Государственным и коммерческим компаниям часто приходится строить свои информационные системы из иностранных компонентов. При этом в законодательных актах содержатся рекомендации использовать для этого только проверенные устройства и программное обеспечение.
В частности, именно это подразумевается в серии приказов ФСТЭК: номер 17 (о защите государственных информационных систем), 21 (о защите систем, обрабатывающих персональные данные) и 31 (о защите систем управления промышленными процессами). В этой статье мы постараемся разобраться, как обеспечить соблюдение требований безопасности ФСТЭК для перечисленных классов информационных систем с использованием межсетевых экранов российской разработки, которые позволяют разделить корпоративную сеть на сегменты и контролировать их поведение.
2. Шлюз для Интернета и локальной сети
Введение
Можно ли сделать безопасной информационную систему из потенциально небезопасных элементов? Теория информации уверяет, что можно. Только нужно контролировать и корректировать работу элементов, которые могут допустить сбой. Важно при этом обеспечить надежность работы системы контроля, то есть гарантировать, что средство защиты работает безопасно и не имеет недекларированных возможностей. Мы уже касались темы импортозамещения в статье "Защищенный интернет-шлюз: возможно ли импортозамещение?", а сейчас хотелось бы отметить те ключевые точки корпоративной информационной системы, в которых должны быть установлены только доверенные продукты.
Сегодня трудно избежать использования иностранных технологий при построении информационных систем, в том числе и государственных, и критических – и все время приходится учитывать несертифицированные решения, компьютеры и устройства, а также строить сети на иностранном сетевом оборудовании. При этом важно, чтобы их поведение постоянно контролировалось. Таким контролирующим элементом должен быть шлюз, через который проходит сетевой трафик пользователей при подключении к Интернету или при обращении к другим сегментам корпоративной сети. Если в качестве шлюза использовать российское оборудование, которое будет фиксировать обращения компьютеров по подозрительным адресам и URL, это как минимум позволит вовремя заметить подозрительную активность.
Перечисленные выше приказы ФСТЭК требуют прохождения аттестации информационной системы по требованиям данного регулятора и соблюдения определенных требований как от владельцев информационных систем, находящихся в ведении государственных компаний, так и от операторов персональных данных, промышленных предприятий и ведомств. В частности, перечисленным категориям операторов ИС рекомендуется разделить свои корпоративные сети на отдельные информационные системы, в каждой из которых будут действовать свои политики безопасности. В частности, такой прием разделения позволяет снижать требования по уровню защищенности и тем самым снижать затраты на построение и эксплуатацию системы. Следует отметить, что приказы требуют сертификации средств защиты, но не рабочих мест. То есть, и авторы перечисленных приказов предполагают, что можно построить защищенную информационную систему из незащищенных элементов – важно только проверять и контролировать качество средств защиты. В приказе введен термин «государственные информационные системы» – ГИС. Среди прочих, есть и требование по сертификации средств защиты ГИС; при этом не критично, что сами системы не прошли процедуру сертификации – главное, чтобы защита была доверенная.
Сегментация кооперативной сети дает возможность установить для отдельных сегментов более строгие правила, а также точнее настроить права доступа внутри корпоративной сети. Для грамотного разделения необходимо установить – на этот раз, уже внутри корпоративной сети – дополнительные сертифицированные межсетевые экраны от доверенных поставщиков.
Таким образом, можно выделить следующие требования к сетевым фильтрам, которые подходят для защиты всех сегментов корпоративной сети:
- Поскольку данные решения должны контролировать и блокировать распространение вредоносной активности за пределы сегмента, продукт должен содержать механизм антивирусной проверки проходящего трафика;
- Защита должна иметь возможность определять достаточно сложные правила маршрутизации, которые могли бы ограничить доступ к пользователям одного сегмента из другого;
- Нарушения правил политики доступа пользователями должны фиксироваться и передаваться в службу информационной безопасности в виде оперативных отчетов; попытки доступа пользователей к запрещенным ресурсам также должны фиксироваться;
- Контролироваться также должна и электронная почта с возможностью проверки архивных файлов, чтобы защитить пользователей всех сегментов от спама, вредоносных ссылок и вложений в письмах;
- Необходимо наличие сертификатов российских регуляторов хотя бы по проверке на недекларированные возможности, а также на соответствие другим российским законам;
- Необходимо контролировать деятельность сотрудников в корпоративной сети, разграничивая их доступ как к ресурсам в Интернете, так и к корпоративным сервисам.
