ЮЖНО-СИБИРСКИЙ НАУЧНЫЙ ВЕСТНИК УДК 004.42 ПОДХОДЫ К КОНТРОЛЮ ИСПОЛЬЗОВАНИЯ СЪЕМНЫХ МАШИННЫХ НОСИТЕЛЕЙ ИНФОРМАЦИИ НА СРЕДСТВАХ ВЫЧИСЛИТЕЛЬНОЙ ТЕХНИКИ ПОД УПРАВЛЕНИЕМ ОС ASTRA LINUX SE А.А. Невров, Г.А. Попов Академия ФСО России, г. Орел В статье рассматривается проблема контроля использования съемных машинных носителей информации (СМНИ) на средствах вычислительной техники под управлением операционной системы Astra Linux Special Edition. В результате анали- за данной операционной системы авторами было выявлено отсутствие механизмов контроля использования СМНИ. Авто- рами предложена, обоснована и описана структура автоматизированной системы учета и контроля СМНИ, которая обеспе- чит необходимый уровень информационной безопасности в организациях, обрабатывающих конфиденциальную информа- цию. Ключевые слова: контроль, носитель информации, информационная безопасность. ВВЕДЕНИЕ сигнализирование администратору СВТ о попытке В настоящее время в организациях, обрабатываю- использования таких МНИ. щих конфиденциальную информацию, рекомендовано В настоящий момент уже существуют готовые использование операционной системы (ОС), имею- средства защиты информации (СЗИ), имеющие функ- щей сертификаты соответствия второму классу за- ции учета и контроля использования МНИ на СВТ, щищенности. Одной из таких ОС является Astra Linux функционирующие как под управлением ОС MS Win- Special Edition (SE). Для обеспечения требуемого dows [1–5], так и ОС Linux [6–8]. В силу определен- уровня информационной безопасности работа на ных факторов, а именно: коммерческое распростране- средствах вычислительной техники (СВТ) в организа- ние программных продуктов, полностью закрытый или частично открытый программный код ОС, под циях может производиться с использованием учтен- которым функционирует СЗИ, существуют опреде- ных машинных носителей информации (МНИ). В организациях, обрабатывающих конфиденци- ленные сложности их использования. альную информацию задача контроля использования ОСНОВНАЯ ЧАСТЬ учтенных МНИ на СВТ возлагается на администрато- В ОС Astra Linux SE уже существуют механизмы ра СВТ. В силу большого количества как СВТ, так и для частичного решения поставленных задач [9], у учтенных МНИ задача обеспечения полного контроля каждого из которых есть особенности, определяющие становится сложной. Вследствие этого возрастает возможность их использования в том или ином слу- риск ошибки при администрировании СВТ и возника- чае. Рассмотрим несколько основных методов реше- ет угроза использования неучтенных МНИ. Эта угро- ния задач учета и контроля использования отчуждае- за может привести к снижению уровня информацион- мых МНИ на СВТ организации. ной безопасности и образованию канала утечки ин- Первым методом является ручная настройка учета формации в организации. Для снижения вероятности МНИ, а именно генерация определенных правил для возникновения этой угрозы необходимо снизить риск каждого МНИ, согласно которым операционная си- ошибки администрирования путем автоматизации стема разрешает или не разрешает использование того задач учета и контроля использования отчуждаемых или иного МНИ. Для осуществления такой настройки МНИ на СВТ организации. администратору СВТ необходимо сгенерировать пра- В процессе автоматизации необходимо учесть сле- вила для менеджера устройств с использованием базы дующие требования: учета устройств, ведущейся в локальной системе. учтенные МНИ должны исправно работать на всех Кроме того, для корректного монтирования файловой СВТ, не должны возникать случаи неработоспособно- системы МНИ необходимо внесение определенных сти таких МНИ, из-за неверных настроек СВТ (ошиб- записей в ряд конфигурационных файлов [9]. Этот ки второго рода); неучтенные МНИ не должны рабо- метод не требует наличия специального программно- тать на СВТ. Помимо этого, должно осуществляться го обеспечения в ОС Astra Linux и может обеспечить № 1 (17) •март 2017 45 ЮЖНО-СИБИРСКИЙ НАУЧНЫЙ ВЕСТНИК требуемый уровень обеспечения информационной ЛВС и включать в домен, таким образом, этот метод безопасности. В качестве недостатка этого метода не может охватить все СВТ организации. следует отметить большие временные затраты и вы- Кроме указанных недостатков описанных выше сокий риск ошибки администрирования из-за необхо- методов, а именно: димости ручной правки файлов на всех СВТ в подраз- – трудоемкость ручного изменения конфигураци- делении при изменении списка учтенных МНИ. онных файлов, разрешающих монтирование отчужда- В качестве второго метода предлагается использо- емых МНИ; вание встроенной в Astra Linux SE графической ути- – высокий риск ошибки администрирования при литы fly-admin-smc [9]. Главными функциями этой ручном конфигурировании правил подключения утилиты являются: идентификация подключенного в МНИ; СВТ МНИ, проверка на разрешение монтирования