Применение микрокомпьютеров m-TrusT для защиты от целенаправленных кибератак

Хакерская атака — это действия, целью которых является перехват контроля над информационной системой либо нарушение её работоспособности. Противостоять атакам можно применив специализированные средства защиты информации (СЗИ), включая антивирусные программы. Но применение СЗИ дорого и не всегда вообще возможно. На помощь приходят микрокомпьютеры, которые позволяют выполнять функции СЗИ при меньших затратах. Рассмотрим функциональность защищённых автоматизированных рабочих мест на базе защищённых микрокомпьютеров (МКТ) m-TrusT производства ОКБ САПР.

1 Введение.

2 Постановка проблемы.

3 Решение проблемы.

4 Разновидности микрокомпьютеров Новой Гарвардской архитектуры.

4.1 Защищённые микрокомпьютеры МКТ.

4.1.1 Защищённые автоматизированные рабочие места на базе МКТ.

4.2 Защищённые микрокомпьютеры m-TrusT.

4.2.1 fin-TrusT.

4.2.2 Защищённый терминал.

4.2.3 «TrusT Удалёнка».

4.2.4 МЭ-TrusT.

5 Основные принципы работы микрокомпьютеров.

6 Выводы.

1 Введение

Вирусные атаки – бич современного информационного общества.

На сегодняшний день существует огромное разнообразие вирусных атак. Cамыми распространенными и опасными для любой сферы деятельности являются атаки, направленные на перехват управления. Целью таких атак является получение доступа к «закрытой» (защищаемой) информации (персональные данные, платёжная (финансовая) информация, критически важная информация, хранимая и обрабатываемая в государственных и частных информационных системах и т.д.), либо несанкционированная модификация программного обеспечения (ПО) и данных (замена, удаление, копирование).

Как правило, атаки с целью перехвата управления – это атаки продолжительного действия, развивающиеся и продолжающиеся не один сеанс, а несколько, растянутых во времени на дни, месяцы, а иногда и годы. Для проведения атаки злоумышленнику нужно выполнить несколько действий в несколько этапов:

1. провести анализ ИС на предмет наличия уязвимостей;
2. после нахождения уязвимости подыскать подходящий набор «инструментов», с помощью которого возможно осуществление атаки (данная процедура может растянуться на недели и даже месяцы);
3. после окончания поиска необходимо поместить подобранный инструментарий на компьютер-жертву из состава атакуемой ИС;

Однако просто попасть на компьютер для успешной атаки мало. Главное – это «удержаться на плаву», т.е. закрепиться (обосноваться) в компьютере так, чтобы реализовывать беспрепятственно свою целевую функцию, ведь атаки в большинстве случаев имеют вполне прикладные цели.

Поэтому, на последнем и важном этапе атаки злоумышленнику

4. необходимо записать вирус или вызванные его действиями изменения в долговременную память СВТ.

После этого зараженный компьютер будет работать так, как нужно злоумышленнику.

Распространенным, можно даже сказать, что основным, способом защиты от вирусов является использование антивирусных программ. Но антивирус не всегда спасает компьютер от «заражения». Зачастую он может только выявить, что произошло, в лучшем случае – изолировать подозрительный файл (хорошо если до того, как он «сработал»), и то только в случае, если такой вирус ему уже известен (и в данном случае не важно, что это означает – нарушена ли целостность данных, имеется ли в базе нужная сигнатура, распознается ли код как потенциально опасный, воспринимается ли как опасная последовательность выполняющихся операций – антивирус любого типа должен понимать, с чем он имеет дело). А если вирус новый, то и признаки его неизвестны, а, соответственно, сколь бы долго антивирус не сканировал ОС, память, канал – вирус все равно не обнаружить.

Иначе действуют СЗИ от НСД. Принцип защиты от вредоносного ПО у СЗИ отличается от антивирусных программ и заключается в том, чтобы блокировать работу вирусов. Это может реализовываться за счет механизмов контроля целостности (и блокировки запуска того, целостность чего нарушена), механизмов контроля запуска задач (это позволит не дать сработать как команде тому, что должно быть данными) и пр.

