Полный обзор механизмов информационной безопасности платформы Corta

Разработка платформы Corta от компании НПП Протолаб учитывает строгие требования информационной безопасности, предъявляемые к государственным информационным системам (ГИС), критически важным объектам и системам, работающим с персональными данными (152-ФЗ). С прицелом на защиту данных на всех уровнях, разработка платформы реализована с использованием современных технологий, подходов и сертифицированных средств защиты. Платформа отвечает всем современным вызовам информационной безопасности, защищает от внешних, внутренних нарушителей, а также соответствует требованиям ФСТЭК РФ и ФСБ РФ.

Общие цели информационной безопасности

Платформа Corta создавалась с учетом следующих ключевых целей:

1. Защита конфиденциальности, целостности и доступности данных:предотвращение любой утечки, изменения или блокировки данных.
2. Противодействие современным угрозам и атакам: система устойчива к множеству известных угроз (DDoS, SQL-инъекции, XSS, CSRF и др.).
3. Соответствие законодательным требованиям: полная интеграция с требованиями российских стандартов безопасности (ФСТЭК, ФСБ) и закона "О персональных данных" (152-ФЗ).
4. Прогнозируемый уровень надежности системы: устойчивость платформы даже при максимальной нагрузке.

Достижение этих целей было возможным благодаря интеграции сертифицированных механизмов безопасности, многоуровневой защите данных и тщательному тестированию.

Архитектура безопасности платформы

Платформа Corta построена на многоуровневой архитектуре защиты данных. Система изолирует ключевые компоненты (базы данных, системные процессы, API), а также использует многозонный подход с разделением доступа. Вот основные механизмы, использованные в архитектуре.

Разделение доверенных зон

Система изолирует компоненты архитектуры на четырех уровнях:

• База данных: вся информация шифруется и доступна только авторизованным системным приложениям.
• Бизнес-логика: выполняется контролируемо на уровне сервера, минимизируя влияние клиента на внутренние процессы.
• Пользовательский интерфейс (клиент): минимальный набор информации для обработки передается фронтенду с фильтрацией ввода.
• Инфраструктура: контейнеризация (Docker/Kubernetes) защищает изолированные среды выполнения.

Подход Zero Trust

Платформа применяет политику "нулевого доверия" (Zero Trust), которая предполагает отсутствие априорного доверия даже внутри системной инфраструктуры. Каждое взаимодействие внутри платформы проходит многофакторную проверку:

• Аутентификация каждого сетевого взаимодействия.
• Обязательные токены безопасного доступа.
• Контроль прав доступа на всех уровнях.

Модель RBAC (Role-Based Access Control)

Система использует ролевую модель контроля доступа:

• Пользователи наделяются правами строго в рамках своих ролей (например, администратор, аналитик, пользователь).
• Роли можно кастомизировать, чтобы отвечать требованиям конкретных организаций.

Криптографическая защита данных (ФСБ РФ)

Для обеспечения безопасности данных при их передаче и хранении в платформе Corta применяются следующие ГОСТ-сертифицированные криптографические библиотеки:

Сертифицированные библиотеки

1. КриптоПро CSP:

   • Утверждено ФСБ РФ для работы с государственной информацией.
   • Реализует алгоритмы:
     • ГОСТ Р 34.10-2012: Подпись цифровых данных.
     • ГОСТ Р 34.11-2012: Хеширование данных для обеспечения их целостности.
     • ГОСТ Р 34.12-2015 (Кузнечик): Симметричное шифрование.
   • Используется для шифрования базы данных, токенов, а также передачи данных между участниками системы.

2. VipNet:

   • Применяется для VPN и каналов передачи данных.
   • Шифрует соединения и исключает их перехват злоумышленниками.

3. ГОСТ-библиотеки с открытым исходным кодом (Cryptonite и OpenCryptoLib):

   • Обеспечивают хеширование и шифрование в рамках локальных вычислений.

Реализация на уровне платформы

• Хранилища данных: Все данные в базе шифруются по стандарту ГОСТ, используя алгоритм AES-аналог (Кузнечик).
• Передача данных по сети: Применяется TLS 1.3 с алгоритмами на основе ГОСТ.
• Цифровая подпись: Данные обрабатываются через стандарты ГОСТ для юридической значимости цифрового взаимодействия.

Механизмы защиты от НСД (ФСТЭК РФ)

Платформа соответствует требованиям ФСТЭК по защите от несанкционированного доступа (НСД).

Разграничение доступа

• RBAC + MAC (Мандатное управление доступом): Каждая роль в системе имеет строгое разграничение доступа.
• Политика минимальных привилегий: Пользователям предоставляются только те права, которые необходимы для выполнения задач.

Логирование действий пользователей

• Логирование всех действий, совершаемых пользователями (например, ввод данных, изменения, запросы к системе).
• Логи защищены шифрованием, чтобы предотвратить несанкционированное изменение.
• Встроена система мониторинга, которая может отслеживать подозрительные действия и предупреждать об активности, выходящей за пределы нормального поведения.

Контроль целостности данных

• Хеширование данных (ГОСТ Р 34.11-2012): Позволяет выявлять изменения даже минимального фрагмента данных.
• Регулярные проверки целостности журналов событий и баз данных.

Модели угроз и защита от них

Corta разработана, чтобы противодействовать наиболее распространенным моделям угроз от двух типов нарушителей: внутреннего (сотрудника организации) и внешнего (злоумышленника).

1. Внешние угрозы

Примеры

• DDoS: Перегрузка системы через массированные запросы.
• SQL-инъекции: Попытка внедрения вредоносного кода для изменения базы данных.
• Перехват данных: Атаки "человек посередине" (MITM).

Меры защиты

• DDoS: Реализация Rate Limiting и защитных прокси (Cloudflare, WAF).
• SQL-инъекции: Использование параметризированных запросов (Prepared Statements).
• Перехват данных: Протокол TLS 1.3 с ключами ГОСТ.

2. Внутренние угрозы

Примеры

• Несанкционированный доступ: Злоупотребление привилегиями администратора.
• Удаление данных: Умышленное или случайное удаление критической информации.

Меры защиты

• Журналирование действий: Все действия пользователей записываются в защищенные файлы логов.
• Управление привилегиями: Ограничение доступа по ролям и политика минимальных прав.
• Версионность: Структура базы данных и файловых хранилищ позволяет откатить изменения к прошлой версии.

Версионность и восстановление данных

Платформа поддерживает полную версионность данных:

• Каждая операция с данными записывается в систему журналов.
• Можно восстановить предыдущее состояние данных, используя механизмы отката и резервного копирования.
• Интеграция с системой мгновенного восстановления (Snapshot).

Вывод

Платформа Corta представляет собой эталон защищенности для современных информационных систем. Благодаря использованию проверенных технологий, современных криптографических стандартов и продуманной архитектуры безопасности система устойчива к внутренним и внешним угрозам и соответствует всем требованиям ФСТЭК, ФСБ и 152-ФЗ.

Ключевые преимущества Corta в плане информационной безопасности:

• Полная реализация российского ГОСТ-шифрования на всех уровнях.
• Защита от всех известных уязвимостей и видов атак (SQL-инъекции, DDoS, и XSS).
• Система логирования и версиированности данных для отслеживания всех действий и их восстановления.

Corta — одна из самых защищенных платформ в России, готовая решать задачи любой сложности.