Система XVmatic для борьбы с непредсказуемыми угрозами доверительной среды: неизвестными аппаратными закладками, программными зловредами и противоправными действиями персонала

Система XVmatic. Противодействие неформализованным угрозам доверительной среды, включая неизвестные
программно-аппаратные закладки
и человеческий фактор.

По данным агентства Bloomberg*, с 2009 года было совершено более 555 миллионов случаев потери/кражи данных, в том числе персональных. Наибольшую угрозу представляют хакеры, человеческий фактор и физическая кража оборудования.
Группа компаний "Контрол" предлагает новый программно-аппаратный комплекс XVmatic для борьбы с новыми, непредсказуемыми угрозами доверительной среды.
бинарный принцип разделения компонентов доверительной среды: системный блок, монитор, клавиатура, диски;
работа с удаленной и физически защищенной дисковой системой;
динамическая защита доверительной среды;
запись и восстановление снэп-шотов доверительной среды, с применением оперативного и долговременного архивов;
связь виртуального и реального мира — пространственный 3D-локолайзер персонала и оборудования, биометрический доступ;
интеграция сертифицированных средств защиты информации с компонентами физической охраны, регламентами работы и бизнес-процессами;
регистрация информационного следа с применением анализа метаданных;
независимость системы защиты информации от операционной системы и вычислительной среды вплоть до физического разделения.

Новая архитектура XVmatic реализует новые технологии:
Независимость системы защиты информации от операционной системы и вычислительной среды вплоть до физического разделения
Стандартная система
Наша система
Если система защиты является частью защищаемого объекта, она может быть отключена зловредом или сама стать источником вирусов и зловредов для объекта защиты.
Система XVmatic физически отделена от защищаемого объекта. Нет никаких цифровых интерфейсов, связывающих обе системы. При этом осуществляется контроль доступа, биометрическая верификация, охрана рабочих мест и серверов. Такой подход позволяет исключить даже теоретическую возможность занесения в защищаемую среду зловредов или вирусов.
Бинарный принцип разделения компонентов оборудования
Система разделяется на несколько компонентов. Тогда любые программы, в том числе зловреды, не могут работать.
Для выполнения рабочих процессов компоненты объединяются независимыми внешними устройствами - контроллером IDmatic KR/M001 и периферийным контроллером IDmatic KS/M001.
Процесс объединения выполняется по заданному сценарию и регламенту.
Работа с удаленной и физически защищенной дисковой системой
Запись и восстановление бинарного образа системы доверительной среды, с применением оперативного и долговременного архивов
Оперативное дисковое пространство
Для защиты от закладок "нулевого дня" используется бинарный образ системы, записанный в архив долговременного хранения. Если работа ведется в течение года, в каждый момент времени задействован только один сервер, остальные - выключены. Поэтому в "нулевой день" бинарный образ системы на большей части оборудования будет недоступен для атаки.
Работа ведется в течение одной-двух недель. В случае аварии или заражения вирусом можно быстро восстановить систему после сбоя по бинарному образу системы.

Долговременное дисковое пространство
Сервер клиентских образов Fractal-CI обеспечивает только работу оперативного дискового массива. Клиентский образ - это операционная система с программным окружением, которая запускается на рабочем месте.
При запуске рабочего места клиентский образ создается как клон "золотой" копии операционной системы с программным окружением. При завершении работы этот клиентский образ стирается, уничтожая все внесенные при работе вирусы и зловреды.
Вычисления выполняются непосредственно на рабочем месте, используя его процессор, 3d-ускоритель и всю периферию.
Диска в системном блоке рабочего места нет.
Экономия средств.
Для стандартной системы на 100 компьютеров требуется 100 дисков и больше. В системе XVmatic потребуется 6 дисков на сервере клиентских образов.
Все данные, полученные системой XVmatic, ее сценарии и регламенты могут быть использованы для управления и объективного контроля бизнес-процессов предприятия.
Комфортная работа пользователя на рабочем месте
свобода выбора операционной системы: Linux или Windows;
бесшумная рабочая среда;
возможность запуска своего клиентского образа на любом рабочем месте.
Управление установкой и обновлением операционных систем, приложений, драйверов осуществляется администратором с одного рабочего места для всех сотрудников.
Все рабочие места связаны с сервером через компьютерную сеть.
*Источник: http://www.bloomberg.com/infographics/2014-05-14/target-data-breach.html
Как работает XVmatic с разными угрозами?
Внешние угрозы
Действия персонала
Физическая кража
Под действиями персонала мы понимаем:
человеческий фактор, случайность - неумышленные действия сотрудников, которые приводят к потере данных;
мошенничество - вынуждение сотрудников совершать какие-либо действия, которые приводят к хищению или потере данных;
действия инсайдеров - умышленные действия сотрудников, обладающих определенными полномочиями, которые приводят к хищению данных.
действия
персонала
Технологии защиты от действий персонала
Сценарий "4-х глаз"
Одновременная работа на одном рабочем месте двух сотрудников.
Если один из них покинет помещение, в котором находится рабочее место, сеанс автоматически прерывается.
Работа под контролем дежурного службы безопасности
Постоянный мониторинг действий пользователя посредством видеокамеры, расположенной перед оператором, и устройства захвата изображения на экране компьютера.
Удаленный контроль руководителем
Как за действиями операторов рабочих мест, так и за действиями дежурной службы в экстренных ситуациях.
Автоматизированный контроль
Используются СКД, биометрия, видеонаблюдение, управление сценариями и регламентами.
Технология процессов, регламентов и сценариев
Управление процессами и регламентами в системе XVmatic позволяет сделать физически невозможным нарушение предписанных правил.
Технология непрерывного мониторинга парольной защиты
Распознавание лица через камеру на компьютере позволяет отключить мышь, клавиатуру и монитор от процессор, если оператор покидает рабочее место.
Связь виртуального и реального мира — пространственный 3D-локолайзер персонала и оборудования по Hands Free, биометрический доступ.
Интеграция сертифицированных средств защиты информации с компонентами физической охраны, регламентами работы и бизнес-процессами
Доступ к рабочим местам осуществляется по профилю, в котором учитывается время доступа, номер помещения, номер радиокарты, пароль, биометрические и другие данные пользователя. Применение 3D-локалайзера по Hands Free, включающего радиочастотные метки для пользователей и оборудования, а также средства локации для пространственного обнаружения этих меток, позволяет однозначно идентифицировать сотрудника не только в виртуальном, но и в физическом пространстве. Для привязки радиочастотной метки к конкретному человеку используется биометрия.
Дополнительно осуществляется видеонаблюдение в помещениях, регистрируются изображения на мониторах рабочих мест, работает охранная сигнализация, установленная на средствах вычислительной техники.
Технологии информационного следа и анализа инцидентов по базе метаданных
Интеллектуальный поиск при расследовании инцидентов
интеграция с системами охранной сигнализации, видеонаблюдения, контроля доступа. Проход по карточкам, биометрии, RFID-меткам;
хранение клиентских образов на защищенном сервере в отдельном помещении;
отсутствие информации на клиентских рабочих местах;
информационный след: совокупность всех данных информационных и физических систем защиты для расследования инцидентов.
Технологии защиты от физической кражи оборудования
Спасибо за внимание!
Группа Компаний "Контрол"
http://controlgroup.ru/
http://idmatic.ru/
http://hifivideo.ru/
Современные системы защищают от известных и изученных угроз:
хакеров, закладок, зловредов.

Но не помогают от:
неизвестных аппаратных закладок;
неизвестных программных зловредов;
случайной потери данных;
умышленных противоправных действий персонала.

Существует бинарное разделение элементов в некоторых видах взрывчатых веществ.
По-отдельности их можно хранить и перевозить, опасности они не представляют. Но как только элементы смешиваются, соединение становится взрывоопасно.
Бинарный принцип
Применение системы XVmatic позволяет пользователям оптимизировать число лицензий.
Нужны лицензии только для работы в конкретный момент времени, а не на каждое рабочее место. Аналогично интернет-компании делят канал на большое число пользователей.
Процесс оптимизации необходимо строить в соответствии с лицензионным соглашением каждого программного продукта отдельно.
Дополнительные
бонусы
Повышение отдачи от вложений в технические средства охраны
Контроль бизнес-процессов
Разделение компонентов рабочего места защищает от угроз вирусов, когда на нем не выполняются основные операции.
Разделение системы защиты и защищаемого объекта позволяет, с одной стороны, исключить возможность внедрения зловредов или вирусов со стороны защиты, и, с другой стороны, не допустить отключение самой защиты вирусами, находящимися на объекте.
Создание клиентского образа как клона "золотой" копии проверенной операционной системы с программным окружением при запуске рабочего места позволяет предотвратить угрозу длительного воздействия вирусов или зловредов.
Разделение дискового пространства на оперативное и долговременное позволяет устранить опасности закладок "нулевого дня".
переход на "горячий" резервный сервер в случае выхода из строя сервера клиентских образов;
RAID с поддержкой непрерывной работы сервера клиентских образов при выходе из строя до 3 дисков;
точки восстановления системных данных с интервалом 15 минут и сроком хранения до года.
Повышение надежности
использование ресурсов рабочих станций, в отличие от технологии "тонкого" клиента;
многоуровневая система хранения - multi-tier storage с твердотельной памятью;
применение быстрых алгоритмов сжатия клиентских образов, позволяющих до трех раз сократить объем данных без потери производительности.

Увеличение производительности вычислительной среды:
Централизованное администрирование
Оптимизация количества лицензий
Если представить компьютер как организм, то защиту информации можно интерпретировать как лечение известных вирусов соответствующими лекарствами.

Мы предлагаем в рамках этой аналогии "компьютерную гигиену" - способы уничтожения всех вирусов: как известных, так и неизвестных.

Мы используем не лекарства для лечения заболеваний, а средства для их предупреждения.

Динамическая защита доверительной среды
Процесс идентификации пользователя и доверительной загрузки операционной системы происходит в два этапа:
1. Загружается доверительная среда, в которой проходит процесс идентификации по паролю, биометрическим данным и радочастотной метке.
2. В случае успешного прохождения процесса идентификации пользователя, происходит доверительная загрузка его клиентской среды для работы.
1
2
Это подтверждает тот факт, что в конце 2014 года произошла атака хакеров на компанию Sony Pictures, которая была оснащена всеми современными средствами защиты информации. Тем не менее, генеральный директор компании Майкл Линтон впоследствии сказал: “Мы как "канарейки в шахте", у нас нет плана действий против новой аналогичной атаки“. Существующая защита не помогла.