Стратегия защищенных информационных систем корпорации Microsoft (Trustworthy Computing) Владимир Мамыкин Менеджер по системам безопасности продуктов Microsoft

Содержание Общая концепция стратегии Защищенных Информационных Систем Цели и достижения Фундаментальные проблемы Common Criteria – стандарт защищенности Практика обеспечения защищенности Сотрудничество по безопасности Примеры внедрения

Защищенные Информационные Системы Безопасность Безотказность Бизнес-этика

Защищенные Информационные Системы ЦЕЛИ:Безопасность в архитектуре Безопасность по умолчанию Безопасность в работе Обратная связь

Защищенные Информационные Системы ЦЕЛИ:Безопасность в архитектуре Безопасность по умолчанию Безопасность в работе Обратная связь Создание защищенной архитектурыСоздание защищенной архитектуры Новые функции безопасностиНовые функции безопасности Снижение количества уязвимостей в новом и существующем кодеСнижение количества уязвимостей в новом и существующем коде Отключение неиспользуемых функцийОтключение неиспользуемых функций Использование необходимого минимума привилегийИспользование необходимого минимума привилегий Правильная настройкаПравильная настройка Обнаружение проникновенияОбнаружение проникновения Отражение атакОтражение атак Управление действиями по защитеУправление действиями по защите Публикация усовершенствованийПубликация усовершенствований Выпуск инструментария и руководствВыпуск инструментария и руководств ОбучениеОбучение

Защищенные Информационные Системы УЖЕ СДЕЛАНО: $100 млн. в 2002 Безопасность в архитектуре Безопасность по умолчанию Безопасность в работе Обратная связь ВСЕ программисты прошли тренинги по написанию защищенного кодаВСЕ программисты прошли тренинги по написанию защищенного кода Анализ всего существующего кодаАнализ всего существующего кода Построена модель угрозПостроена модель угроз Office XP SP1: VBScript отключен по ум.Office XP SP1: VBScript отключен по ум. Windows XP: IIS отключен по умолчаниюWindows XP: IIS отключен по умолчанию Windows.NET: 20 служб отключены по умолчаниюWindows.NET: 20 служб отключены по умолчанию Бесплатный Baseline Security AnalyzerБесплатный Baseline Security Analyzer Уч. курс по настройкам безопасностиУч. курс по настройкам безопасности Бесплатный Security ToolkitБесплатный Security Toolkit Новые книги по безопасностиНовые книги по безопасности Служба Software Update ServiceСлужба Software Update Service Функции отправки отчетов в XPФункции отправки отчетов в XP Microsoft Security Response CenterMicrosoft Security Response Center Работа с Партнерами по безопасностиРабота с Партнерами по безопасности

ФУНДАМЕНТАЛЬНЫЕ ПРОБЛЕМЫ которые необходимо решить Политические проблемы Сверхкрупные системы Избыточность аппаратных средств Межмашинные процессы (P2P, P&P, USB…) Идентификация личности Человеческий фактор Средства программирования Концептуальные модели

COMMON CRITERIA (ISO 15408) 14 стран - Канада, Германия, США, Новая Зеландия, Австралия, Франция, Великобритания, Финляндия, Греция, Израиль, Италия, Норвегия, Испания, Нидерланды … + Россия? Старые стандарты – отменены: -US TCSEC - «Оранжевая книга» - торжественно сожжена -Европейский ITSEC

COMMON CRITERIA (ISO 15408) – это: Проверка на соответствие Профилям Защиты (Protection Profiles). Профили Защиты существуют для -Операционных систем -Брэндмауэров (Firewalls) -Смарт-карт и т.д. Гарантированные Уровни Соответствия (Evaluation Assurance Levels): -EAL1 – низший, EAL7 - высший -4 уровня (EAL1 - EAL4) – общие для всего сообщества -3 уровня (EAL5 - EAL7) – индивидуально разрабатываются каждой страной для учета национальных особенностей защиты государственных секретов

COMMON CRITERIA в РОССИИ Common Criteria ISO УЖЕ является ГОСУДАРСТВЕННЫМ СТАНДАРТОМ России: -ГОСТ Р ИСО/МЭК ГОСТ Р ИСО/МЭК ГОСТ Р ИСО/МЭК ГОСТы вступают в действие с 1 января 2004 г. Уже проходит реальная апробация новых ГОСТов Преимущества для России: -Снижение затрат при сертификации -Признание наших сертификатов => выход на международные рынки -Сохранение национальных требований для высших уровней сертификации

