БЕЛОРУССКАЯ КРИПТОГРФИЯ В СЕТЕВЫХ РЕШЕНИЯХ ЛЮБОЙ СЛОЖНОСТИ Комплексное решение по защите коммуникаций для банков на основе Bel VPN продуктов версии 4.1 Сапрыкин А.М., директор ООО «С-Терра Бел» представитель НП «Инфофорум» в Республике Беларусь XII Международный форум по банковским информационным технологиям ноября 2015 года Президент-Отель, г. Минск

Реализация белорусской криптографии в версии 4.1 Перечень технических нормативных правовых актов и документов, в которых определены требования к криптографическим механизмам: Ш1, И1 – ГОСТ «Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования» П1 – СТБ «Информационная технология. Защита информации. Процедуры выработки и проверки электронной цифровой подписи» Ш2, И2 – СТБ «Информационные технологии. Защита информации. Криптографические алгоритмы шифрования и контроля целостности» П2 – СТБ «Информационные технологии и безопасность. Алгоритмы электронной цифровой подписи и транспорта ключа на основе эллиптических кривых» К82 – СТБ «Информационные технологии и безопасность. Протоколы аутентификации и выработки общего ключа на основе эллиптических кривых» С2, С3 – СТБ «Информационные технологии и безопасность. Форматы сертификатов и списков отозванных сертификатов инфраструктуры открытых ключей» Г1 – СТБ «Информационные технологии и безопасность. Требования безопасности к программным средствам криптографической защиты информации» и/или – СТБ П «Информационные технологии. Методы и средства безопасности. Профиль защиты технических и программно-аппаратных средств криптографической защиты информации» XII Международный форум по банковским информационным технологиям 2 Приказ Оперативно-аналитического центра при Президенте Республики Беларусь «О некоторых вопросах технической и криптографической защиты информации» 30 августа 2013 г. 62 (в редакции от 15 января 2015 г. 3)

Bel VPN продукты версии 4.1 в Bel VPN 4.1: полномасштабное соответствие требованиям приказа ОАЦ «О некоторых вопросах технической и криптографической защиты информации» от 30 августа 2013 г. 62 (с изменениями и дополнениями согласно приказу от 15 января 2015 г. 3), в частности: по умолчанию шифрование и контроль целостности осуществляется по СТБ (БЕЛТ) в качестве основного стандарта использование сертификатов ЭЦП на эллиптических кривых согласно СТБ генерация псевдослучайных чисел по СТБ протокол формирования общего ключа осуществляется по рекомендованной ОАЦ Методике на основе эллиптических кривых согласно СТБ (приложение А) межсетевой экран по ОК: СТБ , СТБ , СТБ (ЗБ) продукт Bel VPN Gate соответствует в общей сложности 14- ти белорусским стандартам и ТНППА 3 XII Международный форум по банковским информационным технологиям

Bel VPN продукты версии 4.1 усовершенствованный VPN-инструментарий: расширение перечня поддерживаемых операционных систем: Debian 6 (32/64bit) Windows XP/Vista/7/8 (32/64bit) Windows Server 2003, 2008, 2008 R2, 2012 Android 4.х, 5. х усовершенствованный МСЭ модуль централизованной системы удаленного управления – Bel VIN KP 4.1 модуль для защищенного взаимодействия на канальном уровне – Bel VPN L2 расширенные сценарии обработки сетевого трафика, в т.ч.: приоритизация, маркировка трафика туннелирование трафика IKECFG-сервер интеграция с Radius-сервером расширен перечень аппаратных платформ: HP /Cisco /Huawei /Samsung /DEPO /Kraftway /Bevalex / TradeixBel поддержка виртуальных систем VmWare ESXi, Citrix Xen, Microsoft Hyper-V увеличена производительность – до 10 Гб/с (в кластерном решении) криптобиблиотека AvC и USB-носители ключей/сертификатов AvBign/AvPass производства ЗАО «Авест» 4 XII Международный форум по банковским информационным технологиям

