Многоконтурная система обработки и защиты информации

Изобретение относится к области информационной безопасности. Техническим результатом является предотвращение возможности попадания информации определенной категории из одной компьютерной сети в другую. Программно-аппаратный комплекс с многоконтурной архитектурой для распределения цифровой информации содержит компьютерный терминал с независимыми аппаратно-разделенными контурами, взаимодействующими с соединенными между собой локальными автономными серверами, образующими систему безопасного ограниченного перемещения информации, реализуемого посредством однонаправленных шлюзов. Каждый из указанных локальных автономных серверов содержит подключенную к нему подсистему периферийного оборудования, причем первый сервер в системе выполнен с возможностью получения и обработки новой информации, а последний сервер в системе выполнен с возможностью обработки и извлечения поступившей информации. Выходы каждого из серверов системы подключены к своим шифраторам, которые соединены с единым маршрутизатором, передающим данные посредством VPN канала связи в маршрутизатор единого центра обработки информации, выполненный с возможностью распределения информации в ответные шифраторы контуров, из которых она поступает в центральные серверы соответствующих контуров. 1 ил.

 

Предлагаемое изобретение используется в области защиты информационных технологий и компьютерных программ, а конкретно предназначено для безопасного распределения важной информации различной степени конфиденциальности и удобства ею пользования на определенном рабочем участке.

Из уровня техники известно средство вычислительной техники (СВТ) для обработки информации разной конфиденциальности (см. RU2623903, кл. G06F21/30, публ. 2017г. [1]).

В известном техническом решении [1] содержится блок преобразования данных для обработки информации с низким уровнем конфиденциальности и блок для обработки информации с высоким уровнем конфиденциальности, устройства для взаимодействия с оператором, устройство для доступа к разделяемым внешним носителям, блок управления коммутацией, который соединен посредством соответствующих интерфейсов с компьютером для обработки информации с низким уровнем конфиденциальности и с компьютером для обработки информации с высоким уровнем конфиденциальности.

С помощью данного решения допускается одновременная обработка информации с разными уровнями конфиденциальности с использованием одного набора устройств для взаимодействия с пользователем и для доступа к раздельным внешним носителям.

Недостатками известного технического решения, можно считать, следующие:

1. Данные (СВТ) невозможно объединить в сеть без специальных сложных устройств, гарантирующих корректное объединение ЭВМ в сеть. Т.е. сеть должна гарантированно объединять только ЭВМ, обрабатывающие однотипную информацию (информацию одной категории).

2. Не решен вопрос контролируемого безопасного ввода/вывода (вноса/выноса) информации на первую и вторую ЭВМ.

3. Периферийные устройства коммутируются, т.е. подключаются к первой или второй ЭВМ, однако, их память не очищается, поэтому в качестве устройства вывода нельзя использовать устройства со встроенной памятью. Так, например, при печати секретного документа в принтере закончилась бумага и документ не вышел в печать, при этом пользователь СВТ сменился и при загрузке бумаги в принтер документ будет допечатан для пользователя, которому он не предназначен.

4. Нет контроля и защиты от ошибок включения средств защиты. Например, если включенное устройство активной защиты включится некорректно или будет некорректно работать, то вторая ЭВМ все равно будет включена и загружена.

5. СВТ большое по габаритам и весу, поскольку имеет в своем составе средства активной и пассивной защиты первой и второй ЭВМ и использует для обработки информации системные блоки, что усложняет создание на базе такой СВТ автоматизированных рабочих мест.

Из уровня техники известна технология управления доступом к информационным ресурсам компьютерных сетей различных уровней конфиденциальности (см. RU2436154, кл. G06F21/20, публ. 2011г. [2]).

Задачей данного решения является создание способа управления доступом к информационным ресурсам компьютерных сетей, позволяющих предотвратить утечку конфиденциальной информации.