Но эффективно реализовывать такие функции могут только средства, независимые (автономные) от исполняемой среды. А автономными могут быть, в свою очередь, только средства, реализованные аппаратно и при этом активные.

2 Постановка проблемы

Аппаратные СЗИ обеспечивают надежную защиту от атак через вирусы, но в некоторых случаях их применение весьма затруднительно.

Во‑первых, в отдельных случаях установка СЗИ потребует существенной переработки всей информационной среды и работающей в ней вычислительной техники (ВТ). Наличие СЗИ НСД весьма существенно ограничивают пользователя в его привычных действиях. Для защиты ЦОДов и компьютеров х86, выполняющих задачи, требующие постоянного поддержания доверенной среды, этот вариант в наибольшей степени подходит. Однако в других случаях, не требующих реализации доверенной среды на постоянной основе, а лишь на некоторое время (например, в сфере дистанционного банковского обслуживания (ДБО) либо при получении государственных услуг) он неудобен или даже неприемлем. Во‑вторых, потому что цена решений на базе аппаратных СЗИ довольно высока.

Что же делать? Для ответа на этот вопрос необходимо понять, чего именно мы боимся на самом деле, когда боимся вируса?

Для большинства современных СВТ характерно выполнение операций как «чтение из памяти», так и «запись в память» без всяких ограничений (это их архитектурная особенность, так как современные СВТ являются реализацией машины Тьюринга). Вирусные программы, попадая в компьютер, действуют точно также: используют операции «чтение из памяти» и «запись в память», чтобы исполниться и выполнить свою целевую функцию. Именно поэтому компьютерные вирусы опасны, а защитить компьютер от них – важная задача современности.

Стоит подумать о том, во всех ли необходимы компьютеры, способные беспрепятственно «читать» и «записывать» информацию в память. Нет, не во всех. Есть много задач, которые можно и нужно решать на специализированном компьютере, предназначенном для выполнения какой‑либо конкретной цели, лишенном возможности «записывать» что-либо в память.

Установкой специальных программ или технических средств возможно переделать универсальный компьютер в специализированный, но этот процесс потребует довольно больших финансовых вложений и временных трат.

Чтобы сделать компьютер сразу узконаправленным и специализированным, необходимо сразу делать его на основе другой архитектуры: такой, чтобы возможность записи вируса в долговременную память компьютера отсутствовала вообще, и обеспечивалась функциональная замкнутость исполняемой среды, чтобы было возможным ограничить выполнение неразрешенных и вредоносных программ.

3 Решение проблемы

Такая архитектура существует и запатентована[1] – это Новая гарвардская архитектура, разработанная компанией ОКБ САПР, на базе которой уже созданы специализированные защищенные микрокомпьютеры.

Архитектура специализированных микрокомпьютеров ОКБ САПР такова, что их долговременная память доступна в режиме «только чтение», а команды и данные при загрузке ОС размещаются и исполняются в сеансовой памяти, обеспечивая неизменность ОС и возможность выполнения задач в рамках доверенного сеанса связи (ДСС) при удалённом доступе к необходимому ресурсу. Начальная загрузка и копирование кодов в сеансовую память могут выполняться как последовательно, так и параллельно.

Если в процессе работы в систему микрокомпьютера Новой Гарвардской архитектуры попадет вирус, то «заражения» не произойдет, так как ОС микрокомпьютера находится в банке памяти, физически переведенном в режим «только чтение», то есть записаться в нее вирус не может, даже оказавшись в оперативной памяти. При следующем включении будет загружена эталонная ОС в своем неизменном виде. Это, своего рода, «вирусный иммунитет».

Защищенные микрокомпьютеры обеспечивают неизменность ОС, не мешая возможности применения стандартных ОС и всего программного обеспечения, написанного для них.

При этом микрокомпьютеры компактны, занимают мало места, просты в обращении, не требуют наличия профессиональных навыков при установке и настройке, а также находятся в доступной ценовой категории.

4 Разновидности микрокомпьютеров Новой Гарвардской архитектуры

На сегодняшний день ОКБ САПР разработана линейка специализированных защищенных микрокомпьютеров на базе:

• платформы MKT;
• платформы m-TrusT.

4.1 Защищённые микрокомпьютеры МКТ

Защищённые микрокомпьютеры МКТ – это доверенные микрокомпьютеры Новой гарвардской архитектуры с HDMI интерфейсом. В микрокомпьютерах есть защищенная ОС Linux, доступная в режиме «только чтение».

Микрокомпьютеры МКТ подключаются к телевизору или проектору через порт HDMI, к монитору – через DVI. Питание микрокомпьютеров происходит от USB‑порта телевизора или монитора, либо внешнего блока питания (5V‑2A). Подключение к сети Интернет осуществляется по беспроводному WiFi.

Память микрокомпьютеров находится в режиме «только чтение», что обеспечивает неизменность ОС и возможность работы в режиме ДСС с удаленным защищенным ресурсом – облаком, терминальным или виртуальным сервером.

Компьютерами можно управлять с помощью проводных (USB) и беспроводных (2.4 Ghz, bluetooth) мышек, клавиатур и пультов. Поддерживается работа с защищенными ключевыми носителями по протоколу CCID.

Имеется возможность обновления защищенной ОС в специальном технологическом режиме. Перевод в технологический режим осуществляется физическим, а не программным воздействием, что обеспечивает выполнение ключевого требования к резидентному компоненту безопасности – невозможность несанкционированной программной модификации. Специальный переключатель режимов находится внутри корпуса устройства и недоступен пользователю.

4.1.1 Защищённые автоматизированные рабочие места на базе МКТ

Очень часто сегодня случаются моменты, когда нужно быстро получить государственную услугу, осуществить банковский перевод, или же, находясь в командировке, продемонстрировать какие‑либо проектные документы или договоры на тот или иной продукт, чтобы отчитаться о проделанной работе и сроках выполнения задачи, а безопасной среды для выполнения данных действий нет.

Как защитить свои устройства от последствий «заражения» компьютерными вирусами, выполняя, например, платежи с телефона, или заходя на корпоративный сервер с незащищенного планшета?

Как не «поймать» вирус, производя удалённо банковские операции, при этом не имея при себе доверенной среды, которая есть непосредственно в банке и подходит для осуществления безопасного сеанса работы?

Защитить себя и свои устройства возможно, если выполнять необходимые операции на специальном защищенном компьютере.

Подумаем, какими свойствами должен обладать такой компьютер:

• для начала, он должен быть защищен от проникновения вирусов, чтобы защитить память от любых модификаций;
• второе, он должен быть компактным, чтобы его можно было переносить без особых усилий;
• третье, компьютер должен поддерживать журнал работы пользователя, в рамках которого события могут только добавляться, а заменить или удалить события нельзя;
• четвёртое, компьютер должен обеспечивать разграничение доступа пользователей к ресурсам, а также обеспечивать поддержку ролевой структуры;
• пятое, компьютер должен обеспечивать ДСС, чтобы пользователь мог выполнять свои обязанности в защищенном режиме;
• шестое, по завершении работы компьютер должен поддерживать возможность «обнуления среды», т.е. возвращения её в исходное состояние, чтобы не дать возможности злоумышленнику накопить результаты воздействий на среду, подготовить условия для проведения атаки.

Защищенные АРМ на базе микрокомпьютеров линейки МКТ позволяют организовать ДСС в рамках удалённого доступа. Для работы необходимо лишь подключить к микрокомпьютеру монитор (или телевизор), мышь и клавиатуру.

После включения микрокомпьютера загружается его ОС, размещенная в памяти, доступной только для чтения, что исключает возможность её несанкционированного изменения, обеспечивает доверенную загрузку ОС, и, как следствие, неизменность среды исполнения функционального ПО.

После загрузки функционального ПО устанавливается защищенное соединение с удаленным сервером или облаком, производится идентификация и аутентификация пользователя (опционально MKT может сам выполнять функции аппаратного идентификатора пользователя). По завершении данной операции стартует терминальный клиент (или виртуальный клиент, или браузер – смотря как именно организована удаленная работа) и начинается сессия.

АРМ на базе линейки МКТ обеспечивает ДСС, в рамках которого пользователь сможет работать с удаленным ресурсом в доверенной среде. При работе на АРМ обеспечивается абсолютная безопасность личных данных и критически важной информации за счет «вирусного иммунитета» к любым типам вредоносного ПО: даже если вирус, способный похитить ключи или персональные данные, или уничтожить их, испортить так или иначе, – попадёт в ОС микрокомпьютера, записаться в память он не сможет, память микрокомпьютера находится в режиме «только чтение». «Вирусный иммунитет» обеспечивает неизменность среды функционирования криптографического средства.

АРМ на базе микрокомпьютеров линейки МКТ являются специализированными вычислительными машинами, в которых ощутимо ограничена «универсальность», присущая компьютерам традиционных архитектур, что обеспечивает функциональную замкнутость вычислительной среды. Все действия пользователя фиксируются в журнале, в котором исключена возможность замены и удаления событий безопасности. По завершении работы вычислительная среда защищенных АРМ переходит в исходное состояние («обнуляется»), что исключает возможность подготовки условий для проведения атаки.

Кроме того, микрокомпьютеры МКТ имеют компактные размеры (примерно 10 х 5 х 1 см), что позволяет с легкостью переносить их, скажем, в сумке или даже кармане.

Приятным бонусом является и то, что микрокомпьютеры просты в обращении и не требуют специфических навыков в настройке.

4.2 Защищённые микрокомпьютеры m-TrusT

Защищённые микрокомпьютеры m-TrusT представляют собой одноплатные компьютеры Новой гарвардской архитектуры, с общим назначением – защищенная сетевая коммуникация между элементами критической информационной инфраструктуры (КИИ).

Конструктивно этот компьютеры включают в себя док-станцию, которая при необходимости стационарно включается в состав элемента КИИ, и подключаемого к ней универсального по своему аппаратному исполнению модуля – мезонина (m в названии микрокомпьютера – это именно «мезонин»).

 

Рисунок 1 – Интерфейсные платы

 

Рисунок 2 – Общий вид микрокомпьютера m-TrusT (универсальный модуль мезонин)

 

Рисунок 3 – m-TrusT на интерфейсных платах

Ресурсы m-TrusT позволяют обеспечить среду функционирования криптографии, позволяющую сертифицировать вариант исполнения СКЗИ на m-TrusT на класс КС3. Помимо Новой гарвардской архитектуры защищенность платформы обеспечивается РКБ, встроенным в основной аппаратный блок компьютера (рисунок 2), и СДЗ, сертифицированным ФСТЭК России.

Варианты использования m-TrusT различны: на основе микрокомпьютера могут быть построены криптошлюз fin-TrusT, m-TrusT Терминал, «TrusT Удалёнка».

Далее вкратце о каждом.

 4.2.1 fin-TrusT

fin‑TrusT – решение на базе микрокомпьютера Новой гарвардской архитектуры m-TrusT – это криптошлюз для защиты сетевого взаимодействия технических средств финансовой организации.

С помощью криптошлюзов fin-TrusT защищаются коммуникации между подразделениями и офисами банков, банком и процессинговым центром, процессинговым центром и банкоматами. Выполняются требования законодательства, блокируются уязвимости во взаимодействии в финансовой сфере.

Криптошлюз функционирует прозрачно для пользователя, не добавляя никаких действий в его привычный набор действий.

Встроенное по умолчанию в fin-TrusT СКЗИ – DCrypt от компании ТСС – сертифицировано ФСБ России России в исполнениях на m-TrusT на классы КС2 и КС3.

Fin-TrusT на базе микрокомпьютера m-TrusT может использоваться совместно с ПАК КриптоПро NGate для организации защищенной сетевой коммуникации между элементами критической информационной инфраструктуры (КИИ).

Наличие собственной ОС и вычислительных ресурсов позволяет обеспечить достаточную для защиты сетевого взаимодействия производительность и высокий уровень защищенности. Наличие датчика случайных чисел и размещение ПО в памяти с доступом «только чтение» исключает вредоносное воздействие на ПО и обеспечивает неизменность среды функционирования СКЗИ.