Bel VPN продукты версии 4.1 Продукты Bel VPN 4.1 включают следующий набор средств защиты сетевого уровня: Bel VPN Gate 4.1 масштабируемый набор программно-аппаратных шлюзов безопасности для защиты межсетевого обмена данных в распределенных корпоративных (ведомственных) сетях Bel VPN Gate-V 4.1 программный виртуальный шлюз безопасности, функционирующий в виртуальной среде (VMware ESXi, Citrix XenServer, Microsoft Hyper-V). Предназначен как для защиты периметра облачной инфраструктуры, так и взаимодействия между отдельными виртуальными машинами Bel VPN Client 4.1 – программно-аппаратное устройство для защиты индивидуального (удаленного) пользователя Bel VPN Client-M 4.1 – программный продукт для защиты мобильных устройств Bel VPN KP 4.1 – программный модуль для централизованного управления Bel VPN продуктами (входит в состав шлюза как функциональная опция) Bel VPN L2 – программный модуль для защиты на канальном уровне (входит в состав шлюза как функциональная опция) 5 XII Международный форум по банковским информационным технологиям

Шлюз безопасности Bel VPN Gate 4.1 Bel VPN Gate 4.1 системообразующий программно-аппаратный комплекс шлюз безопасности на базе серверных платформ HP, Cisco, Huawei, Kraftway, Tonk, Depo, а также белорусских производителей - Bevalex, TradeixBel, Belsoft, функционирующий под управлением ОС Debian Предлагается перечень масштабируемых шлюзов, различающихся по производительности – от 50 Мб/с до 5 Гб/с и количеству туннелей шифрования – от 5 туннелей до неограниченного количества Обеспечивает: защиту транзитного и собственного трафика; пакетную и statefull фильтрацию трафика, туннелирование (маскировку топологии) протоколы IPsec ESP/AH, IKE, PKI маркировку и приоритизация трафика (QoS) событийное протоколирование Syslog, мониторинг SNMP горячее резервирование по VRRP, балансировку по RRI и т.д. XII Международный форум по банковским информационным технологиям 6

Виртуальный шлюз безопасности Bel VPN Gate-V 4.1 Bel VPN Gate-V 4.1 программный комплекс «Виртуальный шлюз безопасности Bel VPN Gate-V» обеспечивает полную функциональность Bel VPN Gate и функционирует в виртуальной среде (VMware ESXi, Citrix XenServer, Microsoft Hyper-V). Предназначен как для защиты периметра облачной инфраструктуры, так и взаимодействия между отдельными виртуальными машинами. Производительность зависит от аппаратной платформы Преимущества: интеграция непосредственно в виртуальную инфраструктуру простая и быстрая установка и настройка высокая производительность шифрования трафика реализация сценариев обеспечения высокой доступности и отказоустойчивости оперативная адаптация к меняющимся задачам и требованиям сетевых приложений и инфраструктуры легкое сохранение или восстановление резервной копии эффективное использование вычислительных ресурсов экономия электроэнергии и места в стойке XII Международный форум по банковским информационным технологиям 7

Клиент безопасности Bel VPN Client 4.1 Bel VPN Client программно-аппаратное устройство Клиент безопасности Bel VPN Client предназначено для безопасного удаленного доступа к защищенным ресурсам. Функционирует на следующих ОС: Windows XP Windows Vista Windows 7 (x32/x64) Windows 8 (x32,x64) Windows Server 2003, 2008, 2008 R2, Обеспечивает защиту и пакетную фильтрацию трафика между удаленным компьютером и другими Bel VPN продуктами Обеспечивает фактически функционал шлюза, в т.ч. МСЭ, событийное протоколирование Syslog, маркировку трафика, мониторинг SNMP, интеграцию с Radius сервером, получение IKECFG, split tunneling, statefull фильтрацию и др. XII Международный форум по банковским информационным технологиям Реализован сценарий хранения всех необходимых данных пользователя для VPN соединения непосредственно на ключевом носителе Конфигурирование политики безопасности клиента осуществляется централизовано с помощью графического интерфейса Может быть сконфигурирован для массового развертывания с помощью технологии «установки одним нажатием кнопки»