Схема компьютерной сети известного решения подразумевает наличие пользовательской компьютерной системы, несколько соединенных между собой компьютеров-серверов корпоративной сети, маршрутизатор периметра и устройство управления доступом к информационным ресурсам.

Особенность известной технологии [2] заключается в классификации информационных ресурсов на два основных класса – по степени конфиденциальности информации и по уровню риска или опасности их воздействия на конфиденциальную информацию. При этом пользователь имеет возможность получения доступа к любому информационному ресурсу, однако, запрещен одновременный доступ к ресурсам разных уровней конфиденциальности.

Недостатками известной технологии [2], можно считать, следующие:

1. Не указано как будет производиться защита информации от утечек из-за ПЭМИН (побочных электромагнитных излучений и наводок) между техническими средствами, входящими в описанную систему и обрабатывающими информацию различных уровней конфиденциальности.

2. Не представлен способ контролируемого гарантированного безопасного ввода/вывода информации на компьтерах-клиентах при использовании периферийных устройств, имеющих в своем составе память.

3. Не ясно как возможно гарантировано безопасно перемещать информацию между компьютерами-клиентами, обрабатывающими информацию различных уровней конфиденциальности.

Наиболее близкой по технической сущности к предлагаемому изобретению является программно-аппаратная система, известная из RU139001, кл. G06F15/163, публ. 2014г. [3].

Известная система [3] относится к области вычислительной техники и обеспечивает возможность безопасной работы оператора в полностью разделенных сетях, в том числе с различным уровнем конфиденциальности, с использованием одного устройства с переключаемыми устройствами ввода-вывода информации.

Известная программно-аппаратная система [3] имеет возможность аппаратного разделения информации путем выполнения каждого из вычислительных модулей (серверов) полностью автономными с возможностью работы независимо друг от друга и возможностью подключения к сети интернет, при этом однонаправленная передача информации из одного указанного вычислительного модуля (сервера) в другой осуществляется посредством однонаправленного интерфейса (шлюза).

Недостатками известной системы [3] следует считать, следующие:

1. Платы обработки разнокатегорийной информации находятся в одном корпусе и питаются от одного блока питания. В таких условиях сложно обеспечивать защиту от передачи информации через ПЭМИН. Никаких устройств пассивной и активной защиты в схеме моноблока не предусмотрено, при том, что обе платы в моноблоке работают одномоментно.

2. Не описан способ контролируемого гарантированного безопасного ввода/вывода информации при использовании периферийных устройств, имеющих в своем составе память.

3. Моноблоки невозможно объединить в сеть без специальных сложных устройств, гарантирующих корректное объединение вычислительных модулей в сеть, а именно сеть должна гарантировано объединять только вычислительные модули, обрабатывающие однотипную информацию (информацию одной категории). Также по описанию оба модуля имеют однотипные интерфейсы для подключения к компьютерным сетям.

4. Кроме того, не решена задача безопасного контролируемого ввода информации. Например, свободно можно подключить зараженный вирусными программами флешнакопитель в вычислительный модуль, обрабатывающий конфиденциальную информацию, что сопряжено с фатальными последствиями.

Технической проблемой предлагаемого изобретения является создание высокотехнологичного программно-аппаратного комплекса, обладающего возможностью аппаратного (физического) разделения используемой в работе информации, которая заранее причисляется по значимости к определенной категории.

Техническим результатом предлагаемого изобретения, который объективно проявляется в ходе использования программно-аппаратного комплекса является предотвращение возможности попадания информации определенной (установленной) категории из одной компьютерной сети в другую, что создает гарантированные условия безопасной и эффективной эксплуатации.

