Rambler's Top100
Статьи ИКС № 8 2006
Галина БОЛЬШОВА  01 августа 2006

Информбезопасность средь белой ночи

Одна из таких конференций, организованная AladdinRussia (A-R) и ее израильским партнером Aladdin Knowledge Systems (AKS), прошла в разгар белых ночей в С.-Петербурге. На панельных дискуссиях о проблемах рынка откровенно говорили пользователи СИБ из разных вертикальных рынков.

Российские тенденции

Рост угроз в области информбезопасности, особенно связанных с человеческим фактором, отразился и на корпоративном рынке России. В 2004–2005 гг. началось массовое внедрение технологий открытых ключей (PKI) и смарт-карт. При этом маятник качнулся в сторону встроенных PKI, что свидетельствует о качественных изменениях самой технологии.

Отсутствие развернутой инфраструктуры PKI и адекватных систем управления резко тормозило проекты. А наличие в системах унаследованных приложений (не относящихся к PKI) требовало для их интеграции дорогостоящих средств сопряжения с системой защиты, что порождало дополнительные сложности при реализации технологии Single Sign-On. Стимулом для реализации многих решений стало появление систем управления жизненным циклом программно-аппаратных ключей доступа со своими инструментальными средствами (для Aladdin таким средством оказалась Token Management System). С. Груздев, гендиректор A-R, считает, что сегмент токенов развивается в нашей стране в русле мировой тенденции: растет спрос на единый токен, или смарт-карту со встроенным чипом пассивных радиометок RFID, позволяющую попасть в помещения офиса, в сеть компании, получить доступ к приложениям. Производство таких ключей (eToken Pro) организовано в Москве.

Другая тенденция – желание корпоративного рынка покупать сертифицированные токены и приложения по их управлению. При этом, по данным С. Груздева, соотношение объемов продаж USB-ключей и смарт-карт за последний год изменилось в процентном отношении от 80:20 до 70:30.

На производство eToken Pro (сегодня им пользуются порядка 20 удостоверяющих центров) A-R имеет сертификаты ФСТЭК по РД и ГОСТ Р 15408. Ключ входит в базовый комплект поставки ОС Microsoft Windows XP и может использоваться для аутентификации пользователей в системах, обрабатывающих конфиденциальную информацию до класса защищенности 1Г включительно.

Характерная черта современного корпоративного рынка – разочарованность в биометрических методах контроля. Их перестали рассматривать как достойную для аутентификации технологию. Очевидно, причиной стали неудачные решения для считывателей биометрических характеристик. Однако, как сообщил региональный менеджер AKS по России и СНГ Д. Зелдин, разработчики продолжают исследовать эту технологию, сделав упор не на статические (радужка, дактилоскопия и пр.), а на динамические параметры. Так, AKS ведет разработки биодинамического считывателя индивидуальных шумов сердца, однако сроки выпуска коммерческого продукта не называются.

Навстречу требованиям

В связи с массовым внедрением на российском рынке средств ЭЦП и инфраструктуры PKI возникла острая необходимость в аппаратной реализации российской криптографии как для ЭЦП, так и для шифрования данных в ИС госорганизаций. Такие решения представили «Крипто Про» и «ЛИССИ» (Лаборатория испытаний средств и систем информатизации) – соответственно eToken Cripto Pro и СЗКИ LirSSL.

Аппаратно-программный комплекс eToken Cripto Pro предназначен для безопасного хранения и использования закрытого ключа «КриптоПро» CSP в соответствии с ГОСТ Р 34.10-2001. Продукт поставляется с высокоуровневой библиотекой Microsoft CryptoAPI и не требует модификации кода приложений. Платформонезависимое СКЗИ LirSSL обеспечивает шифрование и контроль целостности данных (по ГОСТ 28147-89), вычисление хеш-функции (ГОСТ Р 34.11-94), определение и проверку ЭЦП (ГОСТ Р 34.1094 и Р 34.10-2001).

Спам и вирусы – общая беда пользователей. Поэтому AKS с особой тщательностью отнеслась к разработке системы проактивной контентной защиты eSafe. По словам вице-президента компании Ш. Групера, eSafe обеспечивает защиту электронной почты от вредоносного и нежелательного контента, а Интернет трафика – от spyware, adware, фишинга, атак с использованием уязвимостей ОС и ПО. Система способна выборочно устанавливать ограничения для доступа к сайтам. Главный ее козырь – проактивность, способность предотвращать вторжение без знания сигнатуры вируса и до появления официальной публикации уязвимости ПО. Продукт начал работать на сети провайдера OCC, в том числе как платная услуга защиты от вредоносного контента «индивидуалов» – карта «Светофор» на 50, 80 и 150 ч безопасной работы. Гендиректор ОСС М. Авдеев сообщил, что за две недели было продано около тысячи таких карт предоплаты. По данным Aladdin, идут переговоры еще с несколькими российскими провайдерами об установке eSafe.

Новинки компании в области контентной защиты – шлюзы Spyware Neutralizer и NitroInspection. Последний полностью контролирует содержимое HTTP/HTML-трафика при 30 Мбит/c и уже эксплуатируется за рубежом.

Где вы, системные интеграторы?

Панельные дискуссии «Что беспокоит компании?» и «Диалог заказчика и вендора» высветили насущную проблему рынка, лаконично сформулированную начальником службы ИБ банка «Возрождение» А. Грициенко: в стране нет системного интегратора, способного построить безопасную информационную систему с учетом всех требований компании и за разумные деньги. В результате разработчики создают продукты защиты без учета нужд заказчиков. (На вопрос, к кому из системных интеграторов-участников – «AMT-Груп», «Крок», «Элвис-Плюс», «Инфосистемы Джет», IBM – обращался банк, выступавший ответил: «К IBM мы не обращались».)

Пытаясь уйти от критики, представители «Крок» и «АМТ-Груп» упирали на сложность созданияСИБ и упрекали заказчиков в том, что те «не всегда знают, зачем им СИБ». Но это не уменьшило недовольства пользователей. А выступление А. Галицкого из серии «IBM может всё» вызвало в ответ лишь скептическую реплику: «Но за какие деньги!».

Многим компаниям-пользователям приходится ограничиваться паллиативом СИБ либо самим разрабатывать дополнительные модули и сопрягать продукты разных поставщиков. По такому пути пошел и банк «Возрождение». Впечатление от представленной им системы с использованием продуктов Aladdin было таково, что многие из присутствовавших готовы были немедленно сделать заказ.

Общий настрой явно свидетельствовал о неудовлетворенном спросе. Высказывались мнения ввести сертификацию системных интеграторов, работающих в области ИБ. Отмечалось не только низкое качество их работы, но и отсутствие полной документации по проектам. И это у опытных игроков рынка ИБ! Что же тогда говорить о новичках, которые только осваивают это поле деятельности?! Вот почему многие заказчики и считают лучшим выходом из ситуации обязательное наличие лицензии у системных интеграторов.

Наиболее востребованные решения
  • Вход в сеть и регистрация пользователей в службе каталога.
  • Защищенный удаленный доступ к электронной почте и в корпоративный портал, администрирование.
  • Корпоративные удостоверяющие центры – хранение ключей и сертификатов на токенах.
  • Защита мобильных пользователей – вход в компьютер по ключу, шифрование дисков, VPN, GPRS/dial up, почта
  • Защита БД – доступ по сертификатам и через корпоративные порталы, селективное/полное шифрование, персонифицированный аудит.
  • Встраивание сертифицированной российской криптографии в импортные продукты
  • Аутентификация по токенам на тонком клиенте/терминальной станции.

Заметили неточность или опечатку в тексте? Выделите её мышкой и нажмите: Ctrl + Enter. Спасибо!