4
|
Средство для обеспечения безопасности виртуальной инфраструктур
|
Общие требования
Средство для обеспечения безопасности виртуальной инфраструктуры (далее – СОБВИ) должно осуществлять:
аутентификацию администраторов виртуальной инфраструктуры и администраторов безопасности;
защиту средств управления виртуальной инфраструктурой от НСД;
защиту виртуальных машин;
контроль целостности конфигурации виртуальных машин и их доверенную загрузку;
мандатный принцип контроля доступа;
регистрацию событий, связанных с информационной безопасностью;
контроль целостности и защиту от НСД компонентов СОБВИ;
централизованное управление и мониторинг;
создание резервной копии конфигурации СОБВИ и журналов аудита.
Требования к поддержке платформ виртуализации
СОБВИ должно поддерживать следующие платформы виртуализации:
Windows Server 2012 с ролью Hyper-V;
Windows Server 2012 R2 с ролью Hyper-V;
Hyper-V Server 2012 R2;
Windows Server 2016 с ролью Hyper-V;
Hyper-V Server 2016.
Требования к функциональности
Аутентификация администраторов виртуальной инфраструктуры и администраторов безопасности
В СОБВИ должна быть реализована модель разделения прав на управление виртуальной инфраструктурой и на управление безопасностью (для ограничения на использование привилегий суперпользователя). Должна быть возможность выделить 2 основные роли — администратор виртуальной инфраструктуры и администратор безопасности. В рамках роли администратора виртуальной инфраструктуры должна быть возможность разграничения доступа по привилегиям\типам объектов доступа. Должна быть поддержка аппаратных идентификаторов eToken, JaCarta и iButton. В СОБВИ должна быть возможность задания сложности паролей для администраторов виртуальной инфраструктуры и администраторов безопасности.
Реализация принципа разделения ролей.
Доступ на управление виртуальной инфраструктурой или параметрами безопасности должен предоставляться только для аутентифицированных пользователей. Для этого в СОБВИ должна быть предусмотрена процедура аутентификации пользователей и компьютеров (рабочих мест администраторов), которая должна осуществляется по протоколам, нечувствительным к попыткам перехвата паролей и атакам типа Man in the Middle.
Процедура аутентификации должна осуществляется с помощью отдельной программы, которую требуется запустить и ввести учетные данные до того, как осуществляется соединение с виртуальной инфраструктурой.
Функционал аутентификации на рабочем месте администратора должен предоставлять возможность надежно сохранить учетные данные.
СОБВИ должно иметь собственную систему учетных записей или иметь возможность интегрироваться с Microsoft Active Directory.
СОБВИ должно поддерживать контроль работы администраторов виртуальной инфраструктуры через Hyper-V Manager, а также возможность использования PowerShell сценариев настройки инфраструктуры.
СОБВИ должно иметь возможность отключения механизмов защиты в аварийных ситуациях.
СОБВИ должно иметь возможность экспорта\импорта настроек конфигурации.
Защита Hyper-V серверов
Защита Hyper-V серверов должна осуществляться следующими функциями СОБВИ:
аутентификация субъектов доступа;
механизм дискреционного разграничения доступа к защищаемым объектам;
защита сетевого трафика между аутентифицированными субъектами и защищаемыми объектами, с помощью протоколов, нечувствительных к попыткам перехвата паролей и атакам типа Man in the Middle;
механизм полномочного управления доступом;
задние списка разрешенных программ;
отключение ненужных ролей и функций Hyper-V серверов;
запрет подключения съемных носителей;
запрет удаленного управления службами.
возможность запрета использования локальной сессии PowerShell через удаленное подключение (PowerShell Remoting).
Защита виртуальных машин
Механизмы защиты виртуальных машин должны включать:
возможность запрета создания и удаления снимков виртуальных машин;
возможность очистки внешней памяти при окончании работы с виртуальной машиной (ее удалении);
возможность запрета экспорта виртуальных машин;
возможность запрета включения репликации и миграции виртуальных машин;
синхронизация времени;
запрет операций с буфером обмена.
Контроль целостности конфигурации виртуальных машин и доверенная загрузка
СОБВИ должно содержать компоненты, устанавливаемые на каждый сервер Hyper-V и реализующие следующие механизмы защиты:
контроль целостности настроек виртуальной машины перед ее загрузкой. Должен контролироваться файл *.xml, в котором содержится перечень устройств, доступных виртуальной машине, и ряд других критических параметров;
перечень снимков виртуальных машин.