Мобильный клиент безопасности Bel VPN Client-M 4.1 Пользователи смартфонов, коммуникаторов и планшетов теперь защищены. 9 XII Международный форум по банковским информационным технологиям Bel VPN Client-M программный продукт мобильный клиент безопасности Bel VPN Client-M предназначен для обеспечения безопасного удаленного доступа к информационным ресурсам, защищаемым Bel VPN продуктами, защиты трафика мобильных устройств на платформах Android.х Политика безопасности продукта настраивается с помощью графического интерфейса. Существует возможность непосредственного редактирования локальной политики безопасности (LSP) Для установки Bel VPN Client-M не требуется взлома устройства (получения прав root) Обеспечивает функционал обычного Клиента безопасности, но работает без внешнего носителя ключей/сертификатов. Использует физический датчик генерации случайных чисел (встряхивание). Совместим с MDM-системами (SafePhone, XenMobile и др.)

Панель управления Bel VPN KP 4.1 Программный модуль Bel VPN KP 4.1 (в составе шлюза) состоит из Сервера управления и Клиента управления (ставится на управляемое VPN-устройство): предназначена для централизованного управления продуктами линейки Bel VPN 4.1: Gate, Client, Gate-V, Client-M; позволяет изменять на VPN-устройствах локальную политику безопасности, сертификаты, списки сертификатов, preshared key, настройки логирования, формировать ключевую пару непосредственно на VPN-устройстве; позволяет контролировать активность управляемых VPN-устройств, срок действия сертификатов, осуществлять статистический сбор и анализ управляемых VPN-устройств; поддерживает дополнительные функции по сбору сообщений из журнала регистрации событий, сбору настроек, обновлению настроек клиентов и др. 10 XII Международный форум по банковским информационным технологиям

Модуль канального шифрования Bel VPN L2 Программный модуль Bel VPN L2 (в составе шлюза) обеспечивает защищенное взаимодействие сегментов сети на канальном уровне. Обеспечивает: объединение территориально-распределенных сетей в один широковещательный домен передачу широковещательных (broadcast) и multicast пакетов, тестированного трафика (VLAN trunk), меток IPV4 и др. обработку приоритетного трафика минимальные настройки маршрутизации Применяется: организация защищенного канала между ЦОД реализация миграции сетевой инфраструктуры защита IP-телефонии и видеоконференцсвязи построение высокопроизводительного, отказоустойчивого решения с балансировкой нагрузки 11 XII Международный форум по банковским информационным технологиям

От продуктов к решениям для банковской сферы 12 Продукты Bel VPN © С-Терра Бел

Защита корпоративной сети Bel VPN Gate применяется для защиты передаваемых между сегментами сети данных и обеспечения МСЭ. При необходимости применяется Bel VPN Gate-V. В центральном офисе шлюзы могут быть организованы в отказоустойчивую схему Bel VPN Client и Bel VPN Client-M используются для удаленного защищенного доступа к ресурсам корпоративной сети Bel VPN L2 применяется при необходимости объединения нескольких сегментов сети на канальном уровне. Позволяет передавать multicast и broadcast пакеты, трафик с VLAN-тегами и другой трафик, который не проходит через IPsec в обычном режиме Bel VPN KP упрощает управление и настройку применяемых в корпоративной сети Bel VPN продуктов. Администратор сети избавлен от рутинных операций, повышается управляемость, надежность сети в целом, обеспечивается регулярный мониторинг, при необходимости - оперативное вмешательство и др. 13 XII Международный форум по банковским информационным технологиям Используются следующие Bel VPN продукты:

