Информационная безопасность
23604
186
Приветствую!

Буду благодарен за помощь квалифицированных форумчан.

Такая ситуация - во второй половине января берём в штат 2-х конструкторов. Их рабочий кабинет будет в Ленинском районе, а ещё один конструктор (старший над ними) располагается в своём рабочем кабинете в Кировском районе.

Задача: необходимо, чтобы связь по интернету была только между ними, и эти 2 новых конструктора не имели возможности отправить что-либо со своих компов куда-либо ещё (ну, и на флешке вынести само собой). Старший конструктор в обороте информации не ограничен.

Итак, есть простые решения?
H777
C Новым Годом Пётр!
Прими мои поздравления и сочувствия!
Ты не застрахован от кражи твоей интеллектуальной собственности.
И здесь трудно тебе помочь, подсказать, все равно украдут. Впрочем, что мне говорить, сам все знаешь.
Попробуй пообщаться на эту тему с юристами, например Александр Петрович Крестьянинов, у него своя контора и он работает и в этой области
H777
Итак, есть простые решения?
Системный администратор средней руки тебе все настроит встроенными средствами Windows.
1. По поводу интернета: настраивается виртуальная сеть и роутер таким образом, чтобы выход в интернет был только у роутера, а у компов только к виртуальной сети.
2. Флешки проще всего отрубить убрав драйвера USB и удалив их, а так же политиками безопасности - запретив обновление и установку драйверов пользователями. Тут могут возникнуть проблемы с принтером, но решается так же, просто более муторно - надо удалять не все драйвер для USB, а только связанные с подключаемыми внешними устройствами.

А в целом, защититься полностью не получится. Из моего опыта - были случаи выноса информации в бинарном виде на листах А4 через принтер. Данные распечатывались в двоичном виде мелким шрифтом, потом на другом компе сканировались и загонялись обратно в файлы. Плевое дело. Так же через экран монитора можно данные считывать тем же смартфоном. Способов множество.
Set_
Принтера у них не будет.

Да и особо я не схожу с ума по этому вопросу. Просто что можно сделать - нужно сделать.

Спасибо за ответ.
H777
Могу порекомендовать своего админа)) настроит нормально все, опыт есть огромный.
Простые решения так же просто обходятся.
Да и кстати смартфоны с камерами никто не отменял, если надо будет - нафотают все что можно с экрана.
H777
Разбить решение задачи на несколько частей и конструкторы не должны знать друг друга, самое главное брать на себя, тот конструктор, что с тобой работал или работает, по новому закону года 3 назад изданному, является так же как и ты собственником все твоей и его разработки. Имеет авторство.
H777
:biggrin:

- Но как же вам удалось сохранить в тайне строительство этого удивительного подводного корабля?
- Каждая часть корабля, господин Аронакс, получена мною из различных стран земного шара. Предназначение каждого заказа было вымышленным. Киль "Наутилуса" выкован у Крезо, гребной вал у "Пена и компании" в Лондоне, листовая обшивка корпуса у Лерда в Ливерпуле, винт у Скотта в Глазго, резервуары у "Кайля и компании" в Париже, машины у Круппа в Пруссии, таран в мастерских Мотала в Швеции, измерительные приборы у братьев Гарт в Нью-Йорке и так далее. Поставщики получали мои чертежи, подписанные всякий раз другим именем.
- Но, получив отдельные части, вы должны были их собрать, смонтировать? - спросил я.
- Господин профессор, моя судостроительная верфь находилась на пустынном острове, в открытом океане. Там обученные мною рабочие, мои отважные товарищи, под моим наблюдением собрали наш "Наутилус". Когда корабль был собран, огонь уничтожил всякие следы нашего пребывания на острове, который, если бы мог, я взорвал бы!
- Надо полагать, что корабль стоил вам немалых денег?
H777
В такой ситуации vlan наше всё и не надо особо с политиками на винде заморачиваться, usb физически можно повыдирать.
fedot1
Всем спасибо. Лёш, обрашусь к тебе :agree:
fedot1
В такой ситуации vlan наше всё и не надо особо с политиками на винде заморачиваться, usb физически можно повыдирать.
Про виртуальную сеть я выше и написал. А выдирать USB физически из ноута или материнской платы это как? Выпаивать? :))
Set_
можно просто берешь акварельную кисть, макаешь в кислоту и проходишь по контактам и по пайке этих разъемов и больше нет сигнала.
ПАРУС
И лишаешься гарантии на ноутбук/материнку....
Set_
следов воздействия не находится, производственный брак.
Вы там витаете в облаках, а паяльника в руках не держали.
ПАРУС
Возможно и летаем, но такие глупости делать точно не будем. Когда можно просто настроить систему без физического воздействия. Вы, "практики", можете хоть гвозди клавиатурой забивать. Мы другим путем идем
Set_
Ничего выпаивать не надо. Речь в большей степени идет про стационарные системные блоки, те которые дополнительные usb можно просто поотключать выдергиванием проводов, те которые на материнке непосредственно, можно заглушек понаставить и опечатать, если комп. не жалко можно заглушки на хороший клей посадить. С ноутбуками посложнее, там кроме usb ещё "голубые зубы" и ви-фи отключать надо.
А с vlan, тут скорее не системный, а в большей степени сетевой администратор пригодится, не так просто бывает их настроить, при этом саму винду можно вообще не трогать, все на уровне маршрутизаторов разруливается.
fedot1
А Пётр тебя заметил!
Хорошо говоришь, не то что СЕТ.
H777
Внесу 5 копеек.
По отдельности выше это все уже написали, но лучше скомбинировать.

УСБ отключать политиками безопасности и драйверами внешних носителей.
Физически выдирать/выпаивать и т.п. не получится, иначе куда мышь, клаву втыкать? Давно не видел ПС/2 разъемов на них.
Настройка влан отключит выход в инет несанкционированный. Можно взять для этого бытовой роутер, поставить dd-wrt прошивку и настроить. Естественно брать надо такой, который позволяет ставить такую прошивку и на который есть стабильная прошивка. Нужен будет сетевик грамотный.
H777
Петь, а сам бы ты к себе на таких условиях работать пошел бы? Вот я бы не пошел, или за тройную ставку, не меньше. Ты же нанимаешь раба, а хочешь, чтобы он был творцом. Или хотя бы криейтером (вспомним бессмертное, Поколение пи). Ну не бывает так. Вот из принципа бы все упер, даже если оно и не нужно мне было. Ты не такого персонажа ищешь?
ПАРУС
Хорошо говоришь, не то что СЕТ.
Да куда уж мне, старому:улыб:
AsIs
Петрух, я за Асиса. Надо строить работу так, чтобы то, что люди могут упереть не дало им никаких дивидендов. И пусть прут сколько хотят
AsIs
Ну как бы да, если человек инженер, а не так, погулять вышел, то вся эта защита ерунда. Достаточно бывает посмотреть или послушать, понять концепцию так сказать, а потом дома всё это воспроизвести.
Я так, что касается более менее сложных проектов, основную массу работы вообще предпочитаю дома делать, мне так комфортнее, а уже на рабочем компе всё потом в единое целое собираю.
fedot1
для этого есть RDP.
Делаешь хоть дома хоть где, но проект хранится на рабочем сервере.
AsIs
А что не так с условиями? В чем тут рабство?
Во многих компаниях в трудовом договоре четко написано - всё, что разработано человеком в период работы в компании, становится собственностью компании. Также обязательно есть пункты с указанием срока, в течение которого работник не имеет права пользоваться некоторыми наработками и методами, освоенными на прошлом месте работы и там разработанными. Если порыться, можно даже залепить сюда отрывки из контрактов очень известных компаний. И че тут такого?
H777
Если строить информационную безопасность из фокуса защиты от соПственных сотрудников, чтобы не дай Зевс чего сопрут, то точно первым делом бросят все силы, чтобы найти способ тырить. надо - не надо. но из прЫнцЫпа и будут правы. Если же зайти со стороны обороны от внешнего вмешательства, то может что-то и получится. По любому даже если интеллектуальный результат тушкой принадлежит лавке, то сотрудник остается автором и запретить ему, автору, носиться с дитём сложно если это не гостайна. В принципе от человека остаются в итоге именно эти вещи...
Set_
А выдирать USB физически из ноута или материнской платы это как? Выпаивать? :))
Наткнулся сегодня на картинку в тему, наверное выпаивает USB :biggrin:

Пишут, что-то не так в этой картинке, мол очки с блузкой не сочетаются, что ли?
ПАРУС
все равно украдут
поддержу... а юсбишки я б пассатижами :biggrin:

пс. а в каких процах вайфай вшит? :rofl:
AlexPav
Да все так, многим действительно достаточно рабов, и желающих ими быть, тоже хватает. Только я же и писал, за тройную ставку. Я плохо представляю раба-творца. Раба-исполнителя сколько угодно. А какой конструктор Пете нужен - это ему виднее.
AsIs
Я плохо представляю раба-творца. Раба-исполнителя сколько угодно. А какой конструктор Пете нужен - это ему виднее.
Плохого вы мнения о моём понимании рабочих процессов. Сейчас я вам опишу, кого я ищу, а вывод вы сделаете сами.

Любая разработка включает в себя следующие этапы (их 4):

1. Креативный этап - разработка устройства, выбор технических исполнений рабочих узлов, автоматики, типа приводов - в общем, всего. Это делаю я.

2. 3д модель в укрупненном формате (без деталировки, как то - монтажные отверстия и т.п.), выбор моделей пневмоцилиндров, моторредукторов, толщин материалов, связок узлов и конструкций, габаритов и т.п. Это делает мой партнер, он же - главный конструктор. Его свобода к творчеству ничем не ограничена.

Потом мы с ним совместно прорабатываем эту 3д модель. Приходим к окончательному ее виду.

Всё, на этом творчество кончается. Утвержденная нами 3д модель (укрупненная, без деталировки) передаётся младшим конструкторам (тем двум, которых я найму), и они должны будут:

3. Проработать 3д модель в окончательный вид со всеми монтажными отверстиями, болтами, винтами, заклепками, привязками и т.п. (никакого творчества, тупая механическая работа);

4. Потом сделать на основе этой модели рабочие чертежи (аналогично - тупая механическая работа).

В общем объёме работы этапы 3-4 занимают около 30 - 40% работы над проектом. Так как сейчас у нас в списке очередников 11 проектов, то мы ищем возможности ускориться на тех этапах, где можем.

При этом оба младших конструктора будут заняты разными проектами.

Так что в дальнейших разговорах о "творцах, которым режут крылья" учтите то, что я написал в этом посте.
craxx
RDP и Teamviewer(ы) всякие, вещи в хозяйстве исключительно полезные, с помощью них я кучу оперативных задач по работе решаю, но вот в плане работы с visio там или autocad(ом), несмотря даже на то, что у нас терминальный сервер поднят на win 2003, очень сомнительное удовольствие, если только сервер виртуальных ОС поднимать на FreeBSD например, но мы ещё до этого не доросли.

Кстати для сведения, у кого огрызки яблочные. Обновил я тут свой девайс до версии ОС 10.2 и весь мой RDP как Фома языком слизало. Разбор полетов показал, в версии ОС 10.2 протокол VPN PPTP как класс отсутствует, пользователю предлагается только IKEv2, IPsec и L2TP, поскольку у нас на микроте только PPTP был, мой VPN канул в лету предыдущих ОС. При этом, хоть я на микротах и поднимал L2TP по протоколу IPsec, конкретно под iOS это не срабатывает, может порты другие пробрасывать надо, в общем будет чем заняться после праздников.
H777
По здравому размышлению, есть путь более элегантный, чем с vlan связываться. Vlan вообще штука не простая, тегированный - нетегированный трафик, транковый маршрутизатор, который потом ещё и с обычным интернетом связать надо, оборудование соответствующее, допустим в микротах надо понимать какая ещё прошивка стоит ибо не каждая под vlan заточена, в банках всё это на cisco в основном делается, поэтому там сетевик и системный администратор две большие разницы.
А если не усложнять, родной vpn спасет и поможет. Два микрота поставить, между ними vpn поднять, тот который на стороне конструкторов пусть динамически IP раздает VPNовские, на компах удалить маршрут по умолчанию у сетевой карты и добавить вручную путь на один адрес - сервера VPN, в автомате прописать, чтобы VPN соединения автоматически поднимались, у пользователей удалить все права на администрирование, таким образом все три фигуранта оказываются в одной VPN сети, а смотрящий, кроме этого ещё и выход в глобальную сеть имеет.
Вот с этим, даже администратор средней руки справится.
fedot1
если только сервер виртуальных ОС поднимать на FreeBSD например, но мы ещё до этого не доросли.
Именно. А мы уже до этого доросли.
wobbler
Плохой я плохой! Было дело давно, 2000году, украл я алгоритм работы упаковочного аппарата, у китайцев украл.
Разобрали мы с товарищем их станок по узлам,он снял чертежи с каждой детали, я же зарисовал циклограмму импульсов управления. рассчитал временные задержки и вычислил длину импульсов. А потом воспроизвел алгоритм работы этого станка.
Но элементная база вся была наша, серводвигатели не достать, потому ставили наши советские, вот и думаю, то ли украл у них то ли свое воссоздал!
ПАРУС
Украсть станок у Петра. это как два пальца об асфальт, нет проблем.
Почему и говорю, защита требуется интеллектуальной собственности, чтобы не было желания этого сделать, но это очень дорого стоит и не в нашей стране защищать.
ПАРУС
Украсть станок у Петра. это как два пальца об асфальт, нет проблем.
Зачем красть? Я его с радостью сам продам. У меня на сайте и цена стоит. На 40% дешевле китайского. Только платите. Каких-то смешных 3 млн целковых:улыб:

Кому надо?
ПАРУС
Украсть станок у Петра. это как два пальца об асфальт, нет проблем.
Или вы физически 2,5 тонны ночью через окно? :eek:
H777
Вес не проблема, главное технически подойти, я еще не то через окно втаскивал и вытаскивал.
А копию снять и крана не надо.
Но ты прав в одном, сейчас в России дешевле делать, только людей для этого, твоего полета очень мало и днем с огнем не найти.
ПАРУС
только людей для этого, твоего полета очень мало и днем с огнем не найти.
Да уж в полуторамиллионнике пару-тройку десятков нужных найдём. Остальных заменим машинами :хехе:
H777
Мдааа господа спецы насоветуют ...
Ваша проблема решается через несколько вопросов:
1) В какой конструкторской программе работают конструкторы? (намёк на штатную PDM от разработчика конструкторского пакета, ну например тот-же вольт от аутодеска, главный конструктор обязан знать и уметь работать в подобном ПО);
2) Есть ли возможность установить(арендовать услугу как сервис) сервер удаленных приложений (Намек на удаленные сеансы, тонкие клиенты у конструкторов(с заблокированными USB из биоса) и правильно настроенные права на сервере приложений);
3) Бюджет мероприятия?

P.S. Советы про VLAN, VPN и проч. ИМХО не ваш случай ...
H777
Хочешь, чтобы было сделано хорошо - сделай сам. 30-40% - это не так уж и много, чтобы потом косяки этих недоинженеров вылавливать. А вот чего я в твоей затее не понимаю, так это последовательность - проработка станка на модели, болты заклепки, пробки, потом запуск в серию. Я и когда сам творческими задачами занимался, да и на других успешных проектах вижу, там логика другая. Запускается сырой вариант, как есть. Главное быстро. Он работает, накапливает опыт. Тут же по возможности быстро выпускается версия 2.0, или 1.1, или как хочешь ее назови. Потом так же 3.0, 4.0, и далее. Вон у меня на планшете хром стоит, уже версия 56.0.5423.26 ну можешь себе представить схему работы? А так как у тебя- так можно бюджетные деньги осваивать, а чтобы творить - я извиняюсь.
Так что в дальнейших разговорах о "творцах, которым режут крылья" учтите то, что я написал в этом посте.
А это о чем? Я разве так вопрос ставил? Я спросил, а ты сам то стал бы так работать? Ну так ответь плз.
AsIs
А вот чего я в твоей затее не понимаю, так это последовательность - проработка станка на модели, болты заклепки, пробки, потом запуск в серию. Я и когда сам творческими задачами занимался, да и на других успешных проектах вижу, там логика другая. Запускается сырой вариант, как есть.
Вы настолько далеки от конструирования, что даже не понимаете предмета беседы.

Укрупненная 3д модель - это модель, когда стенки просто совмещены друг с другом, пневмоцилиндры, клапана, двигатели просто размещены на модели без привязки. "Модель" - это компьютерная визуальная 3д модель. На укрупненной компьютерной модели нет ни крепежа, ни подводки трубок, кабелей и т.п. Нет монтажных отверстий и прочей мелочевки. А это нужно, как вы сами понимаете. Нужно предусмотреть монтажные отверстия, убедиться, что крепеж не мешает друг другу, что возможна последовательная сборка, что возможно добраться до каждой единицы крепежа монтажным инструментом и т.п. Нужно развести всю пневматику, электрику (трубки и кабеля) и т.п., чтобы потом болгаркой и дрелью меньше работать.

Вы даже значения терминов не понимаете. А туда же - учить и критиковать. Нехорошо.

Давайте дальше придерживаться темы топика. Хотя, всю необходимую информацию я уже получил. Всем спасибо :agree:
AsIs
Запускается сырой вариант, как есть. Главное быстро. Он работает, накапливает опыт.
Такой подход понятен когда есть "сырость" в самой базовой технологии, но как я понял, технологический опыт у Павла набирался на обособленном термопрессе, не в составе линии, а когда создавалась уже линия, то вопросы шли именно компоновок и исполнения, но не "сырости" самого основополагающего способа. Тогда становится возможным выдать исполнителю компоновочную 3D-модель, где сопряжения заданы от базовых точек и поставить задачу проработать те же кронштейны, посадочные места под них, сверловки, после чего сопряжения переводятся уже в, например, соосности крепёжных отверстий.
KOCTA
Да все замечательно, только вот рыночная востребованность тоже будет на 3д модели? В моем варианте это включено, а у Пети, не уверен. Да уж и не важно, он ответы получил и доволен, ну и замечательно. Всем успехов, а я поехал купаться.
KOCTA
как я понял, технологический опыт набирался на обособленном термопрессе, не в составе линии
Так и есть, мы любое устройство, которое хотим поставить в линию, предварительно обкатываем на отдельном узле в режиме полуавтомата. А потом уже ставим отработанный узел с понятным режимом работы в линию.

а когда создавалась уже линия, то вопросы шли именно компоновок и исполнения, но не "сырости" самого основополагающего способа. Тогда становится возможным выдать исполнителю компоновочную 3D-модель, где сопряжения заданы от базовых точек и поставить задачу проработать те же кронштейны, посадочные места под них, сверловки, после чего сопряжения переводятся уже в, например, соосности крепёжных отверстий.
Да, да, да. Всё так. И с этой нехитрой работой 2 стажера прекрасно справятся. А нам сберегут 40%, да пусть даже 30% времени, и то уже хорошо.
H777
В общем объёме работы этапы 3-4 занимают около 30 - 40% работы над проектом. Так как сейчас у нас в списке очередников 11 проектов, то мы ищем возможности ускориться на тех этапах, где можем.

При этом оба младших конструктора будут заняты разными проектами.

Так что в дальнейших разговорах о "творцах, которым режут крылья" учтите то, что я написал в этом посте.
Рад что растешь :respect:
Желаю в этом году звонкого и частого звука прихода средств на банковский счет :миг:
ЕвгенийNSK2010
Ага! И над конторой его табло с 14 ю нулями, и мелькающие цифры, рост благосостояния Петра!
ПАРУС
не Петр гораздо скромнее. достаточно по 1 статье в год в форбс :бебе:
ПАРУС
Пасиб за добрые пожелания :agree:

Я для себя, в-первую очередь, ставлю задачу выход на федеральный уровень и фиксирование компании в качестве игрока верхнего дивизиона в выбранной нише. Это задача на этот год.
ЕвгенийNSK2010
Согласен, скоро мы не найдем о нем новостей, новый Стерлигов.
ЕвгенийNSK2010
не Петр гораздо скромнее. достаточно по 1 статье в год в форбс :бебе:
Аааа... как раз это не интересно. Я про СМИ. Гораздо более важно отношение к тебе коллег по цеху.
H777
чем не коллеги :dnknow: