Новости Статьи VMware Veeam StarWind Microsoft ИТ-ГРАД Citrix Symantec 5nine События Релизы Видео Контакты Авторы RSS
Виртуализация и виртуальные машины

Виртуализация vSphere, Hyper-V, XenServer и Red Hat

Более 4840 заметок о виртуализации и виртуальных машинах VMware, Microsoft, Citrix, Red Hat

VM Guru / Articles / Выполнение требований приказов ФСТЭК по защите информации и персональных данных в государственных информационных системах с помощью vGate R2.

Выполнение требований приказов ФСТЭК по защите информации и персональных данных в государственных информационных системах с помощью vGate R2.

Выполнение требований приказов ФСТЭК по защите информации и персональных данных в государственных информационных системах с помощью vGate R2.

Автор: Александр Самойленко
Дата: 25/08/2015

Многим из вас знакомо средство vGate R2, которое позволяет защитить виртуальную инфраструктуру предприятия от несанкционированного доступа, а также правильно настроить ее на базе политик. Недавно мы писали о возможностях vGate R2 версии 2.8, а в этой заметке вкратце расскажем о защите данных в государственных информационных системах.

Как некоторые из вас знают, государство предъявляет требования к защите информации (как составляющей государственную тайну, так и не составляющей), содержащуюся в государственных информационных системах.

Российское законодательство также устанавливает ряд обязательных требований по защите информации в среде виртуализации, соблюдение которых регулируется тремя нормативными актами:

Вы можете убедиться в этом самостоятельно, открыв любой из этих документов и поискав по слову "виртуализации":

Все 3 руководящих документа требуют защиты среды виртуализации, не только в средах обработки персональных данных или критически важных объектах, но и в любой государственной организации.

Приведем выдержки из документа об основных мерах, которые государственная организация обязана предпринять для защиты информации в виртуальной среде:

Меры по защите среды виртуализации должны исключать несанкционированный доступ к информации, обрабатываемой в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры, а также воздействие на информацию и компоненты, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.

В приказах ФСТЭК России регламентировано выполнение организационно-технических мер защиты среды виртуализации, используемой при обработке информации в автоматизированных системах управления производственными и технологическими процессами, государственных информационных системах и системах персональных данных. В связи с этим все организации, являющиеся операторами этих информационных систем и применяющие технологии виртуализации, обязаны выполнить перечисленные меры защиты и привести свою вычислительную инфраструктуру в соответствие требованиям регулирующих органов.

Применение средств комплексной защиты платформ виртуализации компании "Код Безопасности" позволит вам выполнить самые жесткие требования законодательства для ИСПДн, ГИС и АСУ ТП, а также провести обязательную аттестацию государственных информационных систем и систем управления производством.

Ведь компания Код Безопасности работает непосредственно со ФСТЭК (см. сертификаты продукта vGate R2) и постоянно поддерживает актуальность исполнения требований организации как на уровне политик по конфигурации виртуальной среды, так и на уровне средств защиты от несанкционированного доступа и защиты от внутренних и внешних угроз.

Давайте подробно рассмотрим, что, исходя из текстов приказов, требует сделать ФСТЭК. Во-первых, от нас требуют обеспечить защиту от несанкционированного доступа для следующих компонентов:

  • К информации, обрабатываемой в ВМ
  • К гостевым ОС
  • К хост-серверам (гипервизору)
  • К средствам управления платформой виртуализации
  • К системам хранения
  • К сети виртуальных машин и сети репликации
  • К виртуальным устройствам
  • К резервным копиям

Во-вторых, есть следующая таблица требований к информационной системе (ИС) в зависимости от класса ее защищенности (в колонках слева-направо идут классы защищенности от К4 до К1):

XI. Защита среды виртуализации (ЗСВ)

ЗСВ.1

Идентификация и аутентификация субъектов доступа и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации

+

+

+

+

ЗСВ.2

Управление доступом субъектов доступа к объектам доступа в виртуальной инфраструктуре, в том числе внутри виртуальных машин

