Доверенная загрузка ОС. СЗИ НСД «Аккорд-АМДЗ» (1/3)

Общие сведения о комплексе

Здравствуйте!

В данной лекции мы поговорим об обеспечении доверенной загрузки операционных систем с использованием средства защиты информации от несанкционированного доступа – аппаратного модуля доверенной загрузки «Аккорд-АМДЗ» производства компании ОКБ САПР.

На прошлых двух лекциях мы разбирали понятие резидентного компонента безопасности. И при этом я упоминала, что в основу продуктов семейства «Аккорд» положена его концепция. Так вот, рассматриваемое на данной лекции СЗИ «Аккорд-АМДЗ» является тем самым РКБ, который входит в состав комплексов данного семейства. Он предназначен для обеспечения «правильного старта» компьютерной системы, доверенной загрузки операционных систем.

В лекции мы рассмотрим назначение и возможности комплекса СЗИ от несанкционированного доступа «Аккорд-АМДЗ», его основные характеристики, основные угрозы безопасности информации, нейтрализацию которых он обеспечивает, основные функции комплекса, минимальный состав технических и программных средств, необходимый для его установки, а также поговорим о составе данного комплекса.

Итак, СЗИ НСД «Аккорд-АМДЗ» представляет собой аппаратный модуль доверенной загрузки (АМДЗ) для IBM-совместимых ПК - серверов и рабочих станций локальной сети, который обеспечивает защиту устройств и информационных ресурсов от несанкционированного доступа.

Определим понятие «Доверенная загрузка». Доверенная загрузка - это загрузка различных операционных систем только с заранее определенных постоянных носителей (например, только с жесткого диска) после успешного завершения специальных процедур: проверки целостности технических и программных средств ПК (с использованием механизма пошагового контроля целостности) и идентификации/аутентификации пользователя.

Комплекс начинает работу сразу после выполнения кода системного BIOS компьютера – до загрузки операционной системы. Контроллеры семейства «Аккорд-АМДЗ» обеспечивают доверенную загрузку ОС, поддерживающих наиболее распространенные файловые системы,  включая перечисленные на слайде.

Это, в частности, операционные системы семейств MS DOS, Windows, QNX, OS/2, UNIX, LINUX, BSD и другие.

СЗИ НСД «Аккорд-АМДЗ» обеспечивает нейтрализацию следующих основных угроз безопасности информации:

• несанкционированный доступ к информации за счет загрузки нештатной операционной системы и обхода правил разграничения доступа штатной ОС и (или) других средств защиты информации, работающих в среде штатной ОС;
• нарушение целостности программной среды средств вычислительной техники и (или) состава компонентов аппаратного обеспечения СВТ;
• нарушение целостности программного обеспечения средства доверенной загрузки;
• несанкционированное изменение конфигурации (параметров) средств доверенной загрузки;
• преодоление или обход функций безопасности средств доверенной загрузки.

Основными функциями комплекса «Аккорд-АМДЗ» по защите от НСД к СВТ и информационным ресурсам являются следующие:

• блокировка загрузки со сменных носителей для пользователей, не обладающих правами администраторов. К таким сменным носителям относятся FDD, CD/DVD-ROM, ZIP, USB-накопители и так далее;
• блокировка прерывания контрольных процедур с клавиатуры;
• идентификация пользователей с использованием физического электронного изделия – персонального идентификатора;
• аутентификация (подтверждения достоверности) пользователей с использованием пароля длиной от 0 до 12 символов, вводимого с клавиатуры в защищенном от раскрытия виде (в виде символов <*>);
• аппаратный контроль целостности состава оборудования компьютера, системных областей, файлов и каталогов, который выполняется до загрузки операционной системы;
• аппаратный контроль целостности реестра ОС семейства Microsoft Windows;
• доверенная загрузка операционной системы, а также доверенная загрузка системного и прикладного ПО, в том числе при одновременной установке на дисках или в разделах диска компьютера нескольких произвольных ОС, функционирующих с поддержкой представленных файловых систем;
• автоматическое ведение журнала регистрируемых событий на этапе доверенной загрузки операционной системы (в энергонезависимой флэшпамяти аппаратной части комплекса);
• администрирование АМДЗ, к которому относится регистрация пользователей и их персональных идентификаторов, создание и удаление групп пользователей, генерация пароля пользователя и определение его параметров, назначение объектов для контроля целостности и режимов контроля, работа с журналом регистрации системных событий и действий пользователей. Помимо этого существует возможность разделения прав администраторов комплекса;
• задание временных ограничений на доступ пользователей к СВТ в соответствии с установленным для них режимом работы;
• и интеграция с другими программно-аппаратными и программными комплексами СЗИ НСД семейства «Аккорд», СЗИ НСД других производителей.

