Информационная безопасность с Microsoft

Доменная аутентификация (AD)

Одним из ключевых применений смарт-карт в информационной системе на базе продуктов Microsoft является двухфакторная аутентификация в домене. Многие компании защищают рабочее место и, в частности, доменную учётную запись пользователя при помощи дополнительного фактора утентификации — смарт-карты. Двухфакторная аутентификация необходима везде, где имеются значимые для компании данные. Парольная защита не может обеспечить должной степени защищённости для информационной системы, поскольку существует множество способов добыть пароль от той или иной учётной записи. Решение, использующее смарт-карты в качестве средства аутентификации, позволяет обеспечить достаточный уровень защищённости для пользователей и их учётных записей как при использовании их в рамках предприятия, так и при удалённом взаимодействии.

В крупных организациях количество пользователей может измеряться тысячами. Данное обстоятельство может привести к повышению загруженности IT-отдела. Для оптимизации процессов управления IT-инфраструктурой, в которой используются смарт-карты, был создан продукт JMS (JaCarta Management System), который обеспечивает контроль жизненного цикла сертификатов, аудит выдаваемых и используемых сертификатов, позволяет администрировать систему с наименьшими трудозатратами.

Виртуальные частные сети (VPN)

Зачастую сотрудники компании вынуждены работать удалённо. Современный темп развития бизнеса и IT-технологий диктует новые порядки для достижения наилучших результатов. Именно поэтому сегодня уже никого не удивить удалённой работой с корпоративной сетью во время деловой поездки, встречи, либо из дома. Для доступа к корпоративным ресурсам из внешних сетей передачи данных пользователи применяют подключение по виртуальной частной сети, прокладывая "прямое подключение" до локальной корпоративной сети. В общем случае такое подключение защищается простым паролем. Пароль не позволяет в полной мере обеспечить защиту соединения, так как ключи шифрования в таком случае хранятся в файле, либо в реестре.

Для обеспечения состояния защищённости канала передачи необходимо зашифровать подключение. Для обеспечения максимальной степени защищённости необходимо осуществлять аутентификацию на сервере по сертификату открытого ключа. Такой подход обеспечит двухстороннюю проверку идентичности субъекта и объекта доступа, что даёт двойную гарантию легитимности производимых действий уже на этапе аутентификации.

Удалённый рабочий стол (RDP)

Удалённые рабочие столы (RDP) настолько часто применяются для решения различных задач, что этот протокол стал чуть ли не основным для проведения атак на информационную систему. В корпоративной среде по RDP могут быть осуществлены подключения к удалённым виртуальным машинам, которые используются для специализированного ПО, администрирования и решения задач персоналом IT-отдела, подключения к терминальному серверу и прочее. Используя один фактор для аутентификации по протоколу RDP — пароль, мы открываем доступ к системе злоумышленнику, так как пароль будет рано или поздно подобран, вне зависимости от его сложности.

Обеспечить защиту удалённого подключения можно воспользовавшись добавлением второго фактора для процедуры аутентификации — смарт-карты. Когда аутентификация происходит по сертификату, записанному на смарт-карту, при использовании RDP–подключения, обеспечивается максимальная защита.

Шифрование файловой системы (EFS)

Утеря носителя информации — всегда проблема. Если на носителе хранятся корпоративные документы и прочие файлы, то их утеря может нанести вред интересам компании, либо привести к компрометации ключевых сведений, что также приведёт к катастрофическим последствиям.

Для обеспечения защиты данных на жёстком диске его необходимо зашифровать. Для надёжного хранения ключей шифрования необходимо использовать смарт-карту. Шифрование файловой системы (EFS) обеспечивает максимальную степень защищённости данных на жёстком диске в случае его утери, либо хищения.

Корпоративная электронная почта (Outlook)

Корпоративная электронная почта — стандарт де-факто для делового общения в современной бизнес-среде. Сотрудники могут получать и отправлять сотни сообщений в неделю, которые могут быть перехвачены третьими лицами для модификации, либо раскрытия данных. Перехваченные почтовые отправления могут содержать финансовую информацию, либо значимые сведения, раскрытие которых может причинить значительный урон корпорации, её интересам, либо её репутации. Модификация передаваемых сообщений также может принести вред, распространяя вирус из вложений, вместо документов, которые изначально были вложены в отправление.

Для защиты почтовых отправлений, а также интересов отправителя и получателя в корпоративной среде необходимо использовать шифрование и электронную подпись сообщений.

Шифрование позволит защитить сообщения от атак "человек посередине", которую могут проводить как злоумышленники, так и сотрудники самой компании.

Для защиты от модификаций оригинального сообщения необходимо использовать электронную подпись (ЭП). Данная мера позволит всегда быть уверенным в том, что отправителем является именно заявленный субъект, а не третья сторона. Помимо этого, ЭП защитит сообщение от любых модификаций, так как это приведёт к изменению подписи.

Корпоративные информационные порталы (Outlook Web Access и SharePoint)

В корпоративной среде существует набор задач, с которыми отлично справляются такие решения Microsoft, как Outlook Web Access и SharePoint. Данные решения представляют собой Web-порталы для работы через браузер, но, по сути, это полноценные СУБД-ориентированные Web-приложения. Доступ к таким приложениям возможен как по паролю, так и по смарт-карте. Такие Web-порталы являются наиболее уязвимыми для атак злоумышленников, так как Web-сайты — это наиболее хорошо изученная сфера для проведения разного рода атак.

Для обеспечения безопасности корпоративных Web-порталов необходимо применять второй фактор аутентификации для всех пользователей. Наличие у пользователя отчуждаемого носителя позволит избежать хищения учётных записей пользователя, их паролей и прав доступа.

Электронный документооборот (ЭП в Office)

Электронный документооборот стал чуть ли не основой офисной работы в современном цифровом мире. Электронные копии документов циркулируют в информационной системе предприятия как кровь по артериям для поддержания жизни человека.

К сожалению, при отправке документ может быть изменён, что в свою очередь может привести к репутационным, либо финансовым потерям компании.

Для предотвращения такого рода потерь необходимо обеспечить целостность документа при его пересылке. Данные меры достигаются путём использования электронной подписи. Смарт-карты позволят защитить закрытый ключ от использования злоумышленником для совершения неправомерных действий.