Разработка защищенной виртуальной сети системы персональных данных учреждений централизованной бухгалтерии муниципальных районов Вологодской области

– недопущение воздействия на технические средства ИСПДн, в результате которого может быть нарушено их функционирование;

– обеспечение с помощью криптосредств безопасности персональных данных при их обработке в информационных системах;

– контроль обеспечения уровня защищенности персональных данных.

Модель угроз может быть пересмотрена по решению оператора на основе периодически проводимых им анализа и оценки угроз безопасности ПД с учетом особенностей и (или) изменений ИСПДн, а также по результатам мероприятий по контролю выполнения требований к обеспечению безопасности ПД при их обработке в информационной системе [8].

2.2.1 Описание информационной системы персональных данных

Общие данные о ИСПДн представлены в таблице 2.2.

Таблица 2.2 - Описание ИСПДн

Наименование ИСПДн:	Государственная информационная система ВО «Единая централизованная информационная система бюджетного учета и отчетности»
1	2
Краткое наименование ИСПДн	ГИС «ЕЦИС»
Оператор	Департамент финансов Вологодской области
Пользователи ИСПДн	Органы исполнительной государственной власти области, государственные учреждения области, заключившие соглашения о передаче функции по ведению бюджетного (бухгалтерского) учета и составлению отчетности
Тип ИСПДн	Информационная система, обрабатывающая иные категории персональных данных субъектов персональных данных, как являющихся сотрудниками оператора, так и не являющихся сотрудниками оператора
Объем обрабатываемых персональных данных	Менее 100 000
Структура информационной системы	Локальная информационная система
Подключение информационной системы к сетям общего пользования и (или) сетям международного информационного обмена	Имеет
Режим обработки персональных данных	Многопользовательская система
Режим разграничения прав доступа пользователей	С разграничением прав доступа. Доступ специалистам пользователей к работе в ГИС «ЕЦИС» осуществляется по утвержденному списку разрешительной системы доступа.
Доступ в ГИС «ЕЦИС»	По персональному имени (логину) и паролю с использованием сертифицированных средств криптографической защиты
Взаимодействие с другими информационными системами	ГИС «ЕСИЦ» взаимодействует с другими информационными .
Характеристики безопасности персональных данных, обрабатываемых в информационной системе	Требуется обеспечение конфиденциальности, целостности и доступности персональных данных
Местонахождение технических средств информационной системы	Все технические средства находятся в пределах Российской Федерации

Возможность возникновения угроз 1-го типа, связанных с наличием недокументированных (недекларированных) возможностей в системном ПО, используемом в информационной системе исключается ввиду отсутствия мотивации осуществления деятельности, связанной с нарушением характеристик безопасности информации у нарушителей, которые могут использовать данные уязвимости (разведывательные службы, разработчики ОС), а также отсутствия информации в ИС, ценной для данных нарушителей. Остальные типы нарушителей, ввиду сложности и больших финансовых затрат для реализации уязвимостей не рассматриваются.

Возможность возникновения угроз 2-го типа, связанных с наличием недокументированных (недекларированных) возможностей в прикладном ПО, используемом в информационной системе исключается ввиду использования сертифицированных средств защиты от несанкционированного доступа на объектах ИСПДн.

В соответствии с частью 6 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства РФ от 1 ноября 2012 г. № 1119, для ИСПДн актуальны угрозы 3-го типа, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном ПО, используемом в информационной системе.

На основании вышеизложенных пунктов, в случае, если информационная система обрабатывает специальные категории ПД менее чем 100 000 субъектов ПД, не являющихся сотрудниками оператора, для государственной информационной системы Вологодской области «Единая централизованная информационная система бюджетного (бухгалтерского) учета и отчетности» необходимо обеспечить 4-й уровень защищенности ПД (УЗ 4).

Топологией ИСПДн является звезда, с центром в центральном узле обработки данных, к которому подключены АРМ сотрудников. Схема ИСПДн и информационных потоков в ней представлена на рисунке 2.1.



Рисунок 2-Схема ИСПДн

Рисунок 2.1 - Расположение основных компонентов ИСПДн

ИСПДн является локальной и состоит из следующих структурных единиц:

– центральный узел обработки данных;

– автоматизированные рабочие места (АРМ) сотрудников.

Обработка информационных потоков ИСПДн осуществляется в центральном узле обработки данных, расположенном по адресу: г. Вологда, ул. Герцена, д. 27. Для обеспечения информационного обмена с АС «Бюджет» используется сервер, расположенный по адресу: г. Вологда, ул. Герцена, д. 2.

Коммуникационная система распределенной обработки данных, представляющая собой совокупность абонентских узлов, серверов и коммутационного оборудования, объединенных в доменную структуру с реализацией дискреционного (избирательного) принципа контроля доступа.

Все элементы ЛВС ОИГВ расположены в пределах границ контролируемой зоны, оснащены сертифицированными средствами антивирусной защиты (Dr.Web 6/ 10 - сертификаты ФСТЭК № 2446/ 3509; Kaspersky Endpoint Security 8/ 10 - сертификаты ФСТЭК № 2682/ 3025), в качестве СЗИ от НСД применяются сертифицированные версии операционных систем (MS Windows 7, Server 2008 R2, Server2012 R2 - сертификаты ФСТЭК № 2180/1, 2181/1 и 3366(3367) соответственно) и программные комплексы защиты информации от НСД (Secret Net 6/ 7/ LSP - сертификаты ФСТЭК № 2227/2707/2790; Dallas Lock7.7/ 8.0-K/ Linux - сертификаты ФСТЭК № 2209/2720/3594).

Взаимодействие с внешними информационными ресурсами и подключение к сетям международного обмена осуществляется через единую точку входа-выхода с применением сертифицированных средств межсетевого экранирования и с применением технологии преобразования сетевых адресов (NAT) с возможностью фильтрации трафика. Дополнительно реализовано «зеркалирование» трафика для выявления попыток обращения элементов ЛВС к подозрительным IP-адресам (Wireshark), сеть подключена к Государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак. В ЛВС ОИГВ также используется Система анализа защищенности программного и аппаратного обеспечения TCP/IP сетей «Сетевой сканер «Ревизор сети» (версия 3.0).

Доступ пользователей ЛВС ОИГВ к ресурсам сети международного обмена ограничен утвержденным списком запрещенных к использованию Интернет-ресурсов и программного обеспечения. Ограничение доступа пользователей к запрещенным Интернет-ресурсам и программному обеспечению осуществляется при помощи сертифицированных средств антивирусной защиты, сертифицированного proxy-сервера и сертифицированного межсетевого экрана [7].

В целях обеспечения защиты безопасности информации в ЛВС ОИГВ проводится круглосуточный мониторинг вирусной активности на ресурсах Правительства Вологодской области и ОИГВ с использованием сертифицированного антивирусного программного обеспечения, только российского производства «Лаборатории Касперского» и «Dr. WEB».

Для противодействия автоматизированным атакам злоумышленников на информационные ресурсы ОИГВ, и выявления подозрительной активности пользователей, развернута система обнаружения и предупреждения компьютерных атак «СОПКА» ФСБ России. По всем выявленным системой «СОПКА» инцидентам проводятся работы по ликвидации последствий компьютерных атак и выявленных уязвимостей в системе защиты информационных ресурсов.

При организации технических систем защиты информации в Правительстве области и ОИГВ используются только сертифицированные средства Российского производства.

В процессе обработки персональных данных в ИСПДн используются следующие технологии:

– персональные данные хранятся на центральном узле обработки данных в специально предназначенной для этого СУБД;

– АРМ сотрудников используют технологию «тонкого клиента», реализованную посредством Веб-интерфейса: на рабочие места пользователей ИСПДн передается только графическая информация, сама обработка данных осуществляется на центральном узле обработки данных .

2.2.2 Угрозы безопасности и характеристика уязвимостей ГИС ЕЦИС

При определении УБ ПД в ИСПДн защите подлежат следующие объекты, входящие в ИСПДн:

– ПДн, обрабатываемые в ИСПДн;

– информационные ресурсы ИСПДн (файлы, базы данных и т.п.);

– средства вычислительной техники, участвующие в обработке ПД посредством ИСПДн (серверное оборудование, АРМ, сетевое и телекоммуникационное оборудование);

– системное, прикладное и сетевое программное обеспечение;

– средства криптографической защиты (СКЗИ) и среда функционирования СКЗИ;

– информация, относящаяся к криптографической защите ПД, включая ключевую, парольную и аутентифицирующую информацию СКЗИ;

– носители защищаемой информации, используемые в ИСПДн в том числе в процессе криптографической защиты ПД, носители ключевой, парольной и аутентифицирующей информации СКЗИ и порядок доступа к ним;

– используемые ИСПДн каналы (линии) связи, включая кабельные системы;

– помещения, в которых обрабатываются ПД посредством ИСПДн и располагаются компоненты ИСПДн;

– помещения, в которых находятся ресурсы ИСПДн, имеющие отношение к криптографической защите ПД.

При обработке ПД в ИСПДн ГИС «ЕЦИС» не используются:

– облачные технологии;

– хранилища больших данных;

– суперкомпьютеры;

– грид-системы;

– мобильные устройства;

– технологии беспроводного доступа.

В связи с этим из перечня объектов угроз исключаются все объекты воздействия, связанные с неиспользуемыми при обработке ПД техническими средствами и технологиями.

Уязвимость информационной системы персональных данных - недостаток или слабое место в системном или прикладном программном (программно-аппаратном) обеспечении автоматизированной информационной системы, которые могут быть использованы для реализации угрозы безопасности персональных данным.

В соответствии с методическим документом ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных» причинами возникновения уязвимостей являются:

– ошибки при проектировании и разработке программного (программно-аппаратного) обеспечения;

– преднамеренные действия по внесению уязвимостей в ходе проектирования и разработки программного (программно-аппаратного) обеспечения;

– неправильные настройки программного обеспечения, неправомерное изменение режимов работы устройств и программ;

– несанкционированное внедрение и использование неучтенных программ с последующим необоснованным расходованием ресурсов (загрузка процессора, захват оперативной памяти и памяти на внешних носителях);

– внедрение вредоносных программ, создающих уязвимости в программном и программно-аппаратном обеспечении;

– несанкционированные неумышленные действия пользователей, приводящие к возникновению уязвимостей;

– сбои в работе аппаратного и программного обеспечения (вызванные сбоями в электропитании, выходом из строя аппаратных элементов в результате старения и снижения надежности, внешними воздействиями электромагнитных полей технических устройств и др.).

С учетом состава ГИС «ЕЦИС» и источников угроз безопасности информации, ниже представлена общая характеристика основных групп уязвимостей ИСПДн, включающих:

– уязвимости системного программного обеспечения (в том числе протоколов сетевого взаимодействия);

– уязвимости прикладного программного обеспечения (в том числе средств защиты информации).

Данные об уязвимостях разрабатываемого и распространяемого системного и прикладного программного обеспечения, обобщаются и анализируются в банке данных, сформированном ФСТЭК России и размещенном на официальном сайте в информационно-телекоммуникационной сети «Интернет» (bdu.fstec.ru).

Уровень исходной защищенности ГИС определен экспертным методом в соответствии с Методикой определения актуальных угроз безопасности персональных данных при их обработке в информационных системах персональных данных (далее - Методика), утвержденной 14 февраля 2008 г. заместителем директора ФСТЭК России. Результаты анализа исходной защищенности приведены в Таблице 2.3.

Таблица 2.3 - Результаты исходной защищённости ИСПДн

1	2	3	4
Технические и эксплуатационные характеристики ИСПДн	Высокий	Средний	Низкий
1. По территориальному размещению
локальная ИСПДн, развернутая в пределах одного здания	+	-	-
2. По наличию соединения с сетями общего пользования:
ИСПДн, имеющая одноточечный выход в сеть общего пользования	-	+	-
3. По встроенным (легальным) операциям с записями баз ПД:
чтение, поиск, запись, удаление, сортировка, модификация, передача	-	-	+
4. По разграничению доступа к ПД:
ИСПДн, к которой имеют доступ определенные перечнем сотрудники организации, являющейся владельцем ИСПДн, либо субъект ПД	-	+	-
5. По наличию соединений с другими базами ПД иных ИСПДн:
ИСПДн, в которой используется одна база ПД, принадлежащая организации - владельцу данной ИСПДн	+	-	-
6. По уровню обобщения (обезличивания) ПД:
ИСПДн, в которой предоставляемые пользователю данные не являются обезличенными (т.е. присутствует информация, позволяющая идентифицировать субъекта ПД)	-	-	+
7. По объему ПД, которые предоставляются сторонним пользователям ИСПДн без предварительной обработки:
ИСПДн, предоставляющая часть ПД	-	+	-
Характеристики ИСПДн, %	42,86	28,57	28,57
Исходный уровень защищенности (Yi)	5

Поскольку более 70% показателей исходной защищенности ИСПДн имеют значение не ниже «среднего уровня исходной защищенности», то, согласно разделу 2 Методики ИСПДн, относится к информационным системам со средней степенью исходной защищенности и соответствующий числовой коэффициент (Yi) равен 5.

Актуальные угрозы содержащихся в перечне возможных угроз безопасности персональных данных определяются в соответствии с методикой, зафиксированной руководящим документом ФСТЭК России «Методика определения актуальности угроз безопасности персональным данным, обрабатываемым в информационных системах персональных данных», утвержденной 14 февраля 2008 г. заместителем директора ФСТЭК России с учетом оценок вероятности ее реализации и опасности.

При определении актуальности угроз безопасности ПД опасность каждой угрозы оценивается с учётом степени ущерба, возникающего вследствие реализации угроз безопасности ПД. В таблице 4 приведены критерии оценки уровня ущерба при автоматизированной обработке ПД.

Таблица 2.4 Критерии оценки уровня ущерба.

Степень ущерба	Характеристика степени ущерба
Низкая	В результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны незначительные негативные последствия. Информационная система и (или) оператор (обладатель информации) могут выполнять возложенные на них функции с недостаточной эффективностью или выполнение функций возможно только с привлечением дополнительных сил и средств
Средняя	В результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны умеренные негативные последствия. Информационная система и (или) оператор (обладатель информации) не могут выполнять хотя бы одну из возложенных на них функций
Высокая	В результате нарушения одного из свойств безопасности информации (конфиденциальности, целостности, доступности) возможны существенные негативные последствия. Информационная система и (или) оператор (обладатель информации) не могут выполнять возложенные на них функции

В результате анализа возможных угроз безопасности информации выявлено актуальных угроз безопасности - 16. Список актуальных угроз безопасности информации приведен в таблице 5.

Таблица 2.5 Список актуальных угроз безопасности.

№ п/п	Идентификатор угрозы	Угроза	Тип угроз
1	2	3	4
1	Базовые УБ ПД	Нарушение электроснабжения
2	УБИ.46	Угроза нарушения процедуры аутентификации субъектов виртуального информационного взаимодействия	Угрозы 3-го типа
3	УБИ.48	Угроза нарушения технологии обработки информации путём несанкционированного внесения изменений в образы виртуальных машин	Угрозы 3-го типа
4	УБИ.59	Угроза неконтролируемого роста числа зарезервированных вычислительных ресурсов	Угрозы 3-го типа
5	УБИ.73	Угроза несанкционированного доступа к активному и (или) пассивному виртуальному и (или) физическому сетевому оборудованию из физической и (или) виртуальной сети	Угрозы 3-го типа
6	УБИ.75	Угроза несанкционированного доступа к виртуальным каналам передачи	Угрозы 3-го типа
7	УБИ.76	Угроза несанкционированного доступа к гипервизору из виртуальной машины и (или) физической сети	Угрозы 3-го типа
8	УБИ.78	Угроза несанкционированного доступа к защищаемым виртуальным машинам из виртуальной и (или) физической сети	Угрозы 3-го типа
9	УБИ.79	Угроза несанкционированного доступа к защищаемым виртуальным машинам со стороны других виртуальных машин	Угрозы 3-го типа
10	УБИ.80	Угроза несанкционированного доступа к защищаемым виртуальным устройствам из виртуальной и (или) физической сети	Угрозы 3-го типа
11	УБИ.84	Угроза несанкционированного доступа к системе хранения данных из виртуальной и (или) физической сети	Угрозы 3-го типа
12	УБИ.85	Угроза несанкционированного доступа к хранимой в виртуальном пространстве защищаемой информации	Угрозы 3-го типа
13	УБИ.102	Угроза опосредованного управления группой программ через совместно используемые данные	Угрозы 3-го типа
14	УБИ.120	Угроза перехвата управления средой виртуализации	Угрозы 3-го типа
15	УБИ.139	Угроза преодоления физической защиты	Угрозы 3-го типа
16	УБИ.149	Угроза сбоя обработки специальным образом изменённых файлов	Угрозы 3-го типа

Выявленные актуальные угрозы безопасности информации в ИС относятся к угрозам 3-го типа: угрозы, не связанные с наличием недокументированных (недекларированных) возможностей в системном и прикладном программном обеспечении, используемом в информационной системе.

Используемые для защиты информации криптосредства должны обеспечить криптографическую защиту по уровню не ниже КС2.

2.3 Выбор технологии защиты ИСПДн.

Проведя анализ «Единой информационной системы бухгалтерского учёта и отчётности», мы получили ряд требований к программно-аппаратным системам шифрования данных, такие как: обеспечение идентификации и аутентификации пользователей, доверенная загрузка, контроль целостности программной среды, ведение журнала регистрации событий, ведение системного журнала безопасности.

Кроме того, виртуальная сеть защиты персональных данных должна соответствовать требованиям Федеральных законах о защите персональных данных, а так же приказам ФСБ и ФСТЭК:

– сертификат соответствия ФСТЭК России, подтверждающий соответствие требованиям руководящих документов по 3 классу защищенности межсетевых экранов и по 3 уровню контроля отсутствия недекларированных возможностей;

– сертификат соответствия ФСТЭК России, подтверждающий соответствие профилю защиты ИТ.МЭ.А4.ПЗ руководящего документа к межсетевым экранам;

– сертификат соответствия ФСБ России, подтверждающий соответствие требованиям к шифровальным (криптографическим) средствам класса КС2;

– сертификат соответствия ФСБ России, подтверждающий соответствие требованиям к устройствам типа межсетевые экраны 4 класса защищенности.

Данным требования соответствую два решения: Континент 3.7 и программно-аппаратный комплекс защиты информации ViPNet Coordinator HW 4. В связи с тем, что защита информационных систем, взаимодействующих с «ЕЦИС», осуществляется с помощью технологии VIPNET, экономически и технологически целесообразно применить этот комплекс при обработке и передаче персональных данных по каналам связи.

3 РАЗРАБОТКА ЗАЩИЩЁННОЙ ВИРТУАЛЬНОЙ СЕТИ ИСПДн

3.1 Принцип функционирования защищенной сети ViPNet

Сеть ViPNet представляет собой сеть, которая накладывается на существующую структуру, может быть реализована в любых локальных и глобальных схемах. В системе защиты информации VipNet используются две технологии:

– VPN технология, защищает соединение между ЛВС или конкретными устройствами, использует криптографические средства.

– PKI технология, это технология использующая пару асимметричных ключей. С помощью них создаются электронно-цифровые подписи.

В пределах одной сети ViPNet могут быть использованы либо одна, либо обе технологии одновременно.

Сеть ViPNet состоит из сетевых узлов-- устройств, укомплектованных программным обеспечением ViPNet. Сетевые узлы делятся на два типа:

– Координаторы -- крипто шлюзы ViPNet. Управление прикладными и управляющими транспортными пакетами-это их основной функционал.

– Клиенты -- рабочие места пользователей сети ViPNet.

Для каждого сетевого узла Центр управления сетью задает набор ролей, именно они влияют на то, какие возможности у узла будут, а так же какое программное обеспечение будет установлено. Файл лицензии содержит комплект ролей, используемых в сети, ограничения на количество узлов с различными ролями, максимальное количество сетевых узлов.

В защищенной сети ViPNet, построенной с использованием технологии VPN, на координаторы должна быть установлена программа ViPNet Coordinator, либо ViPNet Coordinator for Linux, а на клиенты -- программа ViPNet Client. В качестве координаторов могут выступать также программно-аппаратные комплексы ViPNet Coordinator HW. Для создания отказоустойчивого решения на базе ПО ViPNet Coordinator for Linux и ПАК ViPNet Coordinator HW предназначена система защиты от сбоев ViPNet Failover.

Клиенты и координаторы, на которых установлено ПО ViPNet называются защищенными узлами. Сетевые узлы, на которых не установлено это программное обеспечение, называются открытыми. В сети ViPNet также могут присутствовать туннелируемые узлы.

В сети ViPNet предполагается возможность централизованного управления политиками безопасности на защищённых узлах. Для этого необходимо установить один из компонентов- ViPNet Policy Manager, с помощью него создаются типовые шаблоны с настройками, в которые можно добавлять разные группы узлов и пользователей, возможности которых необходимо ограничить, кроме того возможно развернуть систему мониторинга на базе VipNet StateWatcer. Приложение собирает и анализирует сведения о состоянии защищённых узлов, отправляя информацию администратору о новых событиях или сбоях.

Каждой сети ViPNet при продаже комплекса и лицензии выделяется уникальный номер идентификации сети. Это имеет важное значение для возможности осуществления межсетевого взаимодействия двух разных защищённых сетей VipNet.

При определении структуры сети и добавлении компонентов, каждому защищённому узлу назначается идентификатор из 8-ми символов «XXXXYYYY», где 4-ре символа это номер сети, и 4-ре символа это номер узла, представленные в шестидцатеричном значении.

Такое «обозначение» узлов гарантирует создание уникальных сетей VipNet в количестве не менее 65535. Причём структура самой сети может иметь так же 65535 уникальных, не пересекающихся узлов.

Комплекс защиты ViPNet способен обеспечить взаимодействие между защищаемыми ресурсами, которые имеют частные IP-адреса.

При этом нет необходимости заботиться о распределении субсетей личных IP-адресов. Распределённые друг от друга сети, могут использовать одинаковые IP-адреса и подсети, это возможно благодаря автоматически формирующимся виртуальным адресам, уникальным и не пересекающимся с другими соседними. Эти адреса не зависят от собственных, установленных на сетевых интерфейсах, а назначаются на 8-ми-значный идентификатор.

Сетевой драйвер при транспортировке пакетов производит подмену адресов источника/назначения, этим он информирует приложение на данном компьютере или туннелируемом ресурсе об том адресе, с которым и нужно произвести обмен данными при связи с другими узлами.

Помимо этого, уведомление программы о виртуальном адресе происходит через службы DNS, WINS для любых приложений, протоколы SCCP, SIP, Н323 и другие. Сетевой драйвер в теле пакетов этих протоколов осуществляет подмену нужных адресов видимости защищенных узлов и туннелируемых ресурсов.

Таким образом, в результате этих действий, приложение на конкретном сетевом узле ViPNet или туннелируемом им устройстве обращаются к соответствующему приложению на других узлах или туннелируемых ими ресурсах по уникальному на этом рабочем месте виртуальном адресе, не допуская пересечения.

Стандартно, виртуальные адреса применяются при связи с компьютерами, которые узел ViPNet определил как недоступные по прямому адресу сетевого интерфейса, то есть которые находятся в других подсетях.

При изменении IP-адреса узла ViPNet, например настроенного службой DHCP, его виртуальный адрес, изначально присвоенный в ЦУСе, не изменится.

Для виртуальных адресов на узлах ViPNet нет необходимости задавать маршрутизацию. Сетевой драйвер сам определит путь и доставит трафик на нужные реальные адреса [9].

3.1.3 Драйвер сетевой защиты

Основой работы комплекса защиты VipNet является сетевой драйвер iplir. Он работает с IP-кадрами до момента их передачи драйверу сетевого интерфейса, соответственно контролирует весь входящий и исходящий IP-трафик и обеспечивает защиту для любых приложений.

По каждому входящему или исходящему IP-пакету Iplir может принимать следующие возможные решения:

для исходящего IP-пакета:

– пропустить в незащищенном виде;

– не пропускать вообще;

– зашифровать и отправить в зашифрованном виде;

для входящего IP-пакета:

– пропустить в незащищенном виде (если пакет открытый);

– не пропускать вообще;

– расшифровать (если пакет зашифрован) и передать приложению в открытом виде.

Расположение iplir драйвера в системе OSI представлено на рисунке 3.1 [9].



Рисунок 3.1- VipNet драйвер в модели OSI

3.2 Основные компоненты ViPNet для построения защищенной сети

3.2.1 VipNet Administrator

Программное обеспечение ViPNet Administrator состоит из двух основных компонентов:

– ViPNet Центр управления сетью (далее -- ЦУС).

– ViPNet Удостоверяющий и ключевой центр (далее -- УКЦ).

Приложение ViPNet Центр управления сетью выполняет функцию формирования структуры сети ViPNet, настройки основных параметров сетевых узлов и пользователей, централизованной отправки обновлений ключей, справочников и программного обеспечения на сетевые узлы ViPNet.

В отличие от программы ЦУС версии 3.2.x. программа ЦУС версии 4.x состоит из двух взаимосвязанных программных компонентов:

– Серверное приложение, работающее непосредственно с базой данных, содержащей полную информацию о структуре и объектах сети ViPNet. Серверное приложение и база данных могут быть установлены как на одном компьютере на рабочем месте администратора или на специально выделенном сервере, так и на разных.

– Клиентское приложение-это удобный графический интерфейс для управления структурой сети ViPNet и свойствами сетевых объектов. Оно может быть установлено на одном компьютере с серверным приложением, на удаленном компьютере или на нескольких компьютерах, если администрирование сет ViPNet осуществляется с нескольких пользователями.

Возможно удаленное подключение клиентского приложения к серверному приложению, а также одновременное подключение нескольких клиентских приложений к серверному.

Программа ViPNet Удостоверяющий и ключевой центр необходима для управления ключевой структурой сети ViPNet, а также для издания и поддержки сертификатов ключей электронно-цифровой подписи.

В соответствии с основными функциями УКЦ условно можно разделить на два компонента ключевой центр и удостоверяющий центр.

В версии ViPNet Administrator 3.x связь между двумя частями программы ЦУС и УКЦ осуществляется при помощи каталогов на диске

– \For NCС для размещения файлов, предназначенных для обработки в ЦУСе;

– \From NCС для размещения файлов, обработанных в ЦУСе.

Такая схема взаимодействия не удобна, при этом возможны конфликты во время запросов к файлам на диске. Так же, скорость работы с файлами в папках, при обработке большого количества информации, может быть очень низкой.

В обновлённой версии 4.x взаимодействие ЦУС и УКЦ осуществляется посредством базы данных на основе SQL-сервера. Приложения независимо друг от друга обращаются к SQL-базе, в ней находится вся необходимая информация.

Изменения, выполненные в одной программе, незамедлительно отображаются в другой. Именно такое взаимодействия всех компонентов комплекса ViPNet Administrator с базой данных SQL увеличивает безотказность работы программы и её устойчивость к различным сбоям [10].

3.2.2 VipNet Coordinator

Одной из основных функций VPN-сети, созданной при помощи технологии ViPNet, кроме защиты трафика в глобальных сетях, является защита трафика устройств, находящихся в процессе информационного обмена между ними на всем расстоянии от источника к получателю независимо от расположения этих узлов.

На этом пути, разумеется, может существовать разнородная сетевая инфраструктура, включающая как Интернет, так и частные сети и их сегменты.

Сеть ViPNet может включать в себя:

– Программное обеспечение ViPNet;

– программно-аппаратный комплекс(ПАК) ViPNet;

– ПО для мобильных устройств на базе iOS и Android.

Координаторы являются персональными компьютерами с ПО ViPNet Coordinator Windows, Coordinator Linux, а также программно-аппаратные комплексы ViPNet серии HW100/1000/2000, на безе серверного оборудования настольного типа или для монтажа в стойку.

Координаторы осуществляют защиту туннелируемых или сетевых ресурсов, включение в VPN-структуру защищенных узлов независимо от места их расположения, и информирование Клиентов и других Координаторов о способах доступа к другим защищённым узлам, связанным с ними.

Координаторы, чаще всего, устанавливаются на границе сетей, и осуществляют такие функции:

– Сервера IP-адресов -- функция, позволяющая автоматически с помощью специального защищенного протокола динамической маршрутизации VPN- трафика обеспечивать обмен и взаимодействие между узлами ViPNet, получить актуальную информацию о топологии сети как внутри данной виртуальной сети, так и при взаимодействии с узлами других виртуальных сетей ViPNet.

Результатом работы данного протокола является осуществление маршрутизации VPN-трафика между сетевым узлом методом, оптимальным для используемого способа и места подключения узла к сети.

– Маршрутизатора VPN-пакетов -- функция, обеспечивающая маршрутизацию транзитного VPN-трафика, проходящего через координатор на другие VPN-узлы.

В основе маршрутизации лежит учёт идентификаторов защищенных узлов и других данных, полученных в результате работы протокола динамической маршрутизации VPN- трафика.

Одновременно происходит подмена адресов (трансляция) для VPN-трафика. Кадры, приходящие на координатор, идут дальше на узлы с использованием IP-адреса координатора.

– VPN-шлюза -- стандартная типовая VPN функция, создающая защищенные каналы (туннели) между локальными открытыми и удаленными защищенными или туннелируемыми узлами.

Такие каналы связи Координатор может создавать через каскад других координаторов, которые так же выполняют функцию маршрутизатора защищенных пакетов.

– Транспортного Сервера -- функция, позволяющая доставлять обновлений ключей, справочную информацию, политики безопасности и программного обеспечения из специальных программ управления ViPNet на защищенные узлы.

– Межсетевого экрана -- фильтрация открытых, защищенных и туннелируемых транзитных и локальных сетевых соединений, трансляции адресов для незащищенных и туннелируемