Аппаратно-программная система защиты информации СРД «КРИПТОН-Щит» предназначена для обеспечения защиты информации от несанкционированного доступа (НСД) в автоматизированных информационных системах (АИС) на базе автономных средств вычислительной техники.
Система «КРИПТОН-Щит» соответствует всем требованиям руководящих документов Гостехкомиссии (ФСТЭК) по уровню защиты гостайны – реализуя мандатный принцип разграничения доступа по набору иерархических и неиерархических категорий и используя полную матрицу доступа «пользователи-процессы-ресурсы».
Система «КРИПТОН-Щит» работает на уровне микроядра операционной системы (MS Windows NT, 2000, XP32/64, 2003 32/64, Vista 32), независимо от встроенных в ОС средств контроля доступа, и отличается низкими системными требованиями. КРИПТОН-ЩИТ не изменяет системный файлы Windows.
Идентификация и аутентификация пользователей.
Реализована единая и одноразовая идентификация и аутентификация для пользователя АИС, с формированием профиля прав доступа.
Контроль доступа к ресурсам компьютера
контроль целостности операционной среды методом контрольного суммирования; мандатный и дискреционный принцип разграничения доступа к ресурсам ОС; интегрированная настройка и описание пользователей, прав доступа пользователей к ресурсам; автоматическая блокировка доступа к ресурсам персонального компьютера во время отсутствия пользователя (период неактивности пользователя, характеризующийся отсутствием работы с клавишами клавиатуры и мыши); возможность трассировки обращений к ресурсам программного обеспечения в специальном отладочном режиме.
Разграничение доступа к процедурам (программам)
обеспечение единого интерфейса пользователя для работы с процедурами (программами), одновременно выполняющего разграничение доступа к процедурам для каждой категории пользователя; ролевая модель разграничения доступа к процедурам (программам); поддержка многошаговых процедур с возможностью наследования полномочий и без него.
Интеграция с аппаратными средствами защиты
Изделие М-526, М-526А, М-526Б (АПМДЗ «КРИПТОН-Замок»), изделия М-524, М-525 («КРИПТОН-AncNet»), шифраторами дисков изделием М-544 («КРИПТОН-IDE»), изделием М-575 («КРИПТОН-SATA»), USB-шифратором изделием М-591 («КРИПТОН-USB»), изделием М-623(«КРИПТОН-ИНТЕГРАЛ»), а также абонентскими шифраторами серии «КРИПТОН» позволяет СРД «КРИПТОН-Щит» существенно повышать уровень защиты за счет дополнительных криптографических возможностей.
Разграничение и контроль доступа к периферийным устройствам
Дополнительное разграничение доступа к USB-устройствам, регистрация данных при печати файлов на принтере.
Гибкая система протоколирования и аудит событий в системе защиты информации
Поддержка двух журналов аудита пользователя – учета событий и обращений к ресурсам. Кроме того, ведется журнал печати.
Автоматизированные средства построения профилей (белый список)
Контроль отладочных регистров
Динамический контроль целостности
Гарантированная очистка оперативной памяти
Система защиты на базе «КРИПТОН-Щит» должна строиться на основе комплексного подхода и включать организационные меры и технические средства. Под техническими средствами защиты понимается совокупность аппаратных и программных средств, реализующих в информационных системах функцию защиты информации от НСД.
Подсистема контроля целостности эталонного программного обеспечения, интегрированная с аппаратными средствами (КРИПТОН-ЗАМОК/У).
Подсистема идентификации и аутентификации пользователей, интегрированная с аппаратными средствами (КРИПТОН-ЗАМОК/У).
Подсистема разграничения доступа к процедурам (диспетчер меню), реализующая ролевую модель, и терминалам.
Подсистема разграничения доступа к ресурсам ОС, реализующая дискреционный и мандатный принцип доступа.
Подсистема управления, реализующая контроль исполнения процессов (процедур) в системе.
Подсистема протоколирования работы пользователя и фиксации событий несанкционированного доступа в специальном журнале учета.
Средства администратора защиты и программиста сопровождения по настройке прав доступа пользователей к процедурам и ресурсам системы и другие служебные утилиты.
Средства получения справок о событиях и попытках НСД в системе.
Программа реализации паузы неактивности, обеспечивающая блокировку персонального компьютера во время отсутствия пользователя.
Аппаратные средства защиты:
идентификация и аутентификация пользователя; проверка целостности файловой системы; предотвращение загрузки ОС с альтернативных носителей; контроль конфигурации компьютера.
Подсистема идентификации и аутентификации:
продолжение идентификации и аутентификации (определение статуса пользователя); формирование профиля прав доступа пользователя; подключение к ресурсам ОС; дополнительная аутентификация при выходе из сеанса.
Подсистема разграничения доступа к ресурсам ОС:
дискреционный принцип разграничения доступа; мандатный принцип разграничения доступа; наследование прав доступа; контроль доступа на уровне процессов ОС.
Блок разграничения доступа к USB-устройствам:
идентификация USB-устройств; разграничение доступа.
Диспетчер меню:
разграничение доступа к процессам (процедурам); создание для пользователя списка доступных процедур; управление работой пользователя в сеансе.
Подсистема аудита:
фиксация событий НСД; фиксация информационных событий; фиксация событий настройки полномочий; средства ведения и просмотра журнала; фиксация обращений к ресурсам ОС в зависимости от настройки.
Режим паузы неактивности:
блокировка компьютера и гашение экрана по истечении заданного интервала времени при отсутствии признаков активности пользователя; восстановление сеанса пользователя после введения пароля.
Блок регистрации печати:
регистрация документов, выдаваемых на принтер через спулер; фиксация реквизитов выдаваемый документов (размер, дата, время, пользователь и т.д.).
Служебные процедуры и вспомогательные утилиты:
настройка БД полномочий (заведение объектов и субъектов защиты, прав доступа и т.д.); настройка прав доступа для системных задач; разблокировка пользователей; генерация паролей пользователей в ОС; просмотр журнала обращений к ресурсам ОС в отладочном режиме; определение идентификационных данных подключаемых USB-устройств; просмотр текущего профиля пользователя во внутреннем формате; автоматическое формирование прав доступа к процессу при специальном запуске.
Управление сеансом пользователя:
контроль за запуском и завершением процессов в ОС; управление процессом загрузки и выгрузки сеанса пользователя (непрерывность загрузки); управление взаимодействием с АПМДЗ.
