Nedavno sem delil v naši organizaciji. V komentarjih so bili dvignjeni resni pomisleki glede informacijske varnosti strojnih rešitev USB over IP, kar nas prav tako zelo skrbi.
Torej, najprej se moramo dogovoriti o izhodiščnih pogojih.
- Veliko število ključev elektronske zaščite.
- Dostop do njih je potreben iz različnih geografskih lokacij.
- Obravnavamo samo strojne rešitve USB over IP in poskušamo to rešitev zaščititi z dodatnimi organizacijskimi in tehničnimi ukrepi (vprašanje alternativ zaenkrat ne obravnavamo).
- V okviru članka ne bom v celoti opisoval obravnavanih modelov groženj (veliko lahko preberete v ), ampak se bom osredotočil na dva vidika. Iz modela izključujemo socialno inženirstvo in nezakonita dejanja samih uporabnikov. Obravnavajmo možnosti nepooblaščenega dostopa do USB naprav iz katere koli od mrež brez uradnih prijavnih podatkov.
Za zagotovitev varnosti dostopa do USB naprav so bili sprejeti organizacijski in tehnični ukrepi:
1. Organizacijski varnostni ukrepi.
Upravljen USB over IP koncentrator je nameščen v kakovostno zaklenjen strežniški omarici. Fizični dostop do njega je urejen (SCD v samo prostore, video nadzor, ključi in pravice dostopa so v rokah strogo omejenega kroga oseb).
Vse USB naprave, uporabljene v organizaciji, so pogojno razdeljene v 3 skupine:
- Kritične. Finančne elektronske podpise – uporabljajo se v skladu z priporočili bank (ne prek USB over IP)
- Pomembne. Elektronski podpisi za trgovske trge, storitve, EDO, poročila itd., nekaj ključev za programsko opremo – uporabljajo se z uporabo upravljanega USB over IP koncentratorja.
- Ne kritične. Nekateri ključi za programsko opremo, kamere, nekateri USB ključi in diski z nekritičnimi informacijami, USB modemi – uporabljajo se z uporabo upravljanega USB over IP koncentratorja.
2. Tehnični varnostni ukrepi.
Omrežni dostop do upravljanega USB over IP koncentratorja je dovoljen le znotraj izoliranega podomrežja. Dostop do izoliranega podomrežja je omogočen:
- iz farme terminalskih strežnikov,
- po VPN (certifikat in geslo) omejenemu številu računalnikov in prenosnikov, preko VPN pa so dodeljeni stalni naslovi,
- prek VPN tunelih, ki povezujejo regionalne pisarne.
Na najbolj upravljanem USB over IP koncentratorju DistKontrolUSB so s pomočjo njegovih privzetih funkcij nastavljene naslednje možnosti:
- Za dostop do USB naprav USB over IP koncentratorja se uporablja šifriranje (na koncentratorju je vklopljena SSL šifriranje), čeprav je to morda že odvečno.
- Nastavljeno je 'omejitev dostopa do USB naprav po IP naslovu'. Odvisno od IP naslova, uporabniku odobritev ali zavrnitev dostopa do določenih USB naprav.
- Nastavljeno je 'omejitev dostopa do USB priključka po uporabniškem imenu in geslu'. Uporabnikom so dodeljena pravice za dostop do USB naprav.
- 'Omejitev dostopa do USB naprave po uporabniškem imenu in geslu' smo se odločili ne uporabiti, ker so vsi USB ključki trajno priključeni na USB over IP koncentrator in se ne premikajo med priključki. Smiselno je, da uporabnikom omogočimo dostop do USB priključka z napravo, ki je dolgo časa priključena.
- Fizično vklop in izklop USB priključkov se izvaja:
- Za ključke za programsko opremo in EDO — s pomočjo načrtovalnika nalog in dodeljenih nalog koncentratorja (nekateri ključki so programirani za vklop ob 9:00 in izklop ob 18:00, nekateri med 13:00 in 16:00);
- Za ključke za trgovalne platforme in nekatera programska oprema — s strani uporabnikov, ki imajo dovoljenje, preko spletnega vmesnika;
- Kamere, nekateri USB ključki in diski z nekritičnimi informacijami — so vedno vklopljeni.
Predvidevamo, da takšna organizacija dostopa do USB naprav zagotavlja njihovo varno uporabo:
- iz regionalnih pisarn (pogojno NET številka 1 …… NET številka N),
- za omejeno število računalnikov in prenosnikov, ki priključujejo USB naprave preko globalne mreže,
- za uporabnike, objavljene na terminalskih strežnikih aplikacij.
V pripombah bi želeli slišati konkretne praktične ukrepe, ki povečajo informacijsko varnost zagotavljanja globalnega dostopa do USB naprav.
Izvor: habr.com
