AvanPost
Производитель: Технологии развития бизнеса
Программный комплекс «Avanpost Access System» (ПК «Avanpost») – это система управления инфраструктурой открытых ключей (PKI) и система управления идентификацией и доступом пользователей к различным информационным ресурсам (Identity&AccessManagement, IAM).
Описание программного комплекса Avanpost (PDF 1Mb)
ПК «Avanpost» разработан компанией «Технологии развития бизнеса» в полном соответствии с требованиями предъявляемыми регуляторами к финансово-кредитным, торговым и промышленным организациям, работающим на российском рынке. Программный комплекс соответствует требованиям стандарта ЦБ РФ (СТО БР ИББС-1.0–2010), PCI DSS 1.2-2009 и требованиям ФСБ по управлению лицензиями и дистрибутивами СКЗИ. В отличие от аналогичных систем зарубежных производителей в ней учтены все нюансы законодательства РФ и требований отраслевых стандартов.
ПК «Avanpost» позволяет в организации развернуть полноценную распределенную PKI-инфраструктуру с центральным Удостоверяющим центром и удаленными Центрами регистрации (например, в филиалах организации). Развернутая на основе ПК «Avanpost» PKI-инфраструктура позволяет обеспечивать не только сотрудников, но и клиентов организации сертификатами ключа подписи, например, для организации удаленного защищенного доступа к информационным ресурсам и юридически значимого документооборота в соответствии с законодательством Российской Федерации.
Также ПК «Avanpost» позволяет построить в организации инфраструктуру удаленного защищенного доступа пользователей к информационным ресурсам на основе созданной PKI-инфраструктуры с использованием двухфакторной аутентификации и отечественной криптографии. Отличительной особенностью построения инфраструктуры с помощью ПК «Avanpost» является интегрированная система управления идентификацией и доступом (IAM) пользователей к различным информационным ресурсам, привязанная в режиме реального времени к кадровой системе организации.
ПК «Avanpost» поддерживает различные криптопровайдеры и удостоверяющие центры: УЦ КриптоПро, УЦ Notary Pro, УЦ RSA Keon, УЦ Microsoft (с криптопровайдерами Microsoft Enhanced CSP, КриптоПро CSP, СигналКом CSP).
Результат внедрения программного комплекса «Avanpost» - создание единого универсального механизма защищенного доступа к информационным ресурсам организации и управления идентификационной информацией пользователей (открытыми ключами, паролями) с использованием сертифицированных средств криптографической защиты информации и USB-токенов.
Использование ПК «Avanpost» в организациях позволяет повысить степень защиты информационных ресурсов и обеспечивает автоматизацию многих рутинных операций. Интеграция с кадровыми системами существенно повышает уровень информационной безопасности и облегчает работу специалистов за счет исключения возможных ошибок при ручной обработке учетных записей. Система «Avanpost» обеспечивает технологические преимущества, связанные с переходом на централизованную обработку данных, а так же сокращает трудозатраты специалистов по информационной безопасности.
ПК «Avanpost» обеспечивает значительную автоматизацию операций в работе специалистов службы информационной безопасности организации.
Преимущества AvanPost:
- Полное соответствие требованиям законодательства РФ и регуляторов, в том числе и Федеральному закону №152-ФЗ от 27 июля 2006г.
- В полной мере реализованы требования Стандартов Центрального Банка РФ СТО БР ИББС-1.0-2010 и PCI DSS 1.1-2006
- Реализация PKI-инфраструктуры и централизованной инфраструктуры защищенного доступа в организации на основе сертифицированных СКЗИ и USB-токенов
- Поддержка популярных отечественных удостоверяющих центров и криптопровайдеров
- Учтены требования Федеральной службы безопасности РФ по управлению лицензиями и дистрибутивами СКЗИ
- Контроль за выполнением установленной в организации Политики информационной безопасности на рабочих станциях пользователей
- Интеграция с кадровой системой организации, исключающая возможные ошибки при ручной обработке учётных записей
- Централизованное управление правами доступа сотрудников к информационным ресурсам из единого интерфейса
- Своевременное управление учетными записями при увольнении и переводе сотрудников
- Модульная реализация, позволяющая проводить поэтапное внедрение функционала системы
- Ведение электронного документооборота и архива с применением ЭЦП
- Высокая отказоустойчивость за счет использования балансировщика нагрузки и кластерного решения
- Высокая технологическая и экономическая эффективность за счет автоматизации большинства ресурсоемких операций
Программный комплекс «Avanpost» включает в себя:
- систему управления инфраструктурой открытых ключей, идентификацией и доступом пользователей «Avanpost PKI»;
- подключаемые модули;
- коннекторы к внешним ресурсам.
Ядро программного комплекса «Avanpost PKI»
Система управления инфраструктурой открытых ключей, идентификацией и доступом пользователей «Avanpost PKI» является ядром программного комплекса «Avanpost» и реализует все его основные функции.
«Avanpost PKI» имеет 2 пользовательских интерфейса – «AP PKI-Консоль Администратора безопасности» и «AP PKI-Консоль Оператора Удостоверяющего Центра».
«AP PKI – Консоль АБ» предназначена для управления инфраструктурой открытых ключей организации и её филиалов, и является средством для создания запросов на доступ сотрудников организации к централизованным информационным ресурсам.
«AP PKI – Консоль АБ» позволяет:
- генерировать ключевые контейнеры и ключевые пары (открытый/закрытый ключи), в том числе на USB-токены;
- создавать запросы на сертификаты ключей подписи (СКП), при этом для сотрудников организации - на основе актуальных* данных из кадровой программы;
- устанавливать в ключевой контейнер выпущенный Удостоверяющим центром СКП;
- автоматически создавать копию ключевого контейнера при генерации ключевой пары;
- вести учет закрепленных за сотрудниками и клиентами организации ключевых носителей;
- вести учет лицензий средств криптографической защиты информации;
- вести учет дистрибутивов средств криптографической защиты информации;
- просматривать выпущенные ранее СКП;
- отзывать выпущенные ранее СКП;
- создавать дубликат ключевого носителя из созданной ранее копии;
- запрашивать и отзывать права на доступ пользователя к приложениям**.
- создавать различные настраиваемые отчеты о выпущенных СКП и запросах на них, о закрепленных за сотрудниками и организациями ключевых носителях, правам доступа пользователей к приложениям и т.д.
* - при использовании коннектора «Avanpost HR»
** - при использовании модуля «Avanpost SSO»
«AP PKI – Консоль Оператора УЦ» предназначена для управления СКП и запросами на них, направленными через «AP PKI – Консоль АБ».
«AP PKI – Консоль Оператора УЦ» позволяет:
- одобрять направленные через «AP PKI-Консоль АБ» запросы на СКП;
- отклонять запросы на СКП;
- отзывать выпущенные ранее СКП;
- просматривать выпущенные ранее СКП;
- настраивать параметры генерации запросов на СКП для приложений;
- создавать настраиваемые отчеты о выпущенных СКП и запросах на СКП.
Подключаемые модули
Модуль «Avanpost IPSec» – модуль, реализующий защищенный доступ к информационным ресурсам с использованием сертифицированных криптографических средств защиты информации, обеспечивая конфиденциальность и достоверность данных, передаваемых по сети, и авторизацию пользователей при доступе к сетевым узлам.
Модуль «Avanpost IPSec» работает по принципу туннелирования трафика на уровне сетевого протокола IP. Отличительной особенностью модуля является то, что он абсолютно прозрачен для приложений, работающих по протоколам TCP или UDP (в том числе по протоколам HTTP, FTP и т.д.). Это позволяет использовать модуль «Avanpost IPSec» в инфраструктуре организации для подавляющего числа приложений без внесения в них каких-либо изменений или изменения их настроек.
Работа модуля «Avanpost IPSec» основывается на правилах, определяемых администратором. Определенный IP-трафик может быть направлен через модуль, а часть будет оставлен как есть. Это позволяет, например, не использовать защиту в рамках локальной сети, если она является доверенной, а защищать только сетевой трафик, проходящий через внешние недоверенные сети. Более того, даже в рамках одной локальной сети разные узлы могут работать в разных режимах. Например, трафик между рабочей станцией администратора сети и управляемым им сервером может быть защищен, а между обычным пользователем и сервером оставаться открытым.
Модуль «Avanpost IPSec» состоит из двух частей – «Сервера защищенного доступа» и «Клиента системы туннелирования».
Модуль «Avanpost SSO» – модуль единого входа, обеспечивающий прозрачную аутентификацию и идентификацию пользователя в приложениях с использованием носителей ключевой и парольной информации (токена). Модуль также предоставляет возможность централизованного управления парольной информацией в токене пользователя, автоматически синхронизируя её при этом в обслуживаемых приложениях.
Модуль «Avanpost SSO» состоит из сервера распространения паролей «SSO сервера», консоли централизованного управления паролями «SSO консоль», клиентской части администратора безопасности «АРМ управления паролями» и клиентской части пользователя «SSO Агент».
На рабочей станции «SSO агент» совершенно незаметно для пользователя подставляет в диалоговое окно входа в приложение парольную информацию, хранящуюся в защищенной области памяти ключевого носителя. При этом запись, обновление или удаление парольной информации на ключевой носитель пользователя происходит централизованно через сервер распространения паролей «SSO сервер», управляемого через «SSO консоль». Управление парольной информацией на ключевых носителях пользователей осуществляется через «АРМ управления паролями».
Модуль «Avanpost SSO» позволяет решить комплексную задачу управления идентификационной информацией пользователей в масштабах всей организации:
- централизованная выработка гарантированно стойких паролей для учетных записей пользователей;
- безопасное распространение в режиме он-лайн паролей в защищенный носитель ключевой информации пользователя;
- автоматический отзыв прав доступа пользователя к приложениям в режиме он-лайн;
- смена паролей пользователей по расписанию.
Модуль «Avanpost SES» – модуль контроля действий пользователей, обеспечивающий управление и контроль доступа пользователей к автоматизированным рабочим местам и их устройствам ввода/вывода информации.
Модуль «Avanpost SES» позволяет ограничивать доступ пользователя к приложениям, установлено локально, а также препятствует несанкционированному копированию конфиденциальной информации из корпоративной информационной системы на различные носители информации.
Модуль «Avanpost SES» позволяет в полной мере реализовать принятую в организации Политику безопасности в отношении рабочих станций сотрудников, в том числе:
- обеспечивать разграничение доступа пользователей к устройствам ввода/вывода информации на основе групповых и пользовательских шаблонов;
- отслеживать все нарушения правил разграничения доступа;
- отслеживать все операции по работе с информацией на сменных носителях;
- отслеживать включение и выключение АРМ;
- отслеживать начало и завершение сеанса пользователя;
- отслеживать блокирование и разблокирование АРМ;
- вести на каждом подконтрольном АРМ журнал аудита, в котором будут отражаться все отслеживаемые события;
- в случае нарушения правил разграничения доступа незамедлительно оповещать ответственных за информационную безопасность лиц;
- обеспечивать конфиденциальность и целостность журнала аудита;
- передавать содержимое локального журнала аудита с агента на сервер управления агентами периодически (в определённое время) или по требованию;
- предоставлять интерфейс администраторам безопасности для просмотра состояний подконтрольных АРМ, а так же для управления и администрирования системы;
- по запросу администратора безопасности предоставлять содержимое локального журнала аудита выбранного АРМ;
- по запросу администратора или при наступлении определённого в шаблоне пользователя события блокировать рабочую станцию;
- по запросу администратора безопасности или при наступлении определённого в шаблоне пользователя события делать снимок экрана рабочей станции;
- обеспечивать возможность построения иерархии произвольного уровня из серверов программного комплекса;
- обеспечивать возможность централизованного контроля и управления ресурсами программного комплекса;
- предоставлять возможность администраторам безопасности центрального аппарата создавать, изменять, удалять групповые шаблоны;
- предоставлять возможность администраторам безопасности филиалов создавать, удалять, редактировать пользовательские шаблоны в рамках своих полномочий;
- обеспечивать контроль целостности агента программного комплекса;
Модуль Avanpost SLS (self-service) - модуль самообслуживания.
- Web интерфейс для самообслуживания сотрудников и клиентов;
- Отслеживание выданных лицензий на средства криптографической защиты;
- Отслеживание закрепленных ключевых носителей;
- Отслеживание срока действия выданных сертификатов;
- Обновление ранее выпущенных сертификатов;
- Удаленное разблокирование ключевых носителей по истечении таймаута или по указанию администратора.
Коннекторы
ПК «Avanpost» использует коннекторы для получения первичной информации из внешних источников данных или для синхронизации с информационными ресурсами организации. Коннекторы представляют собой готовые внешние интерфейсы, настраиваемые под конкретные внешние приложения или ресурсы.
Коннектор «Avanpost HR» – коннектор к кадровой системе организации, через которую ПК «Avanpost» может получать информацию о сотрудниках организации для её использования при управлении доступом, выпуске сертификатов ключей подписи, учете автоматизированных рабочих мест и т.д. Использование коннектора «Avanpost HR» позволяет брать за основу информацию о сотрудниках организации, что позволяет избежать ошибок ручного ввода информации, неправильного выбора сотрудников и т.д.
Коннектор «Avanpost AD» – коннектор к домену Active Directory организации для синхронизации в нем информации о сотрудниках, их учетных записях и правах доступа. Коннектор Avanpost AD позволяет предоставлять сотрудникам организации доступ к определенным ресурсам, включая их учетные записи в необходимые группы доступа домена. При этом, управление доступом сотрудников организации производится из единого интерфейса ПК «Avanpost».
Коннекторы для модуля «Avanpost SSO» – коннекторы, используемые модулем «Avanpost SSO» для синхронизации учетных записей и паролей в приложениях, базах данных, операционных системах и т.д. Использование коннекторов «Avanpost SSO» необходимо в тех ресурсах, для которых планируется использовать модуль «Avanpost SSO».
