אבטחת מידע של פתרונות חומרה USB over IP

שותף לאחרונה ניסיון במציאת פתרון לארגון גישה מרוכזת למפתחות אבטחה אלקטרוניים בארגון שלנו. ההערות העלו בעיה רצינית של אבטחת מידע של פתרונות חומרה USB over IP, שמדאיגה אותנו מאוד.

אז, ראשית, בואו נחליט על התנאים הראשוניים.

• מספר רב של מפתחות אבטחה אלקטרוניים.
• יש לגשת אליהם ממקומות גיאוגרפיים שונים.
• אנו שוקלים רק פתרונות חומרה USB over IP ומנסים לאבטח פתרון זה על ידי נקיטת אמצעים ארגוניים וטכניים נוספים (איננו שוקלים עדיין את סוגיית החלופות).
• במסגרת מאמר זה, לא אתאר במלואו את מודל האיומים שאנו שוקלים (תוכלו לראות הרבה ב פרסום), אבל אתמקד בקצרה בשתי נקודות. אנו לא כוללים הנדסה חברתית ופעולות בלתי חוקיות של המשתמשים עצמם מהמודל. אנו שוקלים אפשרות של גישה לא מורשית להתקני USB מכל רשת ללא אישורים קבועים.

כדי להבטיח אבטחת גישה להתקני USB, ננקטו אמצעים ארגוניים וטכניים:

1. אמצעי אבטחה ארגוניים.

רכזת ה-USB המנוהלת מעל IP מותקנת בארון שרתים איכותי הניתן לנעילה. הגישה הפיזית אליו מיועלת (מערכת בקרת גישה למתחם עצמו, מעקב וידאו, מפתחות וזכויות גישה למספר מצומצם בהחלט של אנשים).

כל התקני ה-USB המשמשים בארגון מחולקים ל-3 קבוצות:

• קריטי. חתימות דיגיטליות פיננסיות - משמשות בהתאם להמלצות הבנקים (לא באמצעות USB over IP)
• חָשׁוּב. חתימות דיגיטליות אלקטרוניות לפלטפורמות מסחר, שירותים, זרימת מסמכים אלקטרוניים, דיווח וכו', מספר מפתחות לתוכנה - משמשות באמצעות רכזת USB מנוהלת על IP.
• לא קריטי. מספר מפתחות תוכנה, מצלמות, מספר כונני הבזק ודיסקים עם מידע לא קריטי, מודמי USB - משמשים באמצעות רכזת USB מנוהלת על IP.

2. אמצעי בטיחות טכניים.

גישה לרשת לרכזת USB מנוהלת דרך IP מסופקת רק בתוך רשת משנה מבודדת. ניתנת גישה לרשת משנה מבודדת:

• מחוות שרתים מסופים,
• באמצעות VPN (תעודה וסיסמה) למספר מוגבל של מחשבים ומחשבים ניידים, באמצעות VPN מונפקות להם כתובות קבועות,
• באמצעות מנהרות VPN המקשרות בין משרדים אזוריים.

ברכזת ה-USB המנוהלת על ה-IP DistKontrolUSB, באמצעות הכלים הסטנדרטיים שלו, מוגדרות הפונקציות הבאות:

• כדי לגשת להתקני USB ברכזת USB over IP, נעשה שימוש בהצפנה (הצפנת SSL מופעלת ברכזת), אם כי הדבר עשוי להיות מיותר.
• "הגבלת גישה להתקני USB לפי כתובת IP" מוגדרת. בהתאם לכתובת ה-IP, למשתמש ניתנת או לא ניתנת גישה להתקני USB שהוקצו.
• "הגבלת גישה ליציאת ה-USB על ידי התחברות וסיסמה" מוגדרת. בהתאם, למשתמשים מוקצות זכויות גישה להתקני USB.
• "הגבלת גישה להתקן USB על ידי התחברות וסיסמה" הוחלט שלא להשתמש, משום כל מפתחות ה-USB מחוברים ל-USB over IP לצמיתות ולא ניתן להעביר אותם מיציאה ליציאה. הגיוני יותר עבורנו לספק למשתמשים גישה ליציאת USB עם התקן USB מותקן בה למשך זמן רב.
• הפעלה וכיבוי פיזית של יציאות USB מתבצעת:
  • עבור מפתחות תוכנה ומפתחות מסמכים אלקטרוניים - שימוש במתזמן המשימות ובמשימות המוקצות של הרכזת (מספר מפתחות תוכנתו להידלק בשעה 9.00 ולכבות בשעה 18.00, מספר משעה 13.00 עד 16.00);
  • למפתחות לזירות מסחר ומספר תוכנות - על ידי משתמשים מורשים דרך ממשק WEB;
  • מצלמות, מספר כונני הבזק ודיסקים עם מידע לא קריטי מופעלים תמיד.

אנו מניחים שארגון זה של גישה להתקני USB מבטיח שימוש בטוח בהם:

• ממשרדים אזוריים (בתנאי NET מס' 1...... NET מס' N),
• עבור מספר מוגבל של מחשבים ומחשבים ניידים המחברים התקני USB דרך הרשת העולמית,
• עבור משתמשים המתפרסמים בשרתי יישומי מסוף.

בהערות, הייתי רוצה לשמוע צעדים מעשיים ספציפיים המגבירים את אבטחת המידע של מתן גישה גלובלית להתקני USB.

מקור: www.habr.com