Указанный технический результат достигается в результате того, что программно-аппаратный комплекс с многоконтурной архитектурой для распределения цифровой информации содержит компьютерный терминал с независимыми аппаратно-разделенными контурами, взаимодействующими с соединенными между собой локальными автономными серверами, образующими систему безопасного ограниченного перемещения информации, реализуемого посредством однонаправленных шлюзов, при этом каждый из указанных локальных автономных серверов содержит, подключенную к нему подсистему периферийного оборудования, причем первый сервер в системе выполнен с возможностью получения и обработки новой информации, а последний сервер в системе выполнен с возможностью обработки и извлечения поступившей информации, выходы каждого из серверов системы подключены к своим шифраторам, которые соединены с единым маршрутизатором, передающим данные посредством VPN канала связи в маршрутизатор единого центра обработки информации, выполненный с возможностью распределения информации в ответные шифраторы контуров, из которых она поступает в центральные серверы соответствующих контуров.

Согласно изобретательскому замыслу предлагаемая система позволяет создать пространственно распределенную сеть (единое информационное пространство), позволяющую обрабатывать разнокатегорийную информацию.

Основной целью предлагаемого изобретения является защита цифровой информации и необходимая степень эргономического обустройства при пользовании разнородной информацией на одном рабочем месте.

Как правило, на предприятиях при работе с документацией используются различные источники информации, например, информация из сети Интернет, внутренняя информация предприятия, секретная информация, служебная информация и др. Преимущественно, предназначенные для таких целей компьютеры располагаются в разных помещениях и не связаны между собой, при этом обрабатывать информацию ограниченного распространения (секретную, конфиденциальную, служебную) возможно только на специально подготовленных и аттестованных компьютерах, располагаемых в специально подготовленных местах, в связи с чем, подготовка таких документов неизбежно сопряжена с перемещением сотрудников из одного места в другое с целью переноса особой (конфиденциальной) информации на специальных носителях между компьютерами, что в свою очередь усложняет и затягивает делопроизводство, а сотрудники провоцируются на нарушение режима документооборота, что с определенной степенью вероятности может приводить к разглашению конфиденциальной информации.

Для устранения упомянутого недостатка, распространенного на больших предприятиях, и предназначено предлагаемое изобретение, при эксплуатации которого подразумевается создание одного автономного рабочего места для работы с информацией, разделяющейся на категории, при этом появляется возможность оперативного переноса информации “низкой” категории и информации “высокой” категории, например информации из сети Интернет и секретной информации с грифом “С”, что повысит эффективность работы и исключит возможные намеренные и преднамеренные нарушения принятого режима документооборота.

Предлагаемая терминальная технология, которую реализует заявляемый программно-аппаратный комплекс, подходит для решения актуальной технической проблемы наилучшим образом, поскольку информация хранится централизованно на серверах, а компьютерный терминал с независимыми аппаратно-разделенными контурами служит исключительно для ввода/вывода информации и ее визуального отображения.

В основе изобретательского замысла предлагаемого изобретения находятся изолированные друг от друга комплекты серверного оборудования (автономные сервера), которые могут включать коммутаторы, сетевые хранилища и т.п. Указанные локальные автономные сервера соединены между собой через устройства однонаправленной передачи данных (однонаправленные шлюзы). К каждому автономному серверу подключены периферийные устройства (принтеры, мфу, сканеры), работающие только с ними.

Компьютерный терминал (терминальное рабочее место) с выбранным автономным контуром подключается автоматически к определенным серверам (комплектам серверного оборудования) в соответствии с информацией, считанной со смарт-карты доступа.

В случае, когда в одном из контуров обрабатывается информация, составляющая государственную тайну (ГТ), то необходимо учитывать особенности и требования регуляторов для работы с ней, и по этому необходимо выделение отдельной терминальной платы (выполнена изоляция электронных компонентов, обрабатывающих ГТ). Поэтому при вставлении в считывающий модуль компьютерного терминала смарт-карты доступа, питание в компьютерном терминале подается только на одну обрабатывающую терминальную плату. Остальные терминальные платы в этом случае обесточены (отключены), и на них нет энергонезависимой памяти.