и, – высокая трудоемкость репликации правил под- в случае успешной идентификации и проверки, мон- ключения МНИ на всех СВТ организации при изме- тирование подключенного к СВТ МНИ. С помощью нении списка учтенных МНИ; данной утилиты администратору СВТ предоставляет- – обязательность включения СВТ в домен Astra ся возможность выбрать идентификационный пара- Linux, и как следствие – требование по наличию ЛВС метр каждого подключенного на СВТ МНИ, выбрать в организации; пользователя и группу пользователей, которым будет Существует проблема отсутствия контроля под- разрешен доступ к МНИ, а также права доступа для ключения неучтенных МНИ к СВТ. Наличие такого выбранных пользователей. Но, как и в предыдущем контроля позволяет снизить риски использования не- методе, администратору СВТ необходимо затратить учтенных МНИ, и, как следствие, повысить уровень много временного ресурса для выполнения вышеопи- информационной безопасности в организации. санных действий на всех СВТ организации. В каче- В результате анализа принципов функционирова- стве достоинства этого метода можно отметить нали- ния рассмотренных методов, их достоинств и недо- чие графического интерфейса, что позволяет снизить статков, предлагается разработать автоматизирован- требования к квалификации администратора СВТ ор- ную систему учета и контроля съемных машинных ганизации, и, как следствие, снижение риска ошибки носителей информации (АСУКСМНИ). Разрабатыва- администрирования в сравнении с предыдущим мето- емая АСУКСМНИ должна объединять достоинства дом. существующих методов и позволять осуществлять Основной проблемой применения описанных вы- контроль за использованием отчуждаемых МНИ в ше методов является необходимость ручного репли- организации. АСУКСМНИ должна позволять вести цирования конфигурационных файлов с последую- централизованную базу правил использования учтен- щим применением изменений на всех СВТ организа- ных МНИ. При наличии ЛВС организации АСУКС- ции при изменении списка отчуждаемых МНИ. МНИ должна позволять применять эти правила на При наличии в организации локальной вычисли- всех СВТ, подключенных к ЛВС удаленно. Для СВТ, тельной сети (ЛВС) предоставляется возможность которые не подключены к ЛВС организации, должен использование третьего метода решения задач учета и быть предусмотрен механизм автоматизированного контроля отчуждаемых МНИ на СВТ организации. применения правил использования учтенных МНИ, а Указанную выше проблему можно решить с помощью также получения отчетов об использовании МНИ на службы Astra Linux Directory (ALD) [9]. Для решения СВТ с использованием специальных авторизованных указанных задач данным методом администратору МНИ (САМНИ). Доставка таких МНИ для примене- СВТ необходимо развернуть серверную часть ALD на ния правил и получения отчетов при этом должна сервере подразделения, клиентскую часть ALD на осуществляться администратором вручную. всех клиентских СВТ в подразделении, а также уста- Разрабатываемая АСУКСМНИ состоит из следу- новить утилиту администрирования ALD для созда- ющих подсистем: подсистемы учета отчуждаемых ния и конфигурации домена. После того, как админи- МНИ организации, и подсистемы контроля использо- стратор СВТ осуществит настройку домена, он смо- вания МНИ на СВТ. Подсистема контроля включает жет приступать к администрированию учетных запи- агента и менеджера. Агент АСУКСМНИ представляет сей пользователей и, соответственно, контролировать собой приложение-демон, непрерывно функциониру- монтирование файловой системы МНИ. Достоинство ющее на СВТ. В качестве менеджера АСУКСМНИ данного метода – возможность удаленного админи- выступает серверная часть автоматизированной си- стрирования, позволяющая администратору СВТ вы- стемы, которая представляет собой GUI-приложение полнять поставленные ранее задачи непосредственно и выполняет следующие задачи: прием данных от со своего рабочего места. Недостатком данного мето- агента и оповещение администратора об использова- да являются ограничения его применимости, а именно нии неучтенных МНИ на том или ином СВТ органи- обязательное наличие домена. Однако не все СВТ зации. организации по ряду причин можно подключать к Подсистема учета отчуждаемых МНИ включает 46 № 1 (17) •март 2017 ЮЖНО-СИБИРСКИЙ НАУЧНЫЙ ВЕСТНИК базу данных (БД) учтенных МНИ, на основании кото- ряет скопированное защищенное хранилище и выяв- рой администратор системы на специализированном ляет факты подключения неучтенных МНИ. автоматизированном рабочем месте администратора ЗАКЛЮЧЕНИЕ АСУКСМНИ составляет набор правил их использо- вания. Под набором правил понимается конфигураци- Таким образом, АСУКСМНИ позволит осуще- онный файл (/etc/parsec/devices.cfg) [9], в котором ствить контроль монтирования МНИ на СВТ органи- указываются идентификационные данные МНИ, дан- зации и, тем самым, устранит