Куда я попал?
Цель: предотвращение несанкционированного доступа к информации и предотвращение утечки информации через подключаемые съемные носители данных к объектам информатизации.
Техническая реализация требует комплексного подхода, сочетающего централизованные системы защиты информации и встроенные механизмы ОС:
Техническая реализация требует комплексного подхода, сочетающего централизованные системы защиты информации и встроенные механизмы ОС:
- С использованием программных средств контроля съемных носителей информации, например:
- СЗИ от НСД:
- Secret Net Studio;
- Dallas Lock;
- Блокхост-Сеть;
- Kaspersky Endpoint Security;
- DLP - систем:
- Гарда DLP;
- КИБ Сёрчинформ;
- Zecurion;
- Falcongaze SecureTower;
- InfoWatch;
- Staffcop.
- СЗИ от НСД:
- Реализация на уровне операционной системы через групповые политики
Для Windows-систем используется оснастка редактора локальной групповой политики.
gpedit.msc1. Цель: Отключить возможность установки драйверов для новых USB-устройств хранения данных.
Конфигурация компьютера -> Административные шаблоны -> Система -> Установка устройства -> Ограничения на установку устройств.Политика: Запретить установку устройств, не описанных другими параметрами политики. Значение = Включена.
Дополнительно: Можно настроить политику Установка устройств в разделе
Конфигурация компьютера -> Административные шаблоны -> Система, указав класс устройств {4d36e967-e325-11ce-bfc1-08002be10318} (съемные ЗУ).
2. Цель: Запретить чтение и запись на съемные диски.
2. Цель: Запретить чтение и запись на съемные диски.
Конфигурация компьютера -> Административные шаблоны -> Система -> Доступ к съемным запоминающим устройствам.Политика: Съемные диски: Запретить чтение и/или Съемные диски: Запретить запись. Значение = Включена.
На Linux-системах контроль обычно реализуется через подсистему udev и права доступа.
Создается правило в файле
/etc/udev/rules.d/70-usb-storage.rules.Цель: Заблокировать автоматическое монтирование всех USB-накопителей.
Правило:
Правило:
# /etc/udev/rules.d/70-usb-storage.rules
ACTION=="add", SUBSYSTEM=="block", ENV{ID_USB_DRIVER}=="usb-storage", RUN+="/bin/sh -c '/usr/bin/logger 'USB storage device blocked by udev rule'"Как это работает: При добавлении (ACTION=="add") блочного устройства (SUBSYSTEM=="block"), которое является USB-накопителем (ENV{ID_USB_DRIVER}=="usb-storage"), выполняется команда.
В данном примере она просто отправляет сообщение в системный журнал (logger), но можно добавить команду для блокировки или выполнения скрипта оповещения.
В данном примере она просто отправляет сообщение в системный журнал (logger), но можно добавить команду для блокировки или выполнения скрипта оповещения.
Для более тонкого контроля используются модули ядра, такие как usb_storage, которые можно загружать (modprobe) и выгружать (rmmod) динамически, разрешая работу с устройствами только в определенные промежутки времени.
Допускается опечатывание физических портов для подключения съемных носителей информации, для обеспечения невозможности подключения любых носителей информации.
Рекомендации к заполнению карточки:
- Используемое СЗИ добавить в Модуль активов в реестр средств защиты информации;
- Указать используемое СЗИ в качестве инструмента к мере.
- При необходимости добавьте скриншот, отражающий произведенные настройки в СЗИ.
- Если используется групповая политика, то привяжите созданный актив типа групповые политики к данной защитной мере в качестве инструмента (если настройка осуществлялась на контроллере домена).
Область действия: Вся организация
Классификация
Тип
Техническая
?
Превентивная
?
Удерживающая
?
Реализация
Вручную
Периодичность
Разово
Ответственный
Не определено
Инструменты
Не определено
Осуществление контроля подключения съемных машинных носителей информации
Предшествующие меры
| № | Этап -1 | Этап -2 | Этап -3 | ||
|---|---|---|---|---|---|
| 1 | Утверждение Регламента защиты машинных носителей | ||||
| 2 | Утверждение Порядка планирования мероприятий по ИБ и контроля за их выполнением | Разработка Плана мероприятий по обеспечению безопасности значимых объектов КИИ | Утверждение Регламента защиты машинных носителей информации в объектах КИИ |
Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.