5.1.1.2 Технические требования к подсистеме межсетевого экранирования
Дополнительно подсистема межсетевого экранирования должна обеспечивать следующие функции:
обеспечение возможности работы рабочих станций в VPN-сети от имени одного адреса;
обеспечение возможности работы рабочих станций через другие межсетевые экраны или устройства адресной трансляции (NAT);
возможность туннелирования сетевых пакетов в защищенное соединение от заданных адресов незащищенных рабочих станций защищаемой системы;
фильтрацию открытых сетевых пакетов, в том числе и туннелируемых, в соответствии с заданной политикой безопасности;
фильтрацию защищенных (VPN) сетевых пакетов в соответствии с заданной политикой безопасности;
динамическую и статическую трансляцию (NAT) открытых сетевых адресов, что позволяет работать и незащищенным компьютерам локальной сети под одним внешним IP-адресом;
подсистема межсетевого экранирования должна обеспечивать настройку времени опроса и обмена служебного трафика управления;
подсистема межсетевого экранирования должна обеспечивать возможность осуществлять контроль за сетевой активностью приложений.
5.1.1.3 Технические требования к подсистеме криптографической защиты и генерации ключевого материала.
Дополнительно подсистема криптографической защиты и генерации ключевого материала должна обладать следующими характеристиками:
средства создания VPN должны иметь программную реализацию для установки на серверах и на клиентских местах (рабочих станциях);
средства создания VPN должны обеспечивать внутреннее сегментирование ЛВС объектов информатизации;
используемые в подсистеме криптографической защиты СКЗИ должны выполнять обработку IP-пакетов сетевого трафика до того, как они передаются стандартному стеку TCP/IP, с обязательной криптографической идентификацией отправителя и получателя IP-пакетов, а также обеспечивать целостность структуры IP-пакетов;
должны быть обеспечены следующие механизмы встраивания функций работы с ЭЦП в прикладные системы, функционирующих под управлением операционных систем компании Microsoft Corporation:
посредством вызова функций CryptoAPI;
посредством вызова COM-объектов;
посредством вызова низкоуровневых функций CSP.
СКЗИ, устанавливаемое на рабочих местах пользователей, должно обеспечивать
защиту от несанкционированного доступа прикладного программного обеспечения;
пользователя; информации, хранящейся или обрабатываемой на рабочем месте;
криптографических ключей и сертификатов ЭЦП;
производительность криптографических шлюзов (пограничных устройств) должна составлять не менее 100 Мбит/c шифрованного трафика;
для обеспечения реализации механизмов электронной цифровой подписи в защищаемой системе должен быть использован прошедший сертификацию программно-аппаратный комплекс удостоверяющего центра, соответствующий требованиям к информационной безопасности класса КС2 удостоверяющих центров систем электронного документооборота, предназначенных для обработки информации, не содержащей сведения, составляющих государственную тайну.
Удостоверяющий центр должен реализовывать следующие функции:
регистрацию пользователей;
формирование и обновление справочно-ключевой информации для организации защищенного обмена информации в рамках корпоративной сети;
создание ключей подписи и издание сертификатов ключей подписей (далее - сертификатов) для пользователей корпоративной сети и внешних клиентов;
обеспечение взаимодействия с другими УЦ, участниками инфраструктуры УЦ на основе кросс-сертификации;
отзыв, приостановление и возобновление изданных сертификатов, обновление списков отозванных сертификатов;
ведение и обновление справочников сертификатов уполномоченных лиц УЦ и пользователей защищаемой системы;
публикацию сертификатов и списков отозванных сертификатов для пользователей УЦ.
Программная реализация удостоверяющего центра должна быть интегрирована в программное обеспечение VPN, иметь единый центр управляющей ключевой информацией.
5.1.1.4 Технические требования к системе обнаружения и предотвращения вторжений.
Ниже описаны дополнительные требования, предъявляемые к системе обнаружения и предотвращения вторжений.
Сетевые сенсоры системы обнаружения и предотвращения вторжений предполагается установить на следующие элементы защищаемой системы:
(мощность канала не менее 100 Мбит/с);
точки подключения сегмента, предназначенного для обработки конфиденциальной информации, к ИВС мэрии г. Ярославля (пропускная способность не менее 1 Гбит/с).
Уведомление администратора о выявленной атаке может осуществляться как посредством электронной почты, так и посредством отображения на консоли управления сетевыми сенсорами.
Должны быть механизмы противодействия выявленным атакам, которые могут заключаться в блокировании доступа атакующему.
Блокирование производится: посредством перенастройки сетевых устройств, посредством использования специальных сетевых пакетов разрывающих соединение.
5.1.1.5 Технические требования к системе управления.
Дополнительно система управления должна обладать следующими характеристиками:
управление подсистемами межсетевого экранирования и криптографической защиты информации должно осуществляться централизованно, с рабочего места администратора (администратора безопасности) и включать в себя следующие задачи:
