Если у вас возникли вопросы, или появилось предложение, напишите нам

Двухконтурный моноблок

Сегодня не кажется чем-то из ряда вон выходящим необходимость делать несколько дел сразу. Мало кто из имеющих основание считать себя эффективными и ценными сотрудниками имеет возможность (да, откровенно говоря, и желание) не переключаться в течение дня между совершенно разными со всех точек зрения задачами. Такие случаи непереключения все более уверенно становятся исключением. И дело тут не только в том, что в сложной экономической ситуации (а она, по правде говоря, всегда сложная) работодатель предпочтет тех, кто может и готов совмещать, но и в том, что совершенствование орудий труда и самосовершенствование объективно позволяет человеку быть эффективнее и от этого счастливее.

Компьютеры могут делать несколько дел сразу, как никто другой. Однако выполнение разных задач часто должно быть разнесено по разным вычислительным средам из соображений безопасности.

Чтобы безопасность не мешала сотруднику становится счастливым, на сегодняшний день существует уже целый ряд защищенных решений, позволяющих решать задачи, которые должны выполняться в разных контурах защищенности, не сходя с одного рабочего места.

Решения с применением ПАК «Центр-Т», СОДС «МАРШ!», включая вариант «M!&M» – предназначены в наибольшей степени для тех случаев, когда нужно разделить защищенную и незащищенную среду, хотя ничто не мешает настроить доверенную вычислительную среду и на том компьютере, к которому предполагается подключать устройства из состава этих решений. Но если задача осознана уже на стадии проектирования, то можно выбрать решение «под ключ» – двухконтурный моноблок.

Двухконтурный моноблок – это, собственно, моноблок, позволяющий пользователю работать в одной из двух защищенных ОС (в общем случае одна из них Windows, а вторая – Linux).

ОС Windows загружается с жесткого диска моноблока. При работе в этом режиме пользователь может устанавливать любое ПО и инициировать любые подключения в рамках заданных для него правил разграничения доступа: в ОС установлено СПО «Аккорд-Win64 K».

СПО «Аккорд-Win64 K» может быть установлено совместно со средством доверенной загрузки (СДЗ), так и без него. Вариант установки СПО зависит от пожеланий Заказчика. В общем случае возможны следующие варианты применения СПО «Аккорд-Win64 K»:

  • без средства доверенной загрузки;
  • совместно с СДЗ уровня BIOS (СПО «Аккорд-MKT»);
  • совместно с СДЗ уровня платы расширения (комплексом «Аккорд-АМДЗ»).

В случае применения СПО «Аккорд-Win64 K» без СДЗ обеспечивается защита информации в авторизированных системах до 1Г класса защищенности включительно, также обеспечивается соответствие 4 уровню доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий.

При совместном использовании СПО «Аккорд-Win64 K» и СДЗ обеспечивается защита информации в авторизированных системах до 2А и 2Б класса защищенности, а также обеспечивается соответствие 2 уровню доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий.

При запуске Двухконтурного моноблока во втором режиме ОС Linux загружается из защищенного от записи раздела памяти микрокомпьютера «m-TrusT», то есть не просто с другого жесткого диска, а с другого компьютера.

Принципиальное отличие этого решения от решений на базе подключаемых носителей доверенной среды состоит в том, что он не мобилен, но при этом предоставляет пользователю две полнофункциональные среды, а не только защищенный доступ к некоторой системе, при этом работа в этих средах может вестись параллельно, а не последовательно, для переключения не требуется ни перезагрузка, ни смена сеанса, все процессы продолжаются в каждой ОС своим чередом.

То есть это решение, которое:

  • использует все возможности полноценного ПК;
  • обеспечивает полноценную одновременную работу пользователя в любом режиме (удаленного доступа или локальном);
  • позволяет использовать любой из режимов в качестве основного;
  • обеспечивает необходимый уровень безопасности информации в каждом из режимов;
  • позволяет легко осуществлять переход от одного режима обработки данных к другому.

На базе такой конструкции может создаваться целая палитра решений в зависимости от задач, определенных при проектировании системы: при желании заказчика может быть реализован вариант исполнения, для которого оба режима работы подразумевают терминальное соединение или, наоборот, локальную обработку данных etc. Неизменной остается идея продукта, подразумевающая реализацию следующих принципов:

  • возможность работы на одном СВТ одновременно (насколько позволяет использование общего монитора, клавиатуры и мыши) с одним из двух контуров безопасности, изолированных друг от друга;
  • соответствие каждому из режимов работы собственной ОС: ОС первого режима доступна только для чтения и содержит ПО, предустановленное на эта производства, ОС второго – доступна для записи (следовательно, возможна самостоятельная установка ПО пользователем) и содержит СЗИ;
  • надежное обеспечение информационной безопасности в каждом из режимов работы при правильной настройке Двухконтурного моноблока.

Переключение между режимами выполняется посредством нажатия:

  • кнопки переключения для смены экрана, расположенной на корпусе моноблока;

1.jpg

Кнопка переключения режима работы

  • KVM-переключателя, установленного внутрь моноблока, для передачи сигналов клавиатуры и мыши к текущей системе.

Интересно остановиться на варианте, для которого реализация в виде двухконтурного моноблока кажется усложнением, но при ближайшем рассмотрении оказывается вариантом, который был бы идеальным, будь он еще и бесплатным (стоимость двухконтурного моноблока зависит от объема поставки и от конфигурации, если она отличается от типовой, обращайтесь). Это задача работы на одном и том же АРМ в защищенном локальном режиме (это не значит, что в автономном, а означает лишь использование собственных ресурсов компьютера) и в защищенном режиме удаленного (например, терминального) доступа.

Рассмотрим требования по защите информации, предъявляемые к такому решению.

Очевидно, что на любом терминале должна обеспечиваться целостность клиентского ПО: системного, которое предназначено для доступа к терминальному серверу, и функционального – необходимого для работы в рамках терминальной сессии. Именно обеспечиваться, а не контролироваться, так как в режиме терминального доступа корректность работы этого ПО критически важна.

Также пользователь должен быть лишен возможности установки лишнего ПО, так как оно может повлиять на работоспособность клиентской станции в целом.

Получается, что ОС и все клиентское ПО, так или иначе применяемое для работы терминального клиента, должно запускаться из некоторой памяти, защищенной от несанкционированной модификации.

Однако в случае использования полноценного ПК состав установленного программного обеспечения не ограничивается клиентским ПО для доступа к терминальному серверу. Для локальной обработки данных используются свои программы, причем в процессе работы может понадобиться как установка дополнительных программ, так и обновление, перенастройка или удаление уже имеющегося ПО. Это означает, что такое ПО должно загружаться из другого раздела памяти – уже доступного для модификации. А так как ПО функционирует в рамках некоей операционной среды, должна существовать вторая ОС, в которой пользователь может выполнять все необходимые действия, так, как это происходит при работе на традиционном ПК.

Если предполагается, что данные, обрабатываемые в локальном режиме, подвержены постоянному санкционированному изменению, то пытаться обеспечивать целостность этих данных бессмысленно. Но возможно ее контролировать. Для этого в режиме локальной обработки информации должно быть установлено СЗИ, оснащенное собственной подсистемой контроля целостности. Далее, очевидно, что в общем случае к данным на ПК необходимо разграничивать доступ, а значит, это СЗИ должно также обладать собственными подсистемами идентификации/ аутентификации и разграничения доступа.

Система защиты выглядит достаточно сложной, но поставленная задача не имеет целью разработку простого решения, а направлена на разработку решения надежного.

Итак, в результате анализа требований к защите информации вырисовывается следующая картина: полноценный ПК, с которого осуществляется доступ к терминальному серверу, должен иметь две ОС. Одна из них должна быть размещена в защищенной от несанкционированной модификации памяти и иметь в своем составе ПО, позволяющее пользователю инициировать соединение с терминальным сервером. Это ПО также должно загружаться из защищенной от модификации памяти. Вторая ОС должна запускаться из доступной для модификации памяти и позволять пользователю выполнять установку/изменение/удаление пользовательского ПО. В этой ОС должно быть установлено СЗИ, позволяющее, как минимум, выполнять процедуры разграничения доступа и контроля целостности.

В одном из вариантов исполнения Двухконтурный моноблок предоставляет пользователю два режима на выбор:

  • локальный режим обработки данных (используется ОС семейства Windows);
  • терминальный режим обработки данных (используется ОС Linux).

В локальном режиме ОС загружается с жесткого диска моноблока. При работе в этом режиме пользователь может устанавливать любое ПО (в рамках назначенных ему прав) и инициировать любые подключения. В ОС установлен СПО «Аккорд‑Win64 K», и при необходимости выполнения контрольных процедур до или во время работы пользователя администратор может произвести соответствующую настройку комплекса.

