Кибербезопасность в условиях электронного банкинга. Практическое пособие

Заметим, что есть производители, у которых терминалы одной модели, абсолютно идентичные по всем параметрам спецификации, на поверку не имеют ничего общего между собой (даже построены на разных чипсетах). Однако это уже, как говорится, другая история.

Итак, возможность строить систему на разнородных СВТ – это очень существенный плюс. Однако «в тени» этого плюса скрывается сложность, связанная с тем, что среда исполнения клиентского ПО (любого – терминального клиента, браузера, клиента Horizon View и пр.) во всех этих случаях (на подлежащих списанию ПЭВМ под Windows XP, мощных машинах проектировщиков под каким-нибудь специфическим Linux, ноутбуке руководителя с Windows 10, ноутбуках или планшетах агентов или инспекторов – вовсе с гарвардской архитектурой) окажется разной.

Это не проблема, если в системе не нужно обеспечивать информационную безопасность, так как клиентское ПО есть практически для любой ОС.

Если же система удаленного доступа должна быть защищенной, то необходимо контролировать вычислительную среду всех типов клиентов, иначе получается классическая дыра в заборе, сводящая на нет его высоту и острые шипы по периметру. Выгода централизованной системы в части организации защиты информации связана именно с унификацией предмета защиты – ОС клиента, узкоспециальной, обычно небольшой по объему, а следовательно, легко контролируемой.

Если мы теряем эту особенность, то фактически задача с точки зрения защиты информации сводится к точно такой же, как если бы в системе применялись обыкновенные ПЭВМ, только к их количеству и разнообразию добавляются серверы. Более того, любая система, в которой одно и то же СВТ применяется в нескольких режимах, требует, помимо защищенности в каждом режиме отдельно, еще и доказанного отсутствия взаимовлияния этих режимов.

Стоит ли тогда вообще игра свеч? Безусловно, защита – это только одна сторона дела, и, возможно, не так критично, что теряется выгода именно в ней, ведь остается масса других плюсов, а защита вообще редко связана с выгодой.

Однако есть решение, позволяющее не терять выгоду унификации клиента, но не терять и возможность использовать в этом качестве практически любые СВТ, – это загрузка на СВТ необходимой (унифицированной, контролируемой) среды только на тот период, когда оно должно работать в качестве клиента централизованной системы.

Естественно, для СВТ разных типов и назначений нужно использовать различные (подходящие к каждому конкретному случаю) способы обеспечения загрузки этой контролируемой среды, но она всегда должна быть организована таким образом, чтобы загружаемая для работы в системе удаленного доступа среда не влияла на основную среду СВТ и наоборот.

В настоящее время на отечественном рынке представлены решения всех необходимых типов. Их можно разделить на группы в соответствии с ключевыми особенностями защищаемого СВТ:

1) СВТ разных моделей от разных производителей, основная задача которых – работа в системе удаленного доступа (классические «тонкие клиенты»);

2) СВТ – это компьютеры с различными характеристиками, для которых работа в сессии связи с сервером – эпизодическая задача, а в основном пользователи работают с собственными ресурсами СВТ или с веб-системой;

3) компьютер (ноутбук) руководителя.

Последний тип вполне разумно выносить в отдельную категорию, потому что при всей своей немногочисленности в штатном составе организации руководители – это не та категория сотрудников, которой можно пренебречь.

Рассмотрим, чем будет отличаться загрузка эталонной ОС в этих случаях.

Классические «тонкие клиенты»

Унифицировать среду исполнения ПО и одновременно сделать ее защищенной, но гибкой и администрируемой можно с использованием комплексов защищенного хранения и сетевой загрузки ОС терминальных станций.

Универсальная часть образа ОС клиента загружается с отчуждаемого персонального устройства пользователя, а затем та часть образа, которая требует администрирования, скачивается на клиент со специального сервера хранения и сетевой загрузки и после успешной проверки целостности и аутентичности полученного образа загружается. Эта часть образа, включающая средства поддержки периферии (она может выходить из строя или просто заменяться), ограничения доступа к устройствам ввода-вывода и съемным носителям (принтерам, флешкам) и тому подобные «индивидуальные» настройки, должна быть доступной для изменений, но в то же время верифицируемой. Это и обеспечивается комплексами защищенного хранения и сетевой загрузки образов терминальных станций.

Таким комплексом средств защищенного хранения и загрузки по сети образов ПО терминальных станций является ПАК «Центр-Т».

Работа с ЦОД как эпизодическая задача

Если работа в терминальной, виртуальной сессии или веб-сессии является эпизодической задачей, то требования к ОС клиента минимальны, а его модификации маловероятны – во всяком случае, крайне редки.