Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти
 
Страницы: 1 2 След.
RSS
Защита конф. информации в сети
 
Значится так, есть фирма в которой я работаю и вот что имеется:
1. Есть 2 локальные сети, одна локалка выходит в интернет (назовем сеть А), и одна объединяет просто 5-7 машин (назовем сеть Б). Они не соединены физически, т.е. используется 2 хаба.
2. В одной комнате находятся все компьютеры из сети Б, и один компьютер из сети А. По интернету получают важные данные, записывают их на флэшку, вставляют в соседний компьютер из сети Б и копирует эти данные туда.
3. В сети Б хранятся данные, которые очень хотелось бы чтобы не вынесли. Просто отключить USB у всех компьютеров в сети Б не имеет смысла, т.к. по крайней мере на один компьютер должна поступать данные из "вне", и также с него должна уходить всякая информация типа писем и т.д.
4. И вот директор озадачил меня таким вопросом, не знаю как его и решить. Он даже предложил печатать и сканировать, т.е. на двух соседних машинах будут стоят сканеры и пользователь, который там сидит, должен будет сканировать кучу бумаг как на ту машину так и на другую... Люди в этом отделе уже не довольны, что такая фигня начнется. Но блин и приказы директора нужно выполнять :(

Что посоветуете?
 
может шифрование, смотри в сторону Public Key Infrastructure (PKI). Но будь осторожен, дается всего одна попытка :)
 
Цитата
nalek пишет:
может шифрование, смотри в сторону Public Key Infrastructure (PKI). Но будь осторожен, дается всего одна попытка
А как он работает? Ссылочку можно?
 
незнаю подойдет ли - но можно попробовать вот это ЗАО "Сайфер"
 
На всех машинах сети Б, кроме одной отрубаешь драйвер USB Storage, хочешь опечатай порты или отруби их в Биосе. Дальше ставишь на одну машину сети Б ПО типа DeviceLock (стоит 1000р.), заводишь пользователя с неадминовскими правами, ставишь галочку теневое копирование. Открываешь общую папку для остальных машин, куда можно будет положить файл. Теперь все что скопировали на флэшку или с флэшки можно будет потом посмотреть. Дальше заводишь некий журнал, в которм человек который сидит за этим компом будет фиксировать подключение флэшек. Типа пришел дядя Вася и попросил скопировать файл - записываем это в журнал с фиксацией времени под роспись + прога копирует копию. В таких условиях, злоумышленника можно будет легко вычислить имея запись в журнале и плюс имея копию скопированного файла. Да и после такого, никто не захочет палиться. Да и еще, чтобы можно было еще и привлечь к уголовке, составьте перечень сведений составляющих коммерческую тайну в организации и на всех важных файлах не забывайте ставить отметку "Коммерческая тайна". И все будет у вас замечательно, и не нужны вам будут сканеры.
 
Цитата
Алексей пишет:

Дальше заводишь некий журнал, в которм человек который сидит за этим компом будет фиксировать подключение флэшек. Типа пришел дядя Вася и попросил скопировать файл - записываем это в журнал с фиксацией времени под роспись + прога копирует копию
Да я думаю, что директор будет опасаться, что свои же сотрудники и смогут спионерить данную информацию. Так что я думаю идея с журналом отпадает :(

Но вот я думаю... а можно ли с помощью каких-нибудь криптографических систем (с USB ключом каким нибудь например) постоянно кодировать "общую папку" на компьютере сети Б, потом копировать на рабочую флэшку файл, который нужно отправить по электронке, вставляем затем эту флэшку в компьютер сети А, где установлена тоже криптографическая система, которая раскодирует и можно отправлять то, что нужно.
Т.е. таким образом, они смогут унести конфид. информацию на флэшке, но она будет зашифрована супер-пупер ключом или кодом каким-нибудь.

Только вот как это организовать?
 
DriveCrypt с двумя Е-токен ключами,если я правильно понял вопрос
(если что поправьте)
 
Идея
Цитата
SotM пишет:
Да я думаю, что директор будет опасаться, что свои же сотрудники и смогут спионерить данную информацию.
Так в этом и фишка, если бы не опасался, то так не заморачивался.
А скриптографией- это же такая головная боль. Там закодируй, потом раскодируй, не дай бог ключ сломается. Плюс нужно обучить юзера как с ней работать, а еще запомнить пароль к ключу.
Смысл - минимизировать риски, а не создать кучу трудностей.
Вообще можно было бы все это организовать через МСЭ, объединив эти две сети. Обе выставить в экранированные подсети. сеть А->сервер(где будет общая папка) = можно, сеть А->сеть Б = нельзя, аналогично для сети Б. Вся проблема решена.
 
Цитата
Алексей пишет:
А скриптографией- это же такая головная боль. Там закодируй, потом раскодируй, не дай бог ключ сломается. Плюс нужно обучить юзера как с ней работать, а еще запомнить пароль к ключу.
ну это тоже может быть, просто хотелось бы продумать все возможные варианты.

Цитата
Алексей пишет:
Вообще можно было бы все это организовать через МСЭ, объединив эти две сети. Обе выставить в экранированные подсети. сеть А->сервер(где будет общая папка) = можно, сеть А->сеть Б = нельзя, аналогично для сети Б. Вся проблема решена.
Хммм... а что такое МСЭ? и как эти экранированные подсети сделать? чем их можно "заэкранировать"?
 
В программе DeviceLock есть такая функция "Установить доступ "только чтение" для сменных носителей, жестких дисков и CD-ROM'ов". Возможно это то что вы ищете.
А объединять сети не надо. Нахватаете еще троянов в сеть B из Интернета.
 
Согласен с Ksiva

Можно кстати через БИОС прописать
и пароль в симворлов 10 поставить


Можно организовать через скрипт АД

http://www.securitylab.ru/contest/212096.php
 
2ksiva:
ну в принципе можно было бы и так сделать... но проблема в том, что кроме входящих данных в сеть Б, нужно еще и получать исходящие. Т.е. ограничиться только чтением не получается, нужна еще и запись :(

К тому же если объединить две сети, то ведь тоже можно по инету спокойно отправить эту конфид. информацию кому угодно! Ведь обмен между сетями А и Б должен быть двухсторонний.

Вот такая блин заковырка. И без решения данной проблемы шеф меня не отпускает в отпуск, который должен быть через две недели (с 1-го числа).
 
Ограничение по пользователю вводи через Ад

Или согласно программе DeviceLock
Ты посмотри её функционал может будет достаточно.
А на остальных компах USB закрываешь
Можешь через БИОС
 
Цитата
Acid пишет:
Ограничение по пользователю вводи через Ад
Ты про ActiveDirectory? Нету таковой, и вряд ли захотят тратить деньги на серверную операционку.

Про DeviceLock... я как понял удобно там то, что он может делать копии тех файлов, которые пользователь себе копирует. И потом можно посмотреть что и куда скопировалось. Но ведь эти данные УЖЕ будут скопированы :(
Я щас думаю о варианте, чтобы нельзя было это унести в обычном виде. Эх, но думаю что это всё напрасно, т.к. никакой вариант, к сожалению, не подходит.

(я уже не говорю о том варианте, что пользователь может спокойно всё сфоткать на телефон или даже видео записать, про это я не буду директору говорить, а то он еще что нить придумает  :( ).

Вот если бы найти такой софт, который шифровал бы ВСЁ что пишется на флэшку с машины из сети Б. И чтобы раскодировать эти данные нужен был бы особый ключ, который стоит на машине из сети А, и чтобы этот ключ нельзя было спионерить с машины А.
 
SotM, да, тяжело тебе. Даже если разрешить запись только на фиксированные флешки в сети B, и запретить вынос этих флешек из здания, то все равно нет гарантии что саму флешку не перепишут находясь в здании на другую флешку.
Тут похоже нужно думать что-то на базе криптографии. Посмотри что предлагает Алладин, например. А ты смотрел на вариант, которые тебе уже предложили ("DriveCrypt с двумя Е-токен ключами")?
 
Короче запарился я с поиском супер-пупер программы. Спросил девушку, которая собственно и пользуется компом из сети А и Б. Узнал, что с компа из сети Б почти ничего не надо писать, потом поставил DeviceLock на эту машину и ограничил доступ только для чтения. Таким образом все компы "обезопасены", и ничего нельзя будет вынести. Правда если им всё таки надо будет что-то отправить по электронке...хммм, тут я пока не знаю что и делать. Каждый раз лично приходить и самому копировать? Короче посмотрим. Пока она в 30-ти дневном демо режиме. А потом наверное купим её.
 
Вот вы все печётесь насчет криптографии, ну че с нее толку, нет 100 % защиты, не забывайте что есть еще и принтер, и зачем мне что то копировать с той самой флэшки, если проще всего распечатать, положить десяток листиков за пазуху и тихо выйти. Орг.меры про них нельзя забывать. Блокировать утечку 100% нельзя - можно только уменьшить риски.
 
Цитата
oligarh пишет:

                                                               Вот вы все печётесь насчет криптографии, ну че с нее толку, нет 100 % защиты, не забывайте что есть еще и принтер, и зачем мне что то копировать с той самой флэшки, если проще всего распечатать, положить десяток листиков за пазуху и тихо выйти. Орг.меры про них нельзя забывать. Блокировать утечку 100% нельзя - можно только уменьшить риски.
Самое удивительное то, что именно так думает больше половины населения всей земли: "Ой да кому я нужен, у меня не чего воровать"
Ну если не чего брать, можно выложить все свои секреты(пароли, компромитирующую иннформацию и т.д) в отдельный топик форума, и не парится о том, что у Вас что то будут красть. Половина от той половины, что так думает, при краже информации начинает задумываться о том, что надо как то себя обезопасить, а остальная часть дальше продолжает так думать. Конечно, несуществует 100% защиты, но делать лёгкой жизнь взломцику тоже не стоит.
Для примера: Зачем у Вас на входной двери в дом стоит замок? Ведь как Вы утверждаете 100% защиты не существует, а существуют окна, балконы. Зачем кому-то вламываться к Вам в дверь, когда можно проникнуть через окно? Не надо говорить, что это не возможно, уже такие случаи были. Высота тоже не помеха. Притворится монтажником и проникнуть к Вам в дом не чего не стоит. И можно продолжать список. Всё зависит от ценности информации которую Вы защищаете. Если информация очень важна взломщику, то он пойдёт на любые уловки что бы ей завладеть.
Если у Вас не чего не хранится ценного, то это не значит, что не надо ставить защиту. К примеру для меня некая информация  не представляет ценности, но найдётся такой человек, кто хотел бы ей завладеть. Проблема с принтером, решается просто. Не разрешать посылку на печать с недоверенных хостов. Или поставить принтер так, что бы при получении распечаток было видно кто за ними приходит и если это не знакомая личность принять соответствующие меры.
Как это от криптографии не толку? Если всё зделать правельно, то от того что вы завладеете зашифрованной информацией Вам  от этого будет мало толку, а к тому времени как Вы её расшифруете она может стать уже не актуальной.
 
Цитата
Как это от криптографии не толку? Если всё зделать правельно, то от того что вы завладеете зашифрованной информацией Вам от этого будет мало толку, а к тому времени как Вы её расшифруете она может стать уже не актуальной.
никто не говорит что от нее нет толку, даже очень много. Имеется ввиду этот конкретный случай, где по моему мнению будет достаточно девайслока и орг. мер. В этом конкретном случае нужно крайне ограничить кол-во человек, которые могут копировать инфу (возмжно до одного). При такой ответственности вряд ли он станет воровать инфу.
 
Блин, вот теперь мне лично пришлось идти и копировать им на флэшку. А что будет если меня в офисе не будет? Ну там отпуск или заболел. Даже не знаю как теперь это решить. Может типа сказать, чтобы печатали и распознавали текст?! Благо на компе с инетом стоит и сканер и FineReader.
Страницы: 1 2 След.
Читают тему