ЗСВ 13-31
Базовый состав мер по организации и контролю информационного взаимодействия и изоляции виртуальных машин
ЗСВ.13 (Н-Т-Т)
Выделение в вычислительных сетях финансовой организации отдельных сегментов (групп сегментов), в том числе виртуальных, используемых для размещения совокупности виртуальных машин, предназначенных для размещения серверных компонент АС, включенных в разные контуры безопасности.
Уровень защиты информации 3-Н, 2-Т, 1-Т.
Пояснение
Для пояснения.
Реализация - Т
Для реализации.
Проверочные процедуры (свидетельства)
Для процедур.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.14 (Н-Т-Т)
Выделение в вычислительных сетях финансовой организации отдельных сегментов (групп сегментов), в том числе виртуальных, используемых для размещения совокупности виртуальных машин, предназначенных для размещения АРМ пользователей и эксплуатационного персонала, включенных в разные контуры безопасности.
Уровень защиты информации 3-Н, 2-Т, 1-Т.
Пояснение
Для пояснения.
Реализация - Т
Для реализации.
Проверочные процедуры (свидетельства)
Для процедур.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.15 (Н-Н-Т)
Организация информационного обмена между сегментами (группами сегментов) вычислительных сетей, определенных мерами ЗСВ.13 и ЗСВ.14 настоящей таблицы, физическим оборудованием (программно-аппаратным комплексом) и (или) программными средствами межсетевого экранирования, функционирующими на уровне гипервизора среды виртуализации.
Уровень защиты информации 3-Н, 2-Н, 1-Т.
Пояснение
В соответствии с мерами ЗСВ.14 и ЗСВ.14, выбор и реализация данной меры необходимо в случае наличия в инфраструктуре проверяемой организации нескольких выделенных контуров безопасности.
Реализация - Т
При наличии в организации более одного выделенного контура безопасности, необходимо организовать информационный обмен между входящими в разные контуры безопасности сегментами, предназначенными для размещения серверных компонентов автоматизированных систем и для размещения АРМ пользователей и эксплуатационного персонала, через межсетевой экран на уровне гипервизора среды виртуализации.
Допустимо использование межсетевого экрана как в программно-аппаратном, так и в программном исполнении.
При этом, на рынке представлены специализированные межсетевые экраны уровня гипервизора (vGate, UserGate и т.п.).
Проверочные процедуры (свидетельства)
Схема локальной вычислительной сети с отображением взаимодействия виртуальной инфраструктуры входящей в разные контуры безопасности;
Демонстрация (скриншоты) настроек межсетевого экрана;
Выгрузка конфигураций межсетевого экрана.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.16 (Н-Т-Т)
Межсетевое экранирование сегментов (групп сегментов) вычислительных сетей, определенных мерами ЗСВ.13 и ЗСВ.14 настоящей таблицы, включая фильтрацию данных на сетевом и прикладном уровнях семиуровневой стандартной модели взаимодействия открытых систем, определенной в ГОСТ Р ИСО/МЭК 7498-1.
Уровень защиты информации 3-Н, 2-Т, 1-Т.
Пояснение
В соответствии с мерами ЗСВ.14 и ЗСВ.14, выбор и реализация данной меры необходимо в случае наличия в инфраструктуре проверяемой организации нескольких выделенных контуров безопасности.
Мера ЗСВ.16 похожа на меру СМЭ.3.
Реализация - Т
При наличии в организации более одного выделенного контура безопасности, необходимо организовать фильтрацию данных на сетевом и прикладном уровнях между входящими в разные контуры безопасности сегментами, предназначенными для размещения серверных компонентов автоматизированных систем и для размещения АРМ пользователей и эксплуатационного персонала.
Требуется настроить на межсетевом экране фильтрацию трафика между указанными сегментами входящими в разные контуры безопасности.
Для реализации меры должны применяться сетевые устройства, имеющие функции фильтрации и сетевого и прикладного уровней одновременно. В ряде случаев фильтрацию на прикладном уровне реализуют с помощью программного обеспечения.
Проверочные процедуры (свидетельства)
Схема локальной вычислительной сети с отображением взаимодействия виртуальной инфраструктуры входящей в разные контуры безопасности;
Демонстрация (скриншоты) настроек межсетевого экрана;
Выгрузка конфигураций межсетевого экрана.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.17 (Н-Т-Т)
Реализация и контроль информационного взаимодействия между сегментами (группами сегментов) вычислительных сетей мерами, указанными в пунктах ЗСВ.13 и ЗСВ.14 настоящей таблицы, в соответствии с установленными правилами и протоколами сетевого взаимодействия.
Уровень защиты информации 3-Н, 2-Т, 1-Т.
