Доверенная загрузка - Форум по вопросам информационной безопасности

to А.Ю. Щеглов (в продолжение темы о доверенной загрузке из ветки http://itsec.ru/forum.php?sub=11033&from=-1)

Вот выписка из Приказа ФСТЭК России №119 о СДЗ:
"Требования применяются к программным и программно-техническим средствам ... реализующим функции по предотвращению несанкционированного доступа к программным и (или) техническим ресурсам средства вычислительной техники на этапе его загрузки (далее – средства доверенной загрузки)"
Где здесь говорится о заранее определенных носителях? О предотвращении загрузки системы со сторонних носителей? Понимание должно быть комплексным - защита от НСД к ПО, операционной среде и ТС на этапе их/ее/его загрузки. И приведенные Вами задачи "о корректной загрузки штатной системы" и "запрете загрузки с нештатных носителей" - это только частный случай.
Резонно определиться, для начала, какова цель НСД? Кто может являться нарушителем? Какие штатные каналы загрузки присутствуют в системе? Отсюда уже будет следовать комплекс применяемых орг. и тех. мероприятий, но не только и не столько применение аппаратных модулей (плат) или перепрошивка BIOS. Согласен, юридически подход применим на объектах НЕ-ГТ. Впрочем, и в ЗГТ для решения принципиальной задачи ДЗ возможно использовать механизмы кодирования загрузочных секторов и файловых систем или вообще орг-меры по приему/сдаче/контролю подключений любых носителей.
И, кстати, приведенное Вами описание задач доверенной загрузки по логике вещей согласуется с вот этим: "Доверенная загрузка» – это загрузка различных операционных систем только с заранее определенных постоянных носителей (например, только с жесткого диска) после успешного завершения специальных процедур...". Правильно ли я Вас понимаю?

Всем добрый день!
Последнее сообщение в этой ветке датировано 2015 годом.
Есть здесь люди которые могут поставить точку по вопросу необходимости использования СДЗ для ГТ?
Т.е. 025 вышел - но на мой взгляд обошел этот вопрос стороной и до сих пор возникают споры заказчик-орган-ФСТЭК по вопросу обязательного использования СДЗ для ГТ.
Спасибо.

to Сержант
Не смогут, потому что это вопрос из разряда закрытой нормативки, а форум на этом уже несколько раз обжегся...
Но вообще ситуация глупая и патовая - споры по этому поводу были и будут до тех пор, пока регулятор все в явном виде не обозначит для всех граничных случаев...
Безотносительный совет: загляните в ТУ/ЗБ/Руководства/Формуляры на применяемые СЗИ (все) под нужный класс АС...

Вопрос про СДЗ при переходе с ГИС К3 на К2. Подскажите, пожалуйста, есть ли хоть какая-то малейшая возможность уйти от установки СДЗ на физические сервера (приказ 17 ФСТЭК, УПД.17)? ГИС работает 24 на 7, боимся, что система после манипуляций может не взлететь.. Возможно ли в модели угроз к примеру написать, что внутренний нарушитель не обладает необходимым потенциалом, а доступ к стойке с серверами может получить только сотрудник, которому полностью доверяем и тд и тп. Это я для примера. Или только установка СДЗ и никак иначе?
Заранее благодарю!

to Петр
Если регламентировано именно 24/7, то обоснование очевидно. Хоть журналом закрыть по учету всех перезагрузок под контролем ответственных лиц. И разбором нештатных перезагрузок с составлением соответствующих актов. Только квалификация у персонала должна быть соответствующая (например, подтвердить, что при последней перезагрузке UEFI не был модифицирован ВПО со всеми вытекающими)...
Вот если при этом компоненты ГИС все-таки частично виртуализированы или тем более контейнеризированы - это совсем иная песня, ага...

2 oko Спасибо! А что меняется при виртуализации, расскажите, пожалуйста? У нас действительно гис развернута в виртуальной среде, а вся вирт. среда соотв. на физических серверах.

to Петр
Уровень абстракций и необходимые механизмы. Перезагрузка физ.сервера более-менее однозначный (если без IPMI/iLO) и наблюдаемый процесс, растянутый на минуты. Перезагрузка виртуалки (с контейнерами и средой оркестрации вообще швах) - процесс куда короче. Т.е. по отношению к физ.среде требуется усиление мониторинга, регламентации и проработка оснований. Масла в огонь подливают штатные автоматизированные средства перезапуска ВМ при тех или иных ситуациях (нагрузки, изменение виртуальных устройств и т.д.). Тут уже "тупым журналом тех.работ" в большинстве случаев не обойдешься - потребуются live-системы с корреляцией и нормализацией всех возникающих событий совместно со штатной матрицей доступа как администраторов виртуализации, так и порождаемых процессов (привет, SIEM и ее производные)...
Ситуации штатной миграции в HA-кластере, опять-таки (аналогия: перенесли физ.сервер в другую стойку, при этом даже не отключая питания - в стойке же сидит нарушитель или его акцепторы, ага)...
Т.е. важными становятся вопросы контроля среды виртуализации как таковой, контроля ее конфигураций, контроля файловой системы гипервизора, контроля памяти гипервизора, контроля... Еще с десяток направлений, которые без должного контроля могут быть использованы нарушителем для внедрения ВПО в ВМ на этапе ее загрузки или модификации ее (и не только ее) конфигураций нужным образом. Т.е. спектр возможностей (каналов воздействия) значительно расширяется. И классический "контроль целостности" как в АПМДЗ в общем случае тут мало что решает...

ЗЫ Конечно, все определяется классификацией ОИ (читай, ценностью), а также Моделью нарушителя (читай, его оснащением). Но в сферической ситуации в вакууме, imho, вопрос доверенной загрузки ВМ куда сложнее, чем в случае физ.сервера...

2 oko Благодарю!

2 oko Подскажите, пожалуйста, в какой документ(-ы) (ТЗ,МУ и тд) надо включить обоснование о невозможности установки СДЗ?

2 oko Подскажите, пожалуйста, в какой документ(-ы) (ТЗ,МУ и тд) надо включить обоснование о невозможности установки СДЗ?