Secret Net проблемы - Форум по вопросам информационной безопасности

Всем привет. Есть ситуация с работой контроля потоков Secret Net, с которой мы столкнулись и, как нам кажется, это не нормально. Возможно, мы где-то ошибаемся и, хотелось бы, чтоб вы, коллеги, прокомментировали ситуацию, описанную ниже.

Есть АС на базе автономной АРМ под управлением операционной системы Windows 7 Professional Service Pack 1 (64-bit). В АС установлено СЗИ от НСД «Secret Net 7» версии 7.6.604.0. (автономный вариант).

В АС есть учетная запись пользователя (User1). Учетной записи присвоена максимальная метка конфиденциальности (Например: строго конфиденциально). На жестком диске АС созданы каталоги с соответствующими уровнями конфиденциальности (Н: D:\Неконфиденциально; D:\Конфиденциально; D:\Строго конфиденциально). Контроль потоков включен.

Пользователь User1, находясь в уровне сеанса «строго конфиденциально», имеет возможность (то есть Secret Net это позволяет делать) создавать папки в каталогах, метка которых меньше уровня сеанса. Соответственно, имеется возможность через имена этих каталогов перенести конфиденциальную информацию (Например, из каталога D:\Строго конфиденциально) в каталог жесткого диска с более низкой меткой конфиденциальности.

Резумирую: то есть захожу под учеткой User1 в сессии "строго конфиденциально". Открываю какой-нибудь конфиденциальный документ. Затем, например, создаю каталог на рабочем столе или любом другом месте НЖМД. Созданный каталог сразу имеет метку "неконфиденциально". И переименовываю этот каталог. В имя этого каталога я вставляю часть текста конфиденциального документа. Получается, что текст конфиденциального документа оказывается в именах каталогов, созданных на рабочем столе или любом другом каталоге с меткой "неконфиденциально". По-моему, это ненормально, что Secret Net позволяет создавать каталоги с меткой "неконфиденциально" в условно любом месте НЖМД, даже находясь в сессии с меткой выше.

Human | 69011
А какой смысл в этих действиях?
Зачем пользователю это делать?
Длина имени папки ограничена операционной системой на весь путь отводится 256 символов. Сколько пользователю необходимо создать таких папок чтобы перепечатать конфиденциальный документ. Чтобы вынести эту информацию ему проще сфотографировать экран с этим документом и вынести его.

Secret Net 7 по умолчанию создает директорию с меткой "неконфиденциально", если родительскому каталогу не присвоена никакая метка и не стоит галочка "автоматически присваивать создаваемым папкам" (кстати эта функция, если мне память не изменяет появилась как раз в 7 версии Secret Net, раньше такой возможности не было).

Евгений | 69026
Дело не в смысле, а в потенциальной возможности. Иначе, для чего нужен контроль потоков в СЗИ от НСД? Вроде как, в первую очередь, чтоб предотвратить перенос конфиденциальной информации на носители несоответсвующей степени конфиденциальности...

to Human
Товарищи из Кода Безопасности реализуют механизмы защиты в своих разработках "четко по букве", а не "по духу" руководящих документов регуляторов. Сказано, что инфа не должна сливаться из категории 2 в категорию 1 или 0 - сделано, файлы-то напрямую не передашь. А дальше... их за уязвимость уровня ядра СЗИ не особо наказали, а вы говорите о потенциально возможных каналах утечки, которые еще и ограничены встроенными средствами ОС...
А так, да, этому типу атак уже 100 лет в обед... Только есть другой косяк: инсайдеру в наших системах при разработке документов куда проще создать грифованный документ в сессии 0, чем заниматься копированием (выносом) документа из сессии 1 и выше. Для систем с доступом на R к чужим данным это, предложенный вами вариант, конечно, актуален. А для остальных систем игра свеч не стоит... хоть и потенциально опасна...

ЗЫ Хотя это бесспорно косяк Кода Безопасности в части реализации мандатной модели доступа. Принципы такой модели должны быть применимы не только к файлам, но и к каталогам. Т.е. в сессии X запрещено создавать каталоги и файлы с грифом ниже X. И тем более создавать какие-либо каталоги и файлы в других каталогах с грифом <X. Но ребята из Кода не смогли оптимально реализовать взаимодействие своего драйвера СЗИ с файловой системой NTFS в части назначения и каталогам, и файлам одинаковых параметров. Благо, что в 7 версии SN сумели "научить" каталоги наследованию грифов от родителей к дочерним.

Human | 69027
Ок, тогда запретите пользователям создавать папки, кроме выделенных директорий. А у Вас на съемных носителях какая файловая система используется?

Здравствуйте. Помогите! У меня рабочая машина в домене, пытаюсь поставить сетевой secret net 7.6. При установке выдает надпись "разрушительный сбой". С сервером пингуюсь, Заранее спасибо

Приветствую. Столкнулся с проблемой, да такой что ТП не понимает что происходит, ситуация в следующем. Не проходят обновления SN7, связанные с безопасностью. ТП просит бесконечный сбор логов, кто нибудь сталкивался с подобными сложностями?

Вернее не проходят обоновления windows 7, где установлен SN7.

По поводу каталогов...

Во первых в Secret Net возможен просмотр всей структуры каталогов под любым уровнем.
Следовательно - Имена каталогов не должны содержать конф. сведений, иначе будет возможен просмотр информации при меньших уровнях пользователя.
А раз имена не должны содержать конф. информации зачем все так усложнять - запрещая создавать каталоги или что-то подобное. На мой взгляд достаточно ограничить буфер обмена, чтобы исключить копирование данных из файлов...

А ввод конфиденциальной информации технически не ограничить...
Как проконтролировать перенос данных из бумажной распечатки не того уровня конфиденциальности?

to Евгений, nekto
Всех приветствую. Почему организация, приобретая сертифицированное средство защиты, получает продукт, для полноценной работы которого необходимо дополнительно изобрести "костыли", чтобы прикрыть явные недоработки производителя СЗИ (или того кто продукт сертифицировал)? Особенно когда эти "костыли" мешают нормальной работе.