Перейти к содержанию
shawls

Масштабы утечек информации в РФ

Recommended Posts

shawls

Недавно получил письмо, следующего содержания:

«Кредитная карта Тинькофф Платинум – полная финансовая безопасность и выгодный кредит. Я, Олег Тиньков, гарантирую Вам это лично.

Уважаемый …! Для меня, как человека, имеющего большой опыт в финансовых делах и прочную репутацию в сфере бизнеса, вопрос открытого и честного отношения к каждому является предметом личной заботы …».

Как видно из фрагмента письма, юридическое лицо – «Тинькофф. Кредитные системы» направило персональное предложение в адрес физического лица. Заявляя о чистых намерениях, руководитель «Тинькофф. Кредитные системы» – Олег Тиньков использовал для этих целей мои персональные данные. Обращаю внимание, что указанные письма получили немногие, а только те, кто выступал заемщиками по товарным кредитам Банк «Хоум Кредит». Следовательно, логично прийти к выводу, что такие персональные данные, как имя Клиента, прописка, контактные телефоны, паспортные данные, сведения о месте работы, состояние кредитной истории – утекли из баз Банка «Хоум Кредит» и стали «народным достоянием», которое с успехом используют банки конкуренты. Удивительно наблюдать такое в свете действия «Стандарта Центробанка России по информационной безопасности 2006 г.».

Как видно, вопросы информационной затрагивают интересы достаточно большого круга граждан. Приведенный мной пример показателен, т.к. свидетельствует об утечке конфиденциальной информации из банка с рейтингом финансовой устойчивости (BFSRs), подтвержденный Moody's, он отражает мнение рейтингового агентства относительно внутренней надежности и прочности банка (по сообщению ИА «Клерк.Ру»). Приведенный пример побудил меня исследовать состояние информационной безопасности в России и Свердловской области, где я живу.

В ходе исследования проверялось состояние безопасности информации собираемой и обрабатываемой органами государственной власти федерального, территориального и местного уровней, силовыми ведомствами МВД, ГИБДД, бизнес–сообществами, учреждениями министерства здравоохранения и социальной защиты РФ, банковским сектором.

Как установлено в ходе мониторинга информационная безопасность в России находится на «нулевом уровне». Не смотря на развертывание в корпоративном секторе, а так же государственных структурах систем защиты данных и наличие подразделений внутренней безопасности – в интернет в 2007 г. утекло более 1000 конфиденциальных баз. Копнув «поглубже» я стал обладателем информации о том, какие базы утекли в Интернет, когда. Более детальная проработка вопроса выявит электронные адреса баз (любую базу можно будет скачать), а так же информацию о том, кем размещены (украдены) базы, кто (из какого государства) и в каком количестве их скачивал, персональные данные о лицах ее разместивших и скачавших, вплоть до паспортных данных, прописки, составе семьи номерах водительских прав и т.д. Указанная детализация мной не проводилась, т.к. это требует финансовых средств и не малых, поэтому я ограничился уточнением общей информации по Свердловской области.

По Свердловской области «утекли и гуляют» – база Эксперт, она же Бизнесмен, она же Консул – обобщенная база по Свердловской области. Судя по датам – актуальность – февраль 2007, итак разглашены:

01. ОБЛАСТНАЯ РЕГИСТРАЦИЯ (МНС) – 18.01.2007

02. ОБЛАСТНАЯ РЕГИСТРАЦИЯ (ОБЛСТАТ) – 01.01.2007

03. ЧАСТНЫЕ ПРЕДПРИНИМАТЕЛИ – 18.01.2007

04. ПЛАТЕЖИ В ПЕНСИОННЫЙ ФОНД – 18.01.2007

05. ГОДОВЫЕ БАЛАНСЫ ЗА 1998, 1999, 2000, 2001, 2002, 2003, 2004 г.г. – 01.01.2005

06. РЕШЕНИЯ АРБИТРАЖНОГО СУДА (ОБЛАСТЬ И ОКРУГ) – 20.11.2006

07. ГИБДД (РЕГИСТРАЦИЯ, АДМ. ПРАКТИКА, А/М В УГОНЕ) – 10.01.2007

08. БТИ – 27.01.2007

09. ГТС (ТЕЛЕФОНЫ ОРГАНИЗАЦИЙ И КВАРТИРНЫЕ ТЕЛЕФОНЫ) – 23.10.2006

10. ПРОПИСКА (РЕГИСТРАЦИЯ) – 08.10.2006

11. УТРАЧЕННЫЕ–ПОХИЩЕННЫЕ ПАСПОРТА (ОБЛАСТЬ И РОССИЯ) – 24.10.2006

12. ЛИЦА В РОЗЫСКЕ (ФЕДЕРАЛЬНЫЙ РОЗЫСК, МЕСТНЫЙ РОЗЫСК) – 24.12.2006

13. ЧЁРНЫЙ СПИСОК – 28.12.2006

14. НАРКОМАНЫ – 17.08.2006

15. ТАМОЖНЯ 2000, 2001, 2002, 2003, 2004 г. – 01.01.2005

Как видно ситуация в области информационной безопасностью не контролируется государством и теми, кто нас должен защищать. Проблема масштабна и закономерен вопрос, что происходит в корпоративном (промышленном) секторе хозяйствующих субъектов РФ.

Примечание: пока писал этот материал по Свердловской области появились база Фемида и база ГИБДД на конец 2007 г.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

Знаете, на мой взгляд из 15 баз в списке - минимум 13 ДОЛЖНЫ быть в свободном, публичном, общем доступе.

Да и, то что вы называете "утечкой базы Хоум Кредит" - опять же по моему личному мнению - обычная и правильная практика ведения банками единого реестра заемщиков. Людям (заемщикам) это помогает сформировать кредитную историю (которая на Западе значит больше чем репутация, честное имя и место работы). А для банков тоже выгода очевидна - знаете, при 30% невозвратов кредитов - банки сами друг другу будут базы сливать, без всяких инсайдеров.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
shawls
Знаете, на мой взгляд из 15 баз в списке - минимум 13 ДОЛЖНЫ быть в свободном, публичном, общем доступе.

Да и, то что вы называете "утечкой базы Хоум Кредит" - опять же по моему личному мнению - обычная и правильная практика ведения банками единого реестра заемщиков. ...для банков тоже выгода очевидна - знаете, при 30% невозвратов кредитов - банки сами друг другу будут базы сливать, без всяких инсайдеров.

На мой взгляд Вы затронули комплекс проблем,

- во-первых решения о размещении персональных данных должны приниматься в соответствии с законодательством РФ, собственно по этому основанию из 15 баз в доступе должно быть не 13 а значительно меньше. Кроме того приведен пример по одной области, а областей и городов федерального значения намного больше. Что твориться по Москве и области рассказывать не нужно;

- банки ведут учет, но это информация о невернувшихся займах, так сказать черные списки. Как известно решение создать такую базу банки приняли в муках "о конфиденциальности" см. закон о персональных данных и защите личной информации.

С какой стати Хоум-кредит поделился базой о клиентах с хорошей кредитной историей. Очевидно, что услуги Хоум-кредита это 24 % , Тинькофф - говорит о 14 %. Не будем вдаваться в скрытые платежи, дисконт очевиден равно как и убыток от потери информации о нескольких сотен тысяч клиентов, причем надежных...

А что касается единого банка кредитных историй, пока такого я не встречал, хотя, с точки зрения клиента это очень правильно и по-рыночному. Я звонил в "Тинькофф. Кредитные системы" и там мне сказали, что вероятно я опубликовал свои данные в Интернет или же прислал им заявку, но я то точно помню что и как делал. Так что следуя логике - такой базы пока нет и информация о клиентах банка - конфиденциальная и конкурентнозначимая.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
A.

У вас в исходном посте есть ряд непонятных утверждений. Не могли бы вы прояснить их ?

Недавно получил письмо, следующего содержания

письмо по электронной почте, бумажной, на домашний, корпоративный адрес ?

Как видно из фрагмента письма, юридическое лицо – «Тинькофф. Кредитные системы» направило персональное предложение в адрес физического лица. Заявляя о чистых намерениях, руководитель «Тинькофф. Кредитные системы» – Олег Тиньков использовал для этих целей мои персональные данные.

Какие именно ваши персональные данные были использованы ? Фамилия и имя ?

Обращаю внимание, что указанные письма получили немногие, а только те, кто выступал заемщиками по товарным кредитам Банк «Хоум Кредит».

Собственно, вот это самое непонятное утверждение. Какая именно информация, подтверждающая это, у вас есть ?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Рустэм Хайретдинов

Коллеги, есть ощущение, что вы первый раз сталкиваетесь с обналичиванием информации. Счастливые.

Последние три года за месяц до окончания страхования автомобиля, мне звонят на МОБИЛЬНЫЕ телефоны (я менял их, но бесполезно) из других страховых компаний и предлагают более выгодную страховку. Я менял страховые компании (Альфа, Ресо, Госстрах) - все равно звонят.

Недели три назад мне пришло письмо от журнала Ридерз Дайджест с предложением поучаствовать в финансовой пирамиде. Примечательно, что этот адрес не знает никто, кроме двух банков, присылающих мне счета Русского Стандарта и Авангарда. Я по этому адресу не прописан и снимаю квартиру без договора, поэтому ни из каких баз этот адрес в связи с моей фамилией вытащить нельзя. Даже мой отдел кадров не знает этого адреса. Так что источник - безусловно в одном из банков, т.к. на конверте правильно написаны мои ФИО, которые на слух не однозначно распознается.

Раза три в год звонят НА МОБИЛЬНЫЙ телефон паевые фонды - им кажется, что у меня должно быть много денег для инвестирования. На вопрос, откуда они взяли мой мобильный, говорят - из открытых источников. Мой личный мобильный можно взять только у оператора (корпоративный, и правда напечатан на визитке, хотя я их абы кому не раздаю).

Пытаюсь их разговорить, узнать, откуда берут информацию и советую купить средства защиты от утечек, чтобы краденное не переукрали.

Это все шутки, а серьезно - хочется, чтобы уже кого-нибудь публично за отсутствие уважения к частной жизни наказали. Бардак в стране не только с законами и их применением, но и с профессиональной этикой - воровство информации не считается зазорным в среде системных администраторов, на форумах обсуждается способы обхода различных систем.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
shawls

Уважаемый "А":

1. письмо по электронной почте, бумажной, на домашний, корпоративный адрес ?

- письмо получено по бумажной почте, на домашний адрес – могу опубликовать графические копии с цензурой.

2. Какие именно ваши персональные данные были использованы ? Фамилия и имя ?

- отвечу на вопрос шире, какие данные были использованы, кем, квалификация (жирным выделено - какие мои права нарушены):

-1) персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация;

4) распространение персональных данных - действия, направленные на передачу персональных данных определенному кругу лиц (передача персональных данных) или на ознакомление с персональными данными неограниченного круга лиц, в том числе обнародование персональных данных в средствах массовой информации, размещение в информационно-телекоммуникационных сетях или предоставление доступа к персональным данным каким-либо иным способом;

5) использование персональных данных - действия (операции) с персональными данными, совершаемые оператором в целях принятия решений или совершения иных действий, порождающих юридические последствия в отношении субъекта персональных данных или других лиц либо иным образом затрагивающих права и свободы субъекта персональных данных или других лиц;

10) конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания;

В ред.: Федеральный закон от 27 июля 2006 г. N 152-ФЗ "О персональных данных" // Собрание законодательства Российской Федерации от 31 июля 2006 г. N 31 (часть I) ст. 3451.

3. Собственно, вот это самое непонятное утверждение. Какая именно информация, подтверждающая это, у вас есть ?

- у меня имеется информация в виде писем с пакетом документов, как минимум трех физиков, если вопрос раскрутить, можно найти больше.

4. персональный вопрос Вам, судя по постановке вопросов - складывается впечатление о некоторой заинтересованности - Вы являетесь представителей стороны нового или старого оператора ? -))

Уважаемый Рустэм:

1. хочется, чтобы уже кого-нибудь публично за отсутствие уважения к частной жизни наказали. Бардак в стране не только с законами и их применением, но и с профессиональной этикой - воровство информации не считается зазорным в среде системных администраторов, на форумах обсуждается способы обхода различных систем.

- вероятно вопрос находится на стыке институтов ФЗ "О персональных данных" и "Деловой разведки" в отечественном понимании и т.д.

Касаемо размеров утечек - мне известно об утечках которые касаются физиков, вероятно масштабы явления в корпоративном секторе значительно более существенные (информации о таких случаях у меня нет, да и сама информация более специфична).

- Говоря о субъектах, аппаратных и программных средствах - обеспечивающих механизм утечек - их много, от самых дешевых (от 5 до тыс. руб.) которые позволяют контролировать входящий и исходящий трафик компаний по: ИП сервера, протоколу передачи, МАС-адресу, и типу отслеживаемых файлов, до более сложных основанных на уязвимостях ОС, решений ИБ - инсайде.

Поэтому я пришел на этот форум - разобраться в механизмах обеспечивающих утечку - малыми затратами (беззатратно), но в большом объеме (в полном объеме).

Интересует как современные средства ИБ уживаются с файерволами; реагируют на убитые через диспетчер процессы; или, например пользователь слабой машины отменил автозагрузку ненужных по его мнению процессов, а так же вариант – пользователь загрузился в безопасном режиме или с портабле версии ОС. Вопросов очень много -))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А.Щеглов
Поэтому я пришел на этот форум - разобраться в механизмах обеспечивающих утечку - малыми затратами (беззатратно), но в большом объеме (в полном объеме).

Интересует как современные средства ИБ уживаются с файерволами; реагируют на убитые через диспетчер процессы; или, например пользователь слабой машины отменил автозагрузку ненужных по его мнению процессов, а так же вариант – пользователь загрузился в безопасном режиме или с портабле версии ОС. Вопросов очень много -))

Коллега, хоть вопрос адресован и не мне, выскажу свое мнение.

Во-первых, "малыми затратами (беззатратно), но в большом объеме (в полном объеме)". Так не бывает! Вы определитесь с тем, что Вам нужно, процесс защиты или результат. Эффективное средство не может быть дешевым, не может быть и простым. Выбирайте или то, или иное.

