Вышла версия v4.0-beta системы защиты информации от инсайдеров SecrecyKeeper. - Форум по вопросам информационной безопасности

Этот недостаток (насчет адреса) торжественно обещаю исправить в самое ближайшее время. Возможно, тот факт, что мы предоставляем свой продукт на бесплатное и бессрочное полнофункциональное тестирование всем желающим, послужит для нас смягчающим обстоятельством.
Что касается лицензирования деятельности - то этот вопрос мы сейчас как раз решаем. Можно ведь сказать, что SecrecyKeeper не защищает информацию, а контролирует ее распространение, тогда его разработка лицензии не требует. Хотя понятно, что в случае лицензирования и сертификации возможности по применению продукта становятся значительно шире.

> Что касается Вашего примера, то "слабав табличку" в рамках выполнения своих служебных
>обязанностей, инсайдер наверное должен будет отчитаться о том,
>что работа сделана своему руководителю.

Ну, собственно, именно это я и имел в виду :) Для успешного применения вашего решения необходим бизнес процесс, в котором за спиной "инсайдера" будет стоять контролер (у вас его роль выполняет руководитель), который проконтролирует, что "инсайдер" действительно присвоит гриф, причем сделает это своевременно (до отправки клиенту) и правильно.

> Конечно, может произойти кража данных на этапе между созданием документа и установкой
> грифа, но в этом случае ценность документа будет минимальной, т.к. если он создается с нуля,
> то и наполняется не мгновенно.

Наивно :) Чаще всего в документ включают сведения, уже содержащиеся в каком-то ресурсе

> А после получения пользователем доступа к секретной информации все созданные им
> скриншоты будут помечены как секретные, поэтому предложенный вами сценарий работать не будет.

Собственно, это основная причина, почему за столько лет своего существования мандатная политика практически не применяется в коммерческих компаниях. Представляете, что будет, если каждый сотрудник, общающийся с клиентами, но допущенный хоть к какому-то секрету, будет вынужден спрашивать разрешение на отправку каждого письма?

Мне интересно - сколько времени профункцианирует эта система прежде чем Руководство (по жалобам пользователей) отключит все это...
По практике - не больше пары месяцев.
Оранжевую книгу (прорадителя классификации АС) ведь не дураки придумали - там для низких классов нет мандатной политики.
Для сектора ГТ - продукт не подойдет (нет сертификатов), а для КТ - бесполезен (все равно отключат) ... такие выводы напрашиваются.

malotavr
>Для успешного применения вашего решения необходим бизнес процесс,
>в котором за спиной "инсайдера" будет стоять контролер
>(у вас его роль выполняет руководитель)
Наша практика показывает, что выполнить это требование значительно проще чем может показаться на первый взгляд.
Руководители уже контролируют результаты работы своих подчиненных. Что мешает руководителю по мере ознакомления с результатами определять и их степень секретности ? Ничего. Более того, именно руководитель является одним из наиболее заинтересованных в сохранности создаваемой его подразделением информации. А SecrecyKeeper инструмент, который может ему помочь в решении этой задачи. А если добавить сюда контролера в виде СБ, то картина становится законченной.

>Наивно :) Чаще всего в документ включают сведения, уже содержащиеся в каком-то ресурсе
Еще проще. Для ресурса уже установлен гриф и новый документ его унаследует автоматически. Как раз ситуация, которую я и привел в качестве примера защиты от инсайдеров.

>Собственно, это основная причина, почему за столько лет своего существования
>мандатная политика практически не применяется в коммерческих компаниях.
Не согласен. Это проблема не мандатной политики, а ее реализации в конкретных продуктах, которые разрабатывались исходя из требований РД, а не возможности потом применять их в "гражданском" бизнесе. А РД эти писались во времена DOS, не содержащей встроенных механизмов защиты. Поэтому значительная часть усилий разработчиков шла на реализацию механизмов, которые в современных ОС реализованы из коробки.