Линейка fin-TrusT включает:

• «fin-TrusT банкомат» – криптошлюз в технологическом корпусе для установки в банкоматы с возможностью поддержки двух и более операторов мобильного Интернета.
• «fin-TrusT офис» – криптошлюз в корпусе одноюнитового сервера для установки в бэк- или фронт-офис до пятидесяти абонентских устройств.
• «fin-TrusT центр» – сервер VPN для установки в центр обработки данных (ЦОД) или серверную стойку головного отделения.

Fin-TrusT поддерживает одновременную работу нескольких независимых каналов связи. К примеру, могут быть подключены 2 Ethernet от различных провайдеров и/или 2 LTE-модема различных операторов связи, что повышает отказоустойчивость и является актуальной задачей именно для банкоматов.

Решения Fin-TrusT могут поставляться в корпусе, без корпуса с различными интерфейсными платами, в виде платы-мезонина или в виде одноюнитового сервера в стойку.

 

Рисунок 4 – Вариант исполнения криптошлюзов fin-TrusT в корпусе

 

Рисунок 5 – Вариант исполнения криптошлюзов fin-TrusT без корпуса с интерфейсной платой

 

Рисунок 6 – Вариант исполнения криптошлюзов fin-TrusT без корпуса в виде платы‑мезонина

 

Рисунок 7 – Вариант исполнения криптошлюзов fin-TrusT без корпуса в виде одноюнитового сервера в стойку

4.2.2 Защищённый терминал

Защищённый терминал на базе микрокомпьютера m‑TrusT представляет собой СВТ (в едином корпусе), предназначенное для организации защищенного канала передачи данных при подключении к терминальным серверам обработки данных в критических информационных структурах.

 

Рисунок 8 – m-TrusT Терминал

Варианты реализации защищенного терминала различаются способом организации хранения и загрузки ОС:

• первый вариант – ОС полностью хранится в памяти микрокомпьютера, доступной в режиме «только чтение». Такой вариант реализации защищенного терминала называется m-TrusT Терминал;
• второй вариант – в переменную часть выделяется не только конфигурация, но и некий набор функционального ПО, то, что не может располагаться в неизменяемой памяти. В этом случае загружаться переменная часть образа ОС может по технологии защищенной сетевой загрузки «Центр-Т». Такой вариант реализации защищенного терминала называется Центр‑ТrusT.

Функциональность защищённого терминала такова, что пользователь может работать на нем, как на обычном ПК, но при этом посредством криптографических механизмов обеспечивается защита критичной информации и высокий уровень вычислительной мощности.

Защищённый терминал на базе микрокомпьютера m‑TrusT построен на базе новой Гарвардской архитектуры, что обеспечивает высокий уровень вирусного иммунитета. Встроенный резидентный компонент безопасности создаёт доверенную среду функционирования криптографии и позволяет поддерживать высокий уровень конфиденциальности. Подключение к серверам обработки данных по защищенному каналу связи и использование встроенного аппаратного блока неизвлекаемого ключа обеспечивает простоту использования с соблюдением всех требований регулятора.

Аппаратная платформа терминала имеет производительный процессор – RK3399, поддерживает последние версии ядра Linux, интерфейсы USB 3.0 и USB Type‑C, что обеспечивает высокий уровень вычислительной мощности.

Ресурсы терминала позволяют обеспечить СФК, позволяющую сертифицировать вариант исполнения СКЗИ (может быть различным) на m-TrusT на класс КС3.

Дополнительно возможны:

• реализация поддержки sd-карт;
• реализация блока защиты от инвазивных атак.

4.2.3 «TrusT Удалёнка»

«TrusT Удалёнка» – это специальное средство вычислительной техники, предназначенное для организации защищённого контролируемого удалённого доступа в государственных информационных структурах (ГИС). В состав ССВТ УД «TrusT Удалёнка» входит СКЗИ, сертифицированное ФСБ по классу КС3.