Во-вторых, другая часть Ваших вопросов (которых, действительно очень много, что косвенно подтверждает невозможность их эффективного решения простым дешевым средством) уж никак не относится к вопросам контроля утечек - это вопросы построения средства защиты информации от несанкционированного доступа (НСД), отчасти, криптографической защиты. Эффективное решение может быть только комплексным. Если хотите разобраться, могу предложить Вам познакомиться с моими статьями на эти темы (в разделе "Публикации" на сайте www.npp-itb.spb.ru), "полистайте", увидите многообразие проблем и сложность их решения.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А.Щеглов
Это все шутки, а серьезно - хочется, чтобы уже кого-нибудь публично за отсутствие уважения к частной жизни наказали. Бардак в стране не только с законами и их применением, но и с профессиональной этикой - воровство информации не считается зазорным в среде системных администраторов, на форумах обсуждается способы обхода различных систем.

Рустэм, но ведь с этого и "начинается" безопасность, а "заканчивается" уже применением технических средств, а не наоборот! Это и является (по крайней мере, должно являться) основной мотивацией обеспечения эффективной защиты информации.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
shawls
Коллега, хоть вопрос адресован и не мне, выскажу свое мнение.

Уважаемый господин А.Щеглов, благодарю Вас за содействие, отвечаю пунктуально:

1) утечка может быть совершена с применением беззатратного метода - это фактическое положение дел;

2) меня интересует изначально результат, позже процесс и противодействие пользователя с учетом отечественной ментальности;

3) вопрос комплексности - пока добиваюсь комплексного понимания круга решаемых задач, проблем ... за ссылку спасибо, думаю долго меня не увидите -))) пошел изучать -)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Сергей Ильин

shawls, спасибо, что затронули интересную тему.

Наличие утечек персональных данных в нашей стране не является ни для кого открытием, базы продавались, продаются и скорее всего будут продаваться. Если причины этого явления в сфере гос. органов всем очевидны и уходят конями в социальную сферу (ну мало там людям платят, а жить все хотят хорошо), то вот утечки на уровне серьезных финансовых компаний, конечно, шокируют.

Идя в банк мы рассчитываем, что там то уж точно все надежно, вроде как с деньгами люди работают ... репутация в этом деле превыше всего. А на деле выходит, что банковские утечки - это такая же норма, как утечки базы ГАИ или Налоговой. Разница в том, что от услуг ГАИ мы отказаться не можем, а вот банк поменять запросто.

10) конфиденциальность персональных данных - обязательное для соблюдения оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания;

В ред.: Федеральный закон от 27 июля 2006 г. N 152-ФЗ "О персональных данных" // Собрание законодательства Российской Федерации от 31 июля 2006 г. N 31 (часть I) ст. 3451.

Я помню на одном из круглых столов последней московской выставке InfoSecurity, начальник службы безопасности банка (кажется это был Авангард) рассказывал, что они потратили 9 месяцев работы и кучу денег на то, чтобы привести в порядок инфраструктуру для соответствия этому закону и требованиям ФСБ (ФАПСИ). Угроза для банка была -озвучена как прикращение деятельности.

Как мы видим по постам Рустема и shawls многие ничего не делают и им за это ничего нет. Возникает один извечный русский вопрос: Кто виноват?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Рустэм Хайретдинов

Коллеги, спасибо за то, что поднялись от чисто инженерной задачи до системного отношения.

1. В бизнесе, где есть брокеры (страховые или кредитные), технического решения задача защиты баз клиентов не имеет. Данные попадают в информационную систему от брокеров, которые сотрудничают с многими компаниями. Естественно, брокеры оставляют себе копии и продают данные тому, кому посчитают нужным. Мы проводили аудит одной страховой компании, выяснили смежную задачу - переданные брокерами в электронном виде данные не актуальны, а кодированы специальным способом, например вторая цифра в номере телефона на больше на единицу. Брокеры таким образом защищаются от того, что базу сольют из страховой компании другим брокерам. На бумаге, конечно, все данные правильные.

2. Большой кусок базы не может выкрасть непривелигированный пользователь, обычно объем запросов к БД у них ограничен 2-3 Мб в день. Т.е. DLP решения для решения задачи утечки БД, неприменимы. Самый банальный способ похищения (достоверно знаю о результатах внутреннего расследования в двух компаниях) - вынос резервной копии БД за пределы здания, копирование ее и возврат на следующий день. Здесь нужны принципиально другие решения - и шифрование, и анонимизация, и разделения доступа, и "правило двух рук" и т.д. И воспитание персонала, и оргмеры, и контроль доступа к резервным копиям, и т.д. и т.п.

Согласен, что быстро и дешево, скорее всего не получится. Но можно быстро закрыть бреши отобрав у всех поголовно админские права, а потом работать отдельно с админами и отдельно с сотрудниками не имеющими этих прав.

Удачи,

Рустэм

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
shawls

Уважаемый Сергей Ильин, благодарю Вас за комментарий:

1) если речь идет об "Авангарде", то название соответствует содержанию. Посмотрите народный рейтинг, банк на первом месте, т.к. заботится о клиентах: http://www.banki.ru/services/responses/

2) насчет утечек персональной информации (о означенных мной более 1000 баз, которые можно скачать в Интернет), что то она у меня больше стала походить на маркетинговую - региональную, причем появилась дополнительная информация, а именно метод позволяющий узнать автора публикации, дату, кто и когда качал. Такая своеобразная картина бизнес-связей. А если приложить творческие усилия то проще простого узнать и электронные адреса, почтовые адреса, паспортные данные и всех родственников в пятом колене -))) И наверное основная масса этих людей будут обиженными админами, хотя точно незнаю.

3) и всетаки бог с ним, см. п.2, меня не это обязали узнать - нужно отработать вопрос объемов утечек в корпоративном (промышленном) секторе, мной найдена база бизнес-связей предприятий, вроде Московской области, но чувствую это совсем мизер.

Уважаемый Рустэм Хайретдинов, спасибо за Ваш ответ, как-то вы все эффективно мониторите из командировки -))

1) действительно решения должны быть комплексными + специфика компании. Вероятно как один из методов - работа с феноменом сопротивления инновации - т.е. обучение выработка проф. потребности. В этом плане радует ваш спецкурс на Интуите - как первая ласточка ...

2) интересует, если можно ваша оценка решений http://www.searchinform.ru/ "Контуры информационной безопасности" ...

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Рустэм Хайретдинов
[Уважаемый Рустэм Хайретдинов, спасибо за Ваш ответ, как-то вы все эффективно мониторите из командировки -))

1) действительно решения должны быть комплексными + специфика компании. Вероятно как один из методов - работа с феноменом сопротивления инновации - т.е. обучение выработка проф. потребности. В этом плане радует ваш спецкурс на Интуите - как первая ласточка ...

2) интересует, если можно ваша оценка решений http://www.searchinform.ru/ "Контуры информационной безопасности" ...

Я не в командировке, я в отпуске на другой стороне шарика, поэтому и пишу ночами :).

2). В основе продукта лежит популярный корпоративный поисковик их же производства. Информация с разных каналов гонится в лингвистическое ядро, где и анализируется. Блокировать не умеет, работает только в режиме мониторинга (отсюда все агенты называются Sniffer), т.е. осуществляет скорее принцип неотвратимости наказания, чем защищает от утечек. Это я прочитал на сайте :).

Как работает на самом деле - не знаю. Осенью просил наших заказчиков обратиться к ним с просьбой о референс-визите, но им не удалось найти реальных пользователей продукта. Из крупных интеграторов, с которыми мы работаем, тоже никто вживую решения не видел, только презентации. Может быть, за полгода что-то и изменилось.

