Общие сведения

Программно-аппаратный комплекс "ФПСУ-IP" (сокращенное название от "Фильтр пакетов сетевого уровня IP протокола") является программно-техническим средством защиты от несанкционированного доступа к информации. ФПСУ-IP реализует функции межсетевого экранирования и функции построения VPN-туннелей.

ФПСУ-IP позволяет выделять в открытой сети защищенные области с ограниченным доступом, а также обеспечивать защищенную передачу данных между защищенными областями.

Программное обеспечение ФПСУ-IP является средством криптографической защиты информации "Программно-аппаратный комплекс шифрования "ФПСУ‑IP", изделие Криптомаршрутизатор, сертифицированным ФСБ России.

ФПСУ-IP позволяет осуществить шифрование передаваемой информации в соответствии с :ГОСТ 28147-89, ГОСТ 34.12–2015 (блочный шифр "Магма").

ФПСУ-IP работает по протоколу IP и использует формат фрейма Ethernet II.

ФПСУ-IP физически подключается в разрыв цепи между защищаемой локальной подсетью и остальными абонентами таким образом, чтобы все входящие и исходящие из подсети межсетевые потоки данных проходили через ФПСУ-IP.

Основными функциями ФПСУ-IP являются фильтрация IP-пакетов, заключающаяся в анализе их по совокупности критериев и принятии решения о возможности их дальнейшей передаче (с регистрацией результатов фильтрации), и установка VPN-туннелей с аналогичными ФПСУ-IP для организации защищенных режимов передачи данных.

Между прозрачно взаимодействующими через стандартное сетевое оборудование (коммутаторы, модемы, маршрутизаторы) ФПСУ-IP, защищающими IP-подсети, могут быть созданы VPN-туннели. VPN-туннели позволяют ФПСУ-IP скрывать внутреннюю структуру защищаемых сетей. В VPN-туннеле возможно обеспечение средствами ФПСУ‑IP сжатия и шифрования передаваемых данных. При создании VPN-туннеля обеспечиваются взаимные идентификация и аутентификация (как стартовая, так и сеансовая) взаимодействующих комплексов ФПСУ-IP. При включенном режиме шифрования в VPN-туннеле обеспечиваются контроль целостности данных, защита их от просмотра, искажения и подмены. Для формирования межсетевых туннелей на ФПСУ-IP должны быть установлены ключи парно-выборочной связи, выработанные с помощью специального программно-аппаратного комплекса "Центр выработки ключей" (ЦВК).

VPN-туннели могут быть также образованы между ФПСУ-IP и пользователями комплексов "ФПСУ-IP/Клиент", защищающих межсетевое взаимодействие удаленных пользователей. Для формирования туннелей на ФПСУ-IP должны быть установлены общесистемные ключи доступа пользователей комплексов "ФПСУ-IP/Клиент", выработанные с помощью специальной программы "Центр генерации ключей клиентов" (ЦГКК).

В качестве критериев фильтрации пакетов передаваемых данных ФПСУ-IP позволяет задавать:

•используемые протоколы транспортного и сетевого уровня;

•тип передаваемых данных, мобильный код, протоколы приложений;

•разрешенные связи абонентов и маршрутизаторов по конкретным протоколам управления;

•разрешенные информационные взаимодействия абонентов (по пересекающейся совокупности параметров: протоколам, TCP/UDP-портам, интервалам времени дней недели и т.п.), приписанных к соответствующим правилам передачи трафика.

Помимо основных функций, в ФПСУ-IP реализован ряд дополнительных возможностей, в частности:

•возможность безопасного дистанционного контроля и управления работой из любого фрагмента IP-сетей, которая может быть предоставлена нескольким (максимально тридцати двум) зарегистрированным на ФПСУ-IP удаленным администраторам;

•использование технологии DPI (Deep Packet Inspection) для анализа содержимого передаваемых данных;

•возможность по заданным администратором критериям разделения общего потока посылаемых через VPN-туннель данных. Данные разделяются на несколько (от 1 до 128) различных потоков с целью поддержки соответствующих функций пограничных маршрутизаторов (например, функция установки приоритетов определенным типам IP трафика).

Для повышения надежности и обеспечения бесперебойной работы локальной сети в условиях возможных отказов аппаратуры, два ФПСУ-IP могут работать в режиме горячего резервирования. В режиме горячего резервирования оба ФПСУ-IP подключаются к локальной сети параллельно, с использованием концентраторов (hub) или коммутаторов (switch) и соединяются между собой отдельной линией передачи данных, при этом обмен информации между ними происходит в защищенном режиме. На каждый момент времени один ФПСУ-IP является активным, выполняя все функциональные операции, а второй находится в резерве в режиме ожидания, периодически проверяя работоспособность первого. В случае отсутствия ответа от активного ФПСУ-IP, или при возникновении аппаратных неполадок на активном, резервный ФПСУ-IP в течение 3 секунд автоматически берет управление на себя. Передача функций резервному ФПСУ-IP может также осуществляться вручную, по команде оператора или удаленного администратора.

Для автоматического возобновления работы после сбоев электропитания (в отсутствие оператора), ФПСУ-IP укомплектован подсистемой автозапуска режима фильтрации.

Программное обеспечение ФПСУ-IP функционирует в собственной изолированной и функционально замкнутой операционной среде, ACCESS-TM SHELL. Среда осуществляет разграничение доступа к операционной системе ФПСУ-IP, защиту программных и информационных модулей на ПЗУ комплекса. ФПСУ-IP предлагает диалоговые средства для управления своей работой (настройки драйверов сетевого оборудования, задания правил фильтрации, установления правил идентификации и аутентификации доступа к операционной системе ФПСУ-IP, просмотра регистрационной информации и т.д.), а также для установки параметров работы.

Разграничение доступа допущенных лиц и контроль их полномочий при запуске ФПСУ-IP и управлении его работой осуществляется подсистемой ACCESS-TM SHELL по предъявляемым допущенными лицами электронным идентификаторам "touch-memory" (в качестве которых могут выступать устройства iButton DS1993 – DS1996, или микроэлектронные USB-устройства «TM-Key» производства ООО «АМИКОН») в соответствии с логическим разделением лиц ФПСУ-IP на две роли и пять условных классов, представленных в нижеследующей таблице:

Роль/Класс

Разрешенные действия

Пользователь/

/Без идентификации пользователя

•переинициализация ПДСЧ;

•отключение автозапуска.

Пользователь/

/Оператор

•запуск ФПСУ-IP;

•остановка рабочего режима ФПСУ-IP;

•просмотр, включение и отключение оповещений о нарушениях правил межсетевого экрана;

•передача управления партнеру по горячему резервированию;

•удаление текущего соединения из таблицы состояний соединений;

•выключение питания ФПСУ-IP по кнопке "Power".

Администратор /Инженер

•Все права класса Оператор и дополнительно:

•конфигурирование сетевых адаптеров;

•конфигурирование IP-адресов портов ФПСУ-IP;

•установка даты и времени;

•контроль целостности исполняемых программных модулей ФПСУ-IP (только по хранящимся на ФПСУ-IP контрольным суммам с выводом результата на экран);

•запуск процесса функционального самотестирования межсетевого экрана ФПСУ-IP;

•сохранение текущей конфигурации ФПСУ-IP на USB-flash;

•настройка общих параметров работы ФПСУ-IP (watchdog, аварийный перезапуск, переход на резервный, гашение экрана, запрет работы при сбоях жесткого диска, не сообщать об устаревших ключах, контроль сети);

•просмотр регистрационной информации (статистики).

Администратор/ Администратор

Все права класса Инженер и дополнительно:

•восстановление с USB-носителя и редактирование конфигурации ФПСУ-IP;

•включение режима "Запрет открытых соединений" в общих параметрах работы ФПСУ-IP;

•регистрация и предоставление полномочий на определенные действия удаленным администраторам;

•регистрация ТМ-идентификаторов;

•настройка подсистемы автоматического старта;

•установка пароля условно-постоянного действия на администрирование;

•установка ключей парно-выборочной связи;

•установка общесистемных ключей;

•установка ключевых данных для реализации защищенного обмена в режиме горячего резервирования;

•установка времени действия ключей;

•контроль целостности исполняемых программных модулей ФПСУ-IP (без ограничений на варианты проверки);

•установка изменений и дополнений к программным модулям ФПСУ-IP;

•контроль целостности конфигурации ФПСУ-IP.

Администратор /Главный
администратор

Все права класса Администратор и дополнительно:

•выдача на USB-носитель системного журнала статистики;

•переустановка программного обеспечения ФПСУ-IP cо специального средства восстановления (USB-носителя).

Программное обеспечение ФПСУ-IP разработано ООО "АМИКОН" (Лицензия Федеральной службы безопасности Российской Федерации ЛСЗ № 0000055 рег. № 12253 Н от 08 июня 2012 года на осуществление разработки, производства шифровальных (криптографических) средств, защищенных с использованием шифровальных (криптографических) средств информационных и телекоммуникационных систем. Лицензии Федеральной службы по техническому и экспортному контролю №0307 от 21 ноября 2006 г., №0536 от 21 ноября 2006 г: на деятельность по разработке и(или) производству средств защиты конфиденциальной информации; на деятельность по технической защите конфиденциальной информации).

ФПСУ-IP является средством криптографической защиты информации "Программно-аппаратный комплекс шифрования "ФПСУ-IP" (изделие Криптомаршрутизатор), поставляемым в соответствии с формуляром на изделие "Средство криптографической защиты информации "Программно-аппаратный комплекс шифрования "ФПСУ‑IP".

ФПСУ-IP следует использовать в соответствии с документом "Правила пользования" изделия "Средство криптографической защиты информации "Программно-аппаратный комплекс шифрования "ФПСУ-IP".