+

+

+

+

ЗСВ.3

Регистрация событий безопасности в виртуальной инфраструктуре

 

+

+

+

ЗСВ.4

Управление (фильтрация, маршрутизация, контроль соединения, однонаправленная передача) потоками информации между компонентами виртуальной инфраструктуры, а также по периметру виртуальной инфраструктуры

   

+

+

ЗСВ.5

Доверенная загрузка серверов виртуализации, виртуальной машины (контейнера), серверов управления виртуализацией

       

ЗСВ.6

Управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных

   

+

+

ЗСВ.7

Контроль целостности виртуальной инфраструктуры и ее конфигураций

   

+

+

ЗСВ.8

Резервное копирование данных, резервирование технических средств, программного обеспечения виртуальной инфраструктуры, а также каналов связи внутри виртуальной инфраструктуры

   

+

+

ЗСВ.9

Реализация и управление антивирусной защитой в виртуальной инфраструктуре

 

+

+

+

ЗСВ.10

Разбиение виртуальной инфраструктуры на сегменты (сегментирование виртуальной инфраструктуры) для обработки информации отдельным пользователем и (или) группой пользователей

   

+

+

Обеспечить исполнение большинства этих требований позволяют следующие возможности vGate R2:

  • Усиленная аутентификация администраторов виртуальной инфраструктуры и администраторов информационной безопасности (ЗСВ.1)

В vGate реализована модель разделения прав на управление виртуальной инфраструктурой и на управление безопасностью. Таким образом, выделяются две основные роли – это администратор виртуальной инфраструктуры (АВИ) и администратор информационной безопасности (АИБ).

Доступ на управление виртуальной инфраструктурой или параметрами безопасности предоставляется только аутентифицированным пользователям. Причем процедура аутентификации пользователей и компьютеров (рабочих мест АИБ и АВИ) осуществляется по протоколам, нечувствительным к попыткам перехвата паролей и атакам типа Man in the Middle.

  • Защита средств управления виртуальной инфраструктурой от НСД (ЗСВ.1)

Для обеспечения защиты средств управления виртуальной инфраструктурой применяется функционал дискреционного разграничения доступа к объектам, которые размещены внутри защищаемого периметра. Правила разграничения доступа работают на основе заданных ACL и параметров соединения (протоколов, портов). Сетевой трафик между аутентифицированными субъектами и защищаемыми объектами подписывается, тем самым обеспечивается защита от атак типа Man in the Middle в процессе сетевого взаимодействия.

  • Мандатное управление доступом (ЗСВ.2 и ЗСВ.10)

В vGate реализован мандатный принцип контроля доступа на основе меток конфиденциальности. При выполнении ряда стандартных операций с объектами виртуальной инфраструктуры осуществляется сравнение меток безопасности учетных записей администратора информационной безопасности и ресурсов. Благодаря этому возможно создание логических групп и сфер администрирования через бизнес – категоризацию, например, финансовый и коммерческий отделы и т.д.

Метки безопасности назначаются:

  • защищаемым хост-серверам
  • администраторам
  • виртуальным машинам
  • хранилищам (локальным, сетевым)
  • виртуальным сетям
  • виртуальным коммутаторам и сетевым адаптерам

Существует возможность отключения контроля мандатного доступа для определенных объектов из консоли управления.

  • Контроль доступа администраторов виртуальной инфраструктуры к файлам виртуальных машин (ЗСВ.2)

При работе в незащищенной виртуальной среде администратор, как правило, имеет доступ к данным виртуальных машин, скачать файл виртуальной машины на локальный диск своего компьютера и исследовать его содержимое. В vGate реализован механизм, позволяющий контролировать доступ администраторов к файлам виртуальных машин.

  • Регистрация событий, связанных с информационной безопасностью (ЗСВ.3)

vGate обеспечивает расширенную регистрацию событий безопасности для всех защищаемых компьютеров, в том числе и компьютеров, относящихся к средствам управления виртуальной инфраструктурой. Вся полученная информация заносится в журнал событий безопасности и хранится на сервере авторизации. В процессе аудита можно осуществлять сбор и просмотр событий данного журнала.