Коллеги, если кто-то пользуется этим решением или хотя бы видел работающее, скажите свое мнение, пожалуйста. Думаю, всем будет полезно узнать побольше.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А.Щеглов
Блокировать не умеет, работает только в режиме мониторинга (отсюда все агенты называются Sniffer), т.е. осуществляет скорее принцип неотвратимости наказания, чем защищает от утечек. Это я прочитал на сайте :).

Рустэм, на самом, деле Вы затронули весьма любопытную тему. Согласен с Вами, что снифирование с "малой автоматизацией обработки" (я не о конкретном продукте, это мало интересно) трудно, при всем желании, отнести к средствам защиты. Уж чего-чего, а сниферов канала, клавиатуры и т.д. хватает, собственно же контентный, либо иной анализ (некий набор фильтров) "приделать" не сложно.

Меня вот, что интересует - противодействие утечкам. Это возможно лишь в случае, если контентный анализ осуществляется в реальном масштабе времени. Но любой контроль - это очень ресурсоемкий процесс (контентный анализ ведь сродни сигнатурному, при малом объеме шаблоном мало эффективен, при большом - затратен).

Отсюда вопрос. Проводился ли Вами анализ влияния механизма контентного анализа (еще раз, речь о предотвращении утечек, об анализе в реальном времени) на загрузку ресурсов. Если да, то как, по каким параметрам, каковы результаты?

Влияние на загрузку ресурсов - это ведь один из основных параметров эффективности средства защиты, подчас, ограничивающих практическое использование тех или иных технологий защиты!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
shawls
Коллеги, если кто-то пользуется этим решением или хотя бы видел работающее, скажите свое мнение, пожалуйста. Думаю, всем будет полезно узнать побольше.

Уважаемый Рустэм - запросили и получили полный комплект всего ПО для тестирования + ключи, будем пробовать ...

В конце месяца встретимся с их директором Л.Матвеевым в Екатеринбурге -)))

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
shawls

Итак проверяем в условии квартиры -)))

Семейный совет предложил назвать проект «Библиотека».

Состояние проблемы и участники тестирования:

1) Проведен аудит состояния ИБ, присвоен «0 уровень». ИБ в нашей семье никто не занимается, руководство семьи (я и Жена) не осознает важности проблем ИБ: - финансирование отсутствует; - ИБ реализуется штатными средствами операционных систем, СУБД и приложений (парольная защита, разграничение доступа к ресурсам и сервисам).

2) участники тестирования: Жена, присвоен статус - не уверенный пользователь, сын - 15 лет, присвоен статус - уверенный пользователь, я, присвоен статус - сертифицированный специалист ИБ.

Цель тестирования:

- выявить, какую информацию супруга вносит и выносит, в частности интересует насколько активно она использует информацию из своих старых отчетов, выдавая ее за новую и цитирует материалы моих статей (информации ее отчетов до 2007 г. присвоен статус конфиденциальной, моим статьям присвоен - статус секретная информация);

- выявить неформальные «бизнес-связи» Сына, в частности проследить предметные области его интересов в чатах, ICQ, e-mail (например, в статус конфиденциальной попадает ненормативная лексика), установить что ребенок распечатывает, когда папы нет дома (каталогу картинок и музыке присвоен статус конфиденциальной информации, библиотеке порно-рассказов присвоен статус секретной информации);

- выявить характер моей инсайдерской деятельности, с учетом квалификации я буду использовать всевозможные методы обхода и сокрытия, например при распечатывании или копировании на дискету физически отключать ПК от сети и т.д. Статус конфиденциальной информации присвоен библиотеке Права (22 тыс. документов), библиотеке Экономики и Менеджмента (12 тыс. документов). Статус секретной информации присвоен - моим исследованиям 2002-2007 гг. (3,6 тыс. документов, суммарный объем 180 тыс. листов формата А4).

3) Перечень оборудования участвующего в тестировании: Сервер – CPU 2х3200, память 4 Gb (ОС Vista x64), Первый Клиент – CPU 2х3200, память 2 Gb (ОС Vista x32), Второй Клиент, ноутбук Tochiba S-25 – CPU 3000, память 2 Gb (ОС XP x32).

Все три ПК имеют необходимый комплекс ПО (текстовые редакторы, ICQ, почта, и т.д.), устройства ввода-вывода: FDD, CD, DVD, Fiash, сканер, принтер.

Ход тестирования:

1) До конца вторника индексируются данные всех ПК. Суммарный объем текстовой информации 1,2 Тб.

2) 19 марта – начало штатной эксплуатации.

Предварительные результаты:

1) Выявлены недостатки и внесены предложения:

- комната, по мнению жены похожа на ИВЦ «в таблетке». Жена предложила - увеличить жилую площадь и выгнать меня в отдельную комнату;

- супруга считает, что ее принтер давно необходимо снабдить СНПЧ которая куплена еще в прошлом году. Достигнут компромисс, она инвестирует 30 % своей ЗП на установку СНПЧ;

- по моему мнению, нужно избавляться от витых пар и хабов и устанавливать беспроводные точки доступов. Острой проблемой остается создание единой видео-сети, ведь ресивер не имеет беспроводного выхода. Я предложил Жене инвестировать все средства ее ЗП за март, апрель и май на решение выявленных проблем. Используя демократические принципы принятия решений, большинством голосов (ЗА Я + Сын, ПРОТИВ Жена) вопрос решен положительно;

- по мнению Сына необходимо инвестировать средства в акустические системы, что бы все было «как у реальных пацанов». Старые АС обладают недостаточной мощностью и тестовый комплекс из-за этого проигрывает. Вопрос находится в стадии рассмотрения.

2) Очевидные достоинства: мы с сыном считаем, что комната приобрела жилой вид и максимально приблизилась к современным стандартам. Жена считает, что хоть и поздно, 8 марта уже прошло, я сделал ей подарок (в виде полной комплектации ее ПК).

3) Полемические вопросы по которым мы не пришли к общей точке зрения:

- суммарная мощность подключенного оборудования 1,96 кВт, по какой статье семейного бюджета будут списываться неплановые расходы на электроэнергию. Мной предложена реструктуризация бюджета за счет сокращения статьи расходов на пиво, а так же, на время тестирования снять с эксплуатации электрочайник и кофемашину …

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Рустэм Хайретдинов
Рустэм, на самом, деле Вы затронули весьма любопытную тему. Согласен с Вами, что снифирование с "малой автоматизацией обработки" (я не о конкретном продукте, это мало интересно) трудно, при всем желании, отнести к средствам защиты. Уж чего-чего, а сниферов канала, клавиатуры и т.д. хватает, собственно же контентный, либо иной анализ (некий набор фильтров) "приделать" не сложно.

Меня вот, что интересует - противодействие утечкам. Это возможно лишь в случае, если контентный анализ осуществляется в реальном масштабе времени. Но любой контроль - это очень ресурсоемкий процесс (контентный анализ ведь сродни сигнатурному, при малом объеме шаблоном мало эффективен, при большом - затратен).

Отсюда вопрос. Проводился ли Вами анализ влияния механизма контентного анализа (еще раз, речь о предотвращении утечек, об анализе в реальном времени) на загрузку ресурсов. Если да, то как, по каким параметрам, каковы результаты?