Аппаратная платформа ССВТ УД представляет собой защищенный микрокомпьютер, архитектура которого обеспечивает невозможность воздействия вредоносного ПО на ССВТ УД. Благодаря наличию встроенного СКЗИ обеспечивается удалённое защищенное соединение с ГИС. Входящее в состав СДЗ в совокупности со специальным средством разграничения доступа обеспечивают доверенную загрузку ОС ССВТ УД и блокировку доступа неавторизованных пользователей к ресурсам ГИС. Помимо этого, в ССВТ УД имеется встроенный браузер, что позволяет получить безопасный доступ к различным интернет‑сервисам.

Схема работы при использовании ССВТ УД «TrusT Удалёнка» следующая: к компьютеру пользователя подключен микрокомпьютер. При необходимости подключения к ГИС, с него на компьютер пользователя загружается технологическая ОС с терминальным клиентом, и микрокомпьютер становится для компьютера пользователя терминальным сервером.

 

Рисунок 9 – Схема работы при использовании ССВТ УД «TrusT Удалёнка»

На компьютере выполняется:

• PXE-загрузчик, интегрированный в BIOS;
• технологическая ОС, загружаемая с «TrusT Удалёнка»;
• ПО терминального клиента (в ОС, загруженной с «TrusT Удалёнка»);

На «TrusT Удалёнка» исполняется:

• СДЗ уровня BIOS Аккорд-МКТ (сертифицированное ФСТЭК России);
• российская ОС, в том числе:
• ПО терминального сервера (навстречу ПЭВМ);
• ПО терминального клиента (навстречу ГИС);
• драйвера сети;
• браузер;
• TFTP-сервер (поддержка загрузки по PXE);
• «Аккорд-X K» (для изоляции программной среды по требованиям ФСБ России, сертифицирован ФСТЭК России);
• СКЗИ DCrypt (сертифицирован ФСБ России на платформе m‑TrusT на класс КС3).

При загрузке с «TrusT Удалёнка» контроль целостности программного обеспечения и аппаратных компонентов средства вычислительной техники, на котором исполняется СКЗИ, производится с помощью СДЗ уровня BIOS «Аккорд‑МКТ». За счет наличия встроенного ПАК «Аккорд‑Х K» необходимость применения дополнительных средств контроля целостности исполняемой ОС отсутствует.

Также за счет реализации в «m-TrusT» функции неизвлекаемого ключа, возможно использовать ключ до 3-х лет.

Одновременно не требуется дополнительный ключевой носитель и меры по контролю этих носителей, поскольку ключи хранятся на самом устройстве в неизвлекаемом виде.

При использовании «TrusT Удалёнка» нагрузка на пользователя минимальна. К тому же стоимость подготовки клиентского рабочего компьютера гораздо ниже, чем при использовании подготовленных стационарных устройств.

ССВТ УД «TrusT Удалёнка» – наилучший способ организовать удалённый доступ к ГИС высоких классов.

4.2.4 МЭ-TrusT

МЭ-TrusT – это межсетевой экран, реализованный на базе специализированного компьютера m-TrusT, обеспечивающий контроль и защиту сетевого трафика предприятия.

МЭ-TrusT позволяет эффективно решать задачи по обеспечению сетевой защиты, поддерживая работу одновременно и в режиме фильтрации сетевого трафика на уровне L2, и в режиме коммутатора и на уровне L3 в режиме маршрутизатора.

Помимо поддержки фильтрации трафика, к которой относятся возможность фильтрации сетевого трафика по основным полям сетевого пакета, а также по доменным именам, по расписанию, МЭ‑TrusT обеспечивает защиту информации от утечки, а также обнаружение и предотвращение проникновения вирусного ПО в локальную сеть.

Защита сетевого контура обеспечивается за счет наличия шифрования каналов связи с применением отечественных криптографических алгоритмов (ГОСТ 28147/89, ГОСТ 34.11-2012).

Гибкая архитектура обеспечивает «вирусный иммунитет» и позволяет эффективно реализовывать любые политики безопасности.

Достоинством МЭ‑TrusT является поддержка централизованного управления всех подчиненных программно‑аппаратных комплексов с единого устройства.

Комплекс поддерживает прозрачную работу пользователей и других устройств в частности, за счет наличия возможности синхронизации правил фильтрации с другими устройствами, и агрегации правил фильтрации в группы.

Межсетевой экран на базе микрокомпьютера m-TrusT обеспечивает безопасное и надежное соединение между филиалами предприятия или дата-центрами. Возможность подключения большого количества уделанных внешних пользователей к внутренней сети предоставляет прозрачный доступ к ресурсам организации и защиту от внешних угроз. Высокая скорость шифрования (до 20 Гбит/с) обеспечивает быстрое подключение устройств без дополнительных требований к инфраструктуре передачи данных.

Дополнительно МЭ-TrusT поддерживает возможность ведения журнала, в котором отображаются созданные правила фильтрации.

5 Основные принципы работы микрокомпьютеров

У защищенных микрокомпьютеров имеется ряд общих принципов работы, а также особые механизмы, характерные для того или иного продукта.

Общие принципы работы микрокомпьютеров обоих типов (и МКТ, и m‑TrusT):

• «вирусный иммунитет»;
• память в режиме «только чтение»;
• доверенная загрузка ОС;
• неизменность среды функционирования СКЗИ;
• исключение возможности изменения, кражи или удаления ПО и данных;
• исключение возможности перехвата управления компьютером;
• размещение и исполнение команд в сеансовой памяти;
• контроль целостности ПО;
• идентификация и аутентификация пользователя;
• регистрация событий;
• обеспечение защищённого удаленного доступа.

Для линейки микрокомпьютеров m-TrusT также характерно наличие ряда общих (для этого типа) механизмов, к которым помимо описанных ранее относятся еще и:

• функциональная замкнутость среды (за счет встроенного РКБ);
• наличие СДЗ уровня BIOS («Аккорд-МКТ»);
• наличие встроенного аппаратного блока неизвлекаемого ключа.

Специальные механизмы работы продуктов отмечены в таблице 1.

Таблица 1 – Специальные функции защищённых микрокомпьютеров

Микрокомпьютеры		Назначение микрокомпьютеров	Специальные механизмы работы
типы	виды
МКТ	Защищенные АРМ на базе МКТ	предназначен для организации ДСС в рамках дистанционного доступа.	обеспечение ДСС в рамках ДБО и подключения удаленных пользователей к корпоративной сети.
m‑TrusT	fin-TrusT	предназначен для защиты сетевого взаимодействия технических средств финансовой организации.	обеспечение защищенного соединения между подразделениями и офисами банков, банком и процессинговым центром, процессинговым центром и банкоматами.
	Защищённый терминал	предназначен для организации защищенного канала передачи данных при подключении к терминальным серверам обработки данных в критических информационных структурах.	обеспечение защищенной сетевой загрузки ОС и функционального ПО из памяти микрокомпьютера; обеспечение защищенной сетевой загрузки ОС и функционального ПО по технологии «Центр‑Т».
	«TrusT Удалёнка»	предназначен для организации контролируемого защищённого удалённого доступа в ГИС.	обеспечение защиты канала передачи данных; блокировка доступа неавторизованных пользователей к ресурсам ГИС; возможность безопасного доступа к интернет‑сервисам.
	МЭ‑TrusT	предназначен для обеспечения контроля и защиты сетевого трафика предприятия.	возможность одновременной работы в режиме фильтрации сетевого трафика на уровне L2 в режиме коммутатора и на уровне L3 в режиме маршрутизатора; фильтрация сетевого трафика по основным полям сетевого пакета; фильтрация по доменным именам, по расписанию; предотвращение сетевых атак и утечки информации.

Резюмируя изложенную информацию о защищённых микрокомпьютерах МКТ и m‑TrusT, можно представить графически соответствие продуктов, построенных на базе микрокомпьютеров МКТ и m‑TrusT, их общим характеристикам, а также их специальные механизмы функционирования:

Рисунок 10 – Соответствие продуктов на базе МКТ и m‑TrusT их характеристикам

6 Выводы

Защита от вирусных атак – дело непростое, требующее затрат, как по времени, так и по финансам. Особенно в государственных информационных системах, включая критические информационные структуры, а также банковские подразделения.

В большинстве случаев компании в погоне за «вакциной против вирусов» приобретают все больше и больше новых средств защиты, нагромождая систему малосовместимыми продуктами. Такой подход может привести к тому, что малосовместимые элементы будут функционировать нестабильно, и вся система станет уязвимой.

В некоторых случаях использовать для защиты аппаратные СЗИ неуместно совсем из-за больших размеров или невыгодно из-за относительно высокой стоимости решений на базе СЗИ.

К сожалению, «вакцины» от компьютерных вирусов не существует.

Но! К счастью, существует «Серебряная пуля» – специализированные микрокомпьютеры Новой Гарвардской архитектуры компании ОКБ САПР, обладающие «вирусным иммунитетом», способные противостоять любым вирусным атакам, а также надёжно защитить локальную сеть организации.

Обладая защищённой от записи памятью, микрокомпьютеры обеспечивают доверенную среду для совершения различных операций.

Решения на базе микрокомпьютеров надёжно защитят от хакеров любые системы – вирус просто не сможет добраться до долговременной памяти устройств системы, а если и попадет в ОС, то вреда нанести не сможет, так как все команды исполняются исключительно в сеансовой памяти, а после сеанса среда «обнуляется», препятствуя любой возможности хакера подготовить атаку.

Кроме того, микрокомпьютеры мобильны и просты в обращении. И это является несомненным преимуществом микрокомпьютеров перед наложенными аппаратными СЗИ.

Защищенные микрокомпьютеры компании ОКБ САПР являются мощным «противовирусным средством» для организаций любого рода деятельности.

[1] Патенты на компьютеры Новой Гарвардской архитектуры компании ОКБ САПР:

• Конявский В. А., Степанов В. Б. Компьютер типа «тонкий клиент» с аппаратной защитой данных. Патент на полезную модель № 118773. 27.07.2012, бюл. № 21.
• Конявский В. А. Мобильный компьютер с аппаратной защитой доверенной операционной системы. Патент на полезную модель № 138562. 20.03.2014, бюл. № 8.
• Конявский В. А. Мобильный компьютер с аппаратной защитой доверенной операционной системы от несанкционированных изменений. Патент на полезную модель № 139532. 19.03.2014, бюл. № 11.
• Конявский В. А. Мобильный компьютер с аппаратной защитой данных. Патент на полезную модель № 170409. 24.04.2017, бюл. № 12.
• Акаткин Ю. М., Конявский В. А. Мобильный компьютер с аппаратной защитой доверенной операционной системы. Патент на полезную модель № 147527. 07.10.2014, бюл. № 31.
• Батраков А.Ю., Конявский В.А., Счастный Д.Ю., Пярин В.А. Специализированный компьютер с аппаратной защитой данных. Патент на полезную модель № 191690. 15.08.2019, бюл. № 23.
• Конявский В. А. Компьютер с аппаратной защитой данных от несанкционированного изменения. Патент на полезную модель №137626. 20.02.2014, бюл. № 5.
• Конявский В. А. Доверенный компьютер. Патент на полезную модель № 182701. 28.08.2018, бюл. № 25.
• Конявский В. А. Компьютер для работы в доверенной вычислительной среде. Патент на полезную модель № 175189. 27.11.2017, бюл. № 33.
• Акаткин Ю. М., Конявский В. А. Мобильный компьютер с аппаратной защитой доверенной операционной системы от несанкционированных изменений. Патент на полезную модель № 151264. 27.03.2015, бюл. № 9.
• Конявский В. А. Компьютер с аппаратной защитой данных, хранимых во встроенной флэш-памяти, от несанкционированных изменений. Патент на полезную модель № 168273. 25.01.2017, бюл. № 3.
• Конявский В. А. Компьютер для работы в доверенной вычислительной среде. Патент на изобретение № 2666618. 11.09.2018, бюл. № 26.

Автор: Маренникова Е. А.

Дата публикации: 29.06.2021

Выходные данные: Источник: https://www.anti-malware.ru/practice/methods/Targeted-attacks-protection-using-m-TrusT