Защита от НСД
Бренд:Код Безопасности

Под заказ

Cемейство продуктов для защиты платформ виртуализации (vSphere и Hyper-V) от несанкционированного доступа.

Заказать товар
Задать вопрос
Мы свяжемся с вами для уточнения формы оплаты и способа доставки заказа

Сертифицированные продукты семейства vGate обеспечивают безопасность виртуальной инфраструктуры, в которой ведется обработка персональных данных, конфиденциальной информации и сведений, относящихся к гостайне.

Широкие функциональные возможности vGate предоставляют службе безопасности предприятия удобные инструменты контроля и противодействия злоупотреблениям в виртуальной среде с учетом особенностей ее использования.

vGate позволяет выполнить необходимые технические меры защиты информации и способствует приведению виртуальной инфраструктуры в соответствие нормам российского законодательства, отраслевым стандартам и лучшим мировым практикам.

СЗИ vGate для Hyper-V предназначено для решения следующих типовых задач:

  • Приведение защиты среды виртуализации в соответствие требованиям российского законодательства
  • Усиленный контроль доступа к управлению системой виртуализации
Ikonka_Kontrol.png Соответствие российскому законодательству
Приведите виртуальную инфраструктуру в соответствие нормам законодательства. Используя vGate, вы выполните большинство требований ФСТЭК России к защите среды виртуализации. Вы сможете защитить персональные данные в ИСПДн, информацию в ГИС и государственную тайну
ff262e9c Управление безопасностью в виртуальной среде
Виртуализация размывает связь между оборудованием и информационными системами, что влияет на безопасность. Появляются новые риски и каналы утечек данных. Контролируйте все действия по управлению виртуальной инфраструктурой с помощью vGate. Санкционируйте изменения виртуальных машин. Предотвращайте ошибки и злоупотребления администраторов. Устанавливайте политики безопасности
5c997285 Аудит событий безопасности, уведомления и отчетность
Получите эффективный инструмент для мониторинга безопасности виртуальной инфраструктуры, настроек и изменений. Включив уведомления, вы будете своевременно уведомлены о подозрительных событиях. Постройте отчеты для анализа защищенности и соответствия стандартам безопасности и лучшим мировым практикам
21f8e345 Гибкая масштабируемость и простота управления
Защитите все корпоративные дата-центры и установите требуемые политики безопасности из центрального офиса, сэкономив на персонале в удаленных филиалах и резервных дата-центрах. Получите реальную картину защищенности всей вашей виртуальной инфраструктуры на рабочем месте администратора безопасности

Преимущества

  • Выполнение 8 из 10 требований ФСТЭК России к защите среды виртуализации
  • Ограничение доступа администраторов к данным виртуальных машин
  • Простота внедрения в существующую инфраструктуру

Российское законодательство устанавливает ряд обязательных требований по защите информации в среде виртуализации, соблюдение которых регулируется тремя нормативными актами:

  • Приказ ФСТЭК России от 11.02.2013 № 17 – требования по защите информации в ГИС.
  • Приказ ФСТЭК России от 18.02.2013 № 21 – требования по защите персональных данных в ИСПДн.
  • Приказ ФСТЭК России от 14.03.2014 № 31 – требования по защите информации в АСУ ТП на критически важных объектах.

В приказах ФСТЭК России регламентировано выполнение организационно-технических мер защиты среды виртуализации, используемой при обработке информации в автоматизированных системах управления производственными и технологическими процессами, государственных информационных системах и системах персональных данных. В связи с этим все организации, являющиеся операторами этих информационных систем и применяющие технологии виртуализации, обязаны выполнить необходимые меры защиты и привести свою вычислительную инфраструктуру в соответствие требованиям регулирующих органов.

Применение средств комплексной защиты платформ виртуализации компании “Код Безопасности” позволит вам выполнить  удовлетворить самые жесткие требования законодательства для ИСПДн, ГИС и АСУ ТП, а также провести обязательную аттестацию государственных информационных систем и систем управления производством.

В vGate реализована модель разделения прав на управление виртуальной инфраструктурой и на управление безопасностью. Таким образом, выделяются две основные роли – это администратор виртуальной инфраструктуры (АВИ) и администратор информационной безопасности (АИБ).

Доступ на управление виртуальной инфраструктурой или параметрами безопасности предоставляется только аутентифицированным пользователям. Причем процедура аутентификации пользователей и компьютеров (рабочих мест АИБ и АВИ) осуществляется по протоколам, нечувствительным к попыткам перехвата паролей и атакам типа Man in the Middle.

Процедура аутентификации АВИ осуществляется с помощью отдельного приложения, которое устанавливается на его рабочее место (агент аутентификации). До соединения с виртуальной инфраструктурой АВИ требуется запустить эту программу и ввести учетные данные.

Для избавления пользователя от многократного ввода имени пользователя и пароля агент аутентификации включает функцию надежного сохранения учетных данных. Эта функция особенно полезна, когда на рабочем месте администратора установлены несколько систем защиты, каждая из которых запрашивает данные для аутентификации.

Серверы Hyper-V оперируют множеством виртуальных машин. Компрометация этих серверов может нанести непоправимый ущерб группе виртуальных машин и поставить под угрозу всю виртуальную инфраструктуру. Именно поэтому так важно обеспечить надежную защиту средств управления – серверов Hyper-V.

Средства управления виртуальной инфраструктурой размещаются внутри защищаемого периметра, доступ пользователей и компьютеров к которым осуществляется по протоколам, нечувствительным к попыткам перехвата паролей и предотвращающим вмешательство в передачу данных.

Для обеспечения защиты средств управления виртуальной инфраструктурой применяется функционал дискреционного разграничения доступа к объектам, которые размещены внутри защищаемого периметра. Правила разграничения доступа работают на основе заданных ACL и параметров соединения (протоколов, портов). Сетевой трафик между аутентифицированными субъектами и защищаемыми объектами подписывается, тем самым обеспечивается защита от атак типа Man in the Middle в процессе сетевого взаимодействия.

Также в vGate при разграничении прав доступа администраторов к объектам инфраструктуры используется мандатный принцип контроля доступа (более подробно описан в специальном разделе). Администратор информационной безопасности не имеет права доступа к данным виртуальных машин, его полномочия по управлению виртуальной инфраструктурой ограничены только возможностью просмотра конфигурации элементов виртуальной инфраструктуры. А все действия администраторов виртуальной инфраструктуры можно контролировать на уровне отдельных команд управления виртуальной инфраструктурой.

В vGate реализован механизм блокирования любого сетевого трафика со стороны виртуальных машин к средствам управления виртуальной инфраструктурой. Тем самым обеспечивается защита средств управления виртуальной инфраструктурой от НСД со стороны скомпрометированной виртуальной машины.

В vGate реализован мандатный принцип контроля доступа на основе меток конфиденциальности. При выполнении ряда стандартных операций с объектами виртуальной инфраструктуры осуществляется сравнение меток безопасности учетных записей администратора информационной безопасности и ресурсов. Благодаря этому возможно создание логических групп и сфер администрирования через бизнес – категоризацию, например, финансовый и коммерческий отделы и т.д.

Метки безопасности назначаются:

  • защищаемым серверам Hyper-V;
  • администраторам;
  • виртуальным машинам.

Есть возможность использовать несколько видов меток безопасности:

  • Иерархическая метка - содержит только один уровень конфиденциальности
  • Неиерархическая метка- содержит одну или несколько равноправных категорий конфиденциальности
  • Составная метка - содержит одновременно один уровень конфиденциальности и одну или несколько категорий конфиденциальности

Уровень конфиденциальности характеризует уровень доступа применительно к ресурсу или уровень допуска к ресурсу применительно к пользователю. Категория конфиденциальности определяет принадлежность ресурса или доступ пользователя к некой группе (например, к подразделению компании).

Категории отличаются от меток следующими параметрами:

  • Уровни доступа  иерархические, категории равноправные.
  • Механизмы работы уровней доступа зависят не только от пользователя, но и от уровня доступа текущей сессии. Категории от сессии не зависят.
  • Любой администратор, объектможет быть помечен несколькими категориями и только одним уровнем доступа.

С помощью содержащихся в продукте шаблонов можно создавать политики безопасности для защиты наиболее критичных объектов виртуальной инфраструктуры- серверов Hyper-V и виртуальных машин. Назначение сформированного на основе шаблонов набора политик объектам осуществляется с помощью меток конфиденциальности. В процессе работы с инфраструктурой vGate автоматически проверяет и поддерживает целостность назначенных политик безопасности.

В зависимости от специфики предприятия шаблоны могут использоваться в любом сочетании. Кроме того, администратор информационной безопасности по своему усмотрению может применять политики в шаблоне выборочно, т. е. включить необходимые политики и отключить неиспользуемые.

При работе в незащищенной виртуальной среде администратор, как правило, имеет доступ к данным виртуальных машин, скачать файл виртуальной машины на локальный диск своего компьютера и исследовать его содержимое. В vGate реализован механизм, позволяющий контролировать доступ администраторов к файлам виртуальных машин.

vGate обеспечивает расширенную регистрацию событий безопасности для всех защищаемых компьютеров, в том числе и компьютеров, относящихся к средствам управления виртуальной инфраструктурой. Вся полученная информация заносится в журнал событий безопасности и хранится на сервере авторизации. В процессе аудита можно осуществлять сбор и просмотр событий данного журнала.

Единая консоль управления vGate позволяет администратору информационной безопасности осуществлять:

  • Аудит и мониторинг событий информационной безопасности
  • Назначение прав на доступ к защищаемым объектам
  • Управление учетными записями пользователей и компьютеров
  • Контроль доступа администраторов виртуальной инфраструктуры
  • Настройку политик безопасности и полномочного управления доступом
  • Настройку и просмотр журналов регистрации событий
  • Расширенную регистрацию событий, связанных с информационной безопасностью
Все изменения, произведенные администратором информационной

В целях повышения отказоустойчивости рекомендуется использовать конфигурацию vGate c резервным сервером авторизации по принципу active-passive. Один сервер авторизации (основной) выполняет все функции по управлению vGate и авторизации администраторов виртуальной инфраструктуры, второй сервер авторизации (резервный) является пассивным.

В случае выхода из строя основного сервера авторизации администратор информационной безопасности может автоматически передать управление резервному серверу, который начинает выполнять все функции основного. Благодаря этому режиму существенно повышается работоспособность системы защиты, а замена сервера авторизации происходит практически незаметно для администраторов виртуальной среды.

Сертификаты

Сертификат ФСТЭК России.
vGate для Hyper-V. СВТ5/НДВ4, применяется для защиты АС до класса 1Г включительно и ИСПДн до УЗ1 включительно.

Российское законодательство устанавливает ряд обязательных требований по защите информации в среде виртуализации, соблюдение которых регулируется тремя нормативными актами:

  • Приказ ФСТЭК России от 11.02.2013 № 17 – требования по защите информации в ГИС.
  • Приказ ФСТЭК России от 18.02.2013 № 21 – требования по защите персональных данных в ИСПДн.
  • Приказ ФСТЭК России от 14.03.2014 № 31 – требования по защите информации в АСУ ТП на критически важных объектах.

В приказах ФСТЭК России регламентировано выполнение организационно-технических мер защиты среды виртуализации, используемой при обработке информации в автоматизированных системах управления производственными и технологическими процессами, государственных информационных системах и системах персональных данных. В связи с этим все организации, являющиеся операторами этих информационных систем и применяющие технологии виртуализации, обязаны выполнить необходимые меры защиты и привести свою вычислительную инфраструктуру в соответствие требованиям регулирующих органов.

Применение средств комплексной защиты платформ виртуализации компании “Код Безопасности” позволит вам выполнить  удовлетворить самые жесткие требования законодательства для ИСПДн, ГИС и АСУ ТП, а также провести обязательную аттестацию государственных информационных систем и систем управления производством.

Варианты исполнения:

  • vGate R2 применяется для защиты конфиденциальных данных
  • vGate-S R2 применяется для защиты информации, содержащей сведения, составляющие государственную тайну

В vGate реализована модель разделения прав на управление виртуальной инфраструктурой и на управление безопасностью. Таким образом, выделяются две основные роли – это администратор виртуальной инфраструктуры (АВИ) и администратор информационной безопасности (АИБ).

Доступ на управление виртуальной инфраструктурой или параметрами безопасности предоставляется только аутентифицированным пользователям. Причем процедура аутентификации пользователей и компьютеров (рабочих мест АИБ и АВИ) осуществляется по протоколам, нечувствительным к попыткам перехвата паролей и атакам типа Man in the Middle.

Процедура аутентификации АВИ осуществляется с помощью отдельного приложения, которое устанавливается на его рабочее место (агент аутентификации). До соединения с виртуальной инфраструктурой АВИ требуется запустить эту программу и ввести учетные данные. 

Для избавления пользователя от многократного ввода имени пользователя и пароля агент аутентификации включает функцию надежного сохранения учетных данных. Эта функция особенно полезна, когда на рабочем месте администратора установлены несколько систем защиты, каждая из которых запрашивает данные для аутентификации.

К средствам управления виртуальной инфраструктурой относятся:

  • ESX-серверы, предназначенные для запуска виртуальных машин;
  • серверы vCenter, предназначенные для централизованного управления виртуальной инфраструктурой;
  • средства, предназначенные для обслуживания инфраструктуры, например, VMware Consolidated Backup, VMware Update Manager;
  • сторонние средства мониторинга и управления инфраструктурой.

Компрометация любого из этих средств приводит к компрометации группы виртуальных машин или всей виртуальной инфраструктуры. Именно поэтому крайне важно обеспечить защиту от НСД средств управления виртуальной инфраструктурой. Средства управления виртуальной инфраструктурой размещаются внутри защищаемого периметра, доступ пользователей и компьютеров к которым осуществляется по протоколам, нечувствительным к попыткам перехвата паролей и предотвращающим вмешательство в передачу данных.

Для обеспечения защиты средств управления виртуальной инфраструктурой применяется функционал дискреционного разграничения доступа к объектам, которые размещены внутри защищаемого периметра. Правила разграничения доступа работают на основе заданных ACL и параметров соединения (протоколов, портов). Также в vGate при разграничении прав доступа администраторов виртуальной инфраструктуры к объектам инфраструктуры используется мандатный принцип контроля доступа (более подробно описан в специальном разделе). Сетевой трафик между аутентифицированными субъектами и защищаемыми объектами подписывается, тем самым обеспечивается защита от атак типа Man in the Middle в процессе сетевого взаимодействия.

Отдельно стоит упомянуть присутствующий в vGate механизм блокирования любого сетевого трафика со стороны виртуальных машин к средствам управления виртуальной инфраструктурой. Тем самым обеспечивается защита средств управления виртуальной инфраструктурой от НСД со стороны скомпрометированной виртуальной машины.

В vGate реализован мандатный принцип контроля доступа на основе меток конфиденциальности. Есть возможность использовать два вида меток конфиденциальности: иерархические (уровни доступа) и неиерархические (категории).

Реализована возможность пометить метками следующие субъекты, объекты, контейнеры:

  • Администраторы ВИ.
  • ESX-серверы.
  • Сетевые карты ESX-сервера или VLAN.
  • Разделы хранилищ (Datastore).
  • ВМ.

Права доступа администраторов ВИ и объектов инфраструктуры проверяются  на основе уровней доступа и категорий автоматически.


Категории отличаются от меток следующими параметрами:

  • Уровни доступа  иерархические, категории равноправные.
  • Механизмы работы уровней доступа зависят не только от пользователя, но и от уровня доступа текущей сессии. Категории от сессии не зависят.
  • Любой администратор, объект, контейнер может быть помечен несколькими категориями и только одним уровнем доступа.

В продукте в виде автоматизированных ИБ политик реализованы механизмы защиты от НСД серверов виртуализации ESX. Эти политики безопасности можно создавать из имеющихся в продукте шаблонов и автоматически применять к серверам виртуализации. В процессе работы с инфраструктурой продукт автоматически проверяет и поддерживает целостность назначенных политик безопасности.

В vGate, начиная с версии 2.5, реализована поддержка режима vCenter Linked Mode – функции объединения интерфейсов управления разными vCenter-серверами в одной консоли vSphere. Данная функция используется при переходе от виртуализации к облакам, что позволяет упростить и оптимизировать работу администраторов распределенных инфраструктур по управлению большим количеством vCenter-серверов.

Другим аспектом обеспечения информационной безопасности в распределённых инфраструктурах, является возможность быстрого применения ИБ-политик на новые или резервные ЦОДы. Для этого в vGate реализованы функции экспорта и импорта настроек, с помощью которых распространение vGate на новые и резервные сервера осуществляется без необходимости повторения всех настроек.

Для обеспечения контроля целостности программной среды и доверенной загрузки операционной системы (ОС) в «физическом мире» традиционно используются аппаратные электронные замки для шин PCI или PCI-E. К сожалению, подобные аппаратные СЗИ невозможно использовать для защиты виртуальных машин по техническим причинам. Тем не менее данный функционал защиты должен быть обеспечен и в виртуальной среде.

vGate содержит компоненты, устанавливаемые на каждый ESX-сервер и реализующие следующие механизмы защиты:

  • Контроль целостности настроек виртуальной машины перед ее загрузкой. Контролируется файл *.vmx, в котором содержится перечень устройств, доступных виртуальной машине, и ряд других критических параметров. При этом часть параметров, не влияющих на информационную безопасность, выведена из-под контроля.
  • Контроль образа BIOS виртуальной машины. Поскольку несанкционированная подмена BIOS является угрозой безопасности, СЗИ контролирует целостность файла *.nvram, в котором содержится образ BIOS виртуальной машины.
  • Доверенная загрузка ОС осуществляется путем контроля целостности загрузочного сектора виртуального диска *.vmdk.
Для обеспечения полноценной защиты виртуальных машин от НСД компания «Код Безопасности» рекомендует использовать СЗИ семейства Secret Net версии 6.0 или выше. В этом случае СЗИ Secret Net развертывается на виртуальных машинах.

При работе в незащищенной виртуальной инфраструктуре на базе систем VMware администратор этой инфраструктуры обычно может получить доступ к файлам виртуальных машин. Администратор может прямо из VI клиента скачать файл виртуальной машины на локальный диск своего компьютера и исследовать его содержимое. В vGate реализован механизм, позволяющий контролировать доступ администраторов к файлам виртуальных машин, расположенных на СХД.

В vGate реализованы дискреционные механизмы разграничения прав ESX-серверов на запуск виртуальных машин. Для каждой виртуальной машины администратор информационной безопасности может определить перечень ESX-серверов, где он может выполняться.

Механизм разграничения прав ESX-серверов на запуск ВМ особенно полезен для организации работы с данными разного уровня конфиденциальности. Используя этот механизм, можно настроить возможность запуска виртуальных машин, обрабатывающих данные с различным уровнем конфиденциальности, таким образом, чтобы данные разных уровней конфиденциальности обрабатывались на различных ESX-серверах.

Для обеспечения контроля целостности и доверенной загрузки ОС ESX Server в vGate на каждом ESX-сервере рекомендуется применять сертифицированный электронный замок «Соболь» версии 3.

Механизм контроля целостности электронного замка позволяет контролировать неизменность физических секторов HDD и ключевых файлов до загрузки ОС. При этом поддерживаются файловые системы ext2 и ext3, которые используются в ОС ESX Server (в настоящий момент только для ESX Server v3.5).

vGate содержит собственные механизмы контроля целостности компонентов СЗИ. Механизмы действуют на всех компонентах СЗИ – агенте аутентификации, сервере авторизации и ESX-серверах. Для обеспечения дополнительной защиты сервера авторизации vGate от несанкционированного доступа рекомендуется использовать традиционное сертифицированное СЗИ Secret Net в комплекте с электронным замком «Соболь».

В vGate реализован механизм регистрации всех событий безопасности, происходящих в системе (доступ к инфраструктуре, создание или удаление виртуальной машины, изменение виртуальной машины и.т.д). Информация аккумулируется в базе продукта и ее можно как просматривать в процессе аудита, так и строить по ней структурированные отчеты.

Консоль управления, входящая в состав СЗИ, устанавливается на рабочее место администратора информационной безопасности и позволяет:

  • Управлять учетными записями пользователей и компьютеров (пользователями в данном случае являются администраторы виртуальной инфраструктуры, а компьютеры – это их рабочие места).
  • Управлять правами доступа к защищаемым объектам.
  • Развертывать и настраивать компоненты защиты ESX-серверов.
  • Управлять параметрами виртуальных машин (политикой запуска, подключаемыми устройствами).
  • Просматривать журнал регистрации событий.
  • Просматривать отчеты, встроенные в продукт.

Все изменения, произведенные администратором информационной безопасности, сохраняются централизованно на сервере авторизации.

Сертификаты

Сертификаты ФСТЭК России.
vGate R2. СВТ5/НДВ4, применяется для защиты АС до класса 1Г включительно и ИСПДн до УЗ1 включительно
vGate-S R2. ТУ/НДВ2, применяется для защиты АС до класса 1Б включительно и ИСПДн до УЗ1 включительно

Заказать товар
Оформите заявку на сайте, мы свяжемся с вами в ближайшее время и ответим на все интересующие вопросы.

Характеристики

Бренд Код Безопасности