Аппаратный комплекс апкш континент. Описание комплекса. По окончанию обучения

Release Notes. АПКШ "Континент". Комментарии к версии 3.05.27.0

Аппаратно-программный комплекс шифрования "Континент"

Комментарии к версии 3.05.27.0

Данный документ содержит описание основных особенностей и ограничений (Release Notes) на использование аппаратно-программного комплекса шифрования (АПКШ) "Континент".

1. Комплект поставки

Безжалостная эволюция мира хранения

Шифрование обеспечивает решение проблемы нарушения данных, основной риск в случае кражи или потери смартфона и планшета. Загрузить это руководство бесплатно. Изучите последние нововведения, между моментальными снимками и гиперконвергенцией в ваших стратегиях защиты данных: сделайте шаг вперед с этим номером!

Вы забыли ввести адрес электронной почты Указанный адрес электронной почты оказался неправильным.

Это письмо уже зарегистрировано.
Пожалуйста, зарегистрируйтесь здесь.
Вы превысили максимально допустимое количество символов.
Введите профессиональный адрес электронной почты.

Если вы проживаете за пределами Соединенных Штатов, отправив эту регистрационную информацию, вы соглашаетесь на передачу и обработку ваших персональных данных в Соединенных Штатах. Шифрование - это обратимый процесс, который скремблирует данные в зашифрованный текст: любой злоумышленник, который пытается прочитать данные, будет видеть только непонятный текст.

1.1. Комплектующие к аппаратным средствам:

1.2. Размещение файлов (ПО и документации) на компакт-диске

2. Изменения и новые возможности

2.1. Версия 3.05

2.2. Версия 3.04

2.3. Версия 3.03

2.4. Версия 3.02

2.5. Версия 3.01

2.6. Версия 3.00

3. Особенности работы и ограничения

3.1. Центр управления сетью криптографических шлюзов (ЦУС)

Однако было бы бесполезно, если законный владелец устройства больше не мог читать данные. Таким образом, зашифрованный текст может, применяя тот же алгоритм и ключ к тексту, возобновить его первоначальную форму. Обратите внимание, что зашифрованный текст не только читается владельцем устройства, но и любым, кто знает или угадывает ключ.

Концепция шифрования сопоставима с байк-блокировкой. Эта файловая система находится во флэш-памяти; он содержит операционную систему и пользовательские данные. Однако, как только вы ввели свой секретный код, все данные, которые вы получаете, просматриваете или используете, автоматически дешифруются до тех пор, пока устройство не будет заблокировано из-за неактивности. Однако, в деталях, аппаратное шифрование зависит от модели операционной системы, бренда и устройства.

3.2. Криптографический шлюз (КШ)

3.3. Программа управления ЦУС (ПУ ЦУС)

3.4. Агент ЦУС и СД

3.5. Сервер доступа (СД)

3.6. Программа управления сервером доступа (ПУ СД)

3.7. Программа просмотра журналов (ППЖ)

3.8. Абонентский пункт (АП)

4. Настройки BIOS на платформе G560

4.1. Настройки BIOS v.02.59 для загрузки с USB Flash диска

В настоящее время смартфоны и планшеты поддерживают программное шифрование в дополнение к аппаратным методам. В отличие от аппаратного шифрования, которое автоматически скремблирует все в памяти - шифрование программного обеспечения сворачивает только те данные, которые конкретное приложение решает защитить. Аппаратное шифрование использует тот же номер и ключ для шифрования и дешифрования всех данных, в то время как шифрование программного обеспечения может применять различные защиты в зависимости от данных.

Зачем использовать шифрование программного обеспечения? Если сотрудник уходит, шифрование программного обеспечения может стереть зашифрованные по программному обеспечению данные, и вам не нужно делать весь раздел данных или файловую систему пользователя нечитаемым.

4.2. Настройки BIOS v.02.59 для снижения шума работы вентиляторов

5. Протоколы и порты

Комплект поставки

Комплектующие к аппаратным средствам:

Формуляр

Конфигурационная дискета

Компакт-диск с программным обеспечением и документацией - 1 шт.

Кроме того, рассмотрите программное шифрование, если аппаратный метод не отвечает вашим требованиям безопасности. Добавление надежного уровня шифрования программного обеспечения устраняет этот риск. Поскольку аппаратное шифрование ошибочно, почему бы просто не использовать шифрование программного обеспечения? К сожалению, программное шифрование по своей сути является неполным.

Кроме того, у каждого разработчика приложений есть собственный способ применения шифрования: даже написанный с лучшими намерениями в мире, некоторые приложения утечки данных или плохо защищают свои собственные ключи шифрования. Таким образом, аппаратное шифрование также добавляет базовую защиту для шифрования программного обеспечения. Это похоже на блокировку входной двери здания. Если у всех сотрудников есть значок доступа к зданию, только один потерянный значок приведет к несанкционированному доступу.

USB-дисковод (зависит от варианта поставки)

Идентификатор iButton DS1992 - 2 шт.

USB Flash-накопитель (зависит от варианта поставки)

Сервер доступа

Лицензия на право использования

Ключевые возможности и характеристики апкш «континент»

Но если мы закроем двери всех офисов и обеспечим более надежные зоны замков, безопасность каждого офиса будет гарантирована. Эти дополнительные блокировки предотвращают кражу и ограничивают доступ к каждой зоне, так же как шифрование программного обеспечения добавляет уровень защиты к различным приложениям.

Хрупкий баланс между удобством и безопасностью

Конечно, многие здания открыты для публики, и только определенные районы безопасны. На принадлежащих компании устройствах с чрезвычайно чувствительным контентом вам могут потребоваться длинные надежные секретные коды с аппаратным шифрованием. С другой стороны, просто разрешите прямой доступ к Интернету из незашифрованных личных устройств пользователей. Для улучшения слабого или несуществующего аппаратного шифрования для персональных устройств вы можете установить простой самошифрованный почтовый клиент или защищенный браузер.

Размещение файлов (ПО и документации) на компакт-диске

Каталог	Содержимое	Версия Вы сосредоточите свои усилия на бизнес-стратегии, применяемой к бизнес-данным, что позволит пользователям решить, какие меры защиты применяются к их персональным устройствам. Иногда аппаратное шифрование нежелательно, например, на киоск-планшетах для клиентов. В заключение примите во внимание различные виды использования и различные устройства. Найдите все данные, которые вы хотите защитить, и выберите метод шифрования или методы, которые лучше всего подходят для вашего мобильного устройства. Имейте в виду, что длина и сила ПИН-кода или пароля и автоматическая блокировка задержки напрямую влияют на легкость или трудность, с которой вор в физическом владении потерянного или украденного устройства сможет восстановить зашифрованные данные.
Дистрибутивы АПКШ Континент
	Модули для установки АПКШ "Континент" (ЦУС, КШ, СД), включая модули ОС FreeBSD Если возможно, повысите безопасность с помощью шифрования на основе слоев: сохраните легкость использования данных с частым доступом и применяйте более строгую защиту к данным, представляющим реальный бизнес-риск. Шифрование данных - чрезвычайно важный инструмент, обеспечивающий их безопасность. Когда ваши файлы зашифрованы, без правильного ключа они становятся совершенно бесполезными. Поэтому, если кто-то украдет зашифрованные файлы, он не сможет ничего с ними сделать. Существует два типа шифрования - аппаратное и программное обеспечение. Давайте рассмотрим различия между ними и преимуществами, которые они предлагают. Как следует из названия, шифрование данных в этом случае выполняется с использованием программных средств. Оба решения используют средства шифрования для защиты информации на компьютере, смартфоне или планшете. Криптографическое программное обеспечение обычно использует пароль. Введите правильный пароль, чтобы файлы были дешифрованы. В противном случае - они останутся заблокированными.
\Setup\Continent\RCP\	Дистрибутив Программы управления АПКШ "Континент"
\Setup\Continent\Cont_Client\ Информация о шифровании передается с помощью специального алгоритма, который шифрует данные, хранящиеся на диске. Затем одно и то же программное обеспечение расшифровывает данные, считываемые с диска. Шифрование программного обеспечения обычно довольно дешево и очень популярно среди программистов. Программные процедуры шифрования обычно не требуют дополнительного программного обеспечения или аппаратного обеспечения - они просто работают. Этот тип шифрования защищает все устройство. Если хакер нарушает ваш пароль, шифрование будет немедленно удалено. Также можно видеть, что открытие и закрытие зашифрованных файлов происходит намного медленнее, чем обычно, потому что для этого процесса требуются относительно большие ресурсы, особенно для более высоких уровней шифрования.	Дистрибутив Абонентского пункта АПКШ "Континент"
\Setup\Continent\AC\Windows	Дистрибутив программы аутентификации хоста в защищённой сети Сердцем аппаратного шифрования является отдельный процессор, предназначенный для задач аутентификации и шифрования. Эта технология по-прежнему основана на специальном ключе шифрования и расшифровке данных, но этот ключ генерируется случайным образом процессором шифрования. Аппаратное шифрование считается более безопасным, чем шифрование программного обеспечения, поскольку процесс шифрования отделен от остальной части устройства. Это затрудняет перехват или нарушение безопасности. Как правило, аппаратное шифрование намного дороже программного обеспечения.
\Setup\Continent\UPDATE\	Файл обновления ПО АПКШ "Континент"
\Setup\Continent\FLASH\ Задача восстановления данных Если процессор, ответственный за процессы аутентификации и шифрования, терпит неудачу, доступ к данным становится чрезвычайно сложным. Зашифрованные данные чрезвычайно сложно восстановить. Аппаратные зашифрованные устройства обычно не имеют таких дополнительных возможностей восстановления данных. Многие из них были разработаны для предотвращения дешифрования в случае сбоя. По окончанию обучения Самый быстрый и эффективный способ борьбы с потерей данных с зашифрованного устройства - иметь. В случае компьютера это может означать копирование данных на другое зашифрованное устройство. Для других устройств, таких как смартфоны, облачная резервная копия обеспечит быстрый и легкий доступ к файлам. Дополнительным плюсом является то, что большинство облачных сервисов также шифруют пользовательские данные.	Образы дисков криптографического шлюза и программа копирования на USB Flash-накопитель
Дистрибутивы АПМДЗ "Соболь"
	Дистрибутив программного обеспечения комплекса "Соболь"
Дистрибутивы СКЗИ КриптоПро CSP
Setup\CryptoPRO\v3.03\	Дистрибутив и документация СКЗИ КриптоПро CSP и TLS
\Setup\CryptoPRO\v3.6\	Дистрибутив и документация СКЗИ КриптоПро CSP и TLS для Windows Vista
Документация для АПКШ "Континент"
\VersionInfo.txt	Версия выпуска в полном формате XX.XX.XX.XX
\ReleaseNotes.rtf	Release Notes – сведения о новых возможностях и ограничениях в АПКШ "Континент"
\Documentation\Continent\ Continent - Central - Admin Guide.pdf	АПКШ "Континент". Версия 3.5. Централизованное управление комплексом. Руководство администратора
\Documentation\Continent\ Continent - Local - Admin Guide.pdf	АПКШ "Континент". Версия 3.5. Локальное управление криптографическим шлюзом. Руководство администратора
\Documentation\Continent\ Continent - Audit - Admin Guide.pdf	АПКШ "Континент". Версия 3.5. Аудит. Руководство администратора
\Documentation\Continent\AC\Windows\ AC – Admin Guide.pdf	АПКШ "Континент". Версия 3.5. Аутентификация хоста. Руководство администратора
\Documentation\Continent\ Continent - Update Guide.pdf	АПКШ "Континент". Версия 3. Инструкция по обновлению программного обеспечения
\Documentation\Continent\ Continent – Monitoring CG – User Guide.pdf	АПКШ "Континент". Программа мониторинга КШ. Руководство пользователя
\Documentation\Continent\ Continent – PortCheck – Admin Guide.pdf	АПКШ "Континент". Тестирование каналов связи. Руководство администратора
\Documentation\Continent\Cont_AS\ Access Server – Admin Guide.pdf	АПКШ "Континент". Версия 3.5. Сервер доступа. Руководство администратора
Windows\Terminal Station – User Guide.pdf	СЗИ "Континент-АП". Абонентский пункт. Руководство пользователя
\Documentation\Continent\Cont_Client\ Windows\Firewall – Admin Guide.pdf	СЗИ "Континент-АП". Межсетевой экран. Руководство администратора
\Doсumentation\Sable\	Документация на комплекс "Соболь"
Дополнительные программы
\Tools\Adobe\Acrobat\ AdbeRdr810_ru_RU.exe	Дистрибутив программы для чтения документов в формате pdf
\Tools\Microsoft\MDAC 2.8 SP1\ MDAC_TYPE.EXE	Дистрибутив компонентов для доступа к базам данных
\Tools\Microsoft\Microsoft Jet 4.0 SP 8\	Пакет обновлений для ядра базы данных Jet 4.0
\Tools\Microsoft\Update_Rollup_Win2000 SP4 en	Update Rollup для Windows 2000 SP4 (английский)
\Tools\Microsoft\Update_Rollup_Win2000 SP4 ru	Update Rollup для Windows 2000 SP4 (русский)
\Tools\Microsoft\MSDE2000	Дистрибутив компонентов для создания настольный базы данных
\Tools\Информзащита\CGMonitoring	Дистрибутив утилиты мониторинга состояния КШ по SNMP
\Tools\Информзащита\PortCheck\	Дистрибутив утилиты тестирования каналов связи между Абонентским пунктом и сервером доступа для версий 3.01 и более ранних (файл PortCheck.exe)
	Дистрибутив утилиты тестирования каналов связи между Абонентским пунктом и сервером доступа для версий 3.02 и более поздних (файл ChannelChecker.exe)
\Tools\Информзащита\DBCheck	Утилита для проверки корректности БД ЦУС перед обновлением на текущую версию
\Tools\Информзащита\DBEdit	Утилита для изменения сетевых интерфейсов БД ЦУС

Изменения и новые возможности

Версия 3.05

Плановая смена ключей:

Обновление исходной ключевой информации. Выполняют до истечения срока действия ключа исходя из оперативности процедуры рассылки.

Генерация резервного ключевого материала для КШ. Ключи нумеруют и учитывают в журнале выпуска ключей. Для каждого КШ выпускают несколько комплектов резервных ключей.

Смена ключей связи с ЦУС и главного ключа КШ средствами ПУ ЦУС и локального управления КШ.

Внеплановая смена ключей:

При компрометации исходной ключевой информации необходимо полностью повторить последовательность действий плановой смены ключей. До завершения процедуры смены запрещается эксплуатировать систему.

При компрометации резервного ключевого материала для КШ генерируют новый резервный ключевой материал для КШ и рассылают локальным администраторам.

При компрометации ключа связи с ЦУС и/или главного ключа КШ из резервного ключевого материала устанавливают новый главный ключ КШ и/или ключ связи с ЦУС.

Изменен протокол взаимодействия между КШ. До версии 3.04.26 включительно использовался 250 протокол IP. В настоящее время взаимодействие между КШ осуществляется по UDP-протоколу, что значительно упрощает настройку межсетевых экранов, расположенных на пути трафика.

Изменены условия лицензирования Комплекса. Действуют следующие ограничения.

Ограничение на параметры ЦУС: максимальное количество криптографических шлюзов, имеющих статус "Введен в эксплуатацию".

Ограничение на параметры Сервера доступа: максимальное количество клиентов, имеющих статус "Активный".

Срок технической поддержки теперь не ограничивается лицензией.

Изменен принцип локального управления КШ. Теперь управление КШ осуществляют с локальной консоли с помощью главного и дополнительного меню. Главное меню имеет следующие разделы:

Управление КШ;

Настройки безопасности;

Настройка сервера доступа

Дополнительное меню содержит следующие команды:

Выполнить ping;

Выполнить traceroute;

Вывести таблицы маршрутизации;

Выполнить arp;

Перезагрузить КШ;

Выключить КШ.

Добавлена возможность сохранения и восстановления конфигурации КШ с локальной консоли. Сохранение резервной копии осуществляют на USB Flash накопитель.

Добавлена возможность управления локальной сигнализацией о событии НСД. Сообщения могут выводиться на экран монитора, подключенного к КШ, и/или воспроизводиться в виде звукового сигнала. Включение и выключение сигнализации выполняют непосредственно с локальной консоли КШ

Обеспечена аутентификация криптографическим шлюзом компьютеров, находящихся в защищенном сегменте локальной сети. Аутентификация выполняется с помощью Клиента аутентификации хоста. Клиент устанавливают на компьютеры сети. Аутентификация выполняется при подключении компьютера к КШ на основе расчета хэш-функции по алгоритму ГОСТ Р 34.11-94

Добавлена возможность выключения КШ средствами программы управления.

Добавлена возможность фильтрации IP-пакетов по указанному сочетанию символов (регулярному выражению). В качестве сочетания символов могут использоваться как команды прикладных протоколов, так и содержимое передаваемых в незашифрованном виде файлов (для протоколов ftp и http).

Добавлена возможность временного отключения правила фильтрации или правила трансляции без удаления из списка.

В комплект поставки добавлена программа конвертации резервных копий конфигурации ЦУС.

Программа предназначена для преобразования файлов резервных копий конфигурации (базы данных) ЦУС в формат, применяемый в текущей версии ПО АПКШ "Континент". Программа функционирует на компьютерах под управлением ОС Windows 2000 и выше. Управление программой осуществляется из командной строки.

Изменен формат хранения журналов. Обеспечена комфортная работа пользователя с журналами, содержащими несколько миллионов записей.

Регистрационные журналы с сервера доступа теперь собирает агент ЦУС и СД. Просмотр журналов выполняют с помощью Программы просмотра журналов (ППЖ).

Изменены функции агента. Теперь Агент забирает журналы и с ЦУС, и со всех СД комплекса. Для подключения к каждому объекту агенту требуется:

указать сетевой адрес объекта;

предъявить специальный ключ, индивидуальный для каждого объекта.

Ключи создаются при инициализации объекта и записываются в файлы Id.str и Storage.str на отдельный отчуждаемый носитель-идентификатор администратора (дискета 3,5" или USB Flash-накопитель).

Единый ключевой носитель (ЕКН) содержит ключевую информацию и адреса всех объектов в файле Storage2.str. Для создания и обновления ЕКН используют Программу управления ключевыми носителями агента ЦУС и СД.

В программе управления агентом добавлен параметр "Отключить уведомление об ошибках".

Обеспечена совместимость АП со следующими операционными системами:

Windows 2000 Pro SP4;

Windows XP Professional SP2;

Стандартным портом для соединения АП и СД является 4433. Теперь в ПУ СД имеется возможность изменить номер этого порта.

Для хранения содержимого журналов используются следующие серверы баз данных:

Разработан новый абонентский пункт, имеющий следующие преимущества:

Реализован механизм межсетевого экранирования, соответствующий 3 классу защищённости как межсетевой экран.

Создан графический интерфейс для управления МСЭ.

Добавлена возможность управления локальной сигнализацией о событии НСД. Сообщения выводятся на экран монитора. Включение и выключение сигнализации выполняют в графическом интерфейсе МСЭ.

Изменен формат хранения журналов. Журнал записывается в читабельном виде, в формате CSV, а не в виде шестнадцатиричного дампа.

Реализован механизм фильтрации с учетом даты/времени. Имеется возможность задавать временные интервалы, в течение которых будет работать то или иное правило.

Добавлена регистрация в журнале событий фактов изменения правил фильтрации.

Добавлена регистрация в журнале событий фактов запуска процессов.

Добавлена возможность входа/выхода администратора МСЭ. Только администратор МСЭ имеет право изменять настройки и правила.

Версия 3.04

Для уменьшения служебного трафика задания на синхронизацию КШ теперь рассылаются адресно.
Обеспечена поддержка работы USB-модемов при подключении КШ к выделенной линии.
Обеспечена поддержка корректного выключения питания КШ при работе с источниками бесперебойного питания следующих марок:

Smart-UPS 1000;

BackUPS ES 525.

Добавлена возможность изменения внешнего адреса работающего криптографического шлюза. Ранее внешний адрес КШ можно было изменить только при его инициализации.

Добавлена поддержка PPPoE для ЦУС.

Для облегчения ввода Комплекса в эксплуатацию разработаны следующие мастера программы управления ЦУС:

мастер настройки VoIP;

мастер настройки гигабитного канала;

мастер создания КШ (упрощенный).

Внесены изменения в фильтр КШ и СД. Ранее при наличии нескольких правил фильтрации с одинаковыми параметрами IP-пакета действовало только последнее правило в списке. Теперь правилу фильтрации можно установить признак немедленного применения. Правило фильтрации с таким признаком применяется к IP-пакету немедленно, независимо от наличия других правил фильтрации.

Обеспечена возможность консольного соединения при перезагрузке КШ. Теперь основные настройки КШ можно выполнять с портативного компьютера, подключенного к USB-порту КШ.

Добавлена поддержка динамического назначения адресов КШ на внешний интерфейс (при подключении КШ к внешней сети через модем).

Внедрена подсистема отчетов, предназначенная для формирования, печати и экспорта отчетов. Имеется возможность оперативного формирования следующих отчетов:

отчет о состоянии КШ;

отчет о версиях программного обеспечения КШ;

отчет о наличии криптографических связей между КШ;

общая таблица правил фильтрации Комплекса;

таблица правил фильтрации КШ;

таблица маршрутизации КШ;

таблица правил трансляции КШ.

Экспорт отчетов возможен в файлы следующего формата:

RPT (для Crystal Reports);

PDF (для Adobe Acrobat);

XLS (для Microsoft Exсel);

DOC (для Microsoft Word);

Полностью обновлен пользовательский интерфейс Программы управления сервером доступа.

Реализована функция проверки на абонентском пункте наличия ПАК "Соболь", а также добавлена возможность централизованного управления проверкой.

Добавлена возможность удаленного обновления программного обеспечения абонентского пункта.

Установка программного обеспечения ПУ ЦУС, Агента ЦУС и ПУ СД теперь выполняется с одного инсталлятора.

Версия 3.03

Добавлена возможность использования Комплекса для организации виртуальных локальных сетей (VLAN). Реализовано:

создание виртуальных интерфейсов криптографического шлюза;

поддержка протокола IEEE 802.1q.

Добавлена возможность настройки нормализации пакета. Данную настройку выполняют совместно с настройкой приоритезации трафика. Используют в тех случаях, когда клиентское приложение отсылает пакеты с MTU, превышающем возможное на КШ, и при этом игнорирует сообщения КШ об уменьшении размера пакета.

Добавлена возможность централизованного управления связью КШ из разных сетей. Теперь установку соединения между КШ, управляемых разными ЦУС, можно разрешить или запретить с помощью программы управления. Настройку такого соединения выполняют локально для каждого КШ.

Разработана программа GateMonitor, предназначенная для дистанционного контроля состояния криптографических шлюзов. Контроль осуществляется путем периодического опроса КШ с использованием протокола SNMP. Опрос производится автоматически через заданный пользователем интервал времени.

Разработана программа ChannelChecker для тестирования взаимодействия между абонентским пунктом и сервером доступа. Утилита имитирует работу АП, реализуя установку и разрыв PPP-соединения. Тестирование производится по требованию пользователя. Абонентский пункт должен быть версии 3.02 или выше.

Добавлена возможность уведомления пользователя об окончании срока действия сертификата пользователя абонентского пункта. Предупреждения выдаются за 30 (по умолчанию), 14, 7, 5, 1 дней до окончания срока действия сертификата - в зависимости от выбора пользователя.

В списке "Подключенные пользователи" добавлено отображение пользователей АП, от которых было зафиксировано обращение к СД, но не была произведена аутентификация. Для таких пользователей отображается время начала активности и IP-адрес, с которого было зафиксировано обращение.

Версия 3.02

Внедрен новый пакетный фильтр.
Добавлена функция согласования скорости интерфейсов КШ со скоростью оконечного устройства (например, модема).
В правила фильтрации IP-пакетов добавлена возможность установки типов сервисов (битов ToS).
Добавлена возможность приоритетной обработки VOIP-трафика.
Добавлена поддержка протокола SNMPv2 для взаимодействия с HP OpenView, Cisco Works VPN Monitor, NET-SNMP.
Добавлена возможность приоритезации трафика в зависимости от используемого протокола.
Добавлена поддержка протокола динамической маршрутизации OSPF.
Теперь для хранения журналов могут быть использованы следующие серверы баз данных:

Oracle 8.0 Server;
Oracle 9.0 Server.

Добавлена возможность двухзонального отображения времени в журналах КШ. Теперь при расположении оператора и КШ в разных часовых поясах имеется возможность отображения времени событий для обоих часовых поясов на выбор.

Для доступа к базам данных добавлена возможность аутентификации на самом сервере без включения режима интегрированной аутентификации.

Добавлена возможность фильтрации событий, относящихся только к работе ключевой системы.

Полностью обновлено программное обеспечение СД и АП.

Изменен протокол взаимодействия между сервером доступа и абонентским пунктом. До версии 3.01.18 включительно использовался 250 протокол IP. В настоящее время взаимодействие между сервером доступа и абонентским пунктом осуществляется по UDP-протоколу, что значительно упрощает настройку межсетевых экранов, расположенных на пути трафика между СД и АП.

Совместимость вновь поставляемых серверов доступа с абонентскими пунктами старых версий обеспечивается одновременной установкой на КШ программного обеспечения серверов доступа двух видов:

СД-Н - предназначен для подключения АП версии 3.02 и более поздних версий;

СД-С - предназначен для подключения АП версии 3.01.18 и более ранних версий.

Для правил фильтрации IP-пакетов СД (начиная с версии 3.02.21.2) добавлен режим "Контролировать состояние соединений". Этот режим устанавливают для пакетов, открывающих соединение. В этом случае автоматически создаются правила фильтрации, которые разрешают прохождение всех пакетов, относящихся к этому соединению.

Версия 3.01

Добавлена возможность загрузки ключа КШ с аварийной дискеты.
Добавлена поддержка PPPoE.
Добавлена поддержка связи КШ из разных сетей.
Добавлена возможность очистки журналов ЦУС из программы просмотра журналов.
Добавлена возможность смены ключа администратора из ПУ ЦУС.
Добавлена возможность резервирования ключей КШ и ЦУС.
Добавлено отображение времени установки ключа парной связи.
Внедрен новый порядок лицензирования сервера доступа.
Увеличено быстродействие агента ЦУС при очистке журналов.

Версия 3.00

Разработаны новые или полностью обновлены следующие компоненты Комплекса:

программа управления ЦУС (ПУ ЦУС);

программа просмотра журналов;

агент ЦУС;

программа управления агентом ЦУС;

программа просмотра и экспорта журналов АП и ПУ СД;

программа копирования ключей СД;

инсталляторы ПУ ЦУС, ПУ СД, АП.

Для хранения журналов могут быть использованы следующие серверы баз данных:

MSDE (входит в комплект поставки);

Oracle 8.0 Server.

Особенности работы и ограничения

Центр управления сетью криптографических шлюзов (ЦУС)

Криптографический шлюз (КШ)

Если модем используется в режиме выделенной линии, то перед обновлением ПО необходимо на модеме выставить DIP 8 в положение "Disable AT command set".
При инициализации ПАК "Соболь" необходимо для параметра "Версия криптографической схемы" установить значение "1". См. раздел "Инициализация комплекса" в документе "ПАК Соболь. Руководство по администрированию".
Особенности работы кластера КШ версии 3.03 и выше. Отсутствует возможность подключения резервного КШ к основному через промежуточный маршрутизатор. Диалог резервирования в программе управления ЦУС оставлен прежним для совместимости с КШ предыдущих версий.
При создании КШ защищаемые сети для VLAN-интерфейсов автоматически не создаются.
При переключении с основного на резервный КШ возможна потеря файлов, передаваемых по сети через данный кластер КШ.
Изменение внешнего адреса КШ средствами программы управления возможно только после отключения режима динамической маршрутизации.
Особенность работы кластера КШ. Во время работы резервного КШ при отключенном основном КШ задания на синхронизацию этого КШ не отправляются. Синхронизация выполняется после возобновления работы основного КШ.
Особенность работы FTP-клиента, находящегося в защищенной сети, при включенном NAT. Если на одном из интерфейсов КШ (внешнем или внутреннем) включен NAT, то передача трафика между FTP-сервером и FTP-клиентом в активном режиме невозможна. Используйте в этом случае пассивный режим.
Особенности рассылки правил фильтрации на КШ. Если в группе сетевых объектов, включающей защищенные сети различных КШ, добавлен или удален один объект, то правила фильтрации загружаются на все КШ, защищенные сети которых перечислены в этой группе.
Особенность сохранения резервной копии конфигурации ЦУС и ее восстановления. Для успешного сохранения конфигурации все задания должны быть выполнены и очередь заданий должна быть пустой. В противном случае КШ, у которых это требование не соблюдено, при восстановлении конфигурации будут автоматически выведены из эксплуатации. Невыполненные и стоявшие в очереди задания будут удалены. Для восстановления работы сети такие КШ необходимо ввести в эксплуатацию вручную.
Особенность локального управления КШ. При включенном режиме NumLock использование клавиши с этой клавиатуры в клавиатурном сочетании + + приводит к выключению КШ, а не к перезагрузке.
Не рекомендуется устанавливать защищенное соединение между двумя сетевыми объектами, имеющими разный тип привязки ("Защищенная" и "Внутренняя") и принадлежащими разным КШ. В этом случае трафик будет шифроваться только в одном направлении, и, кроме того, возможна некорректная работа пакетного фильтра.
При резервировании КШ статус аутентифицированности хостов не сохраняется.
Прекращена поддержка ПАК "Соболь" версии 1.

В качестве обновления необходимо использовать архив update_release_raid.tar.

После перехода основного КШ с обновленным ПО в активный режим необходимо перезагрузить этот КШ соответствующей командой из ПУ ЦУС.

Агент ЦУС и СД

Установку агента (вместе с ПУ ЦУС или отдельно) должен осуществлять пользователь, наделенный правами:

локального администратора данного компьютера;

администратора используемой базы данных.

Операционная система компьютера, на который устанавливают агент или Программу управления с агентом, должна поддерживать русский язык. В региональных настройках этого компьютера должны быть указаны язык и региональные настройки России.

Перед настройкой расписания агента из программы управления убедитесь, что служба "Агент ЦУС и СД" работает. При остановленной службе "Агент ЦУС и СД" настройка агента из программы управления невозможна.

Если при обновлении программного обеспечения агента произошла ошибка, необходимо заново переустановить агент.

Особенности установки агента на компьютер с ранее установленной ПУ ЦУС. Если производится доустановка агента на тот же компьютер, где установлена ПУ ЦУС, то необходимо заново настраивать параметры соединения ППЖ с БД.

В данной версии электронный ключ eToken в качестве идентификатора администратора не поддерживается.

При определении каталога для сохранения резервной копии конфигурации ЦУС необходимо убедиться, что агент имеет разрешение на запись в этот каталог.

Особенности работы агента и КШ с ЦУС при их совместном размещении в защищенной сети другого КШ. В этом случае необходимо создать правила фильтрации, разрешающие обмен пакетами между Агентом и СД. Правила создают для КШ, в защищенной сети которого размещены агент и КШ с ЦУС, а также для всех КШ с СД. В этих правилах необходимо использовать сервис со следующими параметрами:

протокол - tcp,

порт источника - any,

порт назначения - 4431.

Локальная учетная запись пользователя Windows для подключения Агента к СУБД должна иметь права на изменение реестра (как минимум, входить в группу "Опытные пользователи"). В противном случае невозможно сохранение настроек расписания.

Особенности работы агента совместно с СУБД MS SQL 2005. При наличии проблем с автоматическим запуском агента необходимо в свойствах службы агента указать зависимость от SQL Server (MSSQLSERVER).

Убедитесь, что каталог, задаваемый для сохранения резервной копии конфигурации ЦУС, действительно доступен учетной записи сервиса "агент ЦУС и СД". Для этого после автоматического сохранения по расписанию проверьте наличие сохраненной копии в указанном каталоге.

Сервер доступа (СД)

мультикастовые адреса;

зарезервированные адреса;

адреса, пересекающиеся с защищаемой подсетью;

адреса, пересекающиеся с адресами внешнего интерфейса КШ;

адреса, пересекающиеся с адресами интерфейсов резервирования.

Сервер доступа при подключении АП версий 3.03 и выше из нескольких действительных сертификатов СД использует тот, срок действия которого заканчивается первым.

Правила фильтрации, для которых установлен режим "Контролировать состояние соединений", после отключения их от учетной записи (флажок активности) и последующего обновления параметров подключенного пользователя, будут действовать до завершения сеанса работы АП.

Особенности изменения правила фильтрации, разрешающего прохождение IP-пакетов в защищенную сеть по протоколу ICMP Echo. После изменения действия "Пропустить пакет" на "Отбросить пакет" необходимо отключить и заново подключить пользователя, к которому относятся данные правила. В противном случае IP-пакеты будут проходить в защищенную сеть.

При резервировании СД информация о подключенных абонентских пунктах не сохраняется.

После восстановления базы данных СД в кластере требуется перезагрузка кластера.

Программа управления сервером доступа (ПУ СД)

Значок ПУ СД на рабочем столе имеет специальную отметку, если текущий пользователь компьютера не имеет доступа к файлу запуска ПУ СД.
В КриптоПро CSP 3.0 и выше для корректной работы ПУ СД необходимо включить и настроить биологический датчик случайных чисел.
Особенности совместной работы ПУ СД и Secret Net 5х и выше. Ключевой материал для идентификации администратора ПУ СД и ключевой материал для идентификации пользователя Secret Net должны быть записаны на разные носители. Корректное использование ключей-идентификаторов на одном носителе невозможно.
При возникновении ошибки 0x6BA (The RPC server is unavailable) создания сертификата в ПУ СД необходимо проверить, запущена ли системная служба "CryptoPrо CSP key storage".
Особенность совместной работы ПУ СД и ПУ ЦУС. При обновлении ПУ СД необходимо удалить и ПУ СД, и ПУ ЦУС, а затем установить их заново с общего инсталлятора, указав в мастере установки нужные компоненты.
Внимание! Количество подключенных учетных записей, отображаемых в ПУ СД, может не совпадать с количеством реальных пользователей АП. Причина: одновременная работа нескольких реальных пользователей под одной учетной записью. Такой вариант возможен при установке АП на нескольких компьютерах и включенном режиме "Разрешить множественные подключения".
Управление сервером доступа версии 3.05 возможно только с помощью программы управления той же версии.
Для установки ПУ СД на компьютер, работающий под управлением ОС Windows 2000, требуется наличие установленного пакета обновлений SP4. Так же должны быть установлены более поздние обновления (Hotfix), распространяемые компанией Microsoft.
Особенности удаления просроченных и отозванных сертификатов. Удаление сертификатов будет выполнено независимо от правильности указанного пароля для расшифровки ключей.

Программа просмотра журналов (ППЖ)

Если при просмотре журналов отображается сообщение об ошибке, рекомендуется повторить запрос к базе данных. Для этого используйте кнопку "Обновить" на панели инструментов Программы просмотра журналов.
Если при настройке параметров соединения с базой данных появляется сообщение об отсутствии SQLDMO.DLL, то необходимо установить клиентские утилиты MS SQL.
После переинициализации ЦУС необходимо очистить базу данных для хранения регистрационных журналов или создать ее заново. Это требуется для корректного отображения регистрационной информации.

Абонентский пункт (АП)

Установку и удаление АП должен осуществлять пользователь, наделенный правами локального администратора данного компьютера.
В КриптоПро CSP 3.0 и выше для корректной работы АП необходимо включить и настроить биологический датчик случайных чисел.
Совместная работа АП и ПП "Антивирус Касперского для Windows Workstations 5.0.225" возможна только при использовании КриптоПро версии 3.0.
В версии АП 3.02 при обновлении в ПУ СД параметров пользователя происходит разрыв соединения между СД и АП. В более поздних версиях при обновлении параметров пользователей соединение не разрывается.
При запуске программы SStart из командной строки имя соединения должно быть указано в OEM-кодировке.
При установке/настройке АП корневой сертификат, на котором подписан сертификат пользователя, должен быть установлен в хранилище доверенных сертификатов пользователя.
В случае возникновения ошибок при установке АП версии 3.02 и выше повторите попытку установки при отключенных сетевых устройствах.
Особенности совместной работы АП с ПП "Антивирус Касперского" версий 6.0 и 7.0. Для корректной установки соединения АП с сервером доступа необходимо в антивирусной программе отключить режим проверки всех портов.
Особенность работы КриптоПро CSP. Для смены пользователя компьютера необходимо завершить работу предыдущего пользователя (LogOff), а затем войти под новой учетной записью. При использовании команды Switch User возможна некорректная работа абонентского пункта.
Для корректной работы АП в свойствах соединения данного компьютера параметр "Время простоя до разъединения" (Параметры повторного звонка) должен иметь значение "Никогда".
Особенность обновления АП версий 3.2 и 3.3 до текущей версии. Межсетевой экран, входящий в комплект АП, при обновлении не устанавливается. Для установки межсетевого экрана измените набор установленных компонентов программы (Главное меню Windows > Панель управления > Установка и удаление программ > Континент АП > кнопка "Изменить").
Особенности работы АП с Windows Vista.

Если после установки АП отсутствует сеть, необходимо проверить настройки сетевого адаптера. Для этого в Диспетчере оборудования открыть диалог со свойствами сетевой карты и перейти к закладке Advanced. Необходимо убедиться, что для следующих параметров установлен статус Disabled:

IPv4 Checksum Offload,

TCP Checksum Offload (IPv4),

UDP Checksum Offload (IPv4).

Особенности удаления АП с Windows Vista. При удалении АП появляется сообщение Unidentified Publisher. Причины появления этого сообщения см. на сайте Microsoft (http://support.microsoft.com/kb/929467/en-us ).

Особенности работы АП с Windows Vista. После соединения АП с СД статус соединения отображается как "Континент АП ". Число обозначает порядковый номер установки ПО АП на данный компьютер.

Особенности работы АП с Windows 2000. Настройка "Перезвонить при разрыве связи" в Windows 2000 работает нестабильно.

Для установки АП на компьютер, работающий под управлением ОС Windows 2000, требуется наличие установленного пакета обновлений SP4. Так же должны быть установлены более поздние обновления (Hotfix), распространяемые компанией Microsoft.

Стандартным портом для соединения АП и СД является порт 4433. Если используется другой, он должен быть указан явным образом в настройках подключения АП через двоеточие после IP-адреса сервера доступа.

В АП версий 3.2 и 3.3 проверка наличия ПАК "Соболь" не осуществляется.

В МСЭ рекомендуется установить список правил фильтрации, пропускающий протоколы ARP (pass arp;) и DNS (pass:(udp src port 53) or (udp dst port 53);). Для поддержания работы в домене рекомендуется разрешить протокол NetBIOS (pass:((udp src port 137) and (udp dst port 137)) or ((udp src port 138) and (udp dst port 138));). В случае использования DHCP следует также разрешить протокол DHCP (pass:src port 67 or src port 68 or dst port 67 or dst port 68;).

Особенности подключения АП версии 3.2 к серверу доступа. При возникновении проблемы с подключением на экран выводится стандартное сообщение Windows об ошибке. Причины ошибки могут быть следующие:

недействительный сертификат сервера или пользователя (просрочен, незарегистрирован и т.п.);

неразрешенное время работы;

отсутствие пула адресов;

превышение количества подключений.

Убедитесь в правильности перечисленных настроек. Чтобы в сообщении об ошибке отображалась истинная причина, обновите абонентский пункт до версии 3.5.

Настройки BIOS на платформе G560

Настройки BIOS v.02.59 для загрузки с USB Flash диска

Main – Time, Date ..

Advanced – CPU Configuration
Hardware prefetcher
Adjacent cache line prefetch
Max cpuid value limit
Execute-disable bit capabil
Core multiprocessing


Advanced – IDE Configuration
ATA/IDE Configuration
Legacy IDE Channels
Configure SATA as
Hard disk write protect
IDE Detect Time out (Sec)

Advanced – ACPI configuration – general acpi conf



Advanced – ACPI configuration – advanced acpi configuration
Acpi version features
Acpi apic support

Advanced – USB configuration


Usb 2.0 controller
Usb2.0 controller mode




PCI latency timer
PCI IDE BusMaster
Offboard PCI/ISA IDE card

Boot – Boot Settings Configuration


AddOn ROM display mode
Bootup Num-Lock
PS/2 mouse support

Hit ‘Del’ message
Onboard PXE support


Boot – boot device priority
1st Boot device
2st Boot device	например, network: U

Boot – hard disk drives
	жесткий диск, например HDD:PM-AFAYA MDM 4

Настройки BIOS v.02.59 для снижения шума работы вентиляторов

Включение режима интеллектуального управления скоростью вращения вентиляторов:

Advanced > Hardware Health Configuration (W83793D) > Smart Fan Functions > Enabled

При выключенном режиме скорость вращения вентиляторов всегда максимальная, при включенном - зависит от нагрузки.

Протоколы и порты

Если на пути зашифрованного трафика находятся межсетевые экраны или другое оборудование, осуществляющее фильтрацию IP-пакетов, необходимо создать для них правила, разрешающие прохождение служебных пакетов комплекса "Континент" по протоколам и портам, указанным в таблице.

Протокол/ порт	Назначение	Источник/получатель	Примечания
TCP/4431	Управление Сервером доступа	Программа управления Сервером доступа / Сервер доступа
TCP/4444	Передача сообщений от Программы управления ЦУС к ЦУС и обмен сообщениями между ЦУС и Агентом ЦУС	Агент ЦУС / ЦУС; ЦУС / Агент ЦУС	Независимо от версии
TCP/4445	Передача обновлений ПО от Программы управления ЦУС к ЦУС и обмен сообщениями между Программой управления ЦУС и Агентом ЦУС	Программа управления ЦУС / ЦУС; Программа управления ЦУС / Агент ЦУС; Агент ЦУС / Программа управления ЦУС	АПКШ "Континент" 3.01.18 и более поздние версии
TCP/4446	Аутентификация хостов в защищенном сегменте сети	Компьютер с установленной программой "Клиент аутентификации хоста"/ КШ	Независимо от версии
TCP/5100	Передача сообщений от ЦУС к КШ и обмен сообщениями между КШ в кластере	Основной КШ / Резервный КШ; Резервный КШ / Основной КШ
TCP/5101			АПКШ "Континент" 3.0X.XX и более поздние версии
TCP/5102	Передача файлов от ЦУС к КШ		АПКШ "Континент" 3.0X.XX и более поздние версии
UDP/5101	Передача сообщений от КШ к ЦУС	КШ (исходящий порт 5100) / ЦУС	АПКШ "Континент" 3.0X.XX и более поздние версии
UDP/5557	Передача сообщений об активности между КШ в кластере	Основной КШ / Резервный КШ; Резервный КШ / Основной КШ	АПКШ "Континент" 3.0X.XX и более поздние версии
UDP/4433	Обмен сообщениями между сервером доступа и абонентским пунктом. Номер порта по умолчанию; изменяется в программе управления сервером доступа	Сервер доступа / Абонентский пункт; Абонентский пункт / Сервер доступа	АПКШ "Континент" 3.02.21 и более поздние версии
UDP/10000	Передача зашифрованного трафика	КШ / КШ, КШ / ЦУС	АПКШ "Континент" 3.5
	Передача зашифрованного трафика между КШ, принадлежащих одной сети	КШ / КШ, КШ / ЦУС	АПКШ "Континент" 3.4 и более ранние версии
	Передача зашифрованного трафика между КШ, принадлежащих разным сетям		Независимо от версии

Список сокращений

	Абонентский пункт
	Криптографический шлюз
	Центр управления сетью криптографических шлюзов
	Программа управления
	Программа управления ЦУС
	Программа управления сервером доступа
	Сервер доступа

ЗАО НИП "ИНФОРМЗАЩИТА"
Почтовый адрес:	127018, Москва, а/я 55
	(7-495) 980-23-45
	(7-495) 980-23-45
	[email protected]
	http://www.infosec.ru

Cистемные телефонные аппараты серии OpenStage

Семейство телефонных аппаратов OpenStage обладают уникальной возможностью интеграции с различными устройствами, позволяют иметь доступ к различным сервисам и приложениям и при этом остаются простыми с точки зрения использования.

OpenStage 20 - универсальное решение для обеспечения эффективной и профессиональной телефонной связи. Каждая последующая модель отличается расширенными функциональными возможностями, завершаясь моделью OpenStage 80, предназначенной для сотрудников высшего звена.

2.3 Коммутатор Cisco Catalyst 4507r

Все типы шасси обладают возможностью резервирования источников питания, интеграции inline-power для IP-телефонии, программных и аппаратных функций реализации отказоустойчивости. Ко всему прочему, шасси: Catalyst 4510R и Catalyst 4507R обладают возможностью резервирования модуля супервизора.

Карта расширения для Cisco Catalyst 4507R WS-X4148-FE-BD-LC на 48 оптических портов с интерфейсом LC 100BASE-BX10-D, поддерживаемыми стандартами IEEE 802.3ah и IEEE 802.3, со скоростью передачи до 1 Гбит/с.

2.4 Коммутатор Cisco Catalyst 2960

Новое семейство коммутаторов второго уровня Cisco Catalyst 2960 с фиксированной конфигурацией позволяет подключать рабочие станции к сетям Fast Ethernet и Gigabit Ethernet на скорости среды передачи,

2.5 Аппаратно-программный комплекс шифрования "Континент"

Сертифицированный ФСБ и ФСТЭК России аппаратно-программный комплекс шифрования «Континент» является средством построения виртуальных частных сетей (VPN) на основе глобальных сетей общего пользования, использующих протоколы семейства TCP/IP.

АПКШ «Континент» обладает всеми необходимыми возможностями, чтобы обеспечить:

Объединение через Интернет локальных сетей предприятия в единую сеть VPN;

Подключение удаленных и мобильных пользователей к VPN по защищенному каналу;

Разделение доступа между информационными подсистемами организации;

Организация защищенного взаимодействия со сторонними организациями;

Безопасное удаленное управление маршрутизаторами.

Наличие всех необходимых сертификатов ФСБ и ФСТЭКобеспечивает возможность использования АПКШ «Континент» в организациях, работающих с конфиденциальной информацией, в полном соответствии с Российским законодательством.

Достоинства АПКШ «Континент»

Высокая надежность и отказоустойчивость

Простота внедрения и обслуживания

Удобство управления и поддержки

Высокая пропускная способность

Высокая масштабируемость

Поддержка всех современных протоколов и технологий

Характеристики АПКШ «Континент» - стандарт (IPC-100)

Форм-фактор: 1U для монтажа в 19"" стойку

Габариты (ВхШxГ): 45 х 432 x 425 мм

Процессор: Intel Core 2 Duo

Оперативная память: 1Gb DDR-2

Сетевые интерфейсы: 6х 1000BASE-T Ethernet 10/100/1000 RJ45

1x 1000BASE-X оптический Gigabit Ethernet SFP

Жесткий диск: DOM модуль 4Gb

Блок питания:350W

Порт для подключения dial-up модема: 1х RS232

Видео порт (VGA): 1х (D-Sub)

Порты USB: 2х

Считыватель Touch Memory

Персональные идентификаторы Touch Memory iButton DS1992L – 2шт.

USB-flash drive не менее 512 Мб

Крепежный комплект для установки в монтажный шкаф 19""

Упаковка: индивидуальная картонная коробка

Вес: 6,5 кг

Производительность VPN (режим шифрования) - до 220 Мбит/с

Производительность межсетевого экрана (открытый трафик) - до 400 Мбит/с

Эффективная защита корпоративных сетей

Безопасный доступ пользователей VPN к ресурсам сетей общего пользования

Криптографическая защита передаваемых данных в соответствии с ГОСТ 28147–89

В АПКШ «Континент» применяется современная ключевая схема, реализующая шифрование каждого пакета на уникальном ключе. Это обеспечивает высокую степень защиты данных от расшифровки в случае их перехвата. Шифрование данных производится в соответствии с ГОСТ 28147–89 в режиме гаммирования с обратной связью. Защита данных от искажения осуществляется по ГОСТ 28147–89 в режиме имитовставки. Управление криптографическими ключами ведется централизованно из ЦУС.

Безжалостная эволюция мира хранения

Ключевые возможности и характеристики апкш «континент»

Хрупкий баланс между удобством и безопасностью

Задача восстановления данных

По окончанию обучения

2.3 Коммутатор Cisco Catalyst 4507r

2.5 Аппаратно-программный комплекс шифрования "Континент"