Москва, ул. Дружинниковская, д. 15, оф. 223

+7 (495) 120-15-37 info@gorizont-vs.ru

Описание функциональных возможностей программно-аппаратного комплекса «Горизонт-ВС»

ПАК «Горизонт-ВС» предназначен для использования аппаратных возможностей процессорной архитектуры х86-64 для функционирования виртуальных машин и управления доступом к ним.

ПАК «Горизонт-ВС» включает две основные функциональные части:

  • модуль идентификации и контроля доверенной среды (МИиКДС) «Шина»;
  • комплекс программ «Терминал-Сервер».

Непосредственно функциональные возможности по функционированию виртуальных машин и управлению доступом к ним реализованы в КП «Терминал-Сервер». КП «Терминал-Сервер» обеспечивает защищенное исполнение виртуальных машин, а также соединения виртуальных машин и терминалов тонкого клиента и состоит из двух основных компонентов:

  • комплекс программ «Тонкий клиент» (КП «Клиент»);
  • комплекс программ «Сервер виртуальных машин» (КП «Сервер»).

КП «Сервер» предоставляет возможность создания и редактирования виртуального аппаратного окружения виртуальных машин, исполнение виртуальных машин и управление доступом к ним.

КП «Клиент» предназначен для подключения тонких клиентов по протоколу SPICE к виртуальным машинам, исполняемым на сервере виртуализации. КП «Клиент» обеспечивает доверенное подключение к серверу виртуализации. Подключение можно считать доверенным, если на момент подключения средствами КП «Сервер» установлена достоверность подключаемого терминала с тонким клиентом, а средствами КП «Клиент» установлена достоверность сервера виртуализации, к которому производится подключение. Проверка достоверности осуществляется с использованием механизмов, реализованных с использованием МИиКДС «Шина».

КП «Терминал-Сервер» обеспечивает:

  • создание и редактирование виртуальных машин на сервере, исполнение виртуальных машин, запуск, остановка и перезагрузка виртуальных машин на сервере;
  • миграция виртуальных машин между серверами;
  • установку, хранение и доверенную загрузку программного обеспечения терминала на персональный накопитель информации пользователя, хранение служебной информации на персональном накопителе;
  • подключение терминалов к виртуальным машинам, исполняемым на сервере, по протоколу SPICE;
  • вывод графической и звуковой информации из виртуальных машин на терминале;
  • ввод информации с клавиатуры терминала в виртуальную машину, подключение манипулятора мышь терминала к виртуальной машине, ввод звуковой информации в виртуальную машину через микрофон терминала, подключение USB-устройств терминала к виртуальной машине;
  • разграничение доступа к информации;
  • ведение журнала регистрации событий;
  • тестирование всех функциональных блоков;
  • протоколирование сбойных ситуаций и восстановление системы после сбоя.

КП «Сервер» обеспечивает:

  • создание и редактирование виртуальных машин;
  • создание и редактирование виртуальных сетевых мостов;
  • фильтрацию сетевого трафика Ethernet, стека TCP/IP для сетевых соединений сервера и виртуальных машин;
  • исполнение виртуальных машин, созданных средствами сервера;
  • запуск, остановку и перезагрузку виртуальных машин;
  • доверенное подключение к нему терминалов;
  • создание «снимков» работающих виртуальных машин;
  • миграцию виртуальных машин;
  • создание и редактирование виртуальных сетей;
  • настройку маршрутизации для реальных и виртуальных сетей;
  • мониторинг виртуальных машин;
  • ведение журнала регистрации событий;
  • тестирование всех функциональных блоков;
  • протоколирование сбойных ситуаций;
  • восстановление системы после сбоя;
  • автономную перезагрузку сервера без ввода пароля при соблюдении организационно-технических мер контроля доступа к техническим средствам;
  • непрерывную круглосуточную работу.

КП «Клиент» обеспечивает:

  • подключение по протоколу SPICE к виртуальным машинам, исполняемым на сервере виртуализации;
  • загрузку в двух режимах «Пользовательский» и «Административный»;
  • вывод графической и звуковой информации виртуальной станции;
  • ввод информации с клавиатуры терминала в виртуальную машину;
  • подключение манипулятора мышь терминала к виртуальной машине;
  • ввод звуковой информации в виртуальную машину через микрофон терминала;
  • подключение USB-устройств терминала к виртуальной машине;
  • предоставление средств для настройки сетевых параметров соединения терминала, ввода информации для авторизации пользователя, настройки режима работы терминала;
  • возможность хранения служебной информации на персональном накопителе информации пользователя;
  • тестирование всех функциональных блоков;
  • протоколирование сбойных ситуаций;
  • восстановление системы после сбоя;
  • автономную перезагрузку терминальной станции без ввода пароля при соблюдении организационно-технических мер контроля доступа к техническим средствам;
  • непрерывную круглосуточную работу.

МИиКДС «Шина» используется в клиент-серверных системах для защиты автоматизированных рабочих мест (АРМ), являющихся терминалами рабочих станций «тонкий клиент», и серверов от несанкционированного доступа (НСД).

МИиКДС «Шина» работает в трех режимах:

  • режим «Терминал» – устанавливается на терминале;
  • режим «Сервер» – устанавливается на сервере виртуализации;
  • режим «АРМ Администратора» – устанавливается на АРМ Администратора.

МИиКДС «Шина» обеспечивает выполнение следующих основных функций при работе в режиме «Терминал»:

  • идентификацию и аутентификацию администраторов/пользователей;
  • доверенную загрузку специального программного обеспечения (СПО);
  • контроль целостности СПО;
  • блокировку работы терминала в случае неудачной идентификации и аутентификации администратора/пользователя;
  • ведение журнала регистрации событий, регистрирующего события имеющие отношение к безопасности системы;
  • блокировку входа в систему зарегистрированного пользователя в следующих случаях: нарушение целостности контролируемой информации СПО; превышение предельного числа неудачных попыток входа и истечении срока действия пароля; блокирование администратором входа пользователя;
  • самотестирование (проверка технического состояния).

При работе в режиме «Сервер» основные функции МИиКДС «Шина» аналогичны функциям в режиме «Терминал».

При работе в режиме «АРМ Администратора» функции МИиКДС «Шина» в режиме «Терминал» дополняются механизмом удаленного администрирования, обеспечивающего следующие основные функции:

  • регистрацию и удаление пользователей в изделии, установленном на удаленном терминале или сервере виртуализации;
  • блокировку и разблокировку пользователей в изделии, установленном на удаленном терминале или сервере виртуализации;
  • работу с журналом регистрации событий изделия, установленного на удаленном терминале или сервере виртуализации;
  • мониторинг состояния МИиКДС «Шина» в административной группе (группе серверов виртуализации и терминалов, в которой работают пользователи);
  • генерацию ключей маскирования;
  • рассылку ключей маскирования;
  • смену ключей маскирования;
  • смену паролей администраторов и пользователей;
  • создание инсталляционного ключа, транспортного ключа и электронных ключей аутентификации пользователей и администраторов.

Согласно приказам № 17 «Об утверждении Требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах» и № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» ФСТЭК России, изделие может использоваться в информационных системах до 1 класса защищенности и для обеспечения защищенности персональных данных до 1 уровня включительно и реализует следующие функции безопасности:

  • ИАФ.1 Идентификация и аутентификация пользователей, являющихся работниками оператора;
  • ИАФ.2 Идентификация и аутентификация устройств, в том числе стационарных, мобильных и портативных;
  • ИАФ.3 Управление идентификаторами, в том числе создание, присвоение, уничтожение идентификаторов;
  • ИАФ.4 Управление средствами аутентификации, в том числе хранение, выдача, инициализация, блокирование средств аутентификации и принятие мер в случае утраты и (или) компрометации средств аутентификации;
  • ИАФ.5 Защита обратной связи при вводе аутентификационной информации;
  • ИАФ.6 Идентификация и аутентификация пользователей, не являющихся работниками оператора (внешних пользователей);
  • УПД.1 Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей;
  • УПД.2 Реализация необходимых методов (дискреционный, мандатный, ролевой или иной метод), типов (чтение, запись, выполнение или иной тип) и правил разграничения доступа;
  • УПД.3 Управление (фильтрация, маршрутизация, контроль соединений, однонаправленная передача и иные способы управления) информационными потоками между устройствами, сегментами информационной системы, а также между информационными системами;
  • УПД.4 Разделение полномочий (ролей) пользователей, администраторов и лиц, обеспечивающих функционирование информационной системы;
  • УПД.5 Назначение минимально необходимых прав и привилегий пользователям, администраторам и лицам, обеспечивающим функционирование информационной системы;
  • УПД.6 Ограничение неуспешных попыток входа в информационную систему (доступа к информационной системе);
  • УПД.9 Ограничение числа параллельных сеансов доступа для каждой учетной записи пользователя информационной системы;
  • УПД.10 Блокирование сеанса доступа в информационную систему после установленного времени бездействия (неактивности) пользователя или по его запросу;
  • УПД.11 Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации;
  • УПД.13 Реализация защищенного удаленного доступа субъектов доступа к объектам доступа через внешние информационно-телекоммуникационные сети;
  • УПД.17 Обеспечение доверенной загрузки средств вычислительной техники;
  • ОПС.1 Управление запуском (обращениями) компонентов программного обеспечения, в том числе определение запускаемых компонентов, настройка параметров запуска компонентов, контроль за запуском компонентов программного обеспечения;
  • ОПС.2 Управление установкой (инсталляцией) компонентов программного обеспечения, в том числе определение компонентов, подлежащих установке, настройка параметров установки компонентов, контроль за установкой компонентов программного обеспечения;
  • ОПС.3 Установка (инсталляция) только разрешенного к использованию программного обеспечения и (или) его компонентов;
  • ЗНИ.1 Учет машинных носителей информации;
  • ЗНИ.2 Управление доступом к машинным носителям информации;
  • ЗНИ.4 Исключение возможности несанкционированного ознакомления с содержанием информации, хранящейся на машинных носителях, и (или) использования носителей информации в иных информационных системах;
  • ЗНИ.7 Контроль подключения машинных носителей информации;
  • РСБ.3 Сбор, запись и хранение информации о событиях безопасности в течении установленного времени хранения;
  • РСБ.4 Реагирование на сбои при регистрации событий безопасности, в том числе аппаратные и программные ошибки, сбои в механизмах сбора информации и достижение предела или переполнения объема (емкости) памяти;
  • РСБ.5 Мониторинг (просмотр, анализ) результатов регистрации событий безопасности и реагирование на них;
  • РСБ.6 Генерирование временных меток и (или) синхронизация системного времени в информационной системе;
  • РСБ.7 Защита информации о событиях безопасности;
  • РСБ.8 Обеспечение возможности просмотра и анализа информации о действиях отдельных пользователей в информационной системе;
  • ОЦЛ.1 Контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации;
  • ОЦЛ.3 Обеспечение возможности восстановления программного обеспечения, включая программное обеспечение средств защиты информации, при возникновении нештатных ситуаций;
  • ОЦЛ.6 Ограничение прав пользователей по вводу информации в информационную систему;
  • ЗСВ.1 Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации;
  • ЗСВ.2 Управление доступом субъектов доступа к объектам доступа в виртуальной инфраструктуре, в том числе внутри виртуальных машин;
  • ЗСВ.3 Регистрация событий безопасности в виртуальной инфраструктуре;
  • ЗСВ.4 Управление (фильтрация, маршрутизация, контроль соединения, однонаправленная передача) потоками информации между компонентами виртуальной инфраструктуры, а также по периметру виртуальной инфраструктуры;
  • ЗСВ.5 Доверенная загрузка серверов виртуализации, виртуальной машины (контейнера), серверов управления виртуализацией;
  • ЗСВ.6 Управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных;
  • ЗСВ.7 Контроль целостности виртуальной инфраструктуры и ее конфигураций;
  • ЗСВ.10 Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки информации отдельным пользователем и (или) группой пользователей;
  • ЗИС.1 Разделение в информационной системе функций по управлению (администрированию) информационной системой, управлению (администрированию) системой защиты информации, функций по обработке информации и иных функций информационной системы;
  • ЗИС.4 Обеспечение доверенных канала, маршрута между администратором, пользователем и средствами защиты информации (функциями безопасности средств защиты информации);
  • ЗИС.5 Запрет несанкционированной удаленной активации видеокамер, микрофонов и иных периферийных устройств, которые могут активироваться удаленно, и оповещение пользователей об активации таких устройств;
  • ЗИС.11 Обеспечение подлинности сетевых соединений (сеансов взаимодействия), в том числе для защиты от подмены сетевых устройств и сервисов;
  • ЗИС.14 Использование устройств терминального доступа для обработки информации;
  • ЗИС.18 Обеспечение загрузки и исполнения программного обеспечения с машинных носителей информации, доступных только для чтения, и контроль целостности данного программного обеспечения;
  • ЗИС.19 Изоляция процессов (выполнение программ) в выделенной области памяти;
  • ЗИС.21 Исключение доступа пользователя к информации, возникшей в результате действий предыдущего пользователя через реестры, оперативную память, внешние запоминающие устройства и иные общие для пользователей ресурсы информационной системы.

Программно-аппаратный комплекс «Горизонт-ВС» является средством защиты информации, соответствует требованиям документов:

  • «Требования к средствам доверенной загрузки» (ФСТЭК России, 2014), «Профиль защиты средства доверенной загрузки уровня платы расширения четвертого класса защиты. ИТ.СДЗ.ПР4.ПЗ» (ФСТЭК России, 2013);
  • «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» (Гостехкомиссия России, 1999) – по 4 уровню контроля;
  • «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного  доступа к информации» (Гостехкомиссия России, 1992) – по 5 классу защищенности.

Смотрите также: