Меры идентификации и аутентификации
ИАФ.0 Разработка политики идентификации и аутентификации
Мера ИАФ.0 закрывается разработкой внутренних нормативных документов (это могут быть правила, процедуры и политики), в которых описывается процесс идентификации и аутентификации субъектов доступа и объектов доступа.
ИАФ.1 Идентификация и аутентификация пользователей и инициируемых ими процессов
Для закрытия данной меры используются механизмы аутентификации ОС и приложений, а также СЗИ от НСД на АРМ операторов и инженерных станциях, в случае организации удаленного доступа нужно использовать VPN/шлюз доступа + MFA, при необходимости PAM.
Платформа KICS не является универсальным механизмом проверки личности пользователя и аутентификации запускаемых им процессов. Частично мера покрывается платформой KICS в части:
KICS for Nodes и KICS for Linux Nodes
Мера ИАФ.1 реализуется в задаче «Контроль запуска программ» в части идентификации пользователей при запуске программ. В параметрах задачи можно указать пользователей или группу пользователей, которым разрешается или запрещается запуск программ.
KICS for Networks
Мера реализуется в части идентификации устройств по MAC- и IP-адресам в обрабатываемой копии сетевого трафика и данных телеметрии от KEA. При этом ведется составление и обновление таблицы устройств с информацией о них.
ИАФ.2 Идентификация и аутентификация устройств
Для реализации меры ИАФ.2 в АСУ ТП должна быть обеспечена возможность идентифицировать подключаемое к информационной системе устройство и подтвердить подлинность его идентификатора. Например, нужно использовать МСЭ для ограничения взаимодействий по портам, адресам, VLAN и другим поддерживаемым атрибутам, а также использовать NAC совместно с коммутаторами, поддерживающими 802.1X и криптографическая аутентификацию, где возможно.
Частично мера закрывается платформой KICS forв Nodesчасти: и KICS for Linux Nodes
KICS for Nodes и KICS for Linux Nodes
Мера реализуется в части идентификации устройств по IP-адресам путем выполнения задачи «Защита от сетевых угроз» и «Управление сетевым экраном».
KICS for Networks
Мера реализуется в части идентификации устройств по MAC- и IP-адресам в обрабатываемой копии сетевого трафика и данных телеметрии от KEA. При этом ведется составление и обновление таблицы устройств с информацией о них.
Для усиления требований Приказа №239 нужно использовать встроенные механизмы защиты информации в части идентификации и аутентификации пользователей, которые являются сотрудниками субъектов КИИ, чтобы обеспечить безопасность следующих систем: операционных систем, прикладного программного обеспечения, программируемых логических контроллеров, активного сетевого оборудования и т.п. Данные требования позволяет реализовать операционная система Astra Linux Special Edition, которая также совместима с решениями платформы KICS.
ИАФ.3 Управление идентификаторами
Для реализации данной меры используются встроенные механизмы защиты информации, системы защиты информации от несанкционированного доступа (далее – СЗИ от НСД), межсетевые экраны (МЭ, FW), системы управления учётными данными и доступом (далее – IAM-системы).
Частично для контроля и обнаружения изменений в версии KICS for Networks 4.5 появилась функция «Контроль пользователей на устройствах». Она собирает сведения об учётных записях устройств, отображает идентификаторы безопасности (SID), состояние и блокировку учётных записей, а также регистрирует события добавления, изменения и удаления пользователей. Эта функция лишь дополняет процесс управления идентификаторами, но не реализует покрытие данной меры.
ИАФ.4 Управление средствами аутентификации
Для реализации данной меры используются встроенные механизмы защиты информации, а также службы каталогов, СЗИ от НСД, системы управления жизненным циклом сертификатов открытого ключа. Нужно организовать полный жизненный цикл средств аутентификации: выдачу, привязку к учётной записи, замену, блокирование при компрометации и отзыв или уничтожение при прекращении использования.
ИАФ.5 Идентификация и аутентификация внешних пользователей
Для реализации данной меры используются встроенные механизмы защитыаутентификации информации,внешних пользователей на шлюзе и целевых системах, а также IAM-системы,регламентом системыпредоставления контроляи действийотзыва привилегированныхдоступа. пользователей.Например, VPN-шлюз с индивидуальными учётными записями, а также использование PAM систем / шлюзов привилегированного доступа.
ИАФ.6 Двусторонняя аутентификация
Для реализации данной меры используютсянужно встроенныеобеспечить механизмывзаимное защитыподтверждение информации,подлинности авзаимодействующих такжесторон IAM-системы.до предоставления доступа или установления защищённого соединения. Можно использовать PKI и сертификаты, IPsec с взаимной аутентификацией, VPN с сертификатами
ИАФ.7 Защита аутентификационной информации при передаче
Для реализации данной меры используютсянужно встроенныеиспользовать механизмыVPN защитыили информации,другой азащищённый такжеканал IAM-системы.с корректной аутентификацией. Для поддерживаемых протоколов включить TLS/mTLS или другой предусмотренный механизм защиты. Для сертификатов организовать контроль срока действия, замену и отзыв при компрометации.