Для установки комплекса «Аккорд-АМДЗ» требуется следующий минимальный состав технических и программных средств:

• СВТ типа IBM PC, сервер или рабочая станция, основанное на процессоре с архитектурой х86 или x86-64, объемом динамической оперативной памяти (RAM) не менее 128 Мб;
• наличие на материнской плате СВТ свободного слота PCI/PCI-X/PCIExpress/miniPCI-Express/М.2 – в соответствии с типом специализированного контроллера.
• наличие на СВТ любой из операционных систем, использующей поддерживаемую комплексом файловую систему.

При этом технические средства защищаемого СВТ не должны содержать аппаратно-программных механизмов, ориентированных на целенаправленное нарушение правильности функционирования комплекса.

В составе СВТ, в который установлен комплекс СЗИ НСД, должны отсутствовать средства, которые позволяют за счет воздействия со стороны пользователей на штатные органы управления этого СВТ воспрепятствовать передаче управления комплексу стандартной процедурой ROM Scan.

Состав комплекса следующий:

• контроллер («Аккорд-АМДЗ»), который представляет собой карту расширения (expansion card), устанавливаемую в свободный слот материнской платы СВТ. Контроллер является универсальным, не требует замены при смене используемого типа операционной системы (ОС);
• cъемник информации с контактным устройством, обеспечивающий интерфейс между контроллером комплекса и персональным идентификатором пользователя;
• персональный идентификатор пользователя - специальное устройство, содержащее уникальный признак пользователя, с которым зарегистрированный пользователь входит в систему и который используется системой для определения его прав, и для регистрации факта доступа и характера выполняемых им работ или предоставляемых ему услуг.

Количество и тип идентификаторов, модификация контроллера и съемника оговариваются при поставке комплекса.

Теперь давайте поговорим о каждом пункте состава комплекса более подробнее.

 «Аккорд-АМДЗ» может быть реализован на различных контроллерах, предназначенных для работы с разными шинными интерфейсами СВТ. При этом его базовая функциональность всегда остается одинаковой (вне зависимости от типа контроллера) и она соответствует заявленной и отраженной в конструкторской и эксплуатационной документации на комплекс.

Для того чтобы выбрать нужный вариант, в первую очередь необходимо определить, свободный слот с каким шинным интерфейсом есть у того СВТ, в которое планируется установить «Аккорд-АМДЗ».

Это может быть шинный интерфейс:

• PCI или PCI–X - контроллеры Аккорд-5МХ или Аккорд-5.5
• PCI-express - контроллеры Аккорд-5.5.е, Аккорд-5.5.e new (Аккорд-LE) или Аккорд-GX
• Mini PCI-express - Аккорд-GXM
• Mini PCI-express half card - контроллер Аккорд-GXMH
• 2 с ключами A и/или E (интерфейс PCI-express) - «Аккорд-M.2»

Все контроллеры допускают возможность расширения функций с «Аккорд-АМДЗ» до ПАК «Аккорд» (например, «Аккорд-Win32/64», «Аккорд-X», «Аккорд-В.», о которых мы будем говорить на следующих лекциях нашего курса). Можно выбирать «Аккорд-АМДЗ» на базе любого контроллера, и не опасаться что, если в дальнейшем Вам понадобится добавить СПО разграничения доступа, компоненты окажутся несовместимы.

В качестве идентификатора пользователя могут использоваться USB-токены, USB-ключи, смарт-карты, устройства ШИПКА (на базе ШИПКА-лайт Slim, ШИПКА-2.0 CCID или других моделей), ТМ-идентификаторы.

Количество и тип идентификаторов оговариваются при поставке комплекса.

Съемники информации предназначены для считывания данных с ТМ-идентификаторов, смарт-карт и бесконтактных RFID-меток. И они могут быть следующие: USB-считыватели TM-идентификаторов с фиксатором и без, бесконтактные или контактные считыватели смарт-карт и так далее.

Итак, в данной лекции мы поговорили о доверенной загрузке операционных систем, о характеристиках средства обеспечения доверенной загрузки – СЗИ от НСД «Аккорд-АМДЗ». На следующих лекциях мы будем осваивать работу с данным комплексом. Научимся его устанавливать, настраивать и администрировать.

Спасибо за внимание, до встречи на следующей лекции!