ЦУП 2.0: российский менеджер паролей на open source с функциональностью энтерпрайз-решений

ЦУП 2.0: российский менеджер паролей на open source с функциональностью энтерпрайз-решений

По статистике МВД России за 2021 год, каждое четвертое преступление в стране совершается с использованием информационных технологий. Данные Генпрокуратуры говорят о росте числа таких преступлений в 12,5 раз за последние пять лет. При этом большинство из них остаются нераскрытыми.

За прошлый год потери экономики от киберпреступности составили, по разным оценкам, до 6 трлн руб. На диаграмме отображены наиболее часто атакуемые сферы, под наибольшим ударом находятся госучреждения и промышленность, 19% и 12% соответственно.

ЦУП 2.0: российский менеджер паролей на open source с функциональностью энтерпрайз-решений

Весомую роль в повышении уязвимости IT-систем играет слабая защищенность ключевой и парольной информации. При этом угрозы могут исходить как от внешнего, так и от внутреннего нарушителя. Нередки случаи утечек из-за пренебрежения политиками ИБ и неправомерного использования сотрудниками самих пострадавших организаций.

В условиях массовой удаленной работы, постоянного повышения скорости и сложности разработки, внедрения микросервисных архитектур, повсеместного применения CI/CD растет количество секретной информации, участников ее обмена и хранения, усложняется администрирование парольной информации и, как следствие, снижается защищенность, возрастает стоимость разработки.

Повседневно встречаются следующие сценарии и риски утечки секретной информации:

  • Передача паролей в чатах и почте
  • Хранение паролей в репозиториях и коде
  • Случайная публикация паролей во время сборки проекта
  • Реверс-инжиниринг собранных проектов
  • Сотрудники с доступом к хранилищу, в том числе новички, имеют доступ ко всем паролям
  • Пароли хранятся в незащищенных базах
  • Слабые и повторяющиеся пароли
  • Несменяемость паролей при увольнении сотрудников
  • Социальный инжиниринг и кража паролей
  • Отсутствие журналирования обращений к секретам

Для решения таких проблем существуют менеджеры паролей – системы, которые хранят, предоставляют пароли, управляют ими, а также учетными данными, сертификатами, ключами и токенами инфраструктуры. Менеджеры паролей призваны не только повышать защищенность АС, но также снижать стоимость разработки за счет автоматизации процессов управления секретной информацией и предоставления удобного централизованного интерфейса. Для достижения этих целей ПО должно обладать рядом характеристик:

  • Гарантированное хранение паролей
  • Безопасность паролей
  • Регулирование жизненного цикла паролей
  • Легкость управления паролями
  • Масштабирование и высокая доступность
  • Легкость интеграции и масштабирования

Существующие решения можно выделить в несколько групп: открытое ПО, зарубежные энтерпрайз-решения, отечественные энтерпрайз-решения. При этом разделение энтерпрайз-систем на зарубежные и отечественные обусловлено требованиями региональных регуляторов в области импортозамещения.

Преимущества открытого ПО очевидны: открытый исходный код и бесплатность использования. В недостатки можно записать скудность возможностей. Также возникают регуляторные издержки, не позволяющие некоторым компаниям использовать эти решения в своей деятельности.

Зарубежные энтерпрайз-системы обладают множеством функциональных возможностей, но их исходный код закрыт, а стоимость лицензирования часто превышает выгоду от использования. И они тоже имеют проблемы с региональным регулятором.

Отечественные решения одобряются региональным регулятором и полностью соответствуют политике импортозамещения. Однако стоимость таких решений высока из-за необходимости сертификации и нишевости некоторых игроков. При этом функциональность часто не соответствует бизнес-потребностям компаний.

Очевидно, что на российским рынке есть спрос на адекватный по совокупности функциональности, стоимости и одобрения регулятором менеджер паролей. В 2021 году компания AT Consulting (входит в Лигу Цифровой Экономики) приняла решение доработать концепцию своего ПО «Центр управления пользователями», развив его до комплексного средства управления учетными записями пользователей, рабочими станциями, доступом и паролями. Таким образом, Лига Цифровой Экономики презентует решение «Центр управления пользователями v2.0. Менеджер паролей». Система входит в реестр отечественного ПО: № 5757 от 20.09.2019 г.

ЦУП 2.0 основан на открытых решениях с отечественными разработками и предназначен для организаций, которые в соответствии с требованиями законодательства в части импортозамещения или в связи с желанием снизить стоимость владения переходят на использование ОС российской разработки или ОС с открытым кодом на базе Unix/Linux-решений.

Ориентирами для нашего продукта являются признанные профессиональным сообществом высококлассные решения, такие как HashiCorp Vault; мы стремимся предоставить заказчикам функциональность уровня зарубежных энтерпрайз-систем. Следуя современным трендам, мы разработали наш менеджер паролей на golang и ansible, с использованием микросервисной архитектуры, в соответствии с CI/CD.

ЦУП 2.0 позволяет безопасно управлять паролями, показателями и конфигурационной информацией, успешно предупреждает риски хранения и распространения паролей. Решение повышает защищенность систем, удобство их разработки и эксплуатации для организации.

Система позволяет хранить любые пароли и аутентификационные данные: логины и пароли, ключи сервисов Kubernetes, ключи непрерывной интеграции CI/CD, ключи сертификатов, общие конфиденциальные данные команд. Решение консолидирует процессы управления паролями, повышает надежность хранения и доставки паролей, оптимизирует технологические процессы разработки АС, повышает уровень контроля ИБ.

ЦУП 2.0: российский менеджер паролей на open source с функциональностью энтерпрайз-решений

ЦУП 2.0 предлагает конкурентные преимущества:

  • Безопасное хранение паролей
  • Разграничение доступа к паролям
  • Безопасная доставка паролей на ресурсы без необходимости прерывания сервисов
  • Безопасное создание паролей
  • Безопасная передача паролей на запросы систем
  • Отзыв (удаление) и ротация паролей
  • Интеграция с субъектами аутентификации (для передачи им паролей) и механизмами аутентификации (для ротации паролей)
  • Функционирование в высоконагруженном режиме с возможностью вертикального и горизонтального масштабирования
  • Отказоустойчивое и катастрофоустойчивое исполнение
  • Взаимодействие всех типов приложений, от классических до микросервисных, в контейнерах и оркестраторах
  • Централизация управления системой снижает сложность и ресурсоемкость процессов поддержки
  • Система плагинов позволяет осуществлять безболезненное расширение функций системы в больших пределах

Дополнительно стоит выделить политику Лиги Цифровой Экономики по взаимодействию с партнерами. Наша команда постоянно развивает продукт в соответствии с потребностями заказчика, а также предоставляет поддержку уровня mission critical, что позволяет снизить операционные издержки и риски пользователя системы.

ЦУП 2.0 уже внедрен в одном из крупнейших банков России, в настоящее время ведется подготовка типового решения для среднего и малого бизнеса.

4.8 5 голоса
Рейтинг статьи
Подписаться
Уведомить о
guest
0 комментариев
Межтекстовые Отзывы
Посмотреть все комментарии