Влияние на загрузку ресурсов - это ведь один из основных параметров эффективности средства защиты, подчас, ограничивающих практическое использование тех или иных технологий защиты!

Такой анализ проводится на каждом проекте. У каждого заказчика есть свое пониятие, что такое on-line в каждом канале :). Т.е. на сколько можно задержать процесс, чтобы это было не критично для пользователя. Хуже всего с ICQ и постами в Интернет, время определяется из выставленных таймаутов, в любом случае - секунды. Задержка отправки электронного письма или распечатывания документа на минуту - терпимо для большинства пользователей и т.д. Когда составлены требования к обработке - составляются требования к серверам, если не укладываются в бюджет - идет итерационное изменение требований и т.д. Или решается обратная задача - какого среднего времени обработки можно добиться при таком-то бюджете.

Контентный анализ производится на сервере, поэтому тонкое место - производительность этого сервера, балансировка его нагрузки, управление очередью и т.д.

Цена железа в проекте меньше цены софта и внедрения, поэтому добавить еще одну плату в сервер для увеличения скорости обработки в 2 раза заказчика убеждать не надо.

Уважаемый Рустэм - запросили и получили полный комплект всего ПО для тестирования + ключи, будем пробовать ...

В конце месяца встретимся с их директором Л.Матвеевым в Екатеринбурге -)))

Льву пламенный привет :).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А.Щеглов

Рустэм, возможно Вам будет интересным обсуждение решений DLD

(в том числе, и вашей компании) вот в этом форуме:

http://dom.bankir.ru/showthread.php?t=80987

Случайно наткнулся. :rolleyes:

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Рустэм Хайретдинов
Рустэм, возможно Вам будет интересным обсуждение решений DLD

(в том числе, и вашей компании) вот в этом форуме:

Спасибо за заботу :).

Мы отслеживаем все упоминания наших продуктов в Сети. Упомянутый Вами форум - заказной черный PR, начиная с инициатора и заканчивая большинством постов от пары человек. Я их знаю, поэтому спорить не стал - их цель не истина.

Наши заказчики из банковской сферы говорят, что те, кто платит деньги за наши продукты, такие форумы не читают :).

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
А.Щеглов
Спасибо за заботу :).

Мы отслеживаем все упоминания наших продуктов в Сети. Упомянутый Вами форум - заказной черный PR, начиная с инициатора и заканчивая большинством постов от пары человек. Я их знаю, поэтому спорить не стал - их цель не истина.

Наши заказчики из банковской сферы говорят, что те, кто платит деньги за наши продукты, такие форумы не читают :).

На Ваш взгляд, те, кто платит деньги за продукты, читают какие-нибудь форумы?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Рустэм Хайретдинов
На Ваш взгляд, те, кто платит деньги за продукты, читают какие-нибудь форумы?

Могу говорить только про тех, кто платит нам - начальников ИБ и их замов в компаниях от 1000 рабочих мест. Таких организаций около 300 в России, по моим оценкам. Они все друг друга знают и проблем с достоверной информацией у них нет - они ее получают из первых рук. В форумы ходят, если только прислать им ссылку с интересной дискуссией. По-моему, лучший маркетинг в этом сообществе - сарафанное радио.

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Рустэм Хайретдинов
Итак проверяем в условии квартиры -)))

Семейный совет предложил назвать проект «Библиотека».

Состояние проблемы и участники тестирования:

1) Проведен аудит состояния ИБ, присвоен «0 уровень». ИБ в нашей семье никто не занимается, руководство семьи (я и Жена) не осознает важности проблем ИБ: - финансирование отсутствует; - ИБ реализуется штатными средствами операционных систем, СУБД и приложений (парольная защита, разграничение доступа к ресурсам и сервисам).

2) участники тестирования: Жена, присвоен статус - не уверенный пользователь, сын - 15 лет, присвоен статус - уверенный пользователь, я, присвоен статус - сертифицированный специалист ИБ.

Добрый день,

Чем закончилось тестирование? Или еще идет?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

Создайте учетную запись или войдите, чтобы комментировать

Вы должны быть пользователем, чтобы оставить комментарий

Создать учетную запись

Зарегистрируйте новую учётную запись в нашем сообществе. Это очень просто!

Регистрация нового пользователя

Войти

Уже есть аккаунт? Войти в систему.

Войти

  • Сообщения

    • AM_Bot
      О том, почему USB-токены и смарт-карты выдержали проверку временем и используются в большинстве коммерческих компаний и государственных организаций, расскажем на примере продуктов Рутокен компании «Актив», российского разработчика и производителя программно-аппаратных средств информационной безопасности, крупнейшего в России производителя токенов и смарт-карт.   ВведениеРутокен для электронной подписиРутокен для мобильной электронной подписиРутокен для систем дистанционного банковского обслуживанияРутокен для двухфакторной аутентификацииРутокен для защиты удаленного доступаУправление токенами и сертификатамиИспользование в ЕГАИСКлючевые носители РутокенПрограммное обеспечение РутокенВыводы ВведениеРутокен — первая в России полностью отечественная линейка аппаратных продуктов и решений для аутентификации и создания электронной подписи. Продукты Рутокен представлены в различных форм-факторах: от стандартного USB-токена или смарт-карты до Bluetooth-устройств. Карточная операционная система Рутокен, драйверы Рутокен для Windows, Рутокен Плагин, Рутокен KeyBox входят в Единый реестр отечественного ПО. У продуктов Рутокен есть все необходимые сертификаты ФСБ и ФСТЭК России.Все продукты создаются на собственном производстве компании «Актив», расположенном на территории России. Поскольку специалисты «Актива» самостоятельно проектируют и изготавливают и аппаратное, и программное обеспечение, то могут гарантировать надежную работу и отсутствие программных и аппаратных «закладок» в своих продуктах. Наличие собственного производства позволяет более гибко реагировать на требования заказчика, как в плане внешнего вида изделий, так и в плане электронной «начинки».Рутокен используется везде, где необходимо безопасное хранение и использование паролей, цифровых сертификатов, ключей шифрования и ключей электронной подписи.Продукты Рутокен поддерживают как новейшие российские алгоритмы ГОСТ, так и международные криптографические алгоритмы. Благодаря этому Рутокен полностью совместимы с ключевыми продуктами в сфере ИТ, такими как операционные системы Microsoft Windows, macOS X и Linux, продукты из отрасли ИБ, скажем, от компаний Check Point и Symantec, и прикладными системами, например SAP HANA. Эта совместимость подтверждена протоколами испытаний и многочисленными успешными внедрениями. Рутокен для электронной подписиПожалуй, в России скоро не останется ни одной организации, которая не пользовалась бы электронной подписью. Юридически значимый электронный документооборот, взаимодействие с государственными органами, внутренний документооборот , электронная почта, подписание транзакций в системе дистанционного банковского обслуживания — во всех этих случаях только электронная подпись может гарантировать авторство отправителя и неизменяемость содержимого документа.Сейчас партнерами компании «Актив» являются более 80% аккредитованных удостоверяющих центров Российской Федерации. Миллионы клиентов удостоверяющих центров используют продукты Рутокен.Чтобы подписать электронный документ, необходим ключ электронной подписи. И тут перед каждым владельцем ключа встает важный вопрос, где его хранить. Федеральный закон ФЗ-63 «Об электронной подписи» не регламентирует способ хранения ключей: их можно хранить на жестком диске компьютера — в реестре или файле, на флешке, или даже на листе бумаги. Но закон требует обеспечивать конфиденциальность ключей электронной подписи. В частности, не допускать использования ключей без согласия их владельцев, а также уведомлять удостоверяющий центр, выдавший сертификат ключа проверки электронной подписи, и иных участников электронного взаимодействия о нарушении конфиденциальности ключа и не использовать ключ при наличии оснований полагать, что его конфиденциальность нарушена.Обратимся к истории. Изначально все криптографические вычисления на компьютерах реализовывались исключительно с помощью программных криптопровайдеров, потому что в те времена производительность процессоров компактных размеров при выполнении криптографических вычислений была слишком низкой, а более мощные процессоры обладали слишком большими габаритами и стоимостью. Программные криптопровайдеры хранили ключи электронной подписи на жестком диске компьютера в реестре или файловой системе, на дискетах и флешках. Но быстро выяснилось, что когда злоумышленник получал доступ к компьютеру, то мог скопировать ключи и подписывать документы от имени и без ведома владельца. Но самое главное — владелец никогда не мог быть уверен, скомпрометированы его ключи или нет.Чтобы защититься от подобных угроз, были придуманы ключевые носители, которые умели хранить ключи электронной подписи, но еще не умели самостоятельно подписывать электронные документы. Типичным примером такого ключевого носителя является Рутокен Lite. Перед началом работы пользователь подключает Рутокен Lite к компьютеру и вводит секретный PIN-код, который разблокирует доступ к защищенной памяти устройства. После этого программный криптопровайдер может загрузить из токена ключи электронной подписи и вычислить саму подпись. Без знания PIN-кода доступ к ключам невозможен. При неоднократном вводе неверного PIN-кода устройство блокируется.Прошло время, и миниатюрные защищенные контроллеры стали намного мощнее, дешевле и меньше в размерах. Это позволило создать токены со встроенным криптографическим ядром (например, Рутокен ЭЦП 2.0, Рутокен 2151, Рутокен ЭЦП PKI и другие). В этих токенах ключи электронной подписи создаются внутри токена и никогда не покидают защищенной памяти. Документ, который должен быть подписан, передается в токен, а возвращается вычисленная электронная подпись. Все Рутокены, имеющие криптографическое ядро, поддерживают российские и международные алгоритмы электронной подписи, но одни токены оптимизированы для использования алгоритмов ГОСТ (Рутокен ЭЦП 2.0, Рутокен 2151 и др.), а другие — RSA (Рутокен ЭЦП PKI). Поэтому модель токена необходимо выбирать в соответствии с тем, какие задачи необходимо решать. Рисунок 1.  Рутокен ЭЦП 2.0, Рутокен 2151, Рутокен ЭЦП PKI  Токены с криптографическим ядром позволяют обойтись без установки программного криптопровайдера, а также защититься от вредоносных программ, крадущих ключи электронной подписи из памяти компьютера.Для пользователей, которые оставляют свои токены постоянно подключенными к компьютеру, в качестве дополнительной меры безопасности рекомендуется использовать Рутокен ЭЦП 2.0 Touch. Они полностью идентичны базовым моделям, но дополнительно оснащены кнопкой. Подписание документов возможно только в момент нажатия кнопки пользователем. Это позволяет защититься от попыток взлома с помощью удаленного управления рабочим столом компьютера. Рутокен для мобильной электронной подписиВ последнее время растет количество мобильных устройств, которые используются в работе. В командировке или в отпуске руководителю гораздо удобнее оперативно подписать электронный документ, используя смартфон или планшет.Есть два способа обеспечения такой мобильности. Можно передать ключи электронной подписи на сервер и на нем же подписывать документы, используя мобильное устройство лишь как элемент управления. А можно хранить ключи на мобильных токенах, совместимых со смартфонами и планшетами, полностью сохраняя контроль над ключами, исключающий их использование злоумышленниками. Ключевые носители Рутокен реализуют второй вариант.Существуют три способа подключения Рутокена к мобильному устройству.USBДля смартфонов, имеющих интерфейс USB Type-C, используется новая разработка Рутокен ЭЦП 2.0 Type-C и Рутокен ЭЦП PKI Type-C.   Рисунок 2. Рутокен ЭЦП 2.0 Type-C  Сразу же после подключения и ввода PIN-кода токен готов к работе.BluetoothДля электронной подписи на мобильных устройствах компании Apple — iPhone и iPad — используют Рутокен ЭЦП Bluetooth, который работает по беспроводному протоколу Bluetooth, получая от мобильного устройства электронный документ и возвращая электронную подпись.Рутокен Bluetooth интегрирован в ЭДО Directum Solo и в информационную систему «Защищенная мобильность» как средство подключения и взаимодействия сотрудников коммерческих организаций и государственных учреждений при помощи мобильных устройств. Также мобильную электронную подпись можно использовать в продуктах компании ЭОС и в мобильных приложениях «КриптоАРМ» и «Трансфер Подпись». Рисунок 3. Рутокен BluetoothNFCПри третьем способе подключения используется беспроводной протокол NFC. Смарт-карту Рутокен достаточно приложить к считывателю NFC — и можно будет передать на карту электронный документ для подписи.