К соединенным между собой серверам (комплектам серверного оборудования) единовременно может подключаться компьютерный терминал только с одним контуром, обрабатывающим определенный вид информации, что в комплексе образует соответствующий контур обработки информации. При этом одновременная работа в комплексе сразу нескольких контуров обработки информации абсолютно невозможна, поскольку для активации и функционирования определенного контура предусмотрена индивидуальная смарт-карта доступа, в случае извлечения которой на рабочем месте не остается никакой информации, а именно происходит отключение питания компьютерного терминала с полным стиранием его памяти.

Для взаимодействия с внешними носителями информации в комплексе предусмотрено специальное рабочее место передачи информации (“внос информации”) и специальное рабочее место извлечения информации (“вынос информации”). “Внос информации” осуществляется с любого носителя информации после проверки на вредоносные программы, которая в последствии заносится в контур, обрабатывающий открытую информацию. Пользователь также устанавливает специальную смарт-карту доступа в считыватель терминала рабочего места “вноса новой информации” и подключается к строго своей сессии на сервере, т.е. переданная информация будет доступна только ему. Далее через однонаправленные шлюзы информация может перемещаться на остальные последовательно подключенные серверы. Извлечение информации осуществляется после ее прохождения через последний сервер, который изолирован от всех контуров сети однонаправленным шлюзом, при этом возможно осуществить запись информации на любые носители информации. Скопировать информацию возможно, подключившись со специального рабочего места «вынос информации» в свою сессию с помощью специальной смарт-карты. Подключается пользователь к строго своей сессии на сервере, т.е. полученная информация будет доступна только пользователю.

Связь с удаленными сегментами сети производится через группу шифраторов, позволяющих создавать шифрованный канал передачи данных через сети общего пользования, например через сеть Интернет. В случае, если пользователю необходимо не просто передать информацию, а войти на какой-либо сайт, то запрос по шифрованному каналу поступает в центр обработки данных и через систему сетевой безопасности происходит обращение к требуемому сайту.

При этом важно отметить, что при работе в удаленном сегменте сети обеспечивается вход в Интернет в единой точке, контролируемой системами безопасности. Так, пользователь, работая удаленно в каком-либо учреждении за границей, входить в сеть Интернет будет под контролем в “домашнем” регионе и фактически его работа в интернете не будет отличаться от работы пользователя в упомянутом регионе.

Таким образом, предлагаемое выше исполнение программно-аппаратного комплекса с учетом его технических особенностей, образует совокупность признаков достаточных для достижения технического результата, заключающегося в исключении возможности попадания информации определенной (установленной) категории из одной компьютерной сети в другую, что создает гарантированные условия безопасной и эффективной эксплуатации и решает актуальную техническую проблему аппаратного (физического) разделения используемой в работе разнородной информации.

На фиг. 1 представлена блок-схема предлагаемого программно-аппаратного комплекса с многоконтурной архитектурой для распределения цифровой информации.

Предлагаемое изобретение поясняется конкретным примером выполнения и реализации, которые, однако, не являются единственно возможными, но наглядным образом демонстрируют достижение указанной совокупностью существенных признаков технического результата, а также решение существующей технической проблемы.

На фиг. 1 обозначены следующие блоки и средства реализации предлагаемого программно-аппаратного комплекса:

1 – компьютерный терминал;

2 – считывающий модуль для смарт-карт доступа компьютерного терминала 1;

3 – локальный сервер внешнего контура;

4 – локальный сервер внутреннего контура;

5 – локальный сервер запасного контура;

6 – периферийное оборудование внешнего контура;

7 – периферийное оборудование внутреннего контура;

8 – периферийное оборудование запасного контура;

9 – блок рабочего места “вноса информации”;

10 – блок рабочего места “выноса информации”;

11 – однонаправленный шлюз;

12 – шифратор внешнего контура;

13 – шифратор внутреннего контура;

14 – шифратор запасного контура;

15 – единый маршрутизатор;

16 – VPN канал связи;

17 – маршрутизатор единого центра обработки информации;

18 – ответный шифратор внешнего контура;

19 – ответный шифратор внутреннего контура;

20 – ответный шифратор запасного контура;

21 – центральный сервер внешнего контура;

22 – центральный сервер внутреннего контура;

23 – центральный сервер запасного контура;

24 – сеть Интернет;

25 – условный “единый центр обработки информации”.

Следует отметить, что цель последующего описания предлагаемого изобретения заключается не в его ограничении конкретным вариантом исполнения и реализации, а наоборот в охвате всевозможных дополнений, не выходящих за рамки представленной формулы изобретения.

Предлагаемый программно-аппаратный комплекс с многоконтурной архитектурой для распределения информации содержит компьютерный терминал 1, который оснащен тремя независимыми аппаратно-разделенными контурами, активизирующимися поочередно с помощью считывающего модуля 2, получающего информацию от определенной смарт-карты.

Находиться в активном состоянии всегда может только один из трех контуров обработки информации. Для активации другого контура необходимо завершить сессию, извлечь смарт-карту с признаками текущего контура и установить другую смарт-карту с признаками необходимого контура, при этом после извлечения смарт-карты непосредственно на рабочем месте компьютерного терминала 1 не остается никакой информации, а именно происходит отключение питания компьютерного терминала с полным стиранием его памяти.

Компьютерный терминал 1 с независимыми аппаратно-разделенными контурами взаимодействует с соединенными между собой локальным сервером внешнего контура 3, локальным сервером внутреннего контура 4 и локальным сервером запасного контура 5, образуя тем самым систему безопасного ограниченного перемещения информации, которое реализуется посредством соединяющих сервера однонаправленных шлюзов 11.

При этом локальный сервер внешнего контура 3 содержит периферийное оборудование 6, локальный сервер внутреннего контура 4 содержит периферийное оборудование 7, а локальный сервер запасного контура 5 содержит периферийное оборудование 8.

Локальный сервер внешнего контура 3 выполнен с возможностью первичного получения и обработки новой информации для чего предусмотрен соединенный непосредственно с ним блок 9 рабочего места “внос информации”.

Локальный сервер запасного контура 5 выполнен с возможностью обработки и извлечения поступившей информации, для чего предусмотрен соединенный непосредственно с ним блок 10 рабочего места “вынос информации”.

Выход локального сервера внешнего контура 3 подключен к своему шифратору 12 внешнего контура, выход локального сервера внутреннего контура 4 подключен к своему шифратору 13 внутреннего контура и выход локального сервера запасного контура 5 подключен к своему шифратору 14 запасного контура.

Шифратор 12 внешнего контура, шифратор 13 внутреннего контура и шифратор 14 запасного контура соединены с единым маршрутизатором 15.

Единый маршрутизатор 15 передает данные посредством VPN канала связи 16 в единый маршрутизатор 17 единого (условного) центра обработки информации 25.

Единый маршрутизатор 17 выполнен с возможностью распределения информации в дополнительно оборудованные шифраторы каждого из серверов системы, а именно в ответный шифратор внешнего контура 18, в ответный шифратор внутреннего контура 19 и в ответный шифратор запасного контура 20.

Из упомянутых ответных шифраторов 18, 19 и 20 информация поступает на центральные серверы системы 21, 22 и 23 соответствующих контуров (внешний, внутренний, запасной), далее информационный запрос может поступать во всемирную сеть Интернет.

Работает предлагаемый программно-аппаратный комплекс, следующим образом.

При установке в считывающий модуль 2 компьютерного терминала 1 определенной смарт-карты доступа с идентифицирующим признаком нужного контура “внешний контур”, происходит считывание признака необходимого контура и пользователь получает доступ к данному конуру, т.е. возможность работы в нем после ввода идентифицирующей его информации. Идентификация пользователя производится при помощи смарт-карты доступа после ввода логина и пароля. Причем пользователь может открывать новую сессию для работы, а может и возобновлять работу в ней с того места, в котором она была закрыта. Поскольку предлагаемый комплекс построен на терминальном принципе, любое действие сохраняется в памяти системы.

Далее пользователь работает во внешнем контуре и ему необходимо использовать полученную в сети Интернет информацию для работы в другом контуре, где к примеру, обрабатывается служебная информация ограниченного распространения, например, во внутреннем контуре. Для этого необходимо поместить файл с интересующей информацией в папку “Перенос информации во внутренний контур”, которая расположена на рабочем столе монитора компьютерного терминала 1. Поскольку компьютерный терминал 1 не обрабатывает и не хранит рабочую информацию, а служит лишь в качестве рабочего места отображения и ввода информации, вся информация обрабатывается на соединенных, через однонаправленные шлюзы 11, серверах.

Далее информация с сервера внешнего контура 3 через однонаправленный шлюз 11 передается на сервер внутреннего контура 4 (сервер, обрабатывающий служебную информацию). Затем пользователь извлекает из считывающего модуля 2 компьютерного терминала 1 смарт-карту доступа с признаком внешнего контура, после чего устанавливает смарт-карту доступа с признаком внутреннего контура (контур, обрабатывающий служебную информацию), и после считывания признака соответствующего контура и ввода идентифицирующей информации получает доступ к требуемому контуру обработки информации.

После чего на рабочем столе монитора компьютерного терминала 1, работающего в текущем контуре, находится папка “Информация из внешнего контура” и в ней соответственно находится необходимый файл с информацией, который был передан из внешнего контура.

Далее связь с внешними сегментами сети, например, связь локального сервера внутреннего контура 4 (контур обработки служебной информации) с подчиненным ему каким-либо удаленным (внешним) сервером производится с помощью шифратора 13 внутреннего контура, позволяющего создавать шифрованный канал передачи данных, которые проходя через единый маршрутизатор 15 поступают по VPN каналу связи 16 в маршрутизатор 17, находящийся в “едином центре обработки информации” и далее через ответный шифратор 19 внутреннего контура попадает на центральный сервер 22 внутреннего контура.

Если есть необходимость не просто передать информацию, а войти при этом на какой-либо сайт, то соответствующий информационный запрос по шифровальному каналу поступает в маршрутизатор 17 единого центра обработки информации, поступает в ответный шифратор 18 внешнего контура и далее на центральный сервер 21 внешнего контура, в котором осуществляется проверка сетевой безопасности и после чего происходит обращение к требуемому сайту.

В соответствии с представленной структурой заявляемого изобретения, включая его технические особенности и функциональные возможности, а также в соответствии с указанным конкретным вариантом его исполнения и осуществления обеспечивается создание высокотехнологичного программно-аппаратного комплекса, обладающего возможностью физического разделения используемой в работе информации, которая заранее причисляется по значимости к определенной категории.

Предлагаемый программно-аппаратный комплекс с многоконтурной архитектурой может быть успешно использован на крупных предприятиях, в которых установлен регламентированный порядок делопроизводства и работы с документами.

Программно-аппаратный комплекс с многоконтурной архитектурой для распределения цифровой информации, содержащий компьютерный терминал с независимыми аппаратно-разделенными контурами, взаимодействующими с соединенными между собой локальными автономными серверами, образующими систему безопасного ограниченного перемещения информации, реализуемого посредством однонаправленных шлюзов, при этом каждый из указанных локальных автономных серверов содержит подключенную к нему подсистему периферийного оборудования, причем первый локальный сервер в системе выполнен с возможностью получения и обработки новой информации, а последний локальный сервер в системе выполнен с возможностью обработки и извлечения поступившей информации, выходы каждого из локальных серверов системы подключены к своим шифраторам, которые соединены с единым маршрутизатором, передающим данные посредством VPN канала связи в маршрутизатор единого центра обработки информации, выполненный с возможностью распределения информации в ответные шифраторы контуров, из которых она поступает в центральные серверы соответствующих контуров.