При изменении одного из перечисленных объектов как санкционированном, так и несанкционированном, СОБВИ должно предоставить администратору безопасности возможность данные изменения отменить или принять.
Мандатный принцип контроля доступа
В СОБВИ должен быть реализован мандатный принцип контроля доступа на основе меток конфиденциальности. Должно присутствовать два вида меток конфиденциальности: иерархические (далее просто метки) и неиерархические (далее просто категории).
Должна быть реализована возможность назначить метки следующие субъекты, объекты, контейнеры:
администраторы виртуальной инфраструктуры;
серверы Hyper-V;
виртуальные машины;
хранилища;
виртуальные сети;
виртуальные коммутаторы;
сетевые интерфейсы.
Права доступа субъектов и объектов должны проверяться на основе меток и категорий автоматически и запрещать несанкционированные действия. Субъект может получить доступ к объекту, только если выполняется условие соответствия их меток конфиденциальности. Для категорий – это совпадение хотя бы одной из категорий субъекта и объекта, для меток – это уровень иерархии субъекта должен быть равен (или выше, в зависимости от настроек СОБВИ) уровню объекта.
Категории должны отличаться от меток следующими параметрами:
метки должны быть иерархическими, категории равноправными;
механизмы работы меток должны зависеть не только от пользователя, но и от его меток его текущей сессии. Категории от сессии зависеть не должны;
любой субъект, объект, контейнер может быть помечен несколькими категориями и только одной меткой.
В СОБВИ должен быть реализован механизм составных меток конфиденциальности, включающий в себя назначение на объекты как меток, так и категорий.
Регистрация событий, связанных с информационной безопасностью
В СОБВИ должен быть реализован механизм регистрации следующих групп событий:
события аутентификации и разграничения доступа;
средство должно регистрировать как удачные, так и неудачные попытки доступа к инфраструктуре (с указанием имени учетной записи, даты, имени компьютера или его IP-адреса);
средство должно регистрировать события изменений конфигурации параметров безопасности и учетных записей администраторов инфраструктуры;
события контроля целостности СОБВИ;
события, связанные с установкой, удалением, включением, остановом и сбоем компонентов СОБВИ, а также с изменением настроек СОБВИ.
Регистрация событий на всех компонентах СОБВИ должна осуществляется в едином журнале. Для всех групп событий должны регистрироваться как факты НСД, так и правомочные действия.
Должна быть возможность отбора событий безопасности по типу, дате и времени события, объекту\субъекту доступа.
В СОБВИ должен быть реализован механизм отправки уведомлений о событиях безопасности по протоколам SMTP, SNMP и Syslog.
Контроль целостности и защита от НСД компонентов СОБВИ
СОБВИ должен содержать собственные механизмы контроля целостности компонентов СОБВИ. Механизмы должны действовать на всех компонентах СОБВИ.
Создание резервной копии конфигурации СОБВИ и журналов аудита
СОБВИ должно иметь возможность экспорта собственной конфигурации в указываемую директорию и импорта конфигурации из данного файла. Должа быть возможность настройки выгрузки журналов аудита по достижению заданного размера базы или по сроку хранения событий.
Централизованное управление и мониторинг
СОБВИ должно содержать Консоль управления, устанавливающуюся на рабочее место администратора безопасности со следующим функционалом:
управление пользователями и компьютерами (пользователями в данном случае будут администраторы виртуальной инфраструктуры и администраторы безопасности, а компьютеры — это их рабочие места);
назначение прав на доступ к защищаемым объектам;
развертывание и настройка компонентов защиты серверов Hyper-V;
настройка правил разграничения запуска виртуальных машин;
просмотр журнала регистрации событий;
возможность временного отключения мандатного контроля доступа на защищаемых Hyper-V серверах.
Все изменения, произведенные администратором безопасности, должны сохраняться централизованно.
Требования по сертификации
СОБВИ должно иметь:
действующий сертификат ФСТЭК России на соответствие требованиям «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» по классу не ниже 5-го;
действующий сертификат ФСТЭК России, на соответствие требованиям руководящего документа «Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» по уровню не ниже 4-го.
Комплектность поставки
В поставку должно входить:
верифицированный установочный комплект ПО;
документация в электронном виде;
формуляр;
копия сертификата ФСТЭК России;
лицензия на право использования ПО для защиты хостов (по количеству процессоров на защищаемых хостах) - 10 шт.
|
5
|
Антивирусное ПО
|
Общие требования
В качестве средства антивирусной защиты должно использоваться программное обеспечение, работающее под управлением операционных систем:
Microsoft Windows 10 Pro / Enterprise, 32- или 64-разрядная версия;
Microsoft Windows 8,1 Pro / Enterprise, 32- или 64-разрядная версия;
Microsoft Windows 8 Pro / Enterprise, 32- или 64-разрядная версия;
Microsoft Windows 7 Professional / Enterprise / Ultimate, 32- или 64-разрядная версия с пакетом обновления 1 или выше;
Microsoft Windows Server 2008 R2 x64 Standard/Enterprise;
Microsoft Windows Server 2008 R2 x64 Standard/Enterprise SP1;
Microsoft Windows Server 2012 Foundation х64;
Microsoft Windows Server 2012 Standard х64;
Microsoft Windows Server 2012 R2 Standard х64 Edition
Функциональные требования
Антивирусное ПО должно обеспечивать выполнение следующих функций:
сочетать в себе новейшие сигнатурные, проактивные и облачные технологии, обеспечивающие высочайшую степень защиты от вредоносных программ;
поддерживать технологию сигнатур-шаблонов, которая позволяет улучшить качество обнаружения вредоносных файлов и уменьшить размер обновлений сигнатурных баз;
обеспечивать появление информации о новых вредоносных программах в базе системы быстрого обнаружения (UDS) еще до выпуска сигнатур;
обеспечивать проактивную защиту, анализируя каждую запущенную программу;
поддерживать технологию лечения активного заражения, которая нейтрализует вредоносные объекты, работая на самых низких уровнях операционной системы;
позволять контролировать входящий и исходящий трафик, задавая параметры для отдельных портов, IP-адресов или программ;
отслеживать подозрительную сетевую активность. При обнаружении попытки атаки реагировать согласно заранее определенным критериям;
обеспечивать возможность защиты файловых серверов под управлением Windows, Linux, Novell NetWare или FreeBSD, терминальных серверов, таких как Citrix или Microsoft, а также работать на кластерных серверах;
обеспечивать возможность защиты виртуальных машин в среде виртуализации;
обеспечивать возможность защиты данных на мобильных устройствах;
обеспечивать возможность шифрования данных на мобильных устройствах;
обеспечивать возможность отслеживания программ, работающих в корпоративных системах;
обеспечивать возможность контроля устройств, а именно:
контролировать доступ устройств в зависимости от способа подключения, типа или заводского номера устройства;
устанавливать расписание применения таких мер;
поддерживать единую консоль управления
Комплектность поставки
В поставку должен входить сертифицированный установочный комплект (возможна поставка одного на партию):
компакт-диск с верифицированным дистрибутивом;
формуляр
Требования по сертификации
Антивирусное ПО должно соответствовать требованиям Приказа ФСТЭК России от 20.03.2012 № 28 по Профилю защиты средств антивирусной защиты типа «Б» не ниже второго класса защиты, Профилю защиты средств антивирусной защиты типа «В» не ниже второго класса защиты, Профилю защиты средств антивирусной защиты типа «Г» не ниже второго класса защиты
|
6
|
Программно-аппаратный комплекс, реализующий функции криптографического шлюза и межсетевого экрана
|
Общие требования
В качестве средства криптографической защиты и межсетевого экранирования должен быть поставлен программно-аппаратный комплекс, который представляет собой интегрированное решение на базе специализированной аппаратной платформы и программного обеспечения, которое функционирует под управлением адаптированной операционной системы GNU/Linux (далее – криптошлюз).
Криптошлюз должен выполнять следующие функции:
сервер IP-адресов. Функция, которая позволяет обеспечить взаимодействие VPN- узлов. Сервер IP-адресов сообщает сетевым узлам информацию об адресах и параметрах доступа других узлов;
маршрутизатор VPN-пакетов. Функция, которая позволяет обеспечить маршрутизацию транзитного защищенного IP-трафика, проходящего через криптошлюз на другие защищенные узлы;
сервер соединений. Функция, которая обеспечивает соединение клиентов и других криптошлюзов друг с другом кратчайшим путем;
VPN-шлюз. Функция, которая позволяет организовать защищенные соединения между узлами локальных сетей и между сегментами сетей с помощью защищенных каналов (туннелей);
транспортный сервер. Функция, которая обеспечивает доставку на сетевые узлы управляющих сообщений, обновлений справочников, ключей и программного обеспечения из программного комплекса управления VPN-сетью, а также обмен прикладными транспортными конвертами между узлами;
межсетевой экран. Функция, которая позволяет обеспечить фильтрацию IP-трафика. Одновременно криптошлюз должен иметь возможность выполнять функции трансляции адресов для проходящего через него открытого трафика;
сервер открытого Интернета. Функция, которая позволяет обеспечить раздельный доступ защищенных узлов в Интернет и к ресурсам защищенной VPN сети.
