| Наименование характеристики |
Значение характеристики |
Единица измерения
характеристики |
Инструкция по заполнению
характеристик в заявке |
| Технические требования |
- Шифрование данных в хранилище по протоколу AES с длиной ключа не менее 256 бит;
- Использование протокола TLS для клиент-серверной аутентификации и шифрования передаваемых данных;
- Видеозаписи сеансов доступа должны храниться на файловом хранилище в зашифрованном виде;
- Для ssh сессий должны поддерживаться следующие алгоритмы:
MACs алгоритмы: hmac-sha2-256-etm@openssh.com, hmac-sha2-512-etm@openssh.com, umac-128-etm@openssh.com.;
Ciphers: aes128-gcm@openssh.com, aes256-gcm@openssh.com, chacha20-poly1305@openssh.com.;
- Подключение по SSH должно быть защищено от атак типа MITM и от подделки конечного ресурса с помощью проверки отпечатков ключей SSH-сервера;
- При развертывании программного обеспечения (далее - ПО) в виде docker контейнеров их запуск должен выполняться в режиме non-root и read-only |
|
|
| Поддержка отказоустойчивой конфигурации Active-active; Active-passive |
Наличие |
|
|
| Поддержка в качестве платформы для развертывания ПО Astra Linux SE 1.8 |
Наличие |
|
|
| Поддержка в качестве хранилища базы данных под управлением систем управления базами данных (далее - СУБД): PostgreSQL 15–16; Postgres Pro Standard 15–16; Postgres Pro Enterprise |
Наличие |
|
|
| Возможность автоматизации процесса установки, обновления и изменения конфигурации компонентов ПО |
Наличие |
|
|
| Возможность поддержки работы не менее 20 пользователей |
Наличие |
|
|
| Возможность подключения пользователей к целевым ресурсам без обязательной установки агентов на компьютер привилегированного пользователя или целевой ресурс |
Наличие |
|
|
| Возможность предоставления единой точки доступа администрирующему персоналу |
Наличие |
|
|
| Возможность в качестве каталога пользователей и администраторов ПО поддерживать следующие реализации: Active Directory (далее - AD); ALD Pro |
Наличие |
|
|
| Возможность работы с внутренними пользователями и администраторами системы |
Наличие |
|
|
| Аутентификации пользователей и администраторов ПО одним из способов: По паролю в каталоге (в AD, ALD Pro); По паролю внутреннего пользователя; По SSH-ключу при подключениях по SSH |
Наличие |
|
|
| Возможность предоставлять инструменты доступа, поддерживающие сценарии |
- Личный кабинет пользователя ПО, в котором перечислены все выданные пользователю права доступа (на какой ресурс и под какой учетной записью разрешен доступ):
- возможность открыть сессию на выбранный пользователем информационный ресурс;
- возможность поиска по доступным для пользователя ресурсам;
- возможность самостоятельно группировать доступные пользователю ресурсы и задавать названия созданных групп.
