Сегодня сервер любой компании является хранилищем важной коммерческой информации. Договора, бухгалтерия, данные по партнерам, персональные данные сотрудников и клиентов, все остальные документы... Перечислять информацию, которая может считаться конфиденциальной и хранится на сервере корпоративной сети, можно еще долго. Вся она нуждается в надежной защите. Ведь если какие-то данные окажутся скомпрометированными или попадут в руки конкурентов, то это не только нанесет компании определенный финансовый ущерб, но и существенно ухудшит ее имидж, подорвет доверие к ней как со стороны партнеров, так и со стороны клиентов. В мировой практике известны случаи, когда благополучные фирмы теряли всех партнеров или даже вообще уходили с рынка только из-за утечки важной коммерческой информации. Именно поэтому к защите конфиденциальных данных нужно подходить серьезно. И использовать для ее организации серьезные продукты. Например, программно-аппаратный комплекс Zserver, разработанный специалистами компании SecurIT, который обеспечивает надежную криптографическую защиту данных.
Программно-аппаратный комплекс Zserver состоит из трех программных и двух аппаратных модулей. К программным относятся "Сервер защиты данных" (ПО, устанавливаемое непосредственно на сервер корпоративной сети), "Консоль управления" (модуль, обеспечивающий удаленное управление системой с компьютера офицера безопасности) и "Тревога" (модуль для подачи тревожного сигнала, может быть инсталлирован на любых компьютерах локальной сети). К аппаратному обеспечению относятся входящие в комплект токены или смарт-карты для хранения ключей шифрования и "красная кнопка" - проводное или радиоустройство для мгновенной подачи тревожного сигнала.
Система Zserver реализует ставший сегодня весьма популярным принцип прозрачного шифрования. Это значит, что вся важная информация всегда находится на жестком диске только в закодированном виде. При обращении к ней данные расшифровываются специальным системным драйвером прямо на лету, после чего передаются пользователю уже в открытом виде. При попытке записи информации происходит обратный процесс. Вот только рассматриваемый продукт "заточен" для корпоративного использования, а поэтому имеет некоторые важные особенности. Так, например, в качестве виртуального диска в нем используются не отдельные файлы-контейнеры, как в большинстве других программ, а целые разделы винчестера. Это обеспечивает более высокую скорость работы с информацией, а также гораздо большую надежность. Ведь файл-контейнер может быть удален или испорчен вирусом, злоумышленником или случайно самим пользователем. Зашифрованный же раздел винчестера воспринимается операционными системами просто как неразмеченное место. А поэтому никакими стандартными средствами навредить ему нельзя.
Интересной особенностью системы Zserver является то, что она не содержит встроенных криптографических средств. Она может использовать лишь внешние криптопровайдеры. Но этого не стоит пугаться. В Windows есть стандартные криптографические библиотеки, реализующие надежные алгоритмы шифрования. В большинстве случаев их будет вполне достаточно для защиты коммерческих данных. Однако некоторым государственным организациям закон разрешает использовать только сертифицированные ФСБ криптографические технологии. В этом случае в качестве криптопровайдера для системы Zserver может выступать плата для шифрования "Криптон" или ее программный аналог (они реализуют алгоритм ГОСТ 28147-89).
Для генерации ключей шифрования используются действия пользователя. Человеку предлагается хаотично подвигать мышкой по столу. На основании этих перемещений формируется массив случайных чисел, который и используется для создания ключа. Храниться ключ шифрования может только на защищенных носителях информации: смарт-картах и USB-токенах. Это обеспечивает его надежную защиту от компрометации. При работе системы ключ шифрования всегда находится в оперативной памяти сервера и никогда не записывается на жесткий диск.
Процесс работы с системой Zserver начинается с создания зашифрованного раздела. Сделать это можно двумя способами. Первый из них - шифрованное форматирование выбранного диска. Этот вариант очень быстрый (суть его заключается в форматировании раздела при включенном режиме шифрования), но при его использовании вся информация, содержащаяся в данном разделе, будет уничтожена. Второй способ заключается в шифровании исходной информации. Интересно, что этот процесс может проходить в фоновом режиме. То есть во время его работы пользователи могут не прерывать свою деятельность. Это обеспечивается параллельным выполнением шифрования и прочих операций чтения-записи.
Другой важной особенностью процесса шифрования является его атомарность. Это значит, что он состоит из множества "маленьких" транзакций. Такой подход позволяет вернуться в первоначальное состояние в том случае, если процесс шифрования будет прерван администратором или в результате какого-либо сбоя (например, отключения электропитания). Это весьма актуально, поскольку зачастую криптографические преобразования занимают много времени (речь идет, конечно же, о первоначальном шифровании), а любой сбой в них может привести к потере информации.
После того как защищенный раздел создан, система полностью готова к работе. Для того чтобы открыть пользователям доступ к хранилищу, администратор должен загрузить в память сервера ключ шифрования, который хранится на его смарт-карте или USB-токене. Кстати, здесь у системы Zserver есть еще одна уникальная возможность, отсутствующая у конкурентов. Речь идет о так называемом кворуме ключей. Суть этой технологии сводится к следующему. В процессе создания ключа шифрования он делится на несколько (это число задается администратором) частей. Все они записываются на разные носители, которые раздаются различным сотрудникам. В будущем для того, чтобы открыть защищенный диск, необходимо загрузить в память сервера определенное число этих частей, которое может быть меньше их общего количества. Такой подход обладает двумя преимуществами. Во-первых, он гарантирует защиту информации в случае компрометации любой части ключа. Ну а во-вторых, он существенно уменьшает подверженность системы защиты действиям инсайдеров. Ведь при его использовании ни один сотрудник компании не сможет в одиночку открыть доступ к информации.
После открытия защищенного диска работа с ним пользователей осуществляется как обычно. На их компьютерах не нужно устанавливать никакого дополнительного программного обеспечения. Права доступа к информации на зашифрованном разделе определяются стандартными средствами операционной системы. Таким образом, никто из сотрудников компании, за исключением доверенных лиц, не может даже подозревать о действующей на сервере системе защиты конфиденциальных данных.
Закрытие диска осуществляется путем удаления из оперативной памяти сервера ключа шифрования. Обычно это действие производится администратором или офицером безопасности. Однако иногда возникают такие случаи, когда сделать это нужно немедленно. Для этого предназначен специальный режим "Тревога". При его активации все загруженные в память сервера ключи будут удалены, а сама машина перезагружена. Подать сигнал на выполнение такого действия можно с любого компьютера, на котором установлен соответствующий модуль. Другим вариантом подачи сигнала "Тревога" является "красная кнопка" - специальное проводное или радиоустройство. Весьма любопытно, что интерфейс "общения" этого устройства с компьютером открытый. Это значит, что при желании можно "подключить" систему Zserver к любой сигнализации, датчикам движения, открытия дверей или окон и т. п. В этом случае система будет сама отключать все зашифрованные диски при наступлении любого потенциально опасного события.
Еще одним элементом защиты защищенного хранилища является возможность их подключения "под принуждением". В том случае, если кто-то угрозами заставляет сотрудника, обладающего ключом шифрования, подключить закрытый диск, последний может ввести PIN-код, необходимый для доступа к памяти смарт-карты, наоборот, то есть справа налево. При этом система сразу же сотрет все ключи шифрования, хранящиеся в защищенной памяти смарт-карты, после чего выдаст соответствующую ошибку.
Отдельного упоминания заслуживает удобство управления всей работой системы защиты Zserver. Осуществляется оно с помощью специальной консоли, которая может быть установлена на любом компьютере, связанном с сервером и по протоколу TCP/IP. Таким образом, речь идет о полноценном удаленном управлении защитой, когда офицеру безопасности не нужно предоставлять физический доступ в "святая святых" - серверную комнату. Примечательно, что с помощью консоли управления администратор может полностью контролировать защиту всех доступных серверов. Более того, эта утилита универсальна, с ее помощью можно управлять и некоторыми другими продуктами компании SecurIT, рассчитанными на корпоративное использование, например, программно-аппаратным комплексом Zbackup.
Нельзя также не сказать и об еще одном дополнительном модуле рассматриваемой системы. Речь идет о Zserver Script Pack. С его помощью администратор может существенно расширить функциональность Zserver, увеличить степень интеграции этого продукта в существующую инфраструктуру. Дело в том, что Script Pack предоставляет возможность вызова пользовательских сценариев при возникновении определенных событий на сервере: открытии или закрытии диска, появлении сигнала "Тревога". В него входит несколько уже готовых сценариев, написанных на языке JScript. Включив их вызовы, администратор сможет реализовать, например, отправку сообщения по электронной почте или подмену защищенного диска (размонтирование "настоящего" и монтирование "ложного") при возникновении тревоги. Помимо этого можно самостоятельно создавать любые сценарии и подключать их к Zserver Script Pack.
Ну и напоследок давайте хотя бы просто упомянем о паре дополнительных возможностей рассматриваемой системы. Первая из них - журналирование всех действий администратора. В некоторых случаях такой лог может оказать просто огромную помощь. Ну а вторая - возможность работы системы Zserver с кластерными системами. Правда, для этого необходимо использовать специальную редакцию этого продукта - Cluster Edition.
Итак, теперь можно подвести итоги. Система Zserver - очень серьезный программно-аппаратный комплекс, предназначенный для защиты конфиденциальной информации, хранящейся на сервере локальной сети. Она специально разработана для корпоративного использования, что видно из ее возможностей. Кроме того, в Zserver реализован ряд функций, увеличивающих надежность защиты и удобство ее использования, которые отсутствуют у подавляющего большинства конкурентов: кворум ключей шифрования, фоновое шифрование, применение атомарных криптографических преобразований и т. п.
