.

Новой и самой интересной возможностью используемого в SDS NG механизма защиты конфиденциальной информации является опция по блокированию прямого доступа для сотрудников к корпоративным базам данных, что исключает возможность несанкционированного копирования и кражи конфиденциальной информации. Таким образом, персонал не может работать с базами данных напрямую. Разрешен только опосредованный доступ через серверные приложения, благодаря чему неблагонадежные пользователи или даже "обидившийся" системный администратор не могут ни выкрасть, ни модифицировать важные данные В отличие от своего предшественника, SDS NG позволяет закрыть доступ к конфиденциальным данным не только рядовым сотрудникам, представителям сервис-служб или непрошеным гостям (например, вооруженным конкурентам, вломившимся в серверную комнату), но и всемогуще-всезнающим системным администраторам. При этом все функции контроля над конфиденциальными данными (и вся ответственность за их утечку!) возлагается на так называемого офицера по информационной безопасности. Эта должность является обычной для большинства финансовых ведомств и силовых структур, где понимают величину ущерба, который может нанести утечка сведений с определенным грифом секретности.

Важную роль в системе защиты конфиденциальных данных играет система подачи сигнала "тревога". Этот сигнал может быть подан как с помощью внешнего устройства (например, "красной кнопки"*1, радиобрелока*2 или охранной сигнализации), так и через Интернет. Реакция на сигнал определяется для сервера в целом и для каждого защищенного диска в отдельности. Например, определенная часть данных вдруг может стать невидимой никому из пользователей и администраторов. Или же данные могут быть подменены другими, призванными ввести лиц, пытающихся получить доступ к этой информации, в заблуждение. Варианты возможных реакций на сигнал "тревога" ограничиваются лишь фантазией лиц, ответственных за политику информационной безопасности.

_____

*1 Физически это обычная кнопка, провода от нормально разомкнутых контактов которой тянутся к COM-порту сервера или какой-либо рабочей станции.

*2 Радиобрелок имеет радиус действия около 50 м и работает в связке с радиоприемником, подключенным к последовательному порту сервера или какой-либо рабочей станции. Один радиоприемник может обслуживать до 12 радиобрелоков.

Чтобы максимально эффективно использовать все заложенные в SDS NG возможности, надо провести четкое разграничение прав и обязанностей между различными категориями персонала, среди которых выделяются:

- пользователи;

- администраторы приложений (устанавливают права доступа пользователей к тем или иным программам);

- администратор SDS NG (непосредственно или дистанционно настраивает параметры сервера и защищенных дисков, в том числе реакцию на сигнал "тревога");

- системный администратор или администратор ОС (наделяет пользователей правом доступа по сети к защищенным дискам, предоставленным в общее пользование);

- офицер по информационной безопасности (подает сигнал "тревога", хранит резервные копии ключей шифрования дисков, следит за исполнением требований политики информационной безопасности).

Разумеется, все четыре административные роли может играть одно и то же лицо. Но тогда эффективность использования комплекса значительно снижается: он будет защищать данные лишь от хищения их рядовыми пользователями или непрошеными гостями.

Несколько слов о технических особенностях новинки. В ней нет встроенных средств шифрования (поэтому нет ограничений на распространение, обслуживание и экспорт продукта). Защита информации обеспечивается путем "прозрачного" шифрования содержимого разделов жестких дисков на сервере с использованием быстрых и стойких криптографических алгоритмов, реализуемых внешними по отношению к SDS NG модулями (драйвером режима ядра из состава Microsoft Windows, криптопровайдерами или подключаемыми библиотеками режима ядра). Пользователь может выбрать алгоритм TripleDES с длиной ключа 168 бит, AES с длиной ключа 128 и 256 бит, Twofish с длиной ключа 256 бит, сертифицированный российский алгоритм ГОСТ 28147-89 с длиной ключа 256 бит, реализуемый криптопровайдерами "КриптоПро CSP 2.0" и Signal-COM CSP.

При этом сами защищенные диски могут иметь формат NTFS, FAT32 или FAT16. Возможно перешифрование защищенных дисков со сменой ключа и алгоритма шифрования. Важно отметить, что при этом не надо сначала расшифровывать данные (тем самым временно снимая с них защиту), а потом зашифровывать их с помощью нового ключа или алгоритма шифрования. А так как данные на защищенных дисках всегда хранятся в зашифрованном виде, то даже в случае хищения или изъятия сервера они никуда не "утекут".

Комплекс SDS NG поддерживает ОС MS Windows Server 2003. Он также может быть установлен на компьютеры, работающие под управлением MS Windows 2000 (Advanced Server, Server или Professional) или Windows XP (Home Edition либо Professional). Применение цифровых сертификатов X.509 позволяет легко интегрировать Secret Disk Server NG в корпоративную инфраструктуру, использующую открытые ключи (PKI, Public Key Infrastructure). Компоненты SDS NG можно устанавливать как на один и тот же сервер, так и на различные компьютеры в любых сочетаниях.

Г-н Груздев отмечает, что распространение SDS NG осуществляется через партнерскую сеть, насчитывающую около 70 фирм. C 1 января 2005 г. продажи продукта SDS прекращены.