Наименование подсистемы | Назначение подсистемы | Основные характеристики |
Подсистема управления доступом | Контроль доступа сотрудников мэрии г. Ярославля в соответствии с разрешительной системой доступа (матрицей доступа). Контроль использования сотрудниками внешних носителей информации, контроль вывода защищаемой информации (персональных данных) на внешние отчуждаемые носители информации (USB-flash, USB-HDD и т. д.). Идентификация, аутентификация и авторизация пользователей в защищаемой системе. | Идентификация и проверка подлинности субъекта доступа при входе в ОС АС по паролю условно постоянного действия, длиной не менее шести буквенно-цифровых символов. Идентификация терминалов, технических средств обработки защищаемой информации, узлов АС, каналов связи, внешних устройств АС по их логическим адресам (номерам).Идентификация программ, томов, каталогов, файлов, записей, полей записей по именам. Контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа. Возможность ограничения использования внешних носителей информации. Разграничение доступа к следующим устройствам: - Внешние устройства, подключаемые по USB. Возможность определения не только конкретного устройства, но и типа устройства по классу, производителю, серийному номеру устройства. - Flash-карты памяти различных форматов. - Жесткие диски, дисководы, CD-DVD ROM, порты COM,LPT, PCMCIA, модемы, контроллеры IEEE 1394. - Любые физические или логические устройства, имеющие символическое имя. Возможность назначения прав доступа к определенному внешнему устройству для конкретного пользователя. Реализуемые права доступа к внешним носителям информации: - Запрет доступа для всех пользователей. - Разрешение полного доступа для всех пользователей. - Доступ только на чтение для всех пользователей. - Индивидуальное назначение прав доступа для конкретных пользователей аналогично назначению прав доступа на базе списков доступа (ACL). Наличие функции теневого копирования информации (копирование информации, выводимой на внешние носители информации в заранее определенное хранилище). Возможность интеграции со службой каталогов. Наличие сертификата соответствия ФСТЭК. |
Подсистема обеспечения целостности | Обеспечение загрузки операционной системы защищаемой системы в доверенной среде. Контроль целостности (неизменяемости) критических файлов используемой операционной системы, файлов внедряемой системы защиты информации, файлов программного обеспечения, предназначенного для обработки конфиденциальной информации. | Исполнение в виде программно-аппаратного модуля доверенной загрузки. Возможность блокирования загрузки АРМ с внешних отчуждаемых носителей информации в обход защитных механизмов используемой ОС. Обеспечение целостности программных средств защиты, а также неизменность программной среды. Целостность средств защиты проверяется при загрузке системы по наличию имен (идентификаторов) компонент КСЗИ, целостность программной среды обеспечивается отсутствием в защищаемой АС средств разработки и отладки программ. Обеспечение контроля доступа в помещения АС посторонних лиц, наличие надежных препятствий для несанкционированного проникновения в помещения с АС и хранилище носителей информации. Возможность периодического тестирования функций КСЗИ при изменении программной среды и персонала АС помощью тест-программ, имитирующих попытки НСД. Наличие средств восстановления КСЗИ, предусматривающее ведение двух копий программных средств защиты информации, их периодическое обновление и контроль работоспособности. Проверка целостности модулей средства защиты от ПМВ, необходимых для его корректного функционирования, при его загрузке с использованием контрольных сумм. Возможность восстановления средства защиты от ПМВ, предусматривающая ведение двух копий программных средств защиты, его периодическое обновление и контроль работоспособности. Проверка целостности пакетов обновлений средства защиты от ПМВ с использованием контрольных сумм. Обеспечение возможности резервного копирование обрабатываемых ПД на отчуждаемые носители информации. Наличие сертификата соответствия ФСТЭК. |
Подсистема регистрации и учета | Регистрация действий пользователей и процессов, связанных с доступом к защищаемой информации, регистрация пользователя при входе в операционную систему, регистрация действий пользователей при выводе защищаемой информации на внешние (отчуждаемые) носители (USB-flash, USB-HDD и т. д.). | Регистрация входа (выхода) субъекта в систему (из системы), либо инициализации загрузки операционной системы и ее программного останова. В параметрах регистрации указываются дата и время входа (выхода) субъекта в систему (из системы) или загрузки (останова) системы. Регистрация запуска (завершения)программ и заданий, предназначенных для обработки защищаемых файлов. В параметрах регистрации указываются дата и время запуска, имя (идентификатор) программы (процесса, задания), идентификатор субъекта доступа, запросившего программу (процесс, задание), результат запуска (успешный, неуспешный, санкционированный). Регистрация попыток доступа программных средств (программ, процессов, задач, заданий) к защищаемым файлам, В параметрах регистрации указываются время и дата попытки доступа к защищаемому файлу с указанием результата успешная, неуспешная — несанкционированная), идентификатор субъекта доступа, спецификация защищаемого файла. Регистрация попыток доступа программных средств к следующим дополнительным защищаемым объектам доступа: терминалам, компьютерам, узлам сети ИСПД, линиям (каналам связи), внешним устройствам компьютеров в составе ИСПД, программам, томам, каталогам, файлам, записям, полям записей. В параметрах регистрации указываются дата и время попытки доступа к защищаемому объекту с указанием ее результата (успешная, неуспешная — несанкционированная), идентификатор субъекта доступа, спецификация защищаемого объекта -логическое имя(номер). Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти компьютера и внешних накопителей. Наличие сертификата ФСТЭК. |
Подсистема антивирусной защиты | Проверка входящей, исходящей и обрабатываемой в защищаемой АС информации на отсутствие вредоносных программ (вирусы, программы-шпионы и т. д.). Лечение (изоляция) инфицированных файлов, автоматическое удаление вредоносных программ в случае их обнаружения. | Автоматическая проверка на наличие ВП или последствий ПМВ при импорте в АС всех программных модулей (прикладных программ), которые могут содержать ВП, по их типовым шаблонам и с помощью эвристического анализа. Автоматическое блокирование обнаруженных ВП путем их удаления из программных модулей или уничтожения. Проверка на предмет ВП (при первом запуске средства защиты информации от ПМВ и с установленной периодичностью). Автоматическая проверка на наличие ВП при выявлении факта ПМВ. Откат для установленного числа операций удаления ВП из оперативной или постоянной памяти, из программных модулей и прикладных программ или программных средств, содержащих ВП. Непрерывный согласованный по единому сценарию автоматический мониторинг информационного обмена в АС с целью выявления проявлений ПМВ. Возможность осуществления проверок серверных операционных систем на базе UNIX* платформ (типы и конфигурация операционных систем определяются на этапе проектирования).Операционные системы рабочих станций, на которые предполагается устанавливать антивирусные средства защиты: Windows XP*, Windows VISTA(. Должен быть единый сервер обновлений, который предполагается разместить в пределах сети Мэрии, с указанного центра обновлений осуществляются обновления сигнатур антивирусов на рабочих станциях и серверах. Для контроля сетевого трафика может быть использован отдельно-стоящий аппаратно-программный комплекс. Производитель обозначенного комплекса может отличаться от устанавливаемого на рабочие станции и сервера. Пропускная способность указанного антивирусного комплекса должна быть не менее 100 мбит/c. |
Подсистема межсетевого экранирования | Защита информационно-вычислительной сети мэрии г. Ярославля от несанкционированного доступа со стороны внешних сетей, в том числе сети «Интернет».Защита серверного сегмента сети мэрии г. Ярославля от несанкционированного доступа со стороны внешних сетей, защита отдельного пользовательского АРМа, предназначенного для обработки конфиденциальной информации со стороны внешних сетей и со стороны сети мэрии г. Ярославля. | Межсетевой экран должен обеспечивать принятие решения по фильтрации для каждого сетевого пакета независимо, возможность регистрации входа (выхода) администратора МЭ в систему (из системы) либо загрузки и инициализации системы и ее программного останова, фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых устройств, фильтрацию с учетом входного и выходного сетевого интерфейса как средство проверки подлинности сетевых адресов, фильтрацию с учетом любых значащих полей сетевых пакетов, восстановление после сбоев и отказов оборудования, возможность регламентного тестирования правил фильтрации, процесса идентификации, аутентификации и регистрации действий администратора МЭ, восстановление после сбоев и отказов, возможность сокрытия субъектов (объектов) и/или прикладных функций защищаемой сети, возможность трансляции сетевых адресов, дистанционную сигнализацию попыток нарушения правил фильтрации, регистрацию и учет запрашиваемых сервисов прикладного уровня, программируемую реакцию на события в МЭ, возможность идентификации и аутентификации администратора МЭ при его запросах на доступ по коду (паролю)временного действия, блокирование доступа неидентифицированного субъекта или субъекта, подлинность идентификации которого при аутентификации не подтвердилась, методами, методами устойчивыми к активному и пассивному перехвату информации, контроль целостности своей программной и информационной части по контрольным суммам как в процессе загрузки, так и динамически, оперативное восстановление свойств экранирования. Возможность реализации различных наборов правил обработки трафика на различных интерфейсах. Возможность определения собственных правил фильтрации трафика. Возможность организации демилитаризованной зоны. Наличие возможности удаленного конфигурирования. Наличие графического интерфейса конфигурации. Возможность резервирования/восстановления текущей конфигурации. Наличие сертификата соответствия ФСТЭК. |
Подсистема криптографической защиты и генерации ключевого материала. | Установка безопасного (VPN) соединения между защищаемым ресурсом и удалённым (локальным) устройством (мобильным клиентом, удаленной подсетью). Защита сетевого трафика криптографическими методами. Аутентификация узлов сети. Аутентификация пользователей. Функции создания закрытых ключей для криптографической системы, функции удостоверяющего центра для криптографической подсистемы. | Защита конфиденциальной информации в системе при передаче по незащищенным каналам передачи данных должна осуществляться с использованием технологий виртуальных частных сетей (VPN). Предлагаемые VPN-решения должны работать в сетевой среде на базе семейства протоколов TCP/IP. Предлагаемые решения должны удовлетворять требованиям РДФСБ России по классам безопасности к средствам криптографической защиты информации КС2 для защиты информации, не содержащей сведений, составляющих государственную тайну. Предлагаемые решение должны позволять осуществлять прозрачное шифрование IP-трафика на всех уровнях: пограничные устройства, рабочие места пользователей (удаленных клиентов). Предлагаемые средства создания VPN должны обеспечивать внутреннее сегментирование ЛВС объектов информатизации. Предлагаемые решения должны поддерживать топологию защищенной транспортной сети с учетом структуры построения системы, а также обеспечивать защищенную связь по принципу «каждый с каждым» на основе реализации симметричной ключевой системы и полноценного набора функций маршрутизации. Применяемые СКЗИ должны обеспечивать полное преобразование всего информационного обмена между защищаемыми компьютерами по алгоритму, соответствующему ГОСТ 28147-89, с использованием соединений типа «точка – точка» и обязательной инкапсуляцией всех типов IP-пакетов в единый тип. СКЗИ, устанавливаемые на сервера и рабочие станции, должны обеспечивать все необходимые механизмы использования ЭЦП с сертификатами формата X.509 v3, предусмотренные Федеральным законом №1-ФЗ «Об электронной цифровой подписи» и международными стандартами. Алгоритмы для хеширования и подписи должны быть реализованы в соответствии со стандартами ГОСТ Р 34.11-94 и ГОСТ Р 34.10-2001. Применяемые СКЗИ должны быть интегрированы в единый комплекс средств защиты ПЭВМ с межсетевым экраном и системой контроля локальных приложений. Поддержка защищенных соединений через устройства NAT. Поддержка маскировки реального IP адреса (туннелирование трафика).Наличие графического интерфейса конфигурации модуля. Возможность резервирования/восстановления текущей конфигурации. |
Подсистема обнаружения и предотвращения вторжений | Выявление атак на критически-важные сегменты сети. Предотвращение сетевых атак. Уведомление системных администраторов или служб технической поддержки о происходящем инциденте. | Подсистема должна быть выполнена в виде программно-аппаратного модуля. Подсистема должна состоять из датчиков (сенсоров), устанавливаемых на критические участки защищаемой системы и ядра, осуществляющего координацию и управление работой сенсоров. Подсистема должны обеспечивать возможность как сигнатурного анализа инспектируемого трафика, так и анализ аномалий. Подсистема должна обеспечивать следующую реакцию на факт проведения атаки:- разрыв сетевого соединения с атакующим хостом;- блокирование атакующего хоста на заданное время;- возможность реконфигурации сетевого оборудования;- оповещение администратора о факте проведения атаки. Также подсистема должна иметь единую, постоянно пополняемую базу сигнатур сетевых атак. |
Подсистема управления | Управление компонентами системы защиты, сохранение/восстановление конфигурации. Разбор конфликтных ситуаций. | Централизованное управление основными компонентами КСЗИ. Подключение к управляемым компонентам посредством транспорта стандартного набора протоколов TCP/IP. Наличие ролевого распределения полномочий администраторов для управления отдельными компонентами системы защиты. Логирование действий администратора, наличие механизмов для обработки журналов событий, возможность генерации отчетов по заранее заданным шаблонам. |
Подсистема резервирования | Резервирование системы защиты, устанавливаемых на отдельных сегментах сети. Резервирование настроек систем защиты конфиденциальной информации, журналов регистрации и учета. Резервирование каналов передачи данных критических участков защищаемой системы. | Предполагается резервирование основных настроек обозначенных выше подсистем на выделенный сервер. Подключение сегмента, специально предназначенного для обработки конфиденциальной информации (серверного сегмента) к ИВС Мэрии г. Ярославля должно быть выполнено как минимум в 2-х точках, обеспечивающих взаимное резервирование друг-друга. Организацию доступа мобильных пользователей в защищаемую систему также рекомендуется обеспечивать с использованием резервного канала передачи данных. |