- Подключение к информационному ресурсу по заранее подготовленному файлу, строке подключения;
- Подключение к информационному ресурсу с помощью специализированного клиентского программного обеспечения (менеджера удаленных подключений);
- Подключение к информационному ресурсу, который не был предварительно заведен в ПО |
|
|
| Двухфакторная аутентификация администраторов ПО перед предоставлением доступа к консоли управления и двухфакторная аутентификация пользователей перед предоставлением доступа в консоль пользователя и перед предоставлением привилегированного доступа к целевому ресурсу |
ПО должно поддерживать встроенную возможность двухфакторной аутентификации:
- в качестве первого фактора должен использоваться пароль учетной записи администратора или не привилегированной учетной записи пользователя из каталога (AD, ALD Pro);
- вторым фактором должен выступать одноразовый пароль, генерируемый по времени по стандарту OATH TOTP или OTP, отправляемый на e-mail администратора /пользователя |
|
|
| Возможность включения и отключения двухфакторной аутентификации как для всех пользователей, так и для каждого в отдельности |
Наличие |
|
|
| Возможность кэширования второго фактора при переходе авторизованного пользователя между элементами системы |
Наличие |
|
|
| Механизм автоматической блокировки пользователя при неверном вводе OTP |
Наличие |
|
|
| Реализация возможности предоставления доступа без раскрытия пароля привилегированной учетной записи |
Привилегированная сессия на целевом ресурсе должна открываться прозрачно для пользователя, без возможности получить пароль используемой учетной записи в явном виде |
|
|
| Возможность получения доступа на целевые ресурсы по протоколам доступа |
- RDP - для Windows серверов;
- SSH - для серверов и оборудования, работающего на базе различных дистрибутивов Linux;
- HTTP(s) - для целевых веб-приложений (например, для конфигурирования сетевого оборудования);
- SCP, SFTP - протоколы, используемые для безопасной передачи файлов данных между хостами;
- Postgres - для целевых СУБД PostgreSQL |
|
|
| Возможность ограничения максимальной длительности сессии |
Наличие |
|
|
| Наличие для подключений по протоколам SCP, SFTP разрешенных направлений для передачи файлов данных |
Да |
|
|
| Возможность ограничения максимального числа подключений, которые может открыть один пользователь ПО одновременно |
Наличие |
|
|
| При подключениях по SSH возможность проброса портов с целевого ресурса на хост, с которого пользователь выполняет подключение |
Наличие |
|
|
| Возможность получения доступа по проприетарным протоколам на целевые ресурсы путем публикации приложений на выделенном терминальном сервере |
Наличие |
|
|
| Доступ в любые опубликованные приложения без раскрытия пароля привилегированной учетной записи (механизм Single Sign-On) |
Наличие |
|
|
| Возможность для всех поддерживаемых протоколов доступа выполнять подключение с использованием любого порта, в т.ч. отличного от стандартного для протокола |
Наличие |
|
|
| Возможность настраивать параметры RDP-файлов, используемых для подключения к ресурсам |
Наличие |
|
|
| Возможность требовать указание причины подключения при попытке доступа к ресурсу, в том числе с указанием произвольного вопроса |
Наличие |
|
|
| Возможность создания группы пользователей и выдачи разрешений на подключение к ресурсам группе пользователей |
- возможность выдачи разрешений на группу. Разрешение получают все члены группы и теряют его при выходе из группы;
- возможность создания политики для одной или нескольких групп пользователей. Политика применяется ко всем пользователям в группе и перестает применяться к пользователю при выходе из группы |
|
|
| Возможность создания группы пользователей на основе групп пользователей из LDAP каталогов AD, ALD Pro |
- возможность выдачи разрешений созданной таким способом группе. Разрешение получают все члены группы и теряют его при выходе из группы;
- синхронизация изменений, выполняемых в LDAP каталоге для связанных групп |
|
|
| Возможность ограничения доступа пользователей по времени с использованием параметров |
- календарные даты начала и окончания периода доступа;
- временной интервал, в течение которого разрешен доступ (например, только в рабочие часы) |
|
|
| Возможность ограничения времени бездействия пользователя |
Наличие |
|
|
| Возможность ограничения списка доступных для подключения ресурсов в зависимости от сетевого расположения источника подключения пользователя |
