Журнал "Information Security/ Информационная безопасность" #5, 2024

Фундаментом любой информационной системы является операционная система и доменная структура. Эти компоненты обеспечивают функциональность, без- опасность и управляемость информа- ционной системой предприятия. Они предоставляют возможности по сетевому взаимодействию и работе с аппаратным обеспечением серверов и рабочих стан- ций для прикладного ПО, будь то ИТ- сервис или СЗИ. Одной из ключевых задач, стоящих сегодня перед заказчиками, является обеспечение надежной защиты учетных записей в операционных системах. Тра- диционная аутентификация, основанная лишь на вводе логина и пароля, остается уязвимой перед угрозами, такими как подбор паролей, фишинг или утечка учетных данных. Для повышения уровня безопасности настоятельно рекоменду- ется внедрение многофакторной аутен- тификации (MFA), которая добавляет дополнительные слои проверки лично- сти пользователя. Однако в условиях активного перехода на отечественные операционные системы и доменные контроллеры возникает вопрос: как адаптировать и внедрить многофактор- ную аутентификацию в этой новой реальности? Нормативные предпосылки Внедрение многофакторной аутенти- фикации сегодня обусловлено также и строгими требованиями регуляторов. Особенно это заметно в финансовом секторе, где обязательность использо- вания MFA зафиксирована в трех ключе- вых документах: ГОСТ Р 57580.1–2017, новом стандарте Банка России СТО БР БФБО–1.8–2024, а также в междуна- родном стандарте PCI DSS. Кроме того, необходимость примене- ния многофакторной аутентификации косвенно отражена в мерах информа- ционной безопасности, предусмотренных приказами ФСТЭК России №№ 17, 21, 31 и 239. Эти нормативные документы и сложившиеся тренды на рынке позво- ляют выделить основные категории орга- низаций, для которых внедрение MFA является приоритетной задачей: l компании с высокой зрелостью в обла- сти кибербезопасности либо те, кто уже пострадал от последствий атак; l организации финансового сектора, операторы государственных информа- ционных систем и субъекты КИИ. Особое внимание стоит обратить на перспективы усиления требований ФСТЭК России. Регулятор ведет работу над обновлением ключевых приказов, и в ближайшем будущем можно ожидать, что использование многофакторной аутентификации станет еще более жестко регламентированным. В этих уловиях сегмент MFA в России стремительно развивается. По данным МТС RED 1 , его объем в 2023 г. составил 3,1 млрд руб., а к 2027 г. ожидается достижение отметки в 5,6 млрд руб. Это соответствует среднегодовому темпу роста около 17%, что находится в согла- сии с прогнозами общего развития рынка ИБ в России. Три "Рутокена" – три технологии Для решения задач аутентификации Компания "Актив" предлагает три устрой- ства, основанных на разных технологиях. 1. Рутокен ЭЦП 3.0 NFC – универ- сальный продукт, использующий инфра- структуру открытых ключей (PKI). Он подходит как для электронной подписи, так и для аутентификации. 2. Рутокен OTP – аппаратное средство для генерации криптографически вычис- ляемых одноразовых паролей, которое обеспечивает усиленную аутентифика- цию и повышает безопасность доступа. 3. Рутокен MFA – первый отечествен- ный токен на базе технологии FIDO2, позволяющий полностью отказаться от ненадежных паролей при работе с веб- приложениями. Это устройство обес- печивает строгую аутентификацию и соответствует самым высоким стан- дартам безопасности. Использование аппаратных аутенти- фикаторов Рутокен имеет ряд преиму- ществ для заказчиков: l наличие материального носителя ассо- циируется с надежностью и безопас- ностью; l модель "один пользователь – одно устройство" упрощает понимание и пла- нирование расходов; l Рутокен – лидер на рынке аппаратных средств для электронной подписи и аутентификации, этот бренд хорошо известен, и клиенты ему доверяют; l в сфере ИБ все ведущие компании поддерживают токены и смарт-карты Рутокен в той или иной форме. Но Рутокен – это не только надежные аппаратные ключи для электронной под- писи. Компания "Актив" делает уверен- ные шаги в направлении развития совре- менных программных решений для аутентификации, отвечая на вызовы, с которыми сталкиваются заказчики в России. Посмотрим на примерах, как работают эти решения. Аутентификация для Linux Устройства линейки Рутокен ЭЦП 3.0 могут использоваться в качестве основ- ного компонента решения вместо связ- ки логин-пароль во всех известных операционных системах, включая оте- чественные. На токене или смарт-карте может храниться либо сертификат, либо сложный пароль, но для применения сценария с сертификатами понадобится развернуть в компании инфраструктуру PKI. Таким образом, получается ком- плексное решение, позволяющее обес- печить надежную двухфакторную аутентификацию при входе на рабочие станции, адаптированное под совре- менные требования и отечественные программные продукты. Существует несколько вариантов интеграции токе- на или смарт-карты в информационную систему. 52 • СПЕЦПРОЕКТ Решения Рутокен для аутентификации в российские ОC и информационные системы ы уже почти три года живем в новой реальности, поставившей невиданные ранее задачи перед российскими организациями с точки зрения угроз информационной безопасности. Уход иностранных производителей из всех сегментов ИТ- и ИБ-решений стал мощным катализатором для рынка, ускорив процесс импортозамещения. М Андрей Шпаков, руководитель проектов по информационной безопасности в Компании “Актив” Фото: Компания "Актив" 1 https://www.cnews.ru/news/line/2024-02-02_analitika_mts_red_rynok_mnogofaktornoj