Таким образом, государственным организациям и компаниям, которые эксплуатируют информационные системы персональных данных или управляют критически важным производством, можно посоветовать перестроить свою корпоративную сеть таким образом, чтобы выделить подпадающие под приказы ФСТЭК информационные системы в отдельные сегменты с возможностью каждый из них привести в строгое соответствие требований регуляторов. Для разграничения таких систем между собой можно использовать российские межсетевые экраны, которые, например, предлагает компания "А-Реал Консалтинг " – о них мы уже писали в статье "Защищенный интернет-шлюз: возможно ли импортозамещение?". А сейчас хотелось бы остановиться на продукте компании "Смарт-Софт" – межсетевом экране Traffic Inspector, антивирусный и антиспам-модули которого разработаны на основе технологий «Лаборатории Касперского».
Шлюз для Интернета и локальной сети
Решение Traffic Inspector объединяет в себе наиболее востребованные клиентами технологии, в которые включены шлюзовой антивирус и межсетевой экран с дополнительным спам-фильтром. Сейчас ситуация с информационной безопасностью такова, что эти два класса продуктов используют все 100% компаний, чьи информационные системы подключены к Интернету. Поэтому при построении новой информационной системы антивирусные программы и решения для контроля трафика предприятия должны приобретать в первую очередь. Эти классы программного обеспечения завязаны на необходимость получения постоянных обновлений баз сигнатур вредоносных кодов. Поэтому в последние годы они не могут эффективно функционировать без постоянного обмена информацией с облачным центром реагирования на атаки.
На российском рынке производителей обеспечения IT-безопасности представлено множество решений, объединяющих межсетевой экран со шлюзовым антивирусом. Traffic Inspector, разработанный компанией «Смарт-Софт», является одним из них. Для этого решения «Лаборатория Касперского» и «Смарт-Софт» создали антивирусный и антиспам-модули: Traffic Inspector Anti-Virus powered by Kaspersky и Traffic Inspector Anti-Spam powered by Kaspersky. У данных плагинов, разработанных на основе серверного решения для защиты шлюзового компьютера и всей сети от атак, а также для контроля и управления сетевым взаимодействием сотрудников внутри компании, есть ряд явных преимуществ:
- Защита от действий сотрудников, игнорирующих правила IT-безопасности на персональном компьютере;
- Круглосуточное обновление вирусных баз, получаемое от российского производителя антивирусов;
- Блокировка вируса уже в точке входа в сеть, до попытки заражения рабочей станции сотрудника;
- Фильтрация входящего и исходящего трафика.
В целом же, Traffic Inspector с дополнительными модулями позволяет решать следующие задачи:
- Антивирусная проверка почтового и веб-трафика;
- Фильтрация нежелательной почты;
- Построение подробных отчетов.
Таким образом, решение позволяет клиентам использовать его в качестве секторального межсетевого экрана и стандартного защищенного шлюза.
Выводы
Из положительных особенностей шлюза Traffic Inspector следует отметить, что он построен с применением технологий лидера российского рынка – «Лаборатории Касперского». Эти технологии обеспечивают максимально оперативное обновление антивирусных баз данных и шаблонов спама. К тому же, они отлично знакомы с российскими реалиями киберпреступности, и эффективнее западных аналогов защищают от вредоносных программ, встречающихся на территории России. Уникальные технологии эвристического анализа позволяют обнаруживать еще не известные угрозы, что обеспечивает защиту от шпионских программ - "государственных троянцев". При этом среди ценных качеств продукта можно отметить его простую установку и настройку.
Компания «Смарт-Софт» получила на Traffic Inspector все необходимые сертификаты, которые позволяют использовать его для обработки персональных данных и в государственных информационных системах, а также в учебных заведениях, где требуется соблюдение закона № 436-ФЗ «О защите детей от информации, причиняющей вред их здоровью и развитию».
В Traffic Inspector есть все самое необходимое для разделения информационной системы на сегменты, но отнюдь не все сетевые технологии защиты, которые предписываются регулятором для защиты ГИС с подключением к Интернет. Например, в нем нет полноценных инструментов для обнаружения вторжений, защиты от утечек, или создания распределенных информационных систем с защитой каналов при помощи VPN. Тем не менее, действующего функционала Traffic Inspector более чем достаточно для использования в качестве экрана для сегментирования внутрикорпоративной сети.
«Бороться с вирусами, спамом, хакерами нужно во все времена. Это бесспорно. Но если в период сильной экономики все способы допустимы – и дорогие, и дешевые, и лечение, и профилактика, то во времена, когда любая ошибка может привести к негативному исходу, к защите информационной безопасности компании нужно и подходить соответствующе – как к вопросу жизни и смерти. Использование Traffic Inspector совместно со шлюзовым антивирусным и антиспам-плагинами, разработанными совместно с «Лабораторией Касперского», поможет с оптимальными затратами защитить важные данные компании от вредоносных программ и избежать огромных потерь», – комментирует Андрей Давидович, генеральный директор компании «Смарт-Софт».
