Подробный гайд по контролю внешних накопителей в ViPNet SafePoint
ViPNet SafePoint — это комплексная система защиты информации от несанкционированного доступа (СЗИ от НСД) уровня ядра операционной системы, разработанная компанией «ИнфоТеКС». Одним из ключевых модулей данной системы является Device Control (Контроль устройств), который обеспечивает контроль подключения и разграничение прав доступа к внешним накопителям и съемным машинным носителям информации (СМНИ).
Данный гайд описывает архитектуру, возможности и порядок настройки контроля доступа к устройствам хранения данных, включая USB-накопители, внешние жесткие диски, SD-карты и оптические приводы.
1. Обзор модуля Device Control
Модуль контроля устройств позволяет администраторам безопасности осуществлять контроль на основе анализа разрешений на подключение к конкретным интерфейсам ввода-вывода (портам) и типам подключаемых внешних программно-аппаратных устройств.
1.1 Поддерживаемые типы устройств
ViPNet SafePoint поддерживает контроль широкого спектра устройств, включая, но не ограничиваясь:
- Интерфейсы и порты: USB, SATA/ATA/ATAPI, PCMCIA, COM, LPT, FIREWIRE, IEEE.
- Типы устройств хранения: CD/DVD/BD-приводы, адаптеры Secure Digital Memory Card (SD), любые съемные носители и устройства Plug and Play.
- Прочие устройства: Wi-Fi, Bluetooth, MTP-устройства, сетевые адаптеры, модемы, адаптеры чтения смарт-карт, ИК-адаптеры, принтеры и другие периферийные устройства.
1.2 Архитектура управления
Управление политиками контроля устройств осуществляется через трехкомпонентную архитектуру:
- Сервер безопасности ViPNet SafePoint: Программное обеспечение, предназначенное для настройки политик безопасности, создания групп компьютеров и шаблонов политик безопасности, а также для управления клиентской частью.
- Клиентская часть ViPNet SafePoint: Агент, устанавливаемый на рабочие станции и серверы, обеспечивающий применение настроенных механизмов защиты в реальном времени.
- Сервер аудита ViPNet SafePoint: Компонент для просмотра и анализа записей событий безопасности (подключение/отключение устройств, попытки нарушения политик) в реальном времени.
2. Настройка политик контроля устройств
Настройка правил доступа к устройствам хранения производится на Сервере безопасности, а затем тиражируется на клиентские рабочие станции.
2.1 Выбор объектов контроля (Классы и Конкретные устройства)
При редактировании правила контроля доступа администратор может выбрать объект контроля:
- Классы устройств: Например, «DVD и CD-ROM дисководы», «Дисковые устройства USB» и т.д.
- Конкретные устройства: Можно выбрать уникальные идентификаторы конкретных устройств (например, Camera HD Pro Webcam C920, BarcodeScanner или конкретную модель USB-флешки). Это позволяет реализовать точечный контроль, разрешая работу только доверенным устройствам (Whitelisting) и блокируя все остальные.
2.2 Режимы доступа к подключению
Для каждого выбранного устройства или класса можно задать один из режимов подключения:
- Разрешить подключение: Устройство монтируется в систему, и пользователь может с ним работать.
- Запретить подключение: Операционная система блокирует монтирование устройства, доступ к нему полностью отсутствует.
- Режим аудита: Устройство подключается, но все события фиксируются в журналах для последующего анализа.
2.3 Разграничение прав доступа к файловой системе
Если подключаемое устройство хранения имеет файловую систему, администратор может детально настроить права доступа для пользователей или групп пользователей.
Поддерживаются следующие операции:
- Чтение (Read): Просмотр и копирование файлов с накопителя.
- Запись (Write): Запись новых файлов или изменение существующих.
- Исполнение (Execute): Запуск исполняемых файлов непосредственно с накопителя.
- Удаление (Delete): Удаление объектов файловой системы.
- Переименование (Rename): Изменение имен файлов и папок.
Пример сценария:
Запретить всем пользователям запускать исполняемые файлы с USB-накопителей (защита от автозапуска вирусов), но разрешить чтение документов.
3. Продвинутые возможности и защита
3.1 Мандатный контроль доступа (МРД) на сменных носителях
Начиная с версии 1.7, в ViPNet SafePoint реализовано мандатное управление доступом к объектам файловой системы на сменных носителях.
Это позволяет:
- Автоматически назначать метки конфиденциальности файлам при их записи на съемный носитель.
- Переносить метки мандатного доступа между системами с установленным ViPNet SafePoint.
- Реализовывать изоляцию данных (запрет копирования данных с высоким уровнем секретности на внешние накопители с низким уровнем доверия).
3.2 Блокировка сессии и компьютера
Система предоставляет возможности для автоматического реагирования на события подключения устройств:
- Блокировка компьютера при подключении/отключении: Рабочая станция может быть автоматически заблокирована при попытке подключения неразрешенного устройства или при его внезапном отключении (защита от несанкционированного извлечения носителей с данными)
- Блокировка сессии по периоду неактивности: Стандартная функция блокировки экрана
- Блокировка комплекта: Защита от изменения конфигурации самого средства защиты
3.3 Замкнутая программная среда (ЗПС)
ViPNet SafePoint использует собственную дискреционную модель доступа в рамках ЗПС. Система запрещает запуск любых исполняемых файлов и скриптов (Active Scripts), которые были созданы или изменены пользователем, но не входят в список доверенных, что критически важно при работе с данными, загружаемыми с внешних накопителей.
4. Аудит и мониторинг
Все события, связанные с устройствами хранения данных, фиксируются в локальном журнале и/или отправляются на Сервер аудита.
Администратор может настроить фиксацию следующих событий:
- Физическое подключение и отключение устройства.
- Попытки доступа к файлам на устройстве (чтение/запись/исполнение).
- Попытки подключения заблокированных устройств.
- Блокировка сессии или компьютера.
Сервер аудита поддерживает рассылку уведомлений о критических событиях по электронной почте или в формате CEF по протоколу Syslog на внешние SIEM-системы.
5. Рекомендации по внедрению (Best Practices)
- Используйте шаблоны безопасности: Для обеспечения единообразия настроек создавайте шаблоны политик (политики ЗПС, правила контроля устройств) и применяйте их к группам компьютеров в доменной сети.
- Режим «Только разрешенные» (Whitelisting): Для максимальной защиты запретите все классы USB-устройств по умолчанию и создайте правила, разрешающие подключение только конкретных сертифицированных флеш-накопителей по их уникальным ID.
- Запрет исполнения: Всегда запрещайте операцию «Исполнение» для внешних накопителей, чтобы предотвратить запуск вредоносного ПО (autorun.inf, скрипты).
- Разделение прав: Используйте группы пользователей (например, «Администраторы», «Офисные сотрудники», «Кассиры») и назначайте им разные политики доступа: одним только чтение, другим — чтение/запись, третьим — полный запрет.
- Включите аудит: Включите режим аудита для всех операций с файлами на сменных носителях. Это позволит отслеживать утечки информации и анализировать инциденты ИБ.
- Тестирование политик: Перед применением новых правил ко всем рабочим станциям, протестируйте их на тестовой группе, чтобы избежать блокировки легитимных бизнес-процессов.
Следуя данным рекомендациям и используя широкий функционал модуля Device Control, вы сможете эффективно защитить корпоративную инфраструктуру от утечек данных через физические каналы и от внедрения вредоносного программного обеспечения.
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.