Администратор ПО должен иметь возможность добавлять в ПО сетевые расположения. В качестве сетевого расположения должны поддерживаться:
- Отдельные IP-адреса
- Диапазоны IP-адресов
- Подсеть (IP-адрес и маска)
Администратор ПО должен иметь возможность выбрать, какое должно быть сетевое расположение у пользователя для успешного получения доступа |
|
|
| Включение функции эксклюзивного использования учетной записи, при котором учетная запись может быть использована только в одной активной сессии одновременно |
Наличие |
|
|
| Возможность разрешения отдельным пользователям просматривать пароль привилегированной учетной записи |
- Возможность автоматического сброса просмотренного пароля или SSH-ключа через заданный промежуток времени;
- Возможность включения процедуры одобрения просмотра пароля уполномоченным администратором ПО с настройкой времени ожидания одобрения |
|
|
| Возможность требовать у пользователя указания причины просмотра пароля и SSH ключа привилегированной учетной записи, с последующей записью в логи |
Наличие |
|
|
| Возможность для сессий с наиболее критичными учетными записями требовать одобрения открытия сессии уполномоченным администратором ПО с настройкой времени ожидания одобрения |
Наличие |
|
|
| Возможность в SSH сессиях выполнения команд с повышением привилегий до root, с настраиваемым списком команд |
Наличие |
|
|
| Возможность получения секретов учетных записей из Privileged Access Manage (далее –PAM) сторонними приложениями |
Наличие |
|
|
| Возможности в части управления учетными записями |
Поиск привилегированных учетных записей и смена их пароля на случайный или устанавливаемый администратором ПО на следующих видах ресурсов:
– ПК и серверы под управлением ОС Windows;
– ПК и серверы под управлением ОС Linux;
– Служба каталога AD:
– Для поиска в AD возможность ограничить область поиска учетных записей путем указания определенных групп AD;
– Должно поддерживаться одновременное подключение к нескольким доменам AD.
– Устройства под управлением:
– Cisco IOS;
– Inspur BMC.
– СУБД:
– Microsoft SQL Server;
– PostgreSQL;
– MySQL.
Поддержка работы с парольной аутентификацией, с SSH-ключами для учетных записей, используемых для доступа по протоколу SSH.
Наличие функции поиска и удаления неуправляемых ПО SSH-ключей на ресурсах.
Автоматический регулярный поиск новых учетных записей на подключенных к PAM ресурсах и смена паролей на случайное значение по заданному расписанию.
Настраиваемая разная частота поиска и смены паролей учетных записей для разных ресурсов.
Возможность смены паролей на случайное значение сразу же после завершения подключения привилегированного пользователя к ресурсу.
Функции автоматической регулярной проверки паролей и SSH ключей учетных записей: проверка подтверждает, что в хранилище ПО содержится актуальный пароль и SSH ключ учетной записи.
Настройка сложности генерируемого случайного и устанавливаемого вручную администратором ПО пароля для учетных записей: длина, используемые символы.
Возможность ручного добавления привилегированных учетных записей.
Хранение истории паролей учетных записей и возможность восстановления пароля из истории.
Самостоятельное задание и смена паролей и SSH ключей учетных записей, хранящихся на уровне PAM, пользователям.
Возможность ручной блокировки пользователя администратором |
|
|
| Возможности в части управления целевыми ресурсами |
Ручное добавление ресурсов.
Импорт списка ресурсов из следующих источников:
– CSV-файл.
– AD
– ALD Pro.
Возможность группировки ресурсов в подразделения (контейнеры), разделение между администраторами ПО прав на управление контейнерами.
Возможность присвоить для ресурса произвольный тег.
Создание группы ресурсов и выдача пользователям разрешения на подключение к группе ресурсов |
|
|
| Возможности в части записи сеансов доступа |
Ведение следующих типов записи сеансов доступа:
- Видеозапись сеанса доступа:
a) должна поддерживаться для RDP, SSH сессий и для опубликованных приложений.
b) должна быть возможность определить следующие параметры: степень сжатия видео, количество кадров в секунду, используемый кодек для кодирования видео, параметры уменьшения разрешения видео.
c) поддержка ведения видеозаписи RDP-сессии с двумя мониторами и разрешением не менее 1280 на 720 пикселей (HD).
d) для записи видео должны поддерживаться кодек H.264 и контейнер MP4.
- Периодическое снятие снимков экрана:
a) снимки экрана должны поддерживаться для RDP сессий и для опубликованных приложений.
b) для снимков экрана должна быть возможность определить следующие параметры: интервал снимков, разрешение изображения.
- Текстовая запись сессии:
a) текстовая запись должна поддерживаться для RDP и SSH сессий.
b) для SSH протокола должен фиксироваться весь пользовательский ввод-вывод.
c) для RDP протокола должны фиксироваться запускаемые процессы, заголовки активируемых окон и пользовательский ввод.
- Поддержка возможности ведения разных типов записей сеансов доступа для разных учетных записей.
- Возможность ограничения объема хранимых видеозаписей и снимков экрана путем задания глубины по времени хранения. Устаревшие видеозаписи и снимки экрана должны автоматически удаляться.
- Теневое копирование передаваемых пользователем файлов на конечный ресурс по протоколу RDP, scp, sftp. Ротация файлов в теневых копиях, с возможностью указания ее глубины по времени хранения. Возможность сопоставить переданные файлы с сеансом доступа, в рамках которого они были переданы.
- Контроль передаваемых в рамках сессии текстовых команд для SSH-подключений:
- возможность реализации двух режимов блокировки передаваемых команд:
a) Запрещено всё, что явно не разрешено.
b) всё, что явно не запрещено.
- Два варианта реакции, в случае обнаружения блокируемой команды:
a) Блокировка команды.
b) Принудительное завершение подключения |
|
|
| Возможности в части администрирования |
- Администрирование системы должно вестись централизованно и находится в руках ограниченного круга лиц.
- ПО должно иметь web-интерфейс администрирования, доступный с любого ПК в сети организации.
- Должны быть предусмотрены следующие уровни доступа (роли) к функциям ПО по умолчанию:
1) Администратор - имеет полный доступ на изменения всех настроек.
2) Пользователь - имеет пользовательский доступ на открытие сеансов привилегированного доступа на информационные ресурсы.
3) Аудитор - имеет права на просмотр всех настроек ПО, журнала ПО и архива сеансов доступа.
- Поддержка возможности создания новых ролей с произвольным набором прав доступа к функциям ПО.
- Предоставление возможности администратору ПО просматривать активные сеансы доступа (сессии) в режиме реального времени.
- Возможность прекращения сеанса доступа администратором ПО |
|
|
| Возможности в части журналирования действий администраторов и пользователей |
- Фиксация всех изменений настроек и разрешений, производимых администраторами ПО с указанием:
1) Даты и времени внесения изменений.
2) Кода события.
3) Имени администратора.
4) Компонента ПО, настройки которого были изменены.
5) Параметров, которые были изменены.
- Фиксация всех фактов получения привилегированного доступа пользователем с указанием:
1) Даты и времени запроса доступа.
2) Имени пользователя.
3) Имени целевого ресурса.
4) Имени привилегированной учетной записи.
5) Использованного протокола доступа.
6) Продолжительность сессии.
- Предоставление средства просмотра журнала событий
- Возможность фильтрации событий по различным критериям: пользователь, целевой ресурс, учетная запись, дата возникновения события и др.
- Возможность отправки любого типа событий журнала на email ответственных администраторов ПО.
- Возможность отправки событий безопасности в систему мониторинга и корреляции событий безопасности по протоколу syslog.
- Возможность отправки текстового лога сессии в систему мониторинга и корреляции событий безопасности по протоколу syslog. Форматы отправляемого лога: LEEF, CEF. Фильтрация лога перед отправкой |
|
|
| Функциональные требования |
Для RDP подключений возможность запретить или разрешить доступ в терминальной сессии к следующим локальным ресурсам:
- Локальные диски
- Смарт-карты
- Буфер обмена
- Принтеры
- Порты |
|
|
| Вид лицензии |
Простая (неисключительная) |
|
|
| Способ предоставления |
Экземпляр на материальном носителе |
|
|
| Класс программ для электронных вычислительных машин и баз данных |
(03.12) Средства управления доступом к информационным ресурсам |
|
|
Зарегистрироваться
Войти
Все сервисы
