В последнее время всё более широкое распространение получают как программные, так и аппаратные продукты российского производства, позволяющие создавать комплексные решения и достигать цели импортозамещения во многих отраслях экономики, в том числе в разрезе КИИ. При этом одной из важнейших задач по обеспечению информационной безопасности КИИ является организация безопасного удалённого доступа к объектам КИИ, к которым могут относиться как внутренние информационные системы субъектов КИИ, так и различные государственные веб-порталы (например, Единый портал государственных услуг).

Для решения данной задачи в настоящее время на рынке существует ряд продуктов отечественных разработчиков. Так, в качестве клиентской аппаратной платформы удалённых рабочих мест могут служить конечные решения, разрабатываемые на основе процессоров Байкал и Эльбрус. В качестве клиентского системного программного обеспечения могут применяться, к примеру, операционные системы от компаний НПО РусБИТех (Astra Linux) и РЕД СОФТ (РЕД ОС), имеющие дружественный пользовательский интерфейс и не требующие адаптации и обучения персонала. А в качестве серверного программно-аппаратного обеспечения может быть использован TLS-VPN шлюз КриптоПро NGate (далее – NGate), представляющий собой универсальное высокопроизводительное средство криптографической защиты сетевого трафика, объединяющее в себе функционал VPN-сервера доступа к произвольным внутренним ресурсам и TLS-сервера доступа к веб-сайтам.

NGate поставляется в виде программного обеспечения для использования в различных виртуальных средах, а также в виде программно-аппаратного исполнения и обладает широкими возможностями по управлению доступом удалённых пользователей как с обеспечением строгой многофакторной аутентификации с использованием статического либо одноразового пароля или полей пользовательского сертификата, так и прозрачно (без аутентификации), обеспечивая при этом гибкое разграничение прав доступа к ресурсам. Особенностью решения является возможность комбинировать данные типы аутентификации пользователей для реализации более гибких сценариев удалённого доступа, а также поддержка широкого спектра различных ключевых носителей, в том числе использующих перспективную
технологию NFC.

NGate реализует российские криптографические алгоритмы, сертифицирован по требованиям к СКЗИ, имеет сертификаты ФСБ России по классам КС1, КС2 и КС3 и может использоваться для криптографической защиты конфиденциальной информации, в том числе персональных данных, в соответствии с требованиями законодательства РФ по информационной безопасности.

Как правило, в решениях, используемых для удалённого доступа с использованием протокола TLS (SSL), отсутствует возможность обеспечивать доступ сотрудникам компании так же, как и при использовании протокола IPsec, когда можно подключать конкретного сотрудника к сети организации. С использованием динамического VPN-туннеля шлюза NGate обеспечивается динамическое туннелирование – доступ клиентской машины к удалённой сети по любым протоколам и портам внутри туннеля без ограничения количества одновременно подключаемых приложений. Таким образом обеспечивается VPN-доступ к произвольным ресурсам корпоративнойсети с помощью VPN-клиента, поддерживающего все популярные платформы. При этом разграничение доступа возможно на уровне подсетей, в том числе виртуальных (VLAN). При реализации VPN-доступа, так же как и при веб-доступе, возможно использование любых поддерживаемых методов аутентификации.

При веб-доступе к сайтам NGate обеспечивает снятие нагрузки по обработке TLS-соединений с веб-серверов, на базе которых функционируют веб-сайты (в том числе различные веб-порталы), а также исключает необходимость установки на каждом веб-сервере отдельного СКЗИ и проведения исследований по оценке влияния программного обеспечения веб-серверов на СКЗИ. При этом одновременно поддерживаются как отечественные, так и зарубежные криптографические алгоритмы, за счёт чего возможно обеспечение постепенного и бесшовного перевода пользователей на использование отечественных криптографических алгоритмов (TLS с ГОСТ) при доступе к веб-сайтам.

Так, например, в настоящее время реализован доступ пользователей к Единому порталу государственных услуг, при котором, в случае поддержки браузером пользователя отечественных криптографических алгоритмов, доступ к сайту автоматически осуществляется по TLS с ГОСТ, в иных же случаях – с использованием зарубежных алгоритмов.

Поддержка широкого функционала с возможностью подключения как с использованием браузера (при доступе к веб-сайтам), так и с использованием VPN-клиента (при доступе к произвольным ресурсам), а также поддержка большинства клиентских операционных систем, в том числе мобильных (в отличие от других решений на рынке), позволяет унифицировать доступ пользователей с разнородных типов устройств и исключает необходимость приобретения и сопровождения нескольких отдельных продуктов. Наряду с использованием мобильного VPN-клиента NGate, возможно также использовать собственное мобильное приложение, посредством встраивания в него КриптоПро CSP, реализующего поддержку TLS с ГОСТ для операционных систем iOS, Android и Аврора.

NGate гибко масштабируется и может применяться в различных сценариях. Шлюз обеспечивает возможность увеличения пропускной способности за счёт объединения аппаратных мощностей в кластерную конфигурацию. Решение поддерживает работу в схеме высокопроизводительного кластера (до 32 узлов) с балансировкой нагрузки с полной синхронизацией сессий. При этом выход из строя какого-либо узла ластера не приводит к разрыву соединений, поскольку данные о сессии синхронизируются между устройствами балансировщиком и соединение перераспределяется на свободные узлы кластера.

Кроме субъектов КИИ NGate также может быть особенно полезен для обеспечения защиты передаваемой информации и удалённого доступа в соответствии с требованиями законодательства государственным и муниципальным органам власти, операторам персональных данных, организациям финансового сектора и иным организациям, которым необходимо обеспечить защиту передаваемой информации и удалённого доступа.

Шлюз отлично зарекомендовал себя как решение промышленного уровня, которое способно удовлетворить потребности компаний любого порядка, от совсем небольших до самых крупных.

Компания КриптоПро, полностью поддерживая цели государства по импортозамещению в высокотехнологичных отраслях экономики, и в дальнейшем будет содействовать продвижению и распространению комплексных решений отечественных разработчиков.

Павел Луцик, директор по развитию бизнеса и работе с партнерами
Александр Никитков, эксперт отдела защиты сетей

Материал также опубликован в печатной версии Национального банковского журнала №199 (апрель 2021)