  • Выполнение требования ЗСВ.4 обеспечивают корпоративные сетевые экраны, в том числе специализированные продукты для виртуальных инфраструктур, такие как VMware NSX.
  • Контроль целостности и доверенная загрузка виртуальных машин (ЗСВ.5 и ЗСВ.7)

В vGate существует политика доверенной загрузки виртуальных машин. Есть возможность гранулярно настроить параметры, которые будут контролироваться, а также функционал, позволяющий сделать выбор – разрешить или запустить виртуальную машину при нарушении целостности конфигурации.

Также есть возможность контроля целостности перечня снимков виртуальной машины. После назначения политики доверенной загрузки при старте виртуальной машины, а также по тайм-ауту будет проводиться проверка целостности. При изменениях виртуальной машины происходит оповещение администратора информационной безопасности, который может согласовать или отклонить изменения. При отклонении изменений настройки виртуальной машины будут возвращены в то состояние, в котором они были при назначении политики.

  • Выполнение требования ЗСВ.6 обеспечивают средства управления средой виртуализации (например, VMware vCenter), а также средства виртуализации, контроля и анализа сетевого взаимодействия (например, VMware NSX, принявшего в себя функции продукта vCenter Networking and Security).
  • Резервирование сервера авторизации (ЗСВ.8)

В целях повышения отказоустойчивости рекомендуется использовать конфигурацию vGate c резервным сервером авторизации по принципу active-passive. Один сервер авторизации (основной) выполняет все функции по управлению vGate и авторизации администраторов виртуальной инфраструктуры, второй сервер авторизации (резервный) является пассивным.

  • Выполнение требования ЗСВ.9 обеспечивают средства антивирусной защиты, разработанные специально для виртуальной среды. Например, Kaspersky Security for Virtualization.

Кроме того, гостударственные организации, обрабатывающие персональные данные (ПДн) в виртуальной инфраструктуре, должны также исполнять приказ ФСТЭК номер 21 "Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных".

vGate R2 имеет все необходимые функции для защиты ПДн, о чем мы уже писали вот тут.

В этой таблице очень много требований, и не все они покрываются продуктом vGate R2, но исполнение их всех обеспечивается с помощью основной продуктовой линейки компании Код Безопасности. vGate R2 обеспечивает все то, что касается именно виртуальной среды и средств управления ею.

Демо-версии vGate для Hyper-V или VMware vSphere можно бесплатно скачать по этой ссылке.

Реклама







Зал Славы Рекламодателя
Ближайшие события в области виртуализации:

Быстрый переход:
VMware IT-Grad Veeam StarWind PowerCLI Offtopic Gartner Citrix VSAN GDPR 5nine Hardware VeeamON Nutanix vSphere RVTools Enterprise Security Code Cisco vGate Microsoft Cloud SDRS Parallels IaaS HP VMFS VM Guru Oracle Red Hat Azure KVM VeeamOn 1cloud Docker Storage NVIDIA Partnership Dell Virtual SAN Virtualization VMTurbo vRealize VirtualBox Symantec Softline EMC Login VSI Xen Teradici Amazon NetApp VDI Linux Hyper-V IBM Google VSI Security Windows vCenter VMachines Webinar View VKernel Events Windows 7 Caravan Apple TPS Hyper9 Nicira Blogs Sun VMC Xtravirt Novell IntelVT Сравнение VirtualIron XenServer CitrixXen ESXi ESX ThinApp Books P2V Labs Tools vSAN vCloud Forum iSCSI SRM HCI App Volumes Video vROPs Workspace ONE Backup Horizon VMUG NSX vRNI HA Update Manager VCP VVols Workstation Update UEM DR Networking Cache Storage DRS VMworld Workspace DRS Fusion Lifecycle Visio Log Insight Operations Manager SDDC Virtual Appliance OpenStack PowerShell LSFS Client vCSA Datacenter Intel Agent esxtop Book Photon Cloud Computing SSD Comparison Blast Performance Nested AWS XenDesktop VSA vNetwork SSO Host Client VMDK VTL Whitepaper Appliance VUM V2V Support Обучение Web Client Mobile Automation Replication Desktop Fault Tolerance Vanguard SaaS Connector Event Free SQL Sponsorship Finance FT Containers Converter XenApp Snapshots vGPU Auto Deploy SMB RDM Mirage XenClient MP SC VMM Certification VDP Partners PCoIP RHEV vMA Award Network USB Licensing Logs Server Demo vCHS Calculator Бесплатно vExpert Beta SAN Exchange MAP ONE DaaS Monitoring VPLEX UCS SDK Poster VSPP Receiver vMotion VDI-in-a-Box Deduplication Reporter vShield ACE Go nworks iPad XCP Data Recovery Documentation Sizing Pricing VMotion Snapshot FlexPod VMsafe Enteprise Monitor vStorage Essentials Live Migration SCVMM TCO Studio AMD-V VirtualCenter NFS ThinPrint Memory CLI Helpdesk Troubleshooting VIC Upgrade VDS Bug Migration Director Stencils API Android Graphics Diagram Air Plugin DPM SIOC Flex Mac Open Source SSH VAAI Chargeback Heartbeat MSCS Ports SVMotion Bugs Composer
Интересные плакаты:

Постер VMware vSphere PowerCLI 6.3:

Постер VMware ESXi 5.1:

Постер VMware Hands-on Labs 2015:

Постер VMware Platform Services Controller 6.0:

Постер VMware vCloud Networking:

Постер VMware NSX (референсный):

Постер VMware vCloud SDK:

Постер VMware vCloud Suite:

Постер VMware vCenter Server Appliance:

Порты и соединения VMware vSphere 6:

Порты и соединения VMware Horizon 7:

Порты и соединения VMware NSX:

Управление памятью в VMware vSphere 5:

Как работает кластер VMware High Availability:

Постер VMware vSphere 5.5 ESXTOP (обзорный):

Постер Veeam Backup & Replication v8 for VMware:

Постер Microsoft Windows Server 2012 Hyper-V R2:

 

Популярные статьи:
Как установить VMware ESXi. Инструкция по установке сервера ESXi 4 из состава vSphere.

Включение поддержки технологии Intel VT на ноутбуках Sony VAIO, Toshiba, Lenovo и других.

Как настроить запуск виртуальных машин VMware Workstation и Server при старте Windows

Как работают виртуальные сети VLAN на хостах VMware ESX / ESXi.

Что такое и как работает виртуальная машина Windows XP Mode в Windows 7.

Типы виртуальных дисков vmdk виртуальных машин на VMware vSphere / ESX 4.

Сравнение Oracle VirtualBox и VMware Workstation.

Инфраструктура виртуальных десктопов VMware View 3 (VDI)

Бесплатные утилиты для виртуальных машин на базе VMware ESX / ESXi.

Как использовать возможности VMware vSphere Management Assistant (vMA).

Проектирование инфраструктуры виртуализации VMware vSphere 4.

Как поднять программный iSCSI Target на Windows 2003 Server для ESX

Работа с дисками виртуальных машин VMware.

Бесплатные программы для VMware ESX / ESXi в среде Virtual Infrastructure / vSphere (часть 2).

Новые возможности VMware vSphere 5.0 - официально.

Все ресурсы о виртуализации:
Интервью:

Alessandro Perilli
virtualization.info
Основатель

Ратмир Тимашев
Veeam Software
Президент


Купить:

VMware vSphere 6.5


Veeam Backup 9.5


Полезные ресурсы:


Видео компании VMware

Видео про Citrix Xen

Видео о виртуализации Microsoft

Утилиты для виртуальных машин Microsoft.

Книги на английском языке

Блоги на английском языке

Блоги на русском языке

Агрегация статей в твиттере VMC:


Copyright VM Guru 2006 - 2019, Александр Самойленко. Правила перепечатки материалов.