Импортозамещение программного обеспечения: нюансы "переходного этапа"

Практически ежедневно отечественные и зарубежные средства массовой информации сообщают о новых фактах взломов, утечек, деструктивных воздействий с целью навязывания мнения, краж, вымогательств в сфере информационно-коммуникационных технологий (далее — ИКТ). Так, например, 7 апреля прошло-го года в г. Даллас (США, штат Техас), большая часть населения города была разбужена в середине ночи воем городских сирен экстренного оповещения об опасности возникновения стихийных бедствий (156 установок), которые включились одновременно в результате кибератаки. Российская медицинская компания "Инвитро" в этом году подверглась вирусной атаке. Персональные данные клиентов компании не пострадали, однако время обработки анализов временно увеличилось, говорится в сообщении компании. В России и на Украине от вируса Petya пострадали в общей сложности порядка 80 компаний. В частности, атаке подверглись "Роснефть", "Башнефть", Mars, Nivea и Mondelez International (производитель шоколада Alpen Gold). Массово подвергаются взлому системы управления светофорами, транспортом, водоснабжением, энергосетями, что приводит к повреждению движимого и недвижимого имущества, человеческим травмам и жертвам. Не прекращается опубликование на порталах WikiLeaks и Анонимного интернационала материалов, содержащих сведения, составляющие государственную тайну различных государств (Россия, Казахстан, США, Германия), оглашается информация о несанкционированном вмешательстве государств во внутреннюю политику друг друга посредством ИКТ (Россия, США, Великобритания), реализуются кибератаки на критически важные элементы инфраструктуры и оборонного комплекса разных стран (Иран, Великобритания), подвергаются атакам с использованием вредоносного программного обеспечения (далее – ПО) финансовые и транспортные организации, обычные пользователи. При этом действия киберпреступниками осуществляется как единолично, так и в составе организованных групп.

Таким образом, особую актуальность приобретает использование в повседневной деятельности участниками российского рынка информационных технологий Указа Президента Российской Федерации от 09.05.2017 г. № 203 "О Стратегии развития информационного общества в Российской Федерации на 2017–2030 годы".

В соответствии с данным Указом для развития информационной и коммуникационной инфраструктуры Российской Федерации необходимо решать целый комплекс задач, включающий:

  • недопущение подмены, искажения, блокирования, удаления, снятия с каналов связи и иных манипуляций с информацией;

  • устойчивое функционирование информационной инфраструктуры;

  • предоставление безопасных и технологически независимых программного обеспечения и сервисов;

  • защиту данных;

  • эффективное управление сетями связи Российской Федерации, обеспечение их целостности, единства, устойчивого функционирования и безопасности работы;

  • обеспечение функционирования социальных, экономических и управленческих систем с использованием российского сегмента сети "Интернет".

Решение перечисленных задач необходимо обеспечивать при создании государственных и прочих информационных систем. Анализ современных тенденций в данной области позволяет утверждать, что актуальным является практическое решение указанных задач при создании информационной системы (с учетом ее функциональных особенностей) на основе защищенного информационного ресурса (ЗИР), представляющего собой защищенный Web-портал.

Эксперты предлагают использовать технологию, в соответствии с которой, в общем случае, ЗИР (рис. 1) является информационной системой, которая обеспечивает решение следующих задач:

  • предоставление публичного доступа к открытой информации;

  • взаимодействие сервисов и служб ЗИР с другими информационными системами и ресурсами посредством прикладных программных интерфейсов;

  • предоставление посетителям ЗИР различных средств коммуникации (форумы, комментарии, почта и другие средства организации коллективного взаимодействия);

  • предоставление пользователям, зарегистрированным установленным способом, доступа к определенным сервисам и функциям ЗИР.

Рис. 1 — защищенный информационный ресурс


Рис. 1 — защищённый информационный ресурс

При этом ЗИР должен обеспечивать:

  • возможность непрерывной работы ЗИР без потери доступности и функциональности в течении всего срока эксплуатации;

  • соответствие нормативным документам систем сертификации средств защиты информации по требованиям безопасности информации;

  • поддержку различных способов масштабирования для обеспечения отказоустойчивости и производительности.

При построении ЗИР необходимо руководствоваться следующими основными положениями:

  • Средства организации ЗИР должны обеспечивать масштабирование и отказоустойчивость как на аппаратном уровне, так и на уровне программных средств, посредством резервирования аппаратно-программных средств и информации с обеспечением балансировки нагрузки.

  • Средства накопления, хранения и предоставления доступа к информации должны поддерживать функции индексирования и поиска (в том числе полнотекстового) с возможностью промежуточного кеширования для минимизации использования вычислительных ресурсов и обеспечения масштабируемого многопользовательского доступа.

  • Пользователи ЗИР должны разделяться на группы, отличающиеся числом доступных функций, уровнем и составом доступной информации.

  • В общем случае выделяют следующие группы пользователей:

    • зарегистрированные пользователи – пользователи, зарегистрированные на ЗИР и имеющие доступ к данным и сервисам ограниченного доступа, и средствам организации коллективного взаимодействия;

    • операторы – пользователи, подготавливающие данные ЗИР;

    • администраторы – пользователи, выполняющие функции управления, резервирования и обслуживания ЗИР.

