Приложение А. Обеспечение безопасности передачи данных по каналам связи

Безопасная и защищенная передача данных по каналам связи обеспечивается за счет:

  • использования выделенных и защищенных каналов связи;
  • использования VPN сетей;
  • использования SSL (англ. Secure Sockets Layer — уровень защищённых сокетов) — криптографический протокол, который обеспечивает установление безопасного соединения между клиентом и сервером;
  • использования шифрования данных;
  • использования цифровых удостоверяющих сертификатов компонентами системы.

Кроме перечисленных выше средств защиты, обеспечивающих сетевую безопасность на транспортном уровне при передаче данных, персонал, отвечающий за безопасное использование информационных технологий в организациях Пользователей должен обеспечить безопасный доступ к системе только для зарегистрированных клиентов и пользователей системы.

Особенно это относится при эксплуатации в системе следующих компонентов:

  • Программная Служба «Кливер Коммуникационный Сервер»
    Назначение данной службы принимать входящие подключения от устройств связи, установленных на узлах учета энергоресурсов. Служба прослушивает порт, задаваемый пользователем системы. В целях повышения безопасности передачи данных ниже приводятся требования, рекомендации, мероприятия и методы по эксплуатации программной службы «Кливер Коммуникационный Сервер»:
    • Рекомендуется объединять компьютер, на котором функционирует служба, и ее клиентов в частную виртуальную сеть (VPN), тем самым ограничивая доступ клиентам, не принадлежащим VPN.
    • Если эксплуатация VPN не возможна по каким-либо причинам и программная служба настроена на прослушивание порта в публичной сети – рекомендуется использовать у клиентов фиксированные IP адреса и ограничить доступ к порту службы, настроив сетевые фильтры и т.п. на доступ только с IP клиентов;
    • Если использование фиксированных IP адресов невозможно, следует настраивать сетевые фильтры на доступ к порту службы только клиентов из определенных подсетей;
    • Независимо от мер безопасности описанных выше, служба «Кливер Коммуникационный Сервер» идентифицирует своих клиентов по серийным номерам: модулей связи, SIM карт, вычислителей и т.п.. Все соединения от клиентов, не зарегистрированных в системе «Кливер Мониторинг Энергии», - отклоняются, о чем делается специальная запись в рабочем журнале системы.
    • Все соединения клиентов и процесс обмена данными с ними подробно фиксируется в рабочем журнале системы.
    • Требуйте от ответственных пользователей программного комплекса «Кливер Мониторинг Энергии» сообщать системным администраторам случаи соединений со службой «Кливер Коммуникационный Сервер» неизвестных клиентов и сессий с неизвестными IP адресами. Для выявления таких событий необходимо в приложении «Кливер Обозреватель» перейти в рабочий журнал, отфильтровать его записи по признакам событий «неизвестный клиент» и «неизвестная сессия». Если в журнале имеются такие события, они отобразятся в виде строк журнала (см. рисунок), перемещаясь по строкам событий, для текущего выбранного события, в нижней части журнала будет отображаться подробная расшифровка сессии. Данных в расшифровке достаточно для идентификации клиента, если это действительно новый клиент еще не зарегистрированный в системе, его следует зарегистрировать, в противном случае следует сообщить системному администратору подробности сессий для блокирования доступа к системе подобным клиентам.
    • IP адреса входящих соединений.
      увеличить изображение

      Рисунок 1, IP адреса входящих соединений.

  • Web – сервер и доступ пользователей к системе «Кливер» через интерфейс web клиента:
    • В целях безопасности рекомендуется размещать web - сервер на отдельном сервере;
    • Web сервер работает под управлением Microsoft Internet Information Services (IIS) версий 6.5 и выше. Используя версии: среды Microsoft DotNet Framework 4.0, Microsoft ASP.NET MVC 3.0, Microsoft Silverlight 4.0. Рекомендуем изучить документацию безопасности Microsoft для этих продуктов;
    • Web сервер использует web - службу для чтения данных из БД Кливер. Для доступа к базе данных web службе Кливер следует назначать учетную запись или роль в Microsoft SQL Server 2008 R2 с минимальными правами на выполнение хранимых процедур, принадлежащих схеме Web и имеющих префикс «aspnet_» в БД Кливер;
    • Рекомендуется разворачивать web сервер Кливер, используя HTTPS протокол. HTTPS (Hypertext Transfer Protocol Secure) — расширение протокола HTTP, поддерживающее шифрование. Данные, передаваемые по протоколу HTTPS, «упаковываются» в криптографический протокол SSL или TLS, тем самым обеспечивается защита этих данных. На стороне Клиентов HTTPS поддерживается всеми популярными браузерами.
    • Получить web доступ к системе Кливер могут только зарегистрированные Клиенты;
    • Регистрация Клиентов происходит либо после предварительной заявки на регистрацию с последующим подтверждением Администратором системы либо путем назначения Администратором системы учетных данных Клиенту;
    • Все пользовательские интерфейсы программного комплекса «Кливер Мониторинг Энергии» спроектированы так, что зарегистрированные в системе Пользователи имеют доступ только на просмотр данных (параметров работы узлов учета энергоресурсов) и только для тех узлов, за которые они являются ответственными сами или их подчиненные. Структура и компетенции ответственных Пользователей описываются в приложении «Кливер Администратор»;
    • Все пользовательские интерфейсы программного комплекса «Кливер Мониторинг Энергии» спроектированы таким образом, что не имеют средств редактирования метрологически значимых параметров.
  • Клиентские приложения программного комплекса «Кливер Мониторинг Энергии» могут быть развернуты не только в ЛВС (локальная вычислительная сеть) но и на внешних компьютерах по отношению к ЛВС. В таких случаях рекомендуется объединять компьютеры в виртуальную сеть (VPN).
  • Клиентские приложения программного комплекса «Кливер Мониторинг Энергии» развернутые вне ЛВС и VPN можно подключить к Microsoft SQL Server. В таких случаях настоятельно рекомендуем изучить документацию Microsoft на предмет построения безопасных сетей и сетевых подключений, а также документацию по безопасности на Microsoft SQL Server 2008 R2.
    Используйте базовое шифрование при подключении к SQL Server (параметры Ecnrypt=True; TrustServerCertificate = True). За дополнительной информацией о настройке шифрования трафика SQL Server обращайтесь к документации на SQL Server.

Описанные выше меры безопасности в части клиентских приложений и пользовательских интерфейсов применимы для соблюдения конфиденциальности при передаче данных. Но даже если изложенные рекомендации не будут соблюдаться, метрологически значимые данные, хранимые в БД Кливер, будут защищены от редактирования.