Защита удаленного и мобильного доступа 14 XII Международный форум по банковским информационным технологиям Bel VPN Client устанавливается на пользовательское устройство (под ОС Windows) и строит защищенный IPsec-туннель до шлюза безопасности Bel VPN Gate в центральном офисе Bel VPN Client-M работает аналогично Bel VPN Client, но предназначен для устройств с ОС Android В зависимости от выбранной политики безопасности может шифроваться как весь трафик, так и его часть (split tunneling). Обеспечивается межсетевое экранирование. Возможен сценарий, при котором инспекция всего трафика будет происходить в центральном офисе Bel VPN продукты поддерживают весь спектр современных сетевых протоколов, включая Radius и IKECFG и легко интегрируются в сетевую инфраструктуру ведомства При наличии большого количества удаленных пользователей целесообразно применение централизованной системы управления Bel VPN KP в т.ч. для обновления сертификатов на пользовательских устройствах Используются следующие Bel VPN продукты:

Защита ЦОД и высокопроизводительных каналов Для защиты ЦОД применяются шлюзы на наиболее производительных аппаратных платформах с балансирующим устройством В сетях c JumboFrames один Bel VPN Gate способен защищать поток данных до 5 Гбит/с При шифровании IMIX трафика – около 1 Гбит/с в обе стороны (1+1) Использование второго поколения Intel® Xeon® с двумя 10-ти гигабитными сетевыми картами дает до 10 Гбит/с (TCP, MTU 9000) Высокопроизводительная защита может быть обеспечена с помощью Bel VPN L2 и на канальном уровне И на сетевом, и на канальном уровне решения отказоустойчивы и масштабируются при возрастании трафика Механизм QoS позволяет обеспечить высокое качество сервиса для приоритетного трафика (например, IP-телефонии) даже в состоянии перегрузки 15 XII Международный форум по банковским информационным технологиям

Защита виртуальной среды Защита периметра виртуальной среды. Для защиты периметра виртуальной среды (ВС) и безопасного доступа к ней может быть использован как ПАК Bel VPN Gate, так и виртуальный шлюз безопасности - ПК Bel VPN Gate-V. Защита сетевых взаимодействий внутри виртуальной среды. Виртуальный шлюз обеспечивает шифрование трафика и МСЭ между виртуальными машинами, находящимися как на одном, так и на разных физических серверах. При этом защита трафика может происходить как на сетевом, так и на канальном уровне. Защита физических каналов связи между элементами виртуальной среды. Bel VPN Gate-V может быть использован для защиты каналов связи между различными физическими серверами, составляющими ВС. Это целесообразно в территориально распределенной ВС, или в случае, если каналы связи и промежуточное оборудование не являются доверенными (например, при аренде серверов в ЦОДе различными банками). 16 XII Международный форум по банковским информационным технологиям

Защита каналов передачи данных от банкоматов Преимущества: решения полностью соответствуют белорусскому законодательству, в том числе требованиям к СКЗИ оба решения дешевле, чем ныне используемые с чужим шифрованием обеспечивается импортозамещение, поскольку иного оборудования, в том числе для МСЭ, не требуется 17 XII Международный форум по банковским информационным технологиям Вариант 1. Внутри корпуса банкомата устанавливается Bel VPN Gate 100B (на платформах Kraftway или Lanner) с минимальным числом туннелей шифрования Вариант 2. В ОС встроенной в банкомат ЭВМ устанавливается клиент безопасности для банкоматов­ - Bel VPN Client-B И шлюз, и клиент обеспечивают функции МСЭ В обоих случаях обеспечивается возможность удаленного обновления сертификатов Оба решения предусматривают для резервирования использование двух провайдеров, например Ethernet и 2G/3G/4G, с возможностью переключения

Техническая поддержка 18 XII Международный форум по банковским информационным технологиям Служба Технической поддержки: Порядок предоставления услуг Перечень предоставляемых услуг по технической поддержке Классификация Запросов по уровню важности Портал технической поддержки:

Схема практической демонстрации Bel VPN Client-M 19 XII Международный форум по банковским информационным технологиям

Статистика защищенного соединения XII Международный форум по банковским информационным технологиям 20

Спасибо! Обращайтесь к нам! Адрес:Адрес: , г.Минск ул.Чернышевского, 10А пом.702 ( ) ( ) Факс:Факс: ( ) Электронная почта:Электронная почта: