Hiljuti jagas meie organisatsioonis. Kommentaarides tĂ”status tĂ”sine kĂŒsimus USB over IP riistvara lahenduste infoturbest, mis meid samuti vĂ€ga muretseb.
Nii et alustame ikkagi algtingimuste mÀÀratlemisega.
- Suure arvu elektrooniliste kaitsevÔtmete olemasolu.
- JuurdepÀÀs neile on vajalik erinevatest geograafilistest asukohtadest.
- Keskendume ainult USB over IP riistvara lahendustele ja pĂŒĂŒame tagada selle lahenduse turvalisuse tĂ€iendavate organisatsiooniliste ja tehniliste meetmetega (alternatiivide kĂŒsimusi hetkel ei aruta).
- Artiklis ei hakka ma tĂ€ielikult kĂ€sitlema meie arutatavaid ohumudeleid (palju saab vaadata ), kuid peatun lĂŒhidalt kahel punktile. JĂ€tame mudelist vĂ€lja sotsiaalse inseneri ja Ă”igusrikkumised kasutajate poolt. Arutame volitamata juurdepÀÀsu vĂ”imalusi USB seadmetele mistahes vĂ”rgust, omamata tavalisi autentimisandmeid.
USB-seadmete ligipÀÀsu tagamiseks on vÔetud organisatsioonilised ja tehnilised meetmed:
1. Organisatsioonilised turvameetmed.
HĂ€sti suletud lukustatavat juhtimist pakkuv USB over IP keskpunkt on paigaldatud serveririiulisse. FĂŒĂŒsiline ligipÀÀs sellele on korraldatud (sissepÀÀs turvameetmete all, videovalve, vĂ”tmed ja ligipÀÀsuĂ”igused on rangelt piiratud ringile).
KÔik organisatsioonis kasutatavad USB-seadmed on tinglikult jagatud 3 gruppi:
- Kriitilised. Finantsalased digitaalsed allkirjad â kasutatakse vastavalt pankade soovitustele (mitte lĂ€bi USB over IP).
- Olulised. Digitaalsed allkirjad kauplemisplatvormidel, teenustes, digitaalses dokumendivahetuses, aruandluses jne, mitmed vĂ”tmed tarkvara jaoks â kasutatakse koos haldusvĂ”imekusega USB over IP keskpunktiga.
- Mitte kriitilised. Mitmed vĂ”tmed tarkvara jaoks, kaamerad, mĂ”ned mĂ€lupulgad ja kettad mitte-kriitilise teabega, USB modemid â kasutatakse koos haldusvĂ”imekusega USB over IP keskpunktiga.
2. Tehnilised turvameetmed.
Juhtimist pakkuvale USB over IP keskpunktile on vÔrgupÀÀs vÔimaldatud ainult isoleeritud alamsvÔrgus. Juhtimist pakkuv alamsvÔrk on ligipÀÀsetav:
- terminaliteenuste farmist,
- VPN (sertifikaat ja parool) piiratud arvule arvutitele ja sĂŒlearvutitele, neile antakse VPN kaudu pĂŒsivad aadressid.
- VPN tunnelite kaudu, mis ĂŒhendavad piirkondlikke bĂŒroosid.
DistKontrolUSB managed USB over IP kontrolleril on seadistatud jÀrgmised funktsioonid, kasutades selle standardseid tööriistu:
- USB-seadmete juurdepÀÀsuks USB over IP kontrolleri kaudu kasutatakse krĂŒpteerimist (kontrolleril on SSL-krĂŒpteerimine sisse lĂŒlitatud), kuigi see vĂ”ib juba olla ĂŒlearune.
- On seadistatud "USB seadmete juurdepÀÀsu piiramise funktsioon IP-aadressi jÀrgi". Kasutajale antakse juurdepÀÀs mÀÀratud USB seadmetele sÔltuvalt IP-aadressist.
- On seadistatud "USB pordi juurdepÀÀsu piiramise funktsioon sisselogimise ja parooli jÀrgi". Vastavalt on kasutajatele mÀÀratud Ôigused USB seadmetele ligipÀÀsuks.
- "USB seadme juurdepÀÀsu piiramise funktsioon sisselogimise ja parooli jĂ€rgi" otsustati mitte kasutada, kuna kĂ”ik USB vĂ”tmed on kinnitatud USB over IP kontrollerisse pĂŒsivalt ja portsest porti neid ei liigutata. Meie jaoks on loogilisem anda kasutajatele juurdepÀÀs USB pordile, kuhu on pĂŒsivalt ĂŒhendatud USB seade.
- USB portide fĂŒĂŒsiline sisse- ja vĂ€ljalĂŒlitamine toimub:
- Tarkvara ja EDO vĂ”tmete jaoks - ĂŒlesannete planeerija ja keskuse mÀÀratud ĂŒlesannete abil (teatud vĂ”tmed programmeeriti sisselĂŒlitamiseks kell 9:00 ja vĂ€ljalĂŒlitamiseks kell 18:00, mĂ”ned kell 13:00 kuni 16:00);
- Kaubanduskohvikute ja mÔnede tarkvarade vÔtmete jaoks - kasutajate poolt veebiliidese kaudu lubatud;
- Kaamerad, mĂ”ned mĂ€lupulgad ja kettad, millel on mitte-kriitiline teave - on alati sisse lĂŒlitatud.
Eeldame, et selline juurdepÀÀsu korraldus USB-seadmetele tagab nende ohutu kasutamise:
- regionaalsetest kontoritest (tinglikult NET nr 1 âŠâŠ NET nr N),
- piiratud arvule arvutitele ja sĂŒlearvutitele, mis ĂŒhendavad USB-seadmeid ĂŒle globaalse vĂ”rgu,
- rakendusterminalide serverites avaldatud kasutajatele.
Kommentaarides sooviksime kuulda konkreetseid praktilisi meetmeid, mis suurendavad teabe turvalisust globaalse juurdepÀÀsu vÔimaldamisel USB-seadmetele.
Allikas: habr.com
