Функционирование системы управления средствами безопасности

Защита ресурсов

Аутентификация и авторизация доступа. В рамках решения реализуются различные по функциональности схемы аутентификации, каждая из которых включает тип аутентификации и способ (механизм) идентификации объектов.

Для выбора типа аутентификации предусмотрены следующие возможности: аутентификация пользователя при доступе к среде GSM или локальной ОС, аутентификация пользователя при доступе в сеть (сегмент сети), взаимная сетевая аутентификация объектов (приложение—приложение). Для выбора способа идентификации предусмотрены следующие варианты, предполагающие их любое совместное использование: токен (смарт-карта), пароль, «внешняя» аутентификация.

Контроль доступа при сетевых взаимодействиях. При инициализации защищенного сетевого соединения от локальной ОС или при получении запроса на установление внешнего соединения локальные агенты безопасности Trusted Agent на концах соединения (и/или на промежуточном шлюзе) обращаются к ЛПБ устройства и проверяют, разрешено ли установление этого соединения. В случае, если такое соединение разрешено — обеспечивается требуемый сервис защиты данного соединения, если запрещено — сетевое соединение не предоставляется.

Контроль доступа на уровне прикладных объектов. Для незащищенных распределенных приложений в GSM обеспечивается сервис разграничения прав доступа на уровне внутренних объектов данного приложения. Контроль доступа на уровне объектов прикладного уровня обеспечивается за счет применения механизма proxy. Proxy разрабатывается для каждого прикладного протокола. Предустановленным является протокол http.

Для построения распределенной схемы управления и снижения загрузки сети в GSM используется архитектура распределенных прокси-агентов (ProxyModule в составе Trusted Agent), каждый из которых:
• имеет абстрактный универсальный интерфейс, обеспечивающий модульное подключение различных proxy-фильтров;
• имеет интерфейс к системе управления, но использует временный кэш для управления параметрами фильтрации, а фильтрация управляется обобщенными правилами типа:
— аутентифицировать субъект X в приложении-объекте Y;
— разрешить доступ субъекту X к объекту Y с параметрами Р;
— запретить доступ субъекту X к объекту Z;
— семантика правил управления proxy-фильтром и описания субъектов и объектов доступа зависят от конкретного прикладного протокола, однако центр управления имеет возможность регистрировать proxy-фильтры и обеспечивать управления ими в контексте общей глобальной политики безопасности.

Proxy Agent может быть установлен на шлюзе безопасности, непосредственно на сервере, исполняющем контролируемые приложения, и на клиентском месте системы.

Управление средствами защиты

Важнейшим элементом решения TrustWorks является централизованная, основанная на политике (policy based) система управления средствами сетевой и информационной безопасности масштаба предприятия. Эта система обеспечивает следующие качественные потребительские характеристики:
• высокий уровень защищенности системы управления (путем выделения защищенного периметра управления внутри сети предприятия);
• расширяемость системы управления информационной безопасностью;
• высокий уровень надежности системы управления и ключевых ее компонентов;
• интеграцию с корпоративными системами общего сетевого и информационного управления;
• простую, интуитивно воспринимаемую, эргономичную и инфраструктурную среду описания, формирования, мониторинга и диагностики политики безопасности масштаба предприятия (enterprise level policy based management).

Управление осуществляется специальным ПО администратора — Консолью управления (Trusted GSM Console). Количество и функции каждого из экземпляров установленного в системе ПО Trusted GSM Console задаются главным администратором системы в зависимости от организационной структуры предприятия. Для назначения функций каждого из рабочих мест Trusted GSM Console используется ролевой механизм разграничения прав по доступу к функциям управления (менеджмента) системы.

Функции управления GSM. В зависимости от вида управляемых объектов набор управляющих функций в GSM можно условно разбить на три категории.

1. Управление информационным каталогом. Функции управления информационным каталогом определяют информационную составляющую GSM:
• формирование разделов каталога;
• описание услуг каталога;
• назначение и контроль сетевых ресурсов, требуемых для выполнения услуги;
• регистрацию описания услуги;
• контроль состояния услуг или разделов каталога услуг;
• мониторинг исполнения услуг;
• подготовку и пересылку отчетов (протоколов) по состоянию каталога.

2. Управление пользователями и правами доступа. Для управления правами доступа пользователей системы к услугам (информационным или сетевым ресурсам) GSM обеспечивает следующие функции:
• формирование групп пользователей по ролям и/или привилегиям доступа к услугам системы;
• формирование иерархических агрегаций пользователей по административным, территориальным или иным критериям (домены и/или департаменты);
• формирование ролей доступа пользователей к услугам (информационным или сетевым ресурсам);
• назначение уровней секретности для услуг и пользователей системы (поддержка мандатного механизма разграничения прав);
• назначение фиксированных прав доступа группам, ролям, агрегациям пользователей или отдельным пользователям системы к информационным или сетевым ресурсам системы;
• подготовку и пересылку отчетов (протоколов) по доступу пользователей к услугам системы;
• подготовку и пересылку отчетов (протоколов) по работе администраторов системы

3. Управление правилами ГПБ. Правила ГПБ ставят в соответствие конкретные свойства защиты (как для сетевых соединений, так и для доступа пользователей к информационным услугам) предустановленным уровням безопасности системы. Контроль за соблюдением правил ГПБ выполняет специальный модуль в составе сервера системы — Security Policy Processor, обеспечивающий:
• определение каждого из уровней безопасности набором параметров защиты соединений, схемы аутентификации и разграничения прав;
• назначение уровней безопасности конкретным услугам или разделам каталога услуг;
• назначение уровней безопасности пользователям или любым агрегациям пользователей системы (группам, ролям, доменам, департаментам);
• контроль за целостностью ГПБ (полнотой правил);
• вычисление политик безопасности ЛПБ локальных устройств защиты — агентов безопасности — и контроль их исполнения;
• контроль за исполнением ГПБ по различным критериям;
• подготовку и пересылку отчетов (протоколов) по состоянию системы и всех попыток нарушения ГПБ.

Каждый из администраторов системы аутентифицируется и работает с системой через Trusted GSM Console согласно предустановленным для него правам (на каталог ресурсов или его часть, на определенный ролями набор функций управления, на группы или другие наборы пользователей). Все действия любого из администраторов протоколируются и могут попарно контролироваться.

Эта статья была опубликована Среда, 8 декабря, 2010 at 13:59 в рубрике Защита от вирусов. Вы можете следить за ответами через RSS 2.0 feed.