Сертификация COMMON CRITERIA Windows 2000 сертифицирован на высший уровень EAL4+ Затраты: 3 года (с янв по окт. 2002) + X млн. $ Сертифицированы дополнительные функции, не требующиеся для стандартного профиля: -EFS -Directory Service (LDAP…) -VPN (IPSec+L2TP) -Сервисы Цифровых подписей -Single-Sign-On -Network + Desktop management Microsoft заявила Windows.NET Server 2003 и Windows XP на получение сертификата Common Criteria

Защищая пользователей: Предохранить Обнаружить Предотвратить Восстановить Управлять

Защищая пользователей Предохранить Обнаружить Предотвратить Восстановить Управлять Задачи Данные: Контроль доступа Данные: Контроль доступа Система: Правильная конфигурация Система: Правильная конфигурация Пользователи: Основанный на ролях доступ Пользователи: Основанный на ролях доступТехнологии Active Directory: Аутентификация, авторизация, групповые политики Active Directory: Аутентификация, авторизация, групповые политики Microsoft Baseline Security Analyzer (MBSA): анализ конфигурации Microsoft Baseline Security Analyzer (MBSA): анализ конфигурации ISA Server: Firewall масштаба предприятия ISA Server: Firewall масштаба предприятия Windows networking: персональные firewall и VPN Windows networking: персональные firewall и VPN Пример: «ИБГ НИКойл» ISA Servers в DMZ (поддержка кластеров) ISA Servers в DMZ (поддержка кластеров) PKI на основе CA Windows 2000 Server PKI на основе CA Windows 2000 Server Сертифицированный CSP компании Крипто-Про Сертифицированный CSP компании Крипто-Про

Предохранить Обнаружить Предотвратить Восстановить Управлять Задачи Данные: К какой информации есть доступ Данные: К какой информации есть доступ Система: Какие неожиданные события произошли Система: Какие неожиданные события произошли Пользователи: Кто нарушает политики Пользователи: Кто нарушает политикиТехнологии Active Directory: Групповые политики Active Directory: Групповые политики Средства Windows мониторинга событий Средства Windows мониторинга событий Антивирусные средства третьих компаний Антивирусные средства третьих компаний IDS решения третьих компаний IDS решения третьих компаний Пример: Silver Lake Partners Замена Check Point VPN-1 на ISA Server с решениями компании Active Lane Замена Check Point VPN-1 на ISA Server с решениями компании Active Lane Уменьшение затрат на 50% Уменьшение затрат на 50% Защищая пользователей

Задачи Данные: Удаление вирусов Данные: Удаление вирусов Система: Закрытие портов, блокирование IP- адресов в ответ на новые угрозы Система: Закрытие портов, блокирование IP- адресов в ответ на новые угрозы Пользователи: Блокировка компроменти- рованных пользовательских учетных записей Пользователи: Блокировка компроменти- рованных пользовательских учетных записейТехнологии Active Directory: Блокировка учетных записей Active Directory: Блокировка учетных записей Антивирусные средства третьих компаний Антивирусные средства третьих компаний ISA Server: Firewall масштаба предприятия ISA Server: Firewall масштаба предприятия Предохранить Обнаружить Предотвратить Восстановить Управлять Основные сценарии Защита IIS, Exchange и Outlook от Web доступа Защита IIS, Exchange и Outlook от Web доступа Upgrade Proxy 2.0 Upgrade Proxy 2.0 В будущем: Встройка security-модулей в Web сервисы В будущем: Встройка security-модулей в Web сервисы

Защищая пользователей Предохранить Обнаружить Предотвратить Восстановить Управлять Задачи Данные: Восстановить испорченные или зараженные файлы Данные: Восстановить испорченные или зараженные файлы Система: Минимизировать время простоя Система: Минимизировать время простоя Пользователи: Восстановить конфигурацию Пользователи: Восстановить конфигурациюТехнологии Сохранять offline-папки на сервере Сохранять offline-папки на сервере Использовать Shadow Copy для восстановления зараженных файлов Использовать Shadow Copy для восстановления зараженных файлов Использовать Automated System Recovery (ASR) Использовать Automated System Recovery (ASR) Использовать Remote Installation Services (RIS) для быстрого восстановления операционной системы Использовать Remote Installation Services (RIS) для быстрого восстановления операционной системы

Защищая пользователей Задачи Данные: Управлять контролем доступа Данные: Управлять контролем доступа Система: Разработать и внедрить конфигурационную политику Система: Разработать и внедрить конфигурационную политику Пользователи: Определить права доступа, основанные на ролях Пользователи: Определить права доступа, основанные на роляхТехнологии Малый и Средний бизнес: Software Update Services Малый и Средний бизнес: Software Update Services Корпорации: SMS 2.0 и новый Value Pack Корпорации: SMS 2.0 и новый Value Pack Active Directory: Групповые политики Active Directory: Групповые политики Microsoft Operations Manager (MOM) Microsoft Operations Manager (MOM) Предохранить Обнаружить Предотвратить Восстановить Управлять Пример: Корпорация Divine 20,000 пакетов на 1200 серверах - 3 человека 20,000 пакетов на 1200 серверах - 3 человека Инсталляция update для Code Red на 1200 серверах заняла только 4 часа с результативностью 99.3% Инсталляция update для Code Red на 1200 серверах заняла только 4 часа с результативностью 99.3% Работоспособность серверов составила 99.95% Работоспособность серверов составила 99.95%

ПРИМЕРЫ СОТРУДНИЧЕСТВА: Сертифицированная криптография Генерация секретных (256 бит) и открытых (1024 бита) ключей ЭЦП и шифрования; Возможность генерации ключей с различными параметрами в соответствии с ГОСТ Р Хеширование данных в соответствии с ГОСТ Р Формирование электронной цифровой подписи в соответствии с ГОСТ Р (ГОСТ Р ); Шифрование данных во всех режимах, определенных ГОСТ Имитозащита данных в соответствии с ГОСТ ; Сертификаты ФАПСИ: СФ/ от 11 марта 2001 г. и СФ/ от 20 апреля 2001 г. Основа – криптографический интерфейс Microsoft – Cryptographic Service Provider (CSP) Разработанный в стандарте CSP – СКЗИ Крипто-Про CSP

Информационная система, использующая PKI CA CA – Сервер Сертификатов (Certificate Authority) Корневой CA Репозиторий Клиент Сервер

Информационная система c PKI на платформе Microsoft CA Корневой CA Active Directory Windows 2000 Exchange 2000 Windows 2000 Outlook Internet Explorer Windows 2000/XP

ПРИМЕРЫ СОТРУДНИЧЕСТВА: Удостоверяющий Центр компании Крипто-Про Основные функции: Регистрация пользователей Изготовление сертификатов открытых ключей Ведение реестра сертификатов открытых ключей Управление сертификатами открытых ключей Предоставление владельцам сертификатов функций генерации ключей и управления личными сертификатами Обеспечивает: Централизованное управление ключевой информацией Распределенное управление ключевой информацией Печать сертификатов на бумажных бланках Основа – сервисы сертификатов в операционной системе

Архитектура УЦ Корневой СА Центр регистрации Центр регистрации АРМ администратора АРМ администратора Внешние приложения Двухсторонняя аутентификация Шифрование трафика Пользователи Регистрация Взаимодействие с ЦР Крипто-Про TLS

Пример внедрения Модернизация инфраструктуры для органов власти и местного самоуправления на всей территории республики для общего доступа к Интернету и электронной почте доступа к информационным ресурсам РИАС Единая технологическая инфраструктура, сочетающая Ведомственный и Территориальный принципы построения Распределенный интегрированный банк данных Чувашская Республика Республиканская информационно-аналитическая система (РИАС), Реализующая на уровне субъекта федерации ключевые направления Федеральной целевой программы «Электронная Россия на годы» ЗАДАЧИ:

Пример внедрения (продолжение) Центральное место в системе безопасности: PKI на основе Windows 2000 Server База данных SQL Server 2000 Удостоверяющий Центр компании Крипто-Про Российская криптография от Крипто-Про в стандарте MS CSP Единая почтовая система: Подключены все органы власти Основа - Exchange 2000 ЭЦП с сертифицированной криптографией Удаленный доступ к данным: Межсетевые экраны Microsoft Internet Security and Acceleration Server (ISA Server) Усиленная аутентификация c использованием eToken Aladdin Рабочее место – Windows 95 и выше с Internet Explorer 5.0+ Чувашская Республика РЕШЕНИЕ:

ДРУГИЕ ПРИМЕРЫ ВНЕДРЕНИЯ Система обеспечения безопасности в Министерстве путей сообщения: PKI на основе Windows 2000 Server Windows NT Servers Разработки российских партнеров Система защищенного документооборота по передаче налоговой отчетности через Интернет: PKI на основе Windows 2000 Server Windows Office 2000/XP Удостоверяющий Центр компании Крипто-Про c сертифицированной криптографией Государственный Таможенный Комитет России: система ЭЦП таможенных деклараций PKI на основе Windows 2000 Server Удостоверяющий Центр компании Крипто-Про c сертифицированной криптографией И ДРУГИЕ…

Заключение Microsoft уже обладает самой передовой технологией, позволяющей построить защищенную инфраструктуру для организации любого масштаба

Дополнительные ресурсы Российский веб-сервер компании Microsoft Microsoft TechNet Платформа Microsoft.NET Партнёры Microsoft certified_partners/ certified_partners/ Обучение и сертификация

Вопросы?