При запуске Двухконтурного моноблока во втором режиме ОС загружается из защищенного от записи раздела памяти микрокомпьютера «m-TrusT». При работе в этом режиме пользователю доступно только ПО для доступа к терминальному серверу и дополнительное ПО, необходимое для работы в рамках терминальной сессии.

Архитектура микрокомпьютера «m-TrusT» обеспечивает высокий уровень вирусного иммунитета. Высокий уровень конфиденциальности и доверенная среда функционирования криптографии обеспечивается за счет встроенного РКБ.

Наличие в «m-TrusT» встроенного СДЗ уровня BIOS (СПО «Аккорд‑МКТ») обеспечивает доверенную загрузку ОС. Использование СЗИ НСД (СПО «Аккорд‑Х К») обеспечивает разграничение доступа пользователей, а также регистрацию событий, контроль целостности и контроль подключения машинных носителей.

Обновление «m-TrusT» возможно в специализированном центре ОКБ САПР.

Технические характеристики

Состав

2 независимых вычислительных узла в едином корпусе с интегрированным экраном, общими для узлов клавиатурой и указателем типа «мышь»

Экран

IPS 23», разрешение 1920×1080, время отклика 4 мс, яркость 300 кандел, количество отображаемых цветов 16,7 млн., угол обзора 178*178 градусов, покрытие экрана матовое антибликовое

Порты и интерфейсы

Интегрированные интерфейсные порты для подключения клавиатуры и мышки с защитой от съема информации

Клавиатура

104 клавиши с русскими и латинскими символами различного цвета, имеет отдельную клавишу для смены раскладки (RUS/LAT), отдельную клавишу для переключения между вычислительными узлами комплекса, оснащена цветосветовым индикатором, информирующим об отображаемом на экране комплекса вычислительном узле

Класс защищенности

Для использования в информационных системах персональных данных 1 уровня защищенности, в государственных информационных системах 1 класса защищенности

Датчик вскрытия

Комплекс оснащен датчиком вскрытия, функционирующим как во включенном, так и в выключенном состоянии, фиксирующим факт вскрытия, выдающим сервисное сообщение о факте вскрытия и блокирующим дальнейшую работу комплекса при следующем после вскрытия включении

Идентификация и аутентификация

Применяются аппаратные USB-идентификаторы, в комплект поставки входят два аппаратных USB-идентификатора ПСОМ ШИПКА-лайт Slim

Размер (в, ш, г)

550 мм, 370 мм, 60 мм

Вес

6 кг

Технические характеристики вычислительного узла 1

Процессор

Intel® Core™ i3/i5/i7

Оперативная память

8, 16 или 32 Гбайт одноканальная стандарта DDR4 или 4, 8 или 16 Гбайт двухканальная стандарта DDR4

Дисковая подсистема

Твердотельные диски от 60 до 200 Гбайт или жесткие диски от 500 до 4000 Гбайт

Видеокамера

Интегрированная 2МП камера с механической шторкой

Порты и интерфейсы

2 х USB 2.0, 1 х USB 3.0, HDMI, Display Port, интегрированный считыватель смарт-карт, сетевой интерфейс RJ-45 1 Гигабит/сек

ОС

Astra Linux Special Edition, Альт Линукс СПТ 6.0/7.0, Windows 7 SP1 32 или 64 бит, Windows 10, в том числе сертифицированные во ФСТЭК

Класс защищенности

Для использования в информационных системах персональных данных 1 уровня защищенности, в государственных информационных системах 1 класса защищенности

Технические характеристики вычислительного узла 2

Процессор

ARM Cortex А9 1,6 ГГц, четыре ядра, четыре потока, кэш-память 512 Кбайт

Оперативная память

2 Гбайт стандарта DDR3

Дисковая подсистема

8 Гбайт в режиме «Только для чтения», обеспечена целостность (неизменность) образа предустановленной операционной системы на аппаратном уровне

Порты и интерфейсы

Сетевой интерфейс RJ-45 100 Мбит/сек, возможна установка внешнего считывателя

смарт-карт

ОС

Linux Ubuntu 12

Класс защищенности

Для использования в информационных системах персональных данных 3 уровня защищенности, в государственных информационных системах 3 класса защищенности

от базиса
к надстройке
Кнопка связи