  • Для изменения ЗИР должен использоваться необходимый минимум административных функций по обновлению, резервированию и восстановлению, причем эти операции могут быть автоматизированы. Подготовка информации для ресурса должна выполняться в отдельном контуре, содержащем средства управления контентом, организации документооборота и иные, связанные с наполнением ЗИР. Изменения должны проводиться ограниченным числом операторов и администраторов после идентификации и аутентификации с обязательной регистрацией действий. Выкладывание подготовленной информации на ЗИР должно выполняться в рамках специальной операции обновления (возможно автоматизированной).

  • Для построения ЗИР должны использоваться программные средства преимущественно на основе открытого исходного кода, так как они активно развиваются и поддерживаются большим сообществом специалистов.

  • Средства из состава ЗИР должны быть сертифицированы на соответствие требованиям нормативных документов в зависимости от характера предоставляемой информации.

  • ЗИР должен содержать набор средств, обеспечивающих сбор и накопление данных по функционированию всех компонентов информационной системы, включая состояние аппаратных средств, контролируемых сервисов и статистику использования ЗИР. При этом должны быть доступны функции мониторинга состояния ЗИР в реальном времени и анализа его использования за заданный период времени.

В качестве основы программного обеспечения для защищенной (доверенной) платформы эксперты рекомендуют использовать операционные системы (ОС), относящихся к семейству Linux, вероятность прекращения доступа к исходным текстам которых минимальна.

Такой подход использует, например, АО "НППКТ", ведущая в настоящее время разработку собственной операционной системы "ОСнова", соответствующей требованиям Системы сертификации средств защиты информации по требованиям безопасности информации ФСТЭК России.

В ее состав входят: ядро и системные компоненты, средства установки и настройки, системные и сервисные утилиты, базовые сетевые службы, программы защищенной графической подсистемы, средства управления программными пакетами, средства резервного копирования и восстановления данных, программа маркировки и учета печатных документов, средства построения распределенного домена, защищенный комплекс программ гипертекстовой обработки данных, защищенный комплекс программ электронной почты, пакет офисных программ. ОС, при необходимости, может быть доработана по требованию заказчика. В ОС в целом обеспечивается совместимость с существующими операционными системам в части сетевого взаимодействия. В отношении аппаратной совместимости "ОСнова" функционирует на компьютерах с процессорной архитектурой х86-64, также возможна ее сборка под другие процессорные архитектуры (MIPS, ARM и т. п.). С использованием доверенной ОС и системы управления базами данных возможно построение защищенных Web-порталов, предоставляющим услуги, как простым пользователям, так и органам власти.

Основной вопрос, возникающий у обладателя информационной системы при ее переводе на другую базовую ОС: "Как обеспечить переходный этап в работе системы и что делать с унаследованным (разработанными по заказу) программным обеспечением, которое функционирует под управлением импортных операционных систем, например ОС семейства Windows?".

Специалисты АО "НППКТ" предлагают решать эту проблему с использованием другого важного компонента доверенной платформы — средств виртуализации (СВ). Такой подход обеспечивает экономию и эффективное использование ресурсов аппаратных вычислительных платформ, отказоустойчивое функционирование виртуальных машин (ВМ) с гостевыми ОС и унаследованным (разработанным по заказу) программным обеспечением.

Преимуществ достаточно много:

  • эффективно задействованы ресурсы аппаратных вычислительных платформ с архитектурой X86-64;

  • создаются ВМ, их образы и шаблоны, клонируются ВМ с помощью графического и консольного интерфейса с поддержкой 32 и 64-битных гостевых ОС, в том числе реализована эмуляция тонких (терминальных) клиентов;

  • идентификация и аутентификация пользователей до предоставления доступа к ВМ и функциям по управлению СВ;

  • предоставление пользователям удаленного доступа к ВМ в соответствии с правилами разграничения доступа;

  • управление конфигурацией ВМ, включая изменение без остановки ВМ количества выделенных ей процессоров и размера оперативной памяти, добавление виртуальных дисков в гостевую ОС и увеличение их размеров, управление приоритетом дисковых операций ввода-вывода;

  • создавать динамически расширяющиеся образы дисков ВМ (выделение физического дискового пространства по мере заполнения образа диска ВМ);

  • создание кластеров высокой доступности, обеспечивающих отказоустойчивое функционирование ВМ (миграцию ВМ между узлами кластера в автоматическом и ручном режимах);

  • ручная балансировка нагрузки на вычислительные ресурсы узлов кластера за счет перераспределения ВМ между узлами;

  • взаимодействие между ВМ по протоколам стека IP.

Предлагаемый подход к созданию ЗИР на основе внедрения СВ и защищенных ОС, сертифицированных в ФСТЭК России по требованиям безопасности информации, позволяет потребителю решить задачи по импортозамещению программного обеспечения, в том числе и в "переходный период", когда существующее (унаследованное) программное обеспечение, может функционировать в среде импортных гостевых ОС под управлением СВ.

Авторы:
Евгений Мальцев, ведущий эксперт, АРСИБ,
Сергей Кухтин, директор по развитию, АО "НППКТ",
Андрей Шумилин, заместитель начальника НПЦ, АО "НППКТ",
Владимир Подгайский, эксперт, АО "НППКТ".

Ссылка на статью: http://www.s-director.ru/magazine/archive/viewdoc/2018/1/1997.html (журнал "Директор по безопасности", выпуск №1 2018).


Поделиться: