Kürzlich habe ich Erfahrung bei der Suche nach einer Lösung für die Organisation eines zentralisierten Zugangs zu elektronischen Schutzschlüsseln geteilt Lassen Sie uns also zunächst mit den Ausgangsbedingungen klären.
Eine große Anzahl von elektronischen Schutzschlüsseln.
- Der Zugang dazu ist aus verschiedenen geografischen Orten notwendig.
- Wir betrachten nur Hardwarelösungen USB over IP und versuchen, diese Lösung durch zusätzliche organisatorische und technische Maßnahmen abzusichern (Alternative Optionen werden vorerst nicht betrachtet).
- Im Rahmen des Artikels werde ich die von uns betrachteten Bedrohungsmodelle nicht vollständig darlegen (vieles kann angesehen werden in
- ), aber ich werde mich stichwortartig auf zwei Punkte konzentrieren. Wir schließen soziale Ingenieurkunst und rechtswidrige Handlungen der Benutzer selbst aus. Wir betrachten Möglichkeiten des unbefugten Zugangs zu USB-Geräten aus einem der Netzwerke, ohne die Standard-Anmeldedaten zu besitzen. Um die Sicherheit des Zugangs zu USB-Geräten zu gewährleisten, wurden organisatorische und technische Maßnahmen ergriffen:
1. Organisatorische Sicherheitsmaßnahmen.
Ein verwalteter USB over IP-Hub ist in einem qualitativ hochwertig abschließbaren Serverschrank installiert. Der physische Zugang zu ihm ist geregelt (Zutrittskontrollsystem im Raum, Videoüberwachung, Schlüssel und Zugriffsrechte sind nur einer strikt begrenzten Personengruppe vorbehalten).
Alle in der Organisation verwendeten USB-Geräte sind grob in drei Gruppen unterteilt:
Kritisch. Finanzielle elektronische Signaturen – werden gemäß den Empfehlungen der Banken verwendet (nicht über USB over IP)
- Wichtig. Elektronische Signaturen für Marktplätze, Dienstleistungen, elektronische Dokumentenverarbeitung, Berichterstattung usw., einige Schlüssel für Software – werden unter Verwendung eines verwalteten USB over IP-Hubs verwendet.
- Nicht kritisch. Mehrere Schlüssel für Software, Kameras, mehrere USB-Sticks und Festplatten mit nicht kritischen Informationen, USB-Modems – werden unter Verwendung eines verwalteten USB over IP-Hubs verwendet.
- 2. Technische Sicherheitsmaßnahmen.
Der Netzwerkzugang zum verwalteten USB over IP-Hub wird nur innerhalb eines isolierten Subnetzes bereitgestellt. Der Zugang zum isolierten Subnetz wird gewährt:
vom Terminalserver-Pool,
- über VPN (Zertifikat und Passwort) einer begrenzten Anzahl von Computern und Laptops, die über VPN feste IP-Adressen erhalten,
- über VPN (Zertifikat und Passwort) für eine begrenzte Anzahl von Computern und Laptops, erhalten sie über VPN feste Adressen.
- über VPN-Tunnel, die die regionalen Büros verbinden.
Bei dem verwalteten USB-over-IP-Hub DistKontrolUSB sind die folgenden Funktionen mit seinen integrierten Mitteln konfiguriert:
- Der Zugang zu USB-Geräten des USB-over-IP-Hubs erfolgt unter Verwendung von Verschlüsselung (die Verschlüsselung SSL ist am Hub aktiviert), obwohl dies möglicherweise bereits überflüssig ist.
- Es wurde ein 'Zugriffsrestriktion auf USB-Geräte nach IP-Adresse' eingerichtet. Je nach IP-Adresse wird den Benutzern der Zugang zu bestimmten USB-Geräten gewährt oder verweigert.
- Es wurde eine 'Zugriffsrestriktion auf den USB-Port nach Benutzername und Passwort' eingerichtet. Entsprechend wurden den Benutzern Zugriffsrechte auf die USB-Geräte zugewiesen.
- Die 'Zugriffsrestriktion auf USB-Geräte nach Benutzername und Passwort' wurde entschieden, nicht zu verwenden, da alle USB-Sticks stationär an den USB-over-IP-Hub angeschlossen sind und nicht von Port zu Port bewegt werden. Für uns ist es logischer, den Benutzern Zugang zum USB-Port zu gewähren, in den langfristig ein USB-Gerät eingesteckt ist.
- Die physische Aktivierung und Deaktivierung der USB-Ports erfolgt:
- Für Software-Schlüssel und EDO – durch den Taskplaner und die zugewiesenen Aufgaben des Hubs (einige Schlüssel wurden so programmiert, dass sie um 9:00 Uhr aktiviert und um 18:00 Uhr deaktiviert werden, einige von 13:00 bis 16:00);
- Für Schlüssel von Handelsplattformen und einigen Softwareanwendungen – von Benutzern mit Berechtigungen über die WEB-Oberfläche;
- Kameras, einige USB-Sticks und Festplatten mit nicht kritischen Informationen – sind immer eingeschaltet.
Wir nehmen an, dass eine solche Organisation des Zugangs zu USB-Geräten deren sichere Nutzung gewährleistet:
- von regionalen Büros (bedingt NET Nr. 1 …… NET Nr. N),
- für eine begrenzte Anzahl von Computern und Laptops, die USB-Geräte über das globale Netzwerk anschließen,
- für Benutzer, die auf den Terminalservern von Anwendung veröffentlicht sind.
In den Kommentaren würden wir gerne konkretere praktische Maßnahmen hören, die die Informationssicherheit beim globalen Zugang zu USB-Geräten erhöhen.
Quelle: habr.com
