Опыт внедрения модуля доверенной загрузки нового поколения на примере крупного российского банка
Об использовании USB-ключей и смарт-карт eToken от "Аладдин Р.Д." для обеспечения повышенного уровня безопасности системы Altell Trust.
Опыт внедрения на примере крупного российского банка
Обеспечение безопасности хранимой и передаваемой информации – один из важнейших аспектов работы любой современной автоматизированной банковской системы.
При этом основные усилия ИТ- и ИБ-департаментов банков обычно направлены на защиту ядра информационной системы, в то время как автоматизированные рабочие места (АРМ) сотрудников обеспечиваются лишь базовым набором средств защиты информации: антивирусными программами, стандартными средствами аутентификации (смарт-карты, Е-токены, USB-токены) и модулями доверенной загрузки (МДЗ).
К сожалению, традиционные средства обеспечения доверенной загрузки не предоставляют в распоряжение ИТ-администраторов и офицеров безопасности возможности, необходимые на современном этапе развития информационных систем. Например, отсутствуют функции мониторинга и удалённого управления парком ПК, не поддерживается многофакторная аутентификация на удалённых серверах, не применяются ролевая модель доступа и мандатный контроль доступа к информации, не гарантируется безопасность работы в виртуальных средах. Для решения данных проблем необходим кардинально новый подход, основанный на использовании технологий UEFI Trusted Boot с применением доработанных и расширенных функций, а также концепций NIST и Trusted Computing Group. Примером подобного решения может служить МДЗ нового поколения ALTELL TRUST (разработчик – российская компания "АльтЭль"), который с недавних пор обеспечивает безопасность рабочих мест сотрудников в составе информационной системы одного из крупнейших российских банков, входящего в ТОП-5. Подробнее как о самом продукте, так и о ходе его внедрения будет рассказано в данной статье.
Возможности ALTELL TRUST
Основные требования, которые банк предъявил к новому МДЗ, можно разделить на три группы.
Доверенная загрузка:
- контроль целостности критических областей и файлов ОС, модулей BIOS, а также критических объектов файловой системы;
- двухфакторная аутентификация и мандатный контроль доступа до загрузки ОС;
- поддержка USB-идентификаторов и смарт-карт RuToken и eToken;
- поддержка удаленной авторизации пользователей с помощью LDAP/AD-серверов;
- поддержка сертификатов x509.
Удалённое управление:
- удалённое управление пользователями, конфигурациями, группами компьютеров, загрузкой обновлений программного обеспечения;
- централизованное управление процессом обновления установленного ПО;
- поддержка Intel Active Management Technology (AMT).
Контроль и безопасность соединений:
- обеспечение безопасности соединений (TLS);
- журналирование действий пользователей и всех этапов работы BIOS;
- разделение ролей офицера безопасности (ИБ-департамент) и системного администратора (ИТ-департамент);
- поддержка Intel Active Management Technology (AMT).
Традиционные МДЗ, предлагаемые на российском ИТ-рынке, не соответствовали выдвинутым требованиям, поэтому не могли быть применены в описываемом проекте. Специалисты компании "АльтЭль" предложили использовать для выполнения задачи своё решение ALTELL TRUST, доработанное в соответствии с пожеланиями клиента.
Сценарии применения ALTELL TRUST
Рассмотрим процесс работы ALTELL TRUST на примере процессов аутентификации пользователей и удалённого управления.
Начнём с аутентификации (см. рис. 1). При данном сценарии применения после включения компьютера управление сразу передаётся ALTELL TRUST, который производит начальную инициализацию и проверку оборудования, самопроверку и проверку критических областей и файлов ОС. После этого запрашивается идентификационная информация пользователя на основе заданной в ALTELL TRUST конфигурации. Это может быть обычный запрос логина/пароля, либо двухфакторная авторизация с использованием USB-токена или смарт-карты. Полученная идентификационная информация отправляется для проверки на AD/LDS серверах департамента ИБ. При этом данные о пользователях на этих серверах синхронизованы с данными ИТ-департамента.
Удалённое управление ALTELL TRUST осуществляется с помощью двух консолей управления – одной для системного администратора (ИТ-департамент), а второй для офицера безопасности (ИБ-департамент). При этом последний управляет правами пользователей (в том числе системных администраторов), сертификатами, журналами и аудитом. Системный администратор, в свою очередь, обладая необходимыми правами, может обновлять программное обеспечение и выполнять другие присущие ему функции.
Основные преимущества использования ALTELL TRUST
Перечислим основные преимущества подобных схем работы.
- Возможность авторизации пользователей на LDAP-сервере (Active Directory) с применением сертификатов x509. Это освобождает системных администраторов от необходимости заводить одних и тех же пользователей, так как все учётные записи хранятся централизованно, и позволяет мгновенно заблокировать вход в систему.
- Возможность контроля целостности среды функционирования, то есть самого BIOS (его модулей), что исключает установку и развёртывание дополнительных UEFI-модулей. Кроме этого, появляется возможность контроля гипервизора уровня BIOS.
- Осуществление контроля целостности программной среды, секторов жесткого диска и аппаратной конфигурации происходит непосредственно из МДЗ. Это позволяет отказаться от установки дополнительного программного обеспечения в ОС и делает ALTELL TRUST кроссплатформенным.
- Возможность адаптации ALTELL TRUST для работы на ноутбуках, тонких клиентах, смартфонах и планшетах, то есть любых мобильных решениях, не позволяющих установить обычную плату для обеспечения доверенной загрузки BIOS.
- Исключение необходимости перехватывать или блокировать загрузку АРМ, как это делают традиционные МДЗ, так как ALTELL TRUST получает управление непосредственно от BIOS и выполняет все защитные механизмы.
- Поддержка механизма ролевого доступа. В классических МДЗ используются две роли: "Администратор" и "Пользователь". С точки зрения информационной безопасности эта схема имеет изъян, так как даёт равные права системному администратору и ИБ-специалисту. В ALTELL TRUST предусмотрено три роли: "Офицер безопасности", раздающий права, "Системный администратор", отвечающий за аппаратное и программное обеспечение, и "Пользователь", работающий с данными на ПК.
- Самое важное преимущество ALTELL TRUST – возможность удалённого управления. Для этой цели в нём предусмотрен специальный плагин, устанавливаемый в Microsoft System Centre Configuration Manager и предоставляющий возможность доступа к BIOS и функциям замка в режиме удалённого рабочего стола. Кроме того, плагин позволяет собрать журналы безопасности со всех АРМ и импортировать их в другую систему, например, в СУБД Microsoft SQL Server.
При этом в ALTELL TRUST используются все распространённые средства защиты: двухфакторная идентификация и аутентификация пользователей до загрузки ОС, контроль целостности программной и аппаратной среды функционирования, сторожевой таймер на загрузку ОС и ведение журнала безопасности. В совокупности все характеристики ALTELL TRUST позволяют использовать более мощные, чем у традиционных аппаратно-программных МДЗ, защитные механизмы, при этом обеспечивая централизованное администрирование. Ещё одним плюсом решения является наличие сертификатов ФСТЭК и ФСБ России.
Подводя итог, можно уверенно сказать, что разработанное решение помогло обеспечить необходимый уровень информационной безопасности банка, одновременно снизив его расходы на администрирование и защиту информации.