Обсуждение новости: Новая версия "Dallas Lock 7.5" от Центра Защиты Информации (ЦЗИ) ООО "Конфидент" - Форум по вопросам информационной безопасности

А мы по всему этому лабы сдаем...Заколебались я вам скажу. Аккорд работает не стабильно ппц. DL - пока что самая хорошая система защиты от НСД, но на демо версии не шибко видно всего.
Секрет Нет - круто, за три пары ковыряния разобрались более менее. Настройка комплекса DL показалась однако удобнее, чем в Secret Net.

Сеть в 250 ЭВМ
Защита построена на Secret Net (сетевая версия). Эксплуатация с 2000 г. по настоящее время.
Обрабатывается ГТ.
Серьезных замечаний не выявлено.

Хотелось бы вернуться к следующей теме:
"Особое внимание привлекла новая, только что сертифицированная ФСТЭК России версия СЗИ от НСД "Dallas Lock 7.5".В ней, в дополнение к уже имеющимся возможностям, был реализован ряд технологических новшеств. На сегодняшний день "Dallas Lock 7.5" является единственной системой защиты информации от несанкционированного доступа с полностью программной реализацией (с возможностью использования аппаратных идентификаторов), имеющей в своём составе мощный центр управления (сервер безопасности и менеджер серверов безопасности для построения иерархии) и позволяющей защитить информацию в АС до уровня 1Б включительно".

Не поленился, познакомился с докумментацией на эту систему, как же решены все задачи программно. И вот, что интересно. Не нашел возможностей защиты от загрузки с внешних накопителей и из сети (программно это можно сделать лишь перепрошивкой BIOS и еще рядом дополнительных мер).
Ранее считал, что для АС, начиная с 1В, выполнение этого требования обязательно.
Если это не так, зачем тогда нужны различные электронные замки для АС 1В и выше?
Возможно, я в чем-то ошибаюсь?

А кто Вам сказал, что сертификат, выписанный по 2 НДВ и 3 СВТ соответствует требованиям к АС под ГТ.
В случае аппаратной составляющей да.
В случае программной реализации то надо ставить дополнительно замок

* можно сделать лишь перепрошивкой BIOS и еще рядом дополнительных мер).
Ранее считал, что для АС, начиная с 1В, выполнение этого требования обязательно.
Если это не так, зачем тогда нужны различные электронные замки для АС 1В и выше?

Стоимость электронного замка не так велика, чтобы из-за этого поднимать бучу.

Василь, при чем здесь стоимость и буча.
Я просто хочу понять (я напрямую не занимаюсь аттестацией, возможно, что-то упустил по этой части, думаю, что на форуме есть специалисты профессионально занимающиеся вопросами аттестации). К ним и вопрос.
Как трактовать тот факт, что в ограничениях по использованию программной СЗИ не указано обязательное использование средства доверенной загрузки? Означает ли это, что достаточно только такой программной СЗИ, и не нужна дополнительная аппаратная защита?
Если нет, как утверждает Странник, то где это прописано. Прошу дать ссылку.

Посмотрите приложение к сертификату. Там прописано, что выполнение требований происходит только при использовании полного преобразования диска, иначе система получается дырявая. Сам ставил эту систему. Преобразование идёт от 2 до 4 часов (в зависимости от объема ЖМД). После этого загрузка с внешних носителей осуществляется, но в этом случае доступ к информации хранимой на ЖМД получить не представляется возможным (дешифровка диска идет только после авторизации с ключиком iButton). Тогда зачем использовать замок?! Зачистка оперативной памяти осуществляется при выгрузке из системы. Защиту по сети в принципе сильно не тестировал, но ставил DL на одну машину в сети. При тестировании по сети этой машины Ревизор Сети 2.0 дырок не выявил никаких. Пробывал давать нашим админам взламывать по сети, доступа абсолютно никакого получить им не удалось (даже по Ipsec не зацепились).

Sadem, на: поясните, что вы имеете в виду под фразой "Вы получаете незащищенную машину в КЗ". Вы рассматриваете инсайдерскую угрозу? Так на этот случай должны быть документы, орг.меры регламентирующие работу в АС для неродивых пользователей.

А если пользователь "родивый". Пока компьютер защищен, он работает в рамках опредделенной разграничительной политики - имеет доступ туда, куда ему разрешили.
Если он загрузился без СЗИ (с внешнего накопителя), права его доступа никак не регламентируются. Машина становится инструментом атаки - можно снифировать канал, осуществлять удаленный доступ к серверам какими-либо собственными программами, и многогое другое.

на: Насколько я помню, точной фразы "запрещена загрузка с внешних носителей" я не видел. Это прописывается в протоколе при аттестационных испытаниях, как вероятная угроза и метод ее устранения.
Сомнительный путь. Если прописывать вероятные угрозы и методы их устранения, полагаю, что к рассматриваемому средству еще понадобится пяток. При таком подходе (кстате говоря, на мой взгляд, очень правильном) аттестация превратится в "беду" для обладателя конфиденциальной информации.
Я говорю о формальной стороне вопроса.

При программной защите возможна загрузка с внешнего носителя.
Как Вы в этом случае выполните требование РД Автоматизированные системы. Защита от несанкционированного доступа к информации Классификация автоматизированных систем и требования по защите информации :
Подсистема управления доступом:
- должны осуществляться идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;

Программное СЗИ как раз и должно модифицировать БИОС, если этого не будет, то будут ограничения в сертификате.