Функциональные требования
Криптошлюз должен позволять:
обеспечивать функции прозрачного шифратора протокола IP;
обеспечивать защиту соединения между удаленными сегментами сети на сетевом и канальном уровне модели OSI;
выполнять шифрование и имитозащиту сетевого трафика в соответствии с ГОСТ 28147-89;
шифровать каждый IP-пакет на уникальных симметричных ключах связи с другими VPN-узлами;
должны поддерживать технологию виртуальных IP-адресов с целью обеспечения связи между защищаемыми сетями с пересекающейся IP адресацией;
обеспечивать функцию сокрытия сетевой структуры VPN сети, которая обеспечивает работу защищенных компьютеров локальной сети (сегмента сети) в VPN от имени одного адреса;
поддерживать прозрачную работу через различные NAT-устройства;
обеспечивать возможность подключения VPN клиентов по протоколам UDP и TCP;
обеспечивать функции сервера IP-адресов для VPN-узлов для регистрации и предоставления информации о текущих IP-адресах и способах подключения VPN-узлов к VPN-сети;
выполнять обработку прикладных протоколов (FTP, DNS, H.323, SCCP (Cisco skinny), SIP) на защищенных узлах которым назначены виртуальные IP-адреса или для которых выполняется трансляция адресов;
обеспечивать замкнутость среды функционирования криптосредства;
выполнять межсетевое экранирование расшифрованного IP-трафика и IP-трафика, подлежащего шифрованию;
выполнять перехват всего IP-трафика на сетевом уровне модели OSI и блокировать все протоколы, кроме IP;
обеспечивать межсетевое экранирование по совокупности сетевых параметров (сетевой узел, IP, порт, протокол);
фиксировать все события, связанные с фильтрацией IP-трафика, в электронном журнале регистрации IP-пакетов;
принимать централизованные политики безопасности с сервера управления;
выполнять функции DHСP-сервера и агента DHCP-relay;
выполнять функцию DNS-сервера;
выполнять функцию NTP-сервера;
выполнять функцию HTTP-прокси сервера (HTTP, HTTPS);
использовать справочную и ключевую информацию, созданную в ПК управления VPN-сетью;
поддерживать работу с виртуальными локальными сетями (VLAN), соответствующими стандарту IEEE 802.1Q;
обеспечивать возможность агрегации сетевых интерфейсов программно-аппаратного комплекса – механизм bonding с поддержкой протокола LACP (802.3ad);
обеспечивать политику качества обслуживания (QoS) приоритетной обработки средствами сервиса дифференцированного обслуживания (DiffServ);
поддерживать протокол динамической маршрутизации OSPF;
обеспечивать взаимодействие с источником бесперебойного питания (наличие UPS-службы);
поддерживать мониторинг по протоколу SNMP (включая асинхронный режим работы SNMP Traps);
поддерживать удаленное администрирование с помощью графического WEB-интерфейса и протокола SSH;
поддерживать ролевую аутентификацию пользователя и администратора;
обеспечивать контроль целостности ПО, программных модулей и данных, осуществляемый путем вычисления контрольных значений;
обеспечивать автоматический прием и обновления справочной и ключевой информации, а также ПО.
Требования к аппаратному обеспечению
Форм-фактор должен быть выполнен в виде телекоммуникационного сервера, обеспечивать монтаж в стандартную стойку 19″ и иметь высоту не более 1U.
Количество сетевых интерфейсов Ethernet RJ45 10/100/1000 Мбит/с – не менее 4 (четырех).
Количество сетевых интерфейсов Ethernet SFP+ 10 Гбит/с – не менее 4 (четырех).
Требования к производительности
Пропускная способность VPN не менее 2,7 Гбит/с.
Пропускная способность L2 VPN: не менее 2,4 Гбит/с.
Максимальное количество узлов, туннелируемых криптошлюзом: неограниченно.
Требования по сертификации
Должен быть сертифицирован на соответствие требованиям ФСБ России к шифровальным (криптографическим) средствам класса не ниже КС3.
Должен быть сертифицирован на соответствие требованиям ФСБ России устройствам типа межсетевые экраны не ниже 4 класса.
Должен соответствовать требованиям руководящего документа «Требования к межсетевым экранам» (утвержден приказом ФСТЭК России от 9 февраля 2016 г. № 9) для типа «А» не ниже чем по 4-му классу защиты.
| |
