Средства или модули доверенной загрузки (МДЗ, СДЗ) - это программные или программно-аппаратные средства, позволяющие осуществлять запуск операционной системы исключительно с доверенных носителей информации (например, жестких дисков). При этом такие устройства могут производить контроль целостности программного обеспечения (системные файлы и каталоги операционной системы) и технических параметров (сравнивать конфигурации компьютера при запуске с теми, которые были предопределены администратором при инициализации), и выступать в роли средств идентификации и аутентификации (с применением паролей и токенов).
Средства доверенной загрузки позволяют решать такие проблемы, как:
Запуск операционной системы в обход жесткого диска. Если злоумышленник не знает учетных данных легитимных сотрудников, но имеет физический доступ к пользовательскому компьютеру или серверу, он может загрузить операционную систему с заранее подготовленного флеш-накопителя и тем самым получить доступ к хранящейся на жестком диске информации. Однако одной из возможностей средств доверенной загрузки является наличие механизма сторожевого таймера. Так как для загрузки операционной системы с внешнего носителя необходимо зайти в BIOS (или базовую систему ввода вывода) компьютера и вручную выбрать средство для загрузки, на это может уйти достаточно много времени. Если выставить перезапуск компьютера, в случае когда операционная система загружается дольше обычного, злоумышленник не успеет изменить настройки BIOS и загрузиться со своего устройства.
Кража учетных данных пользователей. Даже если злоумышленник узнает логин и пароль сотрудника для входа в систему, его сдержит отсутствие персонального идентификатора. Для того чтобы загрузить операционную систему, когда на компьютере установлен модуль доверенной загрузки, пользователю необходимо прикладывать персональный идентификатор или токен. Без него загрузка осуществляться не будет.
Соответствие требованиям регуляторов. Для государственных информационных систем и систем, в которых обрабатываются персональные данные, требуется проходить аттестацию на соответствие требованиям. В требования включена обязательная защита информационных систем средствами защиты от несанкционированного доступа. При необходимости более высокого уровня защищенности хранящихся в системе данных в мерах обеспечения безопасности предписано применение аппаратных средств доверенной загрузки.
Средства доверенной загрузки могут быть:
- Программно-аппаратные модули доверенной загрузки уровня платы расширения. Такие устройства встраиваются в корпус компьютера, подключаясь к материнской плате через PCI-разъем.
- Программные. Они делятся на средства доверенной загрузки BIOS и уровня загрузочной записи. Первые встраиваются в BIOS, что позволяет выполнять свои функции до загрузки операционной системы. Другие заменяют загрузочную запись на жестком диске и действуют до того, как управление перешло на уровень операционной системы.
Архитектура
ALTELL TRUST имеет модульную архитектуру. Сам модуль доверенной загрузки устанавливается на защищаемые устройства, заменяя стандартный BIOS материнской платы, расположенный в чипе EEPROM, и обеспечивает доверенную загрузку BIOS, многофакторную аутентификацию до загрузки ОС и соблюдение ролевых политик доступа. Модуль удаленного управления разворачивается на сервере управления и позволяет осуществлять централизованное развертывание и обновление ПО, проводить аудит безопасности и управлять всеми модулями доверенной загрузки из единого центра.
Возможности
- Контроль целостности BIOS, аппаратного и программного окружения, объектов файловой системы;
- Многофакторная аутентификация пользователей до загрузки ОС;
- Удаленное управление пользователями, конфигурациями, группами устройств, загрузкой обновлений ПО, включением/выключением защищаемых устройств;
- Использование в качестве единственного ПО тонкого клиента (zero client);
Преимущества
- Использование BIOS, созданного в России;
- Упреждающий подход к защите от новых угроз;
- Аутентификация на удаленных LDAP/AD-серверах;
- Разграничение управленческих функций;
- Удаленное централизованное управление;
- Возможность адаптации к любому типу устройств;
- Встроенный стек сетевых протоколов;
- Централизованный сбор событий безопасности;
- Неизвлекаемость из защищаемого устройства;
- Поддержка технологии SSO;
- Поддержка инфраструктуры PKI;
- Встроенный доверенный гипервизор;
- Сертификат ФСТЭК на МДЗ уровня BIOS 2 класса защиты.
Сценарии применения
ALTELL TRUST может применяться для обеспечение доверенной загрузки операционных систем, многофакторной аутентификации пользователей на удаленных AD/LDAP-серверах, удаленного централизованного управления парком защищаемых устройств, удаленного централизованного сбора событий безопасности, а также выступать в качестве единственного ПО тонких клиентов (концепция zero client). Подробное описание сценариев применения ALTELL TRUST приведено в соответствующем разделе.
Сравнение с конкурентами
Традиционные аппаратно-программные модули доверенной загрузки (АПМДЗ), представленные на российском рынке, не обладают возможностями, необходимыми на современном этапе развития информационных систем. Например, в АПМДЗ отсутствуют функции мониторинга и удаленного управления парком ПК, не поддерживается многофакторная аутентификация на удаленных серверах, не применяются ролевая модель доступа и мандатный контроль доступа к информации, не гарантируется безопасность работы в виртуальных средах. ALTELL TRUST, напротив, изначально разрабатывался для решения этих задач. При этом использовались современные подходы к обеспечению доверенной загрузки, основанные на использовании технологий UEFI Trusted Boot с применением доработанных и расширенных функций, а также концепций NIST и Trusted Computing Group. В результате в ALTELL TRUST реализованы более мощные, чем у традиционных АПМДЗ, защитные механизмы, при одновременном снижении издержек на администрирование инфраструктуры информационной безопасности за счет централизации управления и сбора статистики.
Поддерживаемые устройства
Из-за реализации ALTELL TRUST на уровне UEFI BIOS собственной разработки его необходимо адаптировать к конкретным моделям защищаемых устройств. Благодаря сотрудничеству с ключевыми вендорами (Intel, AMD, Lenovo, Panasonic) процесс доработки ALTELL TRUST максимально стандартизирован и сжат по времени. Так как сертифицируется сам модуль доверенной загрузки, а не BIOS целиком, внесение изменений не влияет на наличие сертификатов.
В настоящее ALTELL TRUST поддерживает:
- материнские платы DFI (поддержка процессоров Core i5, 1× Xeon E3);
- моноблоки Lenovo ThinkCentre M72z и M73z;
- ноутбуки Panasonic Toughbook CF-53;
- десктопы Lenovo ThinkCentre M92p и M93p, ALTELL FORT DT 5/7.
Сертификация
ALTELL TRUST сертифицирован во ФСТЭК России как средство доверенной загрузки уровня базовой системы ввода-вывода по второму классу защиты. Так как сертифицирован модуль доверенной загрузки, а не UEFI BIOS целиком, адаптация ALTELL TRUST к новым устройствам не будет отменять действие полученных сертификатов. В настоящее время ведутся работы по получению сертификата ФСБ.
Информационные материалы
Тестирование
Если вы заинтересовались возможностями ALTELL TRUST, наши специалисты могут провести его бесплатную демонстрацию.
ViPNet SafeBoot - сертифицированный высокотехнологичный программный модуль доверенной загрузки (МДЗ), устанавливаемый в UEFI BIOS различных производителей. Предназначен для защиты ПК, мобильных устройств, серверов (в том числе и серверов виртуализации) от различных угроз несанкционированного доступа (НСД) на этапе загрузки и от атак на BIOS.
Защита для компьютеров и серверов должна действовать с момента их включения. Время с момента включения до старта операционной системы является ключевым для доверия к системе в целом. На самых ранних этапах загрузки есть риск:
- Передачи управления недоверенному загрузчику;
- Загрузки вредоносного кода в UEFI;
- Перехвата данных и отключения базовых защитных механизмов.
Назначение:
ViPNet SafeBoot предназначен для идентификации и аутентификации пользователей, разграничения доступа на основе ролей, а также организации доверенной загрузки операционной системы. ViPNet SafeBoot повышает уровень безопасности устройств и компьютеров за счёт:
- Авторизации на уровне BIOS, до загрузки основных компонентов операционной системы;
- Контроля целостности BIOS, защищаемых компонентов операционной системы и аппаратного обеспечения;
- Блокировки загрузки нештатной копии операционной системы.
Сценарии использования
Продукт ViPNet SafeBoot может использоваться как совместно с другими продуктами ViPNet, так и отдельно. Основные задачи которые могут быть решены:- Выполнение требований приказов ФСТЭК*:
- №17 по защите государственных информационных систем (ГИС);
- №21 по защите информационных систем персональных данных (ИСПДн);
- №31 по защите автоматизированных систем управления технологическим процессом (АСУ ТП);
- Защита от НСД на самых ранних этапах загрузки компьютеров или устройств с UEFI BIOS.
Преимущества
- Программный МДЗ с возможностью установки в UEFI BIOS различных производителей.
- Неизвлекаемость, в отличие от аппаратных исполнений МДЗ.
- Упрощенные методы настройки МДЗ за счет шаблонов администрирования.
- Полный контроль целостности UEFI за счет проверки целостности всех его модулей.
- Российский продукт.
Сертификация во ФСТЭК России
ViPNet SafeBoot соответствует требованиям руководящих документов к средствам доверенной загрузки уровня базовой системы ввода-вывода 2 класса, что позволяет использовать продукт для построения:- ИСПДн до УЗ1 включительно;
- ГИС до 1 класса защищенности включительно;
- АСУ ТП до 1 класса защищенности включительно.
Что нового в версии ViPNet SafeBoot 1.4
- Режим неактивности — ключевая возможность направленная на удобство OEM-поставки SafeBoot в рабочих станциях и серверах, производителей аппаратных платформ. Подробное описание в приложенном документе.
- Внедрение системы лицензирования — продукт теперь лицензируется по серийному номеру.
- Поддержка авторизации по западным сертификатам — повышение удобства работы с продуктом. Встречаются заказчики, которые используют авторизацию по токену и сертификату выданным Microsoft CA, в т. ч. и через LDAP. Именно по данной причине нами было решено поддержать такой метод аутентификации.
- Поддержка JaCarta-2 ГОСТ — расширение списка поддерживаемых ключевых носителей для аутентификации.
ИнфоТеКС оставляет за собой право без уведомления вносить изменения в поставляемую продукцию (характеристики, внешний вид, комплектность), не ухудшающие ее потребительских свойств.
Строгая двухфакторная аутентификация - Аутентификация пользователя с помощью токена с сертификатом формата x.509 (двухфакторная), пароля или их сочетания. Поддерживаемые идентификаторы:
- JaCarta PKI
- Rutoken ЭЦП
- Rutoken ЭЦП 2.0
- Rutoken Lite
- Guardant ID
Ролевой доступ
- Пользователь.
- Администратор.
- Аудитор.
Контроль целостности. Чтобы платформе можно было доверять, нужна гарантия, что все важные модули, загружаемые при старте системы, неизменны. Поэтому ViPNet SafeBoot проверяет целостность:
- всех ключевых модулей UEFI BIOS;
- загрузочных секторов жесткого диска;
- таблиц ACPI, SMBIOS, карты распределения памяти;
- файлов на дисках с системами FAT32, NTFS, EXT2, EXT3, EXT4 (ViPNet SafeBoot не важно какая операционная система установлена);
- реестра Windows;
- ресурсов конфигурационного пространства PCI/PCe;
- CMOS (содержимого энергонезависимой памяти);
- завершенности транзакций - NTFS, EXT3, EXT4.
Для удобства пользователей появилась возможность автоматического построения списков контроля для ОС Windows.
Журнал событий безопасности. Для удобства предусмотрены несколько режимов ведения журнала с разным уровнем детализации.
Модуль доверенной загрузки предназначен для вычислительной техники, обрабатывающей секретную и конфиденциальную информацию (включая уровни «совершенно секретно» и КА1).
Благодаря работе с многопользовательскими группам с равными и разными уровнями полномочий и поддержке схем администрирования как с централизованным и так децентрализованным управлением, Максим-М1 является универсальным решением для использования в защищенных системах.
Основные функции
контролирует доступ при первоначальном запуске ПЭВМ, до перехода к ОС. Идентифицирует и аутентифицирует пользователя двухфакторным методом;
ведёт нестираемые журналы: проверки подлинности пользователей, контроля целостности. Сохранность данных гарантируется за счет энергонезависимой памяти;
проверяет в реальном времени срок действия пользовательских данных (ключи, служебная информация);
контролирует аппаратные и программные средства защищаемой системы (оперативную память, жёсткие диски, файловую систему и журналы ФС, реестр Windows);
защищает от подбора пароля.
Преимущества АПМ «Максим-1»
Подходит для установки на АРМ администратора безопасности информации в информационные системы, работающие с коммерческой тайной, персональными данными, государственной тайной.
Можно применять на бездисковой рабочей станции для работы с секретной и конфиденциальной информацией на удалённом сервере.
Модуль совместим с основными клиентскими версиями Windows (2000/XP/Vista/7) и серверными (2003/2008), а также с системами на ядре Linux 2.6.x и 3.x.x и ОС СН Astra Linux.
Требования и ограничения при использовании АПМДЗ «МАКСИМ-М1»
Для установки и правильной работы модуля, аппаратное и программное обеспечение должно отвечать уровню требований по архитектуре, питающему напряжению, конфигурации платы, версии BIOS, установленным обновлениям, разъёмам питания. В процессе работы модуля в системе выставляются ограничения для оборудования и ПО. Полный список требований представлен в документации на АПМДЗ.
Требования к персоналу
Пользователь модуля ДЗ (администратор) должен уметь работать в основных операционных системах, иметь опыт настройки ПЭВМ и внешнего оборудования, и администрирования автоматических систем на локальных компьютерах, серверах, рабочих станциях и тонких клиентах.