>Представляете, что будет, если каждый сотрудник, общающийся с клиентами,
>но допущенный хоть к какому-то секрету, будет вынужден спрашивать разрешение
>на отправку каждого письма?
Сотруднику нет необходимости спрашивать разрешение. В настройках устанавливается имеет он право отправлять секреты во вне или нет. И добавляется столько степеней секретности сколько нужно, чтобы он не мог отправить лишнее. По умолчанию у нас три степени, а на практике всем клиентам вообще двух хватает.
Кроме этого есть большое количество сотрудников обрабатывающих критическую информацию, которая не должна покидать КИС, а если должна, то через единичных сотрудников. Я опять про бухгалтерею. И для установки таких ограничений наш подход защиты от инсайдеров применяется вообще без вопросов.
Другой пример. Мы недавно успешно провели испытания SecrecyKeeper в ГК Виктория. Одна из решенных задач:
Есть отдел недвижимости, его сотрудники должны иметь доступ к системе SAP (секреты) и одновременно использовать фотоаппараты для залива на свои ПК фотографий объектов. Необходимо закрыть возможность слива на эти фотоаппараты данных из SAP.

>Мне интересно - сколько времени профункцианирует эта система прежде чем
>Руководство (по жалобам пользователей) отключит все это...
>По практике - не больше пары месяцев.

Когда вы говорите про практику, то видимо имеете в виду кокрентный продукт. Судя по вашим предидущим постам, возможно, что SecretNet. Основная проблема, которая мешает использовать продукты с мандаткой - расползание грифов на не секретные документы. Но как я уже выше писал, это не проблема мандатки, а проблема ее реализации в конкретном продукте. А конкретнее в том, что система отслеживает доступ к секретам относительно пользовательской сессии. В этом случае после получения доступа к секретам, любой сохраненный на ПК файл получает гриф. Для того, чтобы рабодать с документами разной сессии секретности надо перезагружаться. Зато гарантия от несанкционированного понижения грифа максимальна. Ошибки при реализации в расчет не берем. Но пользователю такой режим придельно не удобен. И такие системы отключают сразу после получения сертификата.
SecrecyKeeper тоже реализует такой режим работы - отслеживание доступа к секретной информации относительно сессии пользователя.
Но у нас есть еще один режим - отслеживание доступа к секретной информации относительно конкретного процесса. В этом режиме пользователь может одновременно работать с информацией разной степени секретности. Грифы по документам не расползаются, снижения секретности информации нет. Пользователи не жалуются.

>По практике - не больше пары месяцев.

Я уже писал выше - мы не давно завершили испытание SecrecyKeeper в ГК Виктория. В испытании были вовлечены порядка ста сотрудников. Были мелкие проблемы, которые решались в процессе. Принципиальных проблем не было. Испытания прошли успешно.

> Наша практика показывает, что выполнить это требование значительно проще чем может
> показаться на первый взгляд. Руководители уже контролируют результаты
> работы своих подчиненных.

Контроль бывает разный. Крупная компания, в которой руководитель контролирует, кто кому какие документы отправил - это нонсенс.

Вот есть гипотетическая торговая компания Викентия, содержащая сеть магазинов "Район" и "Дорого". В этой компании есть отдел закупок, в которой работают десять менеджеров, над которыми стоит директор по закупкам. Менеджеры обзаются с тучей поставщиков, алчущих увидеть свои продукты на полках магазинов. В день менеджер отправляет порядка 20 документов. Директору по закупкам действительно больше нечем заняться, кроме как контролировать, кто кому какие документы послал?

Одно из двух - либо он работает контролером над каждым телодвиждением подчиненных, либо это должна делать система, в которой реализован мандатный доступ. Вы говорите, в SecretNet мандатка реализована "неправильно". Я не люблю SecretNet, но в нем реализована именно мандатное управление доступом: все документы, в которые технически могла попасть секретная информация, должны по умолчанию получить гриф "секретно".

То, что вы называете "отслеживание доступа относительно процесса" - это профанация мандатного управления доступом. Уж вы-то не хуже меня знаете, что благодаря штатным механизмам COM секретные данные из процесса winword.exe легким движением руки читаются в несекретном процессе iexplore.exe.

>Контроль бывает разный. Крупная компания, в которой руководитель
>контролирует, кто кому какие документы отправил - это нонсенс.
Вы либо не внимательно следите за перепиской, либо сознательно передергиваете. Мы обсуждали процесс установки грифа на свежесозданный "с нуля" документ. Я согласился что с момента создания документа (либо с момента его попадания в ИС) до момента установки на него грифа, возможна его утечка или кража. Кто и что может отправлять настраивается через уровень допуска соответствующего сотрудника к сети. Этот уровень устанавливается после согласования с руководителем, но делается это один раз. Также как и определяется к каким информационным ресурсам должен иметь доступ сотрудник.

>Вы говорите, в SecretNet мандатка реализована "неправильно". Я не люблю SecretNet,
>но в нем реализована именно мандатное управление доступом: все документы, в которые
>технически могла попасть секретная информация, должны по умолчанию получить гриф "секретно".
1. Я не писал "не правильно", я описал как она конкретно реализована, и описал в чем неудобство такой реализации, отметив ее максимальную надежность. Я написал, что SecrecyKeeper имеет аналогичный режим работы, для тех заказчиков, которым теоритическая возможность важнее, чем практическое удобство. И я написал, что кроме этого, он имеет возможность отслеживать доступ к секретам относительно процесса, что в большинстве случаев достаточно надежно.
2. Гриф должны получать не те документы куда информация может попасть, а те, куда она попала и в момент предшествующий моменту попадания.

>То, что вы называете "отслеживание доступа относительно процесса" - это профанация
>мандатного управления доступом. Уж вы-то не хуже меня знаете, что благодаря штатным
>механизмам COM секретные данные из процесса winword.exe легким движением руки читаются
>в несекретном процессе iexplore.exe.
Видимо я не достаточно хорошо знаком с автоматизацией MS Word. Не могли бы вы привести скрипт (или последовательность действий) иллюстрирующий ваши слова, а мы протестируем его на стенде и результат я опишу. Ссылки на дистрибутив я выложил, так что мои слова любой желающий сможет проверить.
На тот случай если сценария атаки вы не представите. Предположим, что он все таки существует. Во-первых, риск его реализации можно значительно снизить за счет тонкой настройки пользовательского окружения, выполняемого штатными средствами Windows. Во-вторых, реализация SecrecyKeeper позволяет быстро закрывать такие лазейки по мере их обнаружения.

Коллеги, Вы странно сводите весьма сложный теоретический вопрос по реализации полномочного (в частном случае - мандатного) механизма контроля доступа на бытовой уровень.
Устанавливать метки на процессы (такая опция присутствует в нескольких сертифицированных СЗИ НСД) - это не такой тривиальный вопрос в части корректности реализации механизма защиты. Ведь идея мандатного механизма - все субъекты и все объекты должны размечаться, те, которые не размечены доступ (к ним доступ) иметь не должны (в противном случае - это не мандатный механизм, а "профанация", далекая от доказательной базы). Т.е. вы должны установить метки и на все системные процессы, и на все системные ресурсы (системный диск и т.д.). Возникает масса проблем с межпроцессовыми обменами (простейший случай - буффре обмена), необходимо также учитывать метки (уровень допуска) пользователей, в противном случае закрывается вопрос о многопользовательских системах - а иных сегодня не существует. Получаем два типа метки - у пользователя и процесса, если они не совпадают, что дальше? И т.п.
Вообще процедура сертификации и существует для того, чтобы некий СПЕЦИАЛИСТ детально проанализировал корректность реализации методов защиты в СЗИ НСД, и результаты своего анализа подписал от лица испытательной лаборатории. Пока этого не произойдет, что обсуждать что-то на бытовом уровне?

Если я правильно понял, то ветка открывалась для обсуждения возможности и деталей применения конкретного продукта SecrecyKeeper, к решению конкретной задачи защиты от инсайдеров. Какая разница используется там мандатка или нет ? Какая разница как она реализована, если о соответствии РД вопрос не ставился ? Вопрос стоит в удобстве использования и эффективности защиты, т.е. условиях необходимых для ее обхода. Вот и давайте это обсудим.