Существуют и другие каналы утечки данных, и их очень много, начиная от вредоносного ПО, заканчивая перехватом излучения от кабеля, соединяющего клавиатуру c ПК и т.д.

3. Защищенное межсетевое взаимодействие

3.1 Взаимодействие c банковскими структурами

Для обмена электронными документами и платежными поручениями c банковскими структурами через открытые каналы связи используется технология защищенного межсетевого взаимодействия - ПАК "ФПСУ TLS" и VPN key TLS (рис. 3.1).

Рис. 3.1 - Межсетевое взаимодействие c банками

Для шифрования трафика данных используется протокол HTTPS (HyperText Transfer Protocol Secure), представляющий из себя расширение протокола HTTP, которое поддерживает шифрование c помощью инкапсуляции данных в криптопротокол SSL или TLS. Для HTTPS по умолчанию используется TCP-порт 443. Данная система разработана компанией Netscape Communications Corporation для обеспечения аутентификации, безопасного соединения и поддерживается всеми популярными браузерами.

TLS (англ. Transport Layer Security -- безопасность транспортного уровня) и SSL (англ. Secure Socket Layers -- уровень защищённых сокетов) - это криптопротоколы, обеспечивающие защищённую передачу данных между узлами в сети Интернет. TLS и SSL используют ассиметричную криптографию для аутентификации, симметричное шифрование для конфиденциальности и коды аутентичности сообщений для сохранения целостности сообщений [7].

Данные протоколы широко используется в приложениях, работающих через IP-протокол:

- web-браузеры,

- e-mail;

- обмен мгновенными сообщениями;

- IP-телефония (VoIP).

TLS даёт возможность клиент-серверным приложениям осуществлять связь в сети таким образом, чтобы предотвратить прослушивание и несанкционированный доступ.

Основные шаги процедуры создания защищённого сеанса связи:

клиент подключается к серверу, поддерживающему TLS, и запрашивает защищённое соединение;

клиент предоставляет список поддерживаемых алгоритмов шифрования и хеш-функций;

сервер выбирает из списка, предоставленного клиентом, наиболее надёжные алгоритмы среди тех, которые поддерживаются сервером, и сообщает о своём выборе клиенту;

сервер отправляет клиенту цифровой сертификат для собственной аутентификации. Обычно цифровой сертификат содержит имя сервера, имя удостоверяющего центра сертификации и открытый ключ сервера;

клиент может связаться c сервером доверенного центра сертификации и подтвердить аутентичность переданного сертификата до начала передачи данных;

для генерации сеансового ключа для защищённого соединения, клиент шифрует случайно сгенерированную цифровую последовательность открытым ключом сервера и посылает результат на сервер. Учитывая специфику алгоритма асимметричного шифрования, используемого для установления соединения, только сервер может расшифровать полученную последовательность, используя свой закрытый ключ.

На этом заканчивается процедура подтверждения связи. Между клиентом и сервером установлено безопасное соединение, данные, передаваемые по нему, шифруются и расшифровываются c использованием ключа шифрования до тех пор, пока соединение не будет завершено.

При возникновении ошибки на любом из вышеуказанных шагов подтверждение связи завершится c ошибкой и соединение не будет установлено. Алгоритмы, использующиеся в TLS:

для обмена ключами и проверки подлинности применяются комбинации алгоритмов: RSA (асимметричный шифр), Diffie-Hellman (безопасный обмен ключами), DSA(алгоритм цифровой подписи), ECDSA;

для симметричного шифрования: RC4, IDEA, Triple DES, SEED, Camellia или AES;

для хеш-функций: MD5, SHA, SHA-256/384.

Программно-аппаратный комплекс (ПАК) "ФПСУ-TLS" является программно-техническим средством защиты от несанкционированного доступа к информации, в котором реализован необходимый набор телекоммуникационных функций сервера в соответствии c требованиями протокола TLS v.1 (The Transport Layer Security Protocol, RFC 5246).

Комплекс выполняет функцию защиты данных, передаваемых в соответствии c протоколом НТТР в глобальных и локальных вычислительных сетях. B составе комплекса "ФПСУ-TLS" используется средство криптографической защиты информации (СКЗИ) "Туннель-TLS", что позволяет осуществлять шифрование передаваемой информации в соответствии c ГОСТ 28147-89. ПАК "ФПСУ-TLS" предназначен для применения в вычислительных сетях, использующих среду передачи данных Ethernet, тип кадра Ethernet_II, и стек протоколов ТСР/IP. Основным назначением ПАК "ФПСУ-TLS" является обеспечение защиты от несанкционированного доступа (НСД) к информации, передаваемой между HTTP-серверами локальной вычислительной сети и удаленными абонентскими пунктами через сети передачи данных общего пользования.

Комплекс является основным компонентом (сервером) распределенной системы защиты передаваемых данных от НСД. B качестве абонентских пунктов системы (клиентов) может выступать программное или программно-аппаратное решение, взаимодействующее c ПАК "ФПСУ-TLS" в роли клиента в соответствии c протоколом TLS v.1 (далее TLS-клиент). Комплекс "ФПСУ-TLS" обеспечивает формирование защищенных межсетевых HTTPS туннелей в соответствии c протоколом TLS v.1.

3.2 Взаимодействие c ПФР, ФНС, ФСС

Для сдачи электронной отчетности в ПФР, ФНС, ФСС используется комплексное средство криптографической защиты информации VipNet Custom (рис. 3.2).

VipNet Custom включает в себя туннелирующий криптошлюз VipNet Coordinator и клиент VipNet. СКЗИ VipNet Client выполняет одновременно функции брандмауэра, подписания документа электронной цифровой подписью, защищенного межсетевого взаимодействия.

ViPNet Координатор - это программный сервер защищенной корпоративной сети, функционирующий под управлением ОС MS Windows.

Функциональность ViPNet Координатора определяется Центром управления сетью и формируемыми им справочниками и маршрутными таблицами.

В виртуальной сети может быть установлено множество ViPNet Координаторов, взаимодействующих между собой. При этом может быть организовано их взаимное резервирование для повышения надежности развернутой VPN-сети.

Рис. 3.2 - Межсетевое взаимодействие c ПФР, ФНС, ФСС

B зависимости от настроек ViPNet Coordinator выполняет следующие функции:

1) Сервер IP-адресов - обеспечивает регистрацию и доступ в реальном времени к информации о состоянии объектов защищенной сети и текущем значении их сетевых настроек (IP- адресов и т.п.).

2) Проксирование защищенного трафика (организация безопасной связи между защищенными сетями через публичные сети).

3) Оповещение узлов о параметрах доступа друг к другу (сервер IP- адресов).

4) Организация защищенного взаимодействия c открытым узлом в локальной сети (туннелирование).

5) Фильтрация открытого и туннелируемого трафика (межсетевой экран).

6) Выполнение динамической и статической трансляции IP-адресов (NAT).

7) Организация безопасного подключения компьютеров корпоративной сети к Интернету (сервер Открытого Интернета).

Координатор выполняет фильтрацию открытых пакетов на каждом сетевом интерфейсе в соответствии c заданными настройками по адресам, протоколам и портам. Данная функция полезна не только для блокирования нежелательных IP-пакетов и IP-адресов, но и для беспрепятственного соединения c доверенными узлами, не входящими в сеть ViPNet. Кроме того, для каждого интерфейса можно настроить правила антиспуфинга [8].

4. Оценка безопасности системы

4.1 Оценка безопасности услуги VРN

Применительно к сетевой безопасности в настоящее время применяются следующие термины.

Уязвимость (vulnerability) системы - это неудачная характеристика системы, использование которой злоумышленником может привести к реализации угрозы безопасности.

Угрозой (threat) системы называют потенциально возможное событие, действие, процесс или явление, которое может вызвать нанесение ущерба (материального, морального или иного) ресурсам системы.

Атака (attack) на систему - это реализация угрозы безопасности. Результатом атаки могут быть: незаконное использование привилегий, несанкционированное искажение информации, нарушение конфиденциальности информации, кража сервисов, нарушение доступности системы.

Риск (risk) - возможность проведения злоумышленником успешной атаки в отношении конкретной слабой стороны системы, т.е. использование уязвимости.

Оценка риска (risk assessment) - количественная оценка возможного злоумышленного действия, которое может произойти, т.е. оценка риска - это количественная мера опасности возникновения злоумышленного действия. Риски представляют собой многокритериальные величины, которые оцениваются по множеству компонентов. Существует большое количество методологий и подходов для оценки рисков.

Для оценки риска в выпускной квалификационной работе используется вероятностная модель оценки для определения вероятности успешной атаки на услуги предоставляемые виртуальной частной сетью (Virtual Private Networks, VPN). Структурная модель риска применения технологии VPN показана на рис. 4.1.

Рис. 4.1 - Структурная модель риска VPN

Структурная модель риска VPN относится к моделям типа «узла» (рис 4.2).

Рис. 4.2 - Модель риска типа «узла»

- объекты риска.

Объектами риска ( ) является ПК, сервер доступа, брандмауэр, сервер политики, сервер сертификатов. Злоумышленник получает доступ к ресурсам объекта, если успешно преодолевает последовательность преград. С каждым объектом риска связан свой набор преград ).

B табл. 4.1 приведены преграды для защиты от несанкционированного доступа и отображены характеристики преград и среднее время их возможного преодоления подготовленным нарушителем.

Таким образом, табл. 4.1 отражает сценарий перехода системы VPN в небезопасное состояние. Табл. 4.1 может быть значительно дополнена. Кроме того, для каждого объекта риска должна быть разработана своя индивидуальная таблица. Однако в выпускной квалификационной работе будет пользоваться табл. 4.2 для всех сервисов VPN.

Таблица 4.1

Преграды для защиты от НСД к серверу

4.2 Расчет риска услуги VPN

Вероятность успешной атаки равна

Р_риск = 1 - Р²_ПК · Р²_СД · Р_СП · Р_СС · Р_ПМ · Р_МЭ · Р_П, (4.1)

где Р_ПК - вероятность сохранения защищенности ПК,

Р_СД - вероятность сохранения защищенности сервера доступа,

Р_СП - вероятность сохранения защищенности сервера политики,

Р_СС - вероятность сохранения защищенности сервера сертификатов,

Р_ПМ - вероятность сохранения защищенности пограничного маршрутизатора,

Р_МЭ - вероятность сохранения защищенности брандмауэра,

Р_П - вероятность защищенности протоколов VPN от атак.

Вероятность сохранения защищенности P_i ^защ объекта риска X_i услуги VPN равна:

, (4.2)

где N_i - количество преград, которое необходимо преодолеть нарушителю, чтобы получить доступ к i -объекту риска,

P_ir - вероятность преодоления нарушителем r -ой преграды i -объекта риска.

Вероятности преодоления преград определяются по статистическим данным анализаторами атак или комплексами обнаружения и защиты от атак.

Основными угрозами ПК пользователя являются вирусные угрозы.

Для случайных вирусных угроз сравнительно редкое использование профилактической диагностики незначительно ухудшает вероятностно- временные характеристики системы. Вероятность безопасного функционирования при диагностике 2 раза в неделю составит 0,77 - 0,90, а при диагностике 1 раз в сутки она повышается до 0,90 - 0,96.

Для опасных вирусных угроз профилактическая диагностика 1 раз в сутки не позволит обеспечить безопасность функционирования свыше 0.76, а c частотой 2 раза в сутки строго периодическая диагностика обеспечит безопасность c вероятностью не ниже 0,90.

Безопасность передачи по VPN обеспечивается протоколами VPN. При оценивании безопасности услуги VPN будем полагать, что протоколы VPN обеспечивают защиту от всех атак на протоколы и гарантируют защищенную передачу данных по открытой сети, P_П=1 .

Вероятности успешных атак, полученные по экспертным данным [9], представлены в табл. 4.2.

Таблица 4.2

Вероятности успешных атак

Рассчитаем вероятность успешной атаки:

Р_МЭ = 1 - 1,5·10^-6 = 0,9999985

Р_ПМ = 1 - 1,3·10^-5 = 0,999987

Р_СД = Р_СП = Р_СС = 1 - = 1 - 0,0045 · 0,0238 · 0,0345 = 0,99999630505

Р_ПК = 1 - 0,0002 = 0,9998

Р_риск = 1 - Р²_ПК · Р²_СД · Р_СП · Р_СС · Р_ПМ · Р_МЭ · Р_П = 1 - 0,99982 · 0,999996305054 · 0,999987 · 0,9999985 = 0,00042922779

Таким образом, вероятность успешной атаки услуги VPN составляет 0,00042922779, то есть вероятность того, что злоумышленник получит доступ к ресурсам ГК «АвтоМир», преодолевая последовательность преград, крайне мала.

Возможность атаки можно рассматривать c двух сторон: внутренняя (злоумышленник имеет возможность подключения к компьютерной сети ГК «АвтоМир») и внешняя атака (из открытой публичной сети, когда злоумышленник не имеет возможность подключиться непосредственно к ресурсам локальной вычислительной сети).

B предыдущих главах ВКР выбрано программное и аппаратное обеспечение, которое имеет достаточно высокие показатели защиты от различного типа атак.

Основными угрозами ресурсам сети - являются внутренние угрозы, причем их основную массу составляют непреднамеренные ошибки пользователей, а также компьютерные вирусы, на которые приходится до 70% денежных потерь. Поэтому, не смотря на огромное количество внешних атак главное внимание администрации ГК «АвтоМир» следует обращать на культуру обращения c компьютерным оборудованием, для чего необходимо обеспечивать регулярное обучение и переобучение персонала при внедрении новых сервисов.

Заключение

Для того чтобы предприятие шло в ногу со временем необходимо обеспечить высокоскоростной информационный обмен между подразделениями организации, а также организацию межсетевого взаимодействия c банковскими организациями, поэтому задачи, решаемые в рамках ВКР, являются актуальными.

Максимальное использование современных информационных и сетевых технологий является одной из приоритетных задач для любой компании. Разработка и внедрение коммерческих проектов, используя территориально разнесенные филиалы, освоение новых рынков и открытие новых представительств невозможно без надежной и хорошо продуманной корпоративной сети.

B результате выполнения ВКР были сделаны предложения по построению корпоративной сети ГК «АвтоМир» на основе технологии VPN. Решены следующие задачи:

- рассмотрена технология VPN для организации корпоративной сети ГК «АвтоМир»;

- выбран оптимальный способ реализации данной технологии на основе решений Cisco Systems;

- обеспечена криптозащита данных на рабочих станциях и ноутбуках в рамках корпоративной сети;

- рассмотрены вопросы защищенного межсетевого взаимодействия c внешними организациями;

- произведена оценка безопасности услуги VPN.

Решения, полученные в результате выполнения ВКР, могут использоваться при построении защищенных корпоративных сетей средних и крупных предприятий бизнеса.

Список использованных источников

1 Официальный сайт компании ОАО «АвтоМир» [Электронный ресурс] / О компании. - Режим доступа: http://www.avtomir.ru/ , свободный. - Загл. с экрана.

2 Филимонов А.В. Построение мультисервисных сетей Ethernet [Текст] : учебное пособие для вузов / А. В. Филимонов. - БХВ - Петербург, 2007. - 592 с.

3 Молдовян А.А. Безопасность глобальных сетевых технологий. Криптография [Текст]: учебное пособие / А. А. Молдовян., Н.А. Молдовян, В.М. Зима - СПб.: Издательство БХВ - Петербург, 2002. - 350 с.

4 Решения компании Cisco Systems [Электронный ресурс] / Защищенные мультисервисные сети; ред. Богомолов П. С.; Web-мастер Устюгов С. В. - Режим доступа: http://www.progm.ru , свободный. - Загл. с экрана.

5 Хабрахабр [Электронный ресурс] / Технология Cisco IP SLA; ред. Щербаков А. П.; Web-мастер Федоров С. С. - Режим доступа http://habrahabr.ru , свободный - Загл. с экрана.

6 Викиучебник [Электронный ресурс] / Антивирусное программное обеспечение; ред. Попов В. П.; Web-мастер Иванов А. С. - Режим доступа: http://ru.wikipedia.org , свободный. - Загл. с экрана.

7 Официальный сайт компании «Cisco Systems» [Электронный ресурс] /

Решения и продукты компании; ред. Трифонов А. С.; Web-мастер Ермолов С.С. - Режим доступа: http://www.cisco.com , свободный. - Загл. с экрана.

8 Васин Н.Н. Сети и системы передачи информации на базе коммутаторов и маршрутизаторов. Конспект лекций [Текст]: учебное пособие / Н.Н.Васин. - ГОУВПО ПГУТИ. - Самара, 2010. - 362 с.

9 Пугин В.В., Татаринова Н.М. Построение корпоративных сетей на основе технологии VPN. Методические указания для курсовых проектов и дипло ного проектирование [Текст] / В.В. Пугин. - ГОУВПО ПГУТИ. - Самара, 2011. - 105 с.

10 Официальный сайт компании ИнфоТеКС [Электронный ресурс] /Документация. - Режим доступа: http://www.infotecs.ru, свободный - Загл. с экрана.

11 Официальный сайт компании Microsoft [Электронный ресурс] /Поддержка. - Режим доступа: https://www.microsoft.com/ru-ru/ , свободный - Загл. с экрана.

12 Сайт аналитического центра Anti-MalWare [Электронный ресурс]/ Решения Cisco в области информационной безопасности; ред. Панасенко А. - Режим доступа: https://www.anti-malware.ru/ , свободный - Загл. с экрана.

13 Петровский А.В. Информационная безопасность [Текст]: учебное пособие / А.В. Петровский Зима - СПб.: Издательство БХВ - Петербург, 2011. - 275 с.

14 Официальный сайт компании С_Терра СиЭсПи [Электронный ресурс] / Решения и продукты компании; - Режим доступа: https://www.s-terra.ru/ , свободный. - Загл. с экрана.

15 Нестеров С.А. Основы информационной безопасности. [Текст]: учебное пособие / С.А. Нестеров. - Издательство «Лань» - Петербург, 2015. - 324 с.

Размещено на Allbest.ru