Пояснение
В соответствии с мерами ЗСВ.14 и ЗСВ.14, выбор и реализация данной меры необходимо в случае наличия в инфраструктуре проверяемой организации нескольких выделенных контуров безопасности.
Мера ЗСВ.17 похожа на меру СМЭ.4.
Реализация - Т
При наличии в организации более одного выделенного контура безопасности, необходимо организовать реализацию и контроль информационного взаимодействия между входящими в разные контуры безопасности сегментами, предназначенными для размещения серверных компонентов автоматизированных систем и для размещения АРМ пользователей и эксплуатационного персонала.
Требуется обеспечить инвентаризацию используемых сетевых протоколов и портов межсетевого экрана и настроить или оставить только необходимые протоколы и порты.
Настроить доступ к определенным ресурсам виртуальной инфраструктуры или портам сегментов сети. Контроль реализуется путем выгрузки событий маршрутизации в систему мониторинга.
Проверочные процедуры (свидетельства)
Демонстрация (скриншоты) настроек сетевого оборудования и МСЭ;
Выгрузка логов сетевого взаимодействия;
Скриншоты фактов выгрузки сетевых событий в систему мониторинга.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.18 (Н-Н-Т)
Реализация мер защиты информации ЗСВ.15-ЗСВ.17 настоящей таблицы физическим оборудованием (программно-аппаратным комплексом) и (или) программными средствами межсетевого экранирования, функционирующих на уровне гипервизора среды виртуализации.
Уровень защиты информации 3-Н, 2-Н, 1-Т.
Пояснение
В соответствии с мерами ЗСВ.14 и ЗСВ.14, выбор и реализация данной меры необходимо в случае наличия в инфраструктуре проверяемой организации нескольких выделенных контуров безопасности.
Реализация - Т
При наличии в организации более одного выделенного контура безопасности, необходимо обеспечить реализацию мер ЗСВ.15-ЗСВ.17 с помощью межсетевого экрана на уровне гипервизора среды виртуализации.
Допустимо использование межсетевого экрана как в программно-аппаратном, так и в программном исполнении.
При этом, на рынке представлены специализированные межсетевые экраны уровня гипервизора (vGate, UserGate и т.п.).
Проверочные процедуры (свидетельства)
Схема локальной вычислительной сети с отображением взаимодействия виртуальной инфраструктуры входящей в разные контуры безопасности;
Демонстрация (скриншоты) настроек межсетевого экрана;
Выгрузка конфигураций межсетевого экрана.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.19 (Н-Н-Т)
Организация и контроль информационного взаимодействия между виртуальными машинами разных АС в соответствии с установленными правилами и протоколами сетевого взаимодействия.
Уровень защиты информации 3-Н, 2-Н, 1-Т.
Пояснение
Для пояснения.
Реализация - Т
Требуется обеспечить инвентаризацию используемых сетевых протоколов и портов сетевого оборудования и настроить или оставить только необходимые протоколы и порты для организации информационного взаимодействия между виртуальными машинами разных АС. Контроль реализуется путем выгрузки событий маршрутизации в систему мониторинга.
Демонстрация (скриншоты) настроек сетевого оборудования и МСЭ;
Выгрузка логов сетевого взаимодействия;
Скриншоты фактов выгрузки сетевых событий в систему мониторинга.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.20 (Н-Т-Т)
Исключение возможности информационного взаимодействия и переноса информации между сегментами вычислительных сетей, входящими в разные контуры безопасности, с использованием АРМ пользователей и эксплуатационного персонала, эксплуатируемых для осуществления доступа к виртуальным машинам разных контуров безопасности.
Уровень защиты информации 3-Н, 2-Т, 1-Т.
Пояснение
Для пояснения.
Реализация - Т
Для реализации.
Проверочные процедуры (свидетельства)
Для процедур.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.21 (Н-Т-Т)
Выделение отдельных логических разделов системы хранения данных для каждого из контуров безопасности.
Уровень защиты информации 3-Н, 2-Т, 1-Т.
Пояснение
Для пояснения.
Реализация - Т
Для реализации.
Проверочные процедуры (свидетельства)
Для процедур.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.22 (Н-Н-Т)
Выделение отдельных сегментов управления, в которых располагаются АРМ эксплуатационного персонала, используемые для выполнения задач администрирования серверных компонент виртуализации и системы хранения данных*.
*Допускается использование единых сегментов управления, выделяемых в рамках выполнения меры ЗСВ.22 и меры СМЭ.9.
Уровень защиты информации 3-Н, 2-Н, 1-Т.
Пояснение
Для пояснения.
Реализация - Т
Выделение изолированного сетевого сегмента, где размещаются АРМ эксплуатационного персонала, используемые для выполнения задач администрирования серверных компонент виртуализации и системы хранения данных. При реализации меры не забыть, если в организации выделено несколько контуров безопасности, таких сегментов для АРМ эксплуатационного персонала должно быть столько, сколько контуров безопасности, использующих виртуальную инфраструктуру.
Проверочные процедуры (свидетельства)
Скриншот правил МЭ с выделенным сетевым сегментом, а также демонстрация состава объектов (АРМ), в нем размещенных. АРМ должны быть закреплены за работниками, выполняющими функции администрирования виртуальной среды согласно мере УЗП.29.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.23 (Н-О-О)
Регламентация и контроль выполнения:
операций в рамках жизненного цикла базовых образов виртуальных машин;
операций по копированию образов виртуальных машин.
Уровень защиты информации 3-Т, 2-Т, 1-Т.
Пояснение
Мера направлена на регламентацию жизненного цикла виртуальных машин.
Реализация - О
Мера должна быть регламентирована в документе Положение по обеспечению информационной безопасности при использовании средств виртуализации.
В документе устанавливается цикл жизни виртуальных машин и операции в каждом этапе цикла. Рекомендуется определять жизненный цикл не только для базового образа, но и для текущего образа виртуальной машины. Жизненный цикл образов виртуальных машин должен включать минимально этапы:
- создания (развертывания) виртуальной машины;
- ввод в эксплуатацию виртуальной машины;
- эксплуатация виртуальной машины;
- вывод из эксплуатации виртуальной машины;
- удаление виртуальной машины.
Этапы жизненного цикла виртуальных машин должны учитывать:
- необходимость учета состава и ролей виртуальных машин;
- порядок размещения самих виртуальных машин и ПО (системного, прикладного, ПО АС) на них;
- контроль функционирования виртуальных машин и способы обеспечения отказоустойчивости;
- требования к применению технологии Virtual Desktop Infractukture (рекомендуется определять для VDI машин отдельный жизненный цикл);
- использование технологии базовых образов виртуальных машин;
- особенности функционирования гипервизора;
- перечень ответственных работников за каждый этап жизненного цикла виртуальной машины, а также за функционирование гипервизора.
Документ должен определять состав процедур контроля всех этапов жизненного цикла виртуальных машин и порядок выполнения контроля.
Проверочные процедуры (свидетельства)
Документ, определяющий этапы жизненного цикла виртуальных машин.
Акт контроля операций в рамках жизненного цикла базовых образов виртуальных машин.
Демонстрация фактов контроля операций по копированию образов виртуальных машин (например, посредством уведомления о событии копирования базового образа).
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.24 (Н-О-О)
Включение только в базовые образы виртуальных машин следующего ПО:
ПО технических мер защиты информации, применяемых в пределах виртуальных машин;
ПО АС.
Уровень защиты информации 3-Н, 2-О, 1-О.
Пояснение
Мера направлена на формирование эталонного образа виртуальной машины, содержащего необходимый набор проверенного ПО, чтобы распространение виртуальных машин выполнялось с эталонного проверенного образа.
Реализация - О
Мера должна быть регламентирована в документе Положение по обеспечению информационной безопасности при использовании средств виртуализации.
В документе устанавливается состав ПО, включаемого в состав базового образа виртуальной машины и порядок обеспечения контроля ограничения состава разрешенного ПО.
Проверочные процедуры (свидетельства)
Акт проверки, что включено в базовые образы виртуальных машин.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Данная мера должна иметь признак технической, так как указание в документах обязанности по размещению ПО только в базовые образы по факту не влечет обязательного неукоснительного выполнения. Мера должна подтверждаться свидетельствами технической ее реализации.
ЗСВ.25 (Н-О-О)
Отнесение каждой из виртуальных машин только к одному из контуров безопасности.
Уровень защиты информации 3-Н, 2-О, 1-О.
Пояснение
Мера направлена на защиту данных, обрабатываемых в контуре безопасности, от несанкционированного переноса в другой контур безопасности посредством виртуальной машины, так как организация защиты информации в различных контурах может отличаться.
Реализация - О
Мера должна быть регламентирована в документе Положение по обеспечению информационной безопасности при использовании средств виртуализации.
В документе устанавливается требование распределять каждую из виртуальных машин только в один из контуров безопасности.
Проверочные процедуры (свидетельства)
Акт проверки, в какой контур безопасности входит виртуальная машина.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Данная мера должна иметь признак технической, так как указание в документах обязанности по размещению виртуальной машины в одном контуре по факту не влечет обязательного неукоснительного выполнения. В связи с чем мера неэффективна. Мера должна подтверждаться свидетельствами технической ее реализации.
ЗСВ.26 (Н-Н-Т)
Контроль целостности, выполняемый при запуске (загрузке) виртуальной машины:
базового образа виртуальной машины;
ПО, включенного в пользовательский профиль виртуальной машины;
параметров настроек ПО технических мер защиты информации, применяемых в пределах виртуальных машин.
Уровень защиты информации 3-Н, 2-Н, 1-Т.
Пояснение
Для пояснения.
Реализация - Т
Проверка контрольной суммы виртуальной машины перед ее запуском. Как правило, реализуется наложенными средствами защиты.
Альтернативным решением является запуск виртуальной машины только из Golden Image, недоступного для изменений.
Проверочные процедуры (свидетельства)
Скриншот применения наложенного средства для проверки контрольной суммы vmx-файла, скриншот события результата проверки, либо свидетельство запуска виртуальной машины из Golden Image, недоступного для изменений.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.27 (О-О-О)
Запрет на копирование текущих образов виртуальных машин, использующих СКЗИ, с загруженными криптографическими ключами.
Уровень защиты информации 3-О, 2-О, 1-О.
Пояснение
Мера направлена на защиту данных криптографических ключей от несанкционированной передачи посредством виртуальной машины.
Реализация - О
Мера должна быть регламентирована в документе Положение по обеспечению информационной безопасности при использовании средств виртуализации.
В документе устанавливается запрет копирования текущих образов виртуальных машин, использующих СКЗИ, с загруженными криптографическими ключами.
Проверочные процедуры (свидетельства)
Документ, определяющий этапы жизненного цикла виртуальных машин.
Акт контроля процедуры копирования виртуальной машины. Контроль может быть выполнен визуальным наблюдением за процедурой копирования или опросом об этапах подготовки виртуальной машины к копированию.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.28 (О-О-О)
Запрет на копирование текущих образов виртуальных машин, используемых для реализации технологии виртуализации АРМ пользователей.
Уровень защиты информации 3-О, 2-О, 1-О.
Пояснение
Мера направлена на защиту данных пользователей и АС в момент обработки защищаемой информации от несанкционированного копирования и распространения посредством виртуальной машины.
Реализация - О
Мера должна быть регламентирована в документе Положение по обеспечению информационной безопасности при использовании средств виртуализации.
В документе устанавливается запрет копирования текущих образов виртуальных машин, используемых для реализации технологии виртуализации АРМ пользователей.
Проверочные процедуры (свидетельства)
Документ, определяющий этапы жизненного цикла виртуальных машин.
Акт контроля процедуры копирования виртуальной машины. Контроль может быть выполнен визуальным наблюдением за процедурой копирования или опросом об этапах подготовки виртуальной машины к копированию.
Типичные недостатки
Не выявлено.
Компенсационные меры
Не выявлено.
Выявленные коллизии
Данная мера должна иметь признак технической, так как указание в документах обязанности по размещению виртуальной машины в одном контуре по факту не влечет обязательного неукоснительного выполнения. В связи с чем мера неэффективна. Мера должна подтверждаться свидетельствами технической ее реализации.
ЗСВ.29 (Н-Н-Т)
Запрет сохранения изменений, произведенных пользователями в процессе работы их виртуальных машин, в базовом образе виртуальных машин.
Уровень защиты информации 3-Н, 2-Н, 1-Т.
Пояснение
Для пояснения.
Реализация - Т
Настройка на образе виртуальной машины, при которой по завершении работы откатываются все изменения, выполненные в виртуальной машине.
Проверочные процедуры (свидетельства)
Скриншот настройки запрета сохранения изменений при завершении работы с виртуальной машиной.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.30 (Н-Т-Н)
Контроль завершения сеанса работы пользователей с виртуальными машинами.
Уровень защиты информации 3-Н, 2-Т, 1-Н.
Пояснение
Для пояснения.
Реализация - Т
Для реализации.
Проверочные процедуры (свидетельства)
Для процедур.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
ЗСВ.31 (Н-Н-Т)
Контроль завершения сеанса работы пользователей с виртуальными машинами и обеспечение последующей работы виртуальной машины с использованием базового образа.
Уровень защиты информации 3-Н, 2-Н, 1-Т.
Пояснение
Для пояснения.
Реализация - Т
Настройка расписания завершения работы с виртуальной машиной по определенному времени и перенаправление событий завершения работы с виртуальной машиной в систему мониторинга событий. Рекомендуется настроить информирование работников подразделения ИБ о превышении времени работы с виртуальной машиной сверх установленного графика или запуска виртуальной машины в некорректное время.
Проверочные процедуры (свидетельства)
Скриншот настройки расписания завершения работы с виртуальной машиной и событие из системы мониторинга событий о завершении работы.
Типичные недостатки
Не выявлены.
Компенсационные меры
Не выявлены.
Выявленные коллизии
Не выявлены.
Last updated