Также USB-токены Рутокен полностью совместимы с технологией Samsung DeX, что позволяет получить полноценное рабочее место на базе Android с возможностью электронной подписи документов.  Также можно использовать мобильное приложение для Android «Удаленный доступ (RDP) к компьютеру с Рутокен» для электронной подписи документов на удаленном ПК с использованием Рутокена, подключенного к смартфону, и VPN-клиент с возможностью хранения ключа на токене. Рутокен для систем дистанционного банковского обслуживанияПродукция компании «Актив» занимает лидирующие позиции в системах дистанционного банковского обслуживания (ДБО). Сотни банков внедрили поддержку Рутокен ЭЦП 2.0 в свои системы ДБО и ежедневно совершают с его помощью тысячи транзакций.В этом им помогает Рутокен Плагин — программное обеспечение, предоставляющее web-приложениям интерфейс для работы с токенами, генерации ключевых пар, хэширования, шифрования и электронной подписи. Простой и понятный, он позволяет в короткое время интегрировать ДБО с продуктами Рутокен с использованием практически любых браузеров для ПК и Mac.Специально для рынка ДБО компания «Актив» разработала продукт Рутокен PINPad. Он представляет собой USB-токен, дополненный экраном, который позволяет отображать детали финансовых транзакций не на мониторе компьютера, а на собственном. Подпись происходит после подтверждения оператором в виде нажатия на экран устройства. Так важные и крупные финансовые транзакции будут защищены от мошенничества путем подмены реквизитов транзакции на фальшивые.Важным достоинством Рутокен PINPad является то, что он представляет собой полностью готовое к работе устройство, а не конструктор в виде экрана с разъемами, к которым нужно подключать токены или смарт-карты. Рутокен PINPad сертифицирован ФСБ России как СКЗИ и средство неавтоматической электронной подписи с визуализацией подписываемых данных. Рисунок 4. Рутокен PINPad  Рутокен для двухфакторной аутентификацииКажется невероятным, но восемь символов пароля — это все, что защищает информационные системы организации от кражи данных и уничтожения. А если пароль написан прямо на мониторе, подсмотрен через плечо или перехвачен вредоносной программой, то доступ для злоумышленника полностью открыт. Поэтому для надежной защиты необходимо обязательно использовать двухфакторную аутентификацию.Работает она следующим образом. Каждому сотруднику выдается аппаратное устройство — USB-токен или смарт-карта. Факт обладания этим устройством является первым фактором аутентификации. Если токен будет утерян или украден, то его владелец сразу же это заметит и токен будет заблокирован для дальнейшего использования. Перед аутентификацией токен необходимо подключить к компьютеру и разблокировать, введя аналог пароля — PIN-код. Знание этого PIN-кода будет являться вторым фактором аутентификации. Без обладания токеном PIN-код бесполезен.Есть два способа организации двухфакторной аутентификации. Если в компании развернута инфраструктура открытых ключей (PKI), например на базе Microsoft Certification Server, то можно использовать встроенные возможности Microsoft Windows и обойтись без закупки и установки дополнительного программного обеспечения.А для случаев, когда PKI отсутствует или в организации есть компьютеры, не подключенные к общей сети, компания «Актив» создала собственный продукт Рутокен Логон. Он устанавливается на каждый защищаемый компьютер и реализует на нем возможность двухфакторной аутентификации.Также двухфакторная аутентификация может быть реализована с помощью прикладных систем или систем единого входа (Single Sign-On). Так, по результатам проведенных компанией SAP испытаний, было признано, что продукты Рутокен полностью совместимы с флагманским продуктом SAP HANA. Сертификаты совместимости с продуктами Citrix и VMWare находятся в стадии подготовки. А все российские производители систем SSO давно являются партнерами компании.Компания «Актив» выводит на рынок новый продукт Рутокен U2F, реализующий относительно новый стандарт FIDO U2F для двухфакторной аутентификации на таких сайтах и web-сервисах,  как Google GMail, Drive, Cloud; Youtube; Facebook; LastPass; Dropbox; Evernote; WordPress; Github. Рутокен U2F работает в любых браузерах Google Chrome (версия 38+), Firefox (версия 62+), Opera (40+) на Windows, macOS и Linux.  Один токен может использоваться для доступа к различным сайтам и сервисам. Также с помощью Рутокен U2F можно настроить двухфакторную аутентификацию в корпоративных публичных и закрытых сервисах. Рисунок 5. Рутокен U2F и Рутокен OTP  А если организации необходимо реализовать классический механизм одноразовых паролей — One Time Password (OTP), то для этого может быть использован Рутокен OTP, который появится на рынке в этом году. Он подключается к компьютеру с использованием интерфейса USB. Когда пользователю будет необходимо ввести пароль, он нажмет на кнопку, находящуюся на токене — и пароль будет автоматически введен в необходимое поле формы аутентификации. Рутокен для защиты удаленного доступаЕсли сотрудник отправляется в командировку, в офис заказчика или работает из дома, то есть пользуется общедоступными каналами, то помимо двухфакторной аутентификации в сеть организации необходимо шифрование и подписание передаваемой информации, чтобы предотвратить кражу или изменение данных при передаче. Эту задачу успешно решает продукт Рутокен VPN. Его серверная часть реализована в виде небольшого аппаратного модуля или виртуальной машины, а клиентская может быть установлена на компьютер или мобильное устройство. Для реализации криптографических операций и двухфакторной аутентификации на клиенте используются токены и смарт-карты Рутокен. Интерфейс максимально простой, не требует внедрения PKI, а встроенный портал самообслуживания позволяет переложить часть задач по настройке с системных администраторов на сотрудников.Если в организации уже установлен сервер OpenVPN, то компания «Актив» предлагает использовать собственный клиент для операционной системы Android, реализующий двухфакторную аутентификацию.Также Рутокен ЭЦП 2.0 и Рутокен ЭЦП PKI позволяют защитить подключения к удаленным рабочим столам, устанавливаемые с помощью технологий Citrix, Microsoft и VMWare. Управление токенами и сертификатамиЧтобы создать ключи электронной подписи для нового сотрудника и выдать подписанный сертификат на токене, необходимо выполнить множество последовательных действий. Когда сертификаты устаревают, их необходимо обновлять. Когда сотрудники теряют свои токены, им необходимо выдавать новые и заново создавать ключи и сертификаты. У увольняющихся сотрудников необходимо забрать токены и поместить их сертификаты в список отозванных. Если в компании достаточно большое количество сотрудников, то высококвалифицированным системным администраторам придется тратить много времени только на управление сертификатами и токенами. А поскольку токены и смарт-карты могут являться СКЗИ, то, в соответствии с законодательством, придется вести журнал учета.Чтобы решать эти проблемы, и был создан Рутокен KeyBox. Он позволяет администраторам эффективно управлять жизненным циклом ключевых носителей удобным и безопасным способом. А также вести журнал и осуществлять аудит действий с ключевыми носителями, автоматизировать процессы управления сертификатами пользователей, выполнять резервное копирование ключевой информации. Разработчики Рутокен KeyBox уделили особое внимание вопросу удобства для конечных пользователей, в том числе при работе с web-порталом самообслуживания, сотрудники могут самостоятельно, без участия администратора, выписать себе сертификат (в соответствии с политиками организации) и поместить его на токен. Рисунок 6. Рутокен KeyBox  Возможно использование Рутокен KeyBox совместно с удостоверяющими центрами и с криптопровайдерами,  поддерживающими российские криптографические стандарты. Рутокен KeyBox в первую очередь ориентирован на поддержку линейки продуктов Рутокен. В нем реализована поддержка практически всех популярных ключевых носителей. Использование в ЕГАИСПродукты Рутокен считаются наиболее надежным инструментом для Единой государственной автоматизированная информационной системы (ЕГАИС), предназначенной для государственного контроля над объемом производства и оборота этилового спирта, алкогольной и спиртосодержащей продукции. Это подтверждается минимальным количеством вышедших из строя токенов и положительными отзывами пользователей и экспертов отрасли. Ключевые носители РутокенКак уже говорилось, под брендом Рутокен выпускаются USB-токены и смарт-карты. По своему устройству и функциональности оба вида продукции очень похожи, отличаясь в основном форм-фактором и интерфейсом подключения к компьютеру, который у USB-токенов уже впаян в устройство, а у смарт-карт является отдельным внешним элементом. Поэтому в дальнейшем продукцию в этих двух форм-факторах мы будем называть просто токенами. Рисунок 7. USB-токены и смарт-карты Рутокен    Рутокен может состоять из трех частей:интерфейс взаимодействия с ПК или считывателем смарт-карт;защищенная память для хранения ключей шифрования, сертификатов, паролей и прочей критически важной информации;криптографическое ядро, реализующее алгоритмы электронной подписи, симметричного и асимметричного шифрования, хэширования и генерации ключевых пар.В смарт-карты можно интегрировать дополнительные беспроводные интерфейсы — NFC и RFID. Благодаря этому они, помимо своего основного назначения, могут быть использованы для беспроводного обмена данными и в системах контроля и управления доступом (СКУД). Смарт-карты можно использовать для большего количества задач. Например, одна и та же карта может быть использована в качестве пропуска с фотографией, устройства для подписания электронных документов и устройства для двухфакторной аутентификации с помощью интерфейса NFC.USB-токены могут выпускаться в корпусах стандартного или уменьшенного размера. Таблица 1. Особенности различных моделей РутокенМодельКриптографическое ядроОбъем защищенной памятиОсобенностьОсновное назначение устройстваРутокен ЭЦП PKI, Рутокен ЭЦП PKI Type-CОптимизировано для использования алгоритмов RSA-1024 и RSA-204864КбСкоростная реализация зарубежных криптоалгортимовДвухфакторная аутентификация, защита подключения к удаленным рабочим столам с помощью технологий Citrix, Microsoft и VMWareРутокен ЭЦП 2.0 Type-CОптимизировано для использования алгоритмов ГОСТ ГОСТ Р 34.10-2001 и ГОСТ Р 34.10-201264КбОбладает интерфейсом USB Type-CЭлектронная подпись и двухфакторная аутентификация для мобильных устройств на базе Android и компьютеров MacBookРутокен 2151Оптимизировано для использования алгоритмов ГОСТ ГОСТ Р 34.10-2001 и ГОСТ Р 34.10-201272КбОснащен отечественной микросхемой, произведенной компанией «Микрон», проходит сертификацию ФСБ КС3Электронная подпись, системы ДБО, ЕГАИС, защита удаленного подключенияРутокен ЭЦП 2.0 FlashОптимизировано для использования алгоритмов ГОСТ ГОСТ Р 34.10-2001 и ГОСТ Р 34.10-2012. Обладает повышенной производительностью по сравнению с криптоядром обычного Рутокен ЭЦП 2.0128Кб + 4-64Гб Flash-памяти для хранения файловЯвляется комбинацией USB-токена и защищенного флэш-диска. Совместно с ПО Рутокен Диск позволяет надежно хранить данные вне корпоративных информационных системЭлектронная подпись и защищенное хранение файловРутокен ЭЦП 2.0Оптимизировано для использования алгоритмов ГОСТ Р 34.10-2001 и ГОСТ Р 34.10-201264КбКриптографический токен для квалифицированной электронной подписи и шифрования с аппаратной поддержкой ГОСТ 2012Электронная подпись, системы ДБО, ЕГАИС, защита удаленного подключенияРутокен PINPadОптимизировано для использования алгоритмов ГОСТ Р 34.10-2001 и ГОСТ Р 34.10-201264КбОснащен дисплеем, отображающим содержимое подписываемой транзакцииЭлектронная подпись финансовых транзакций в системах ДБОРутокен ЭЦП BluetoothОптимизировано для использования алгоритмов ГОСТ Р 34.10-2001 и ГОСТ Р 34.10-201264КбОбладает как интерфейсом USB для работы с ПК, так и беспроводным интерфейсом Bluetooth для работы с мобильными устройствамиЭлектронная подпись для мобильных устройств на базе iOS и AndroidРутокен LiteОтсутствует, для выполнения криптографических операций необходима установка программного криптопровайдера64КбТолько хранение секрета.Для вычисления электронной подписи требуется внешнее программное средствоЭлектронная подпись, хранение паролей и иных секретных данных Поскольку компания «Актив» является разработчиком полного цикла и самостоятельно создает все программное обеспечение — от карточной операционной системы до веб-сервисов, то обладает возможностью предоставлять регуляторам  ФСТЭК и ФСБ гораздо больше информации, которая требуется для сертификации по высоким классам.Продукты Рутокен сертифицированы ФСТЭК России на соответствие требованиям НДВ3 и НДВ4, а также ФСБ на соответствие требованиям КС1 и КС2.Надежность продукции Рутокен косвенно подтверждается тем, что несколько сотен партнеров активно используют токены и смарт-карты при внедрении своих решений. В настоящий момент в эксплуатации находятся миллионы устройств. При этом по статистике, предоставленной компанией «Актив», гарантийный выход из строя устройств Рутокен за последние 10 лет не превышает 0,017%. Программное обеспечение РутокенКомпания «Актив» самостоятельно создает не только аппаратные токены, но и программное обеспечение для них. Создана и поддерживается карточная операционная система, полный набор драйверов, криптопровайдер, минидрайвер, система управления токенами и сертификатами Рутокен KeyBox, комплект разработчика (SDK) и плагин для браузера Рутокен Плагин. Программное обеспечение, которое компания считает критически важным для пользователей Рутокен, зарегистрировано в Едином реестре отечественного ПО. Таблица 2. Программное обеспечение Рутокен для решения различных задач  ЗадачаПродукт компании «Актив»Защита конфиденциальных данныхРутокен Диск создает специальные скрытые дисковые разделы на носителях с флеш-памятью Рутокен ЭЦП 2.0 Flash, для безопасного хранения конфиденциальной информацииДистанционное банковское обслуживаниеСочетание Рутокен Плагина с устройствами семейства Рутокен ЭЦП 2.0 позволяет создавать комплексные решения для ДБО, решая все типичные задачи использования электронной подписи и аутентификацииБезопасная аутентификацияРутокен Логон — защищает вход в Windows используя Рутокен вместо обычного пароля. Даже на не доменных компьютерах при входе в Windows будет использоваться двухфакторная аутентификацияАдминистрирование и управление жизненным циклом ключевых носителейРутокен KeyBox — это средство администрирования и управления жизненным циклом всех популярных токенов и смарт-карт в РФ. Решение предназначено для организаций, внедряющих двухфакторную аутентификацию. Настраивает связующее звено между пользователями, средствами аутентификации и политиками безопасности, которые приняты в компании. Поддерживает отечественные криптопровайдеры и удостоверяющие центры ВыводыНикто не может предсказать, какие новинки появятся в сфере информационной безопасности уже завтра. Но на сегодня продукция Рутокен, построенная на основе самых современных технологий и востребованная миллионами потребителей, успешно зарекомендовала себя на рынке информационной безопасности. Решения на базе Рутокен проверены временем. Собственное производство в Москве позволяет компании «Актив» выпускать действительно качественные и надежные продукты. В стационарных компьютерах и ноутбуках, в Android- и iOS-устройствах, даже в кассовых терминалах — Рутокен работает везде, пройдя многократное тестирование на совместимость с любым программным обеспечением и аппаратными компонентами. Читать далее
    • Deniis
      Или можно еще поставить ДокторВеб https://www.besplatnyeprogrammy.ru/security/antivirus В моем личном рейтинге ДобкторВеб и Нод 32 делят пальму первенства. Уверен, что поможет с вашей проблемой) 
    • Deniis
      Я пользовался. Нашел его в этом списке однажды https://www.softhome.ru/article/luchshie-besplatnye-antivirusy Меня заинтересовал его высокий рейтинг и хорошие отзывы. Скачал, пользовался несколько месяцев. Вы знаете, не очень впечатлил своими возможностями. Нод 32 куда надежнее.
    • Deniis
      Могу поспорить. Опера иногда очень многофункциональной кажется. Это сбивает и отвлекает от сути. Лично мне очень нравится Гугл хром https://google-chrome.softok.info/ Простой, нет ничего лишнего, очень надежный и удобный.
    • PR55.RP55
      + А какая разница ? В Инфо.: KERNCAP.VBS  нет информации которая содержится в Инфо.:  CSCRIPT.EXE Есть файл - нет файла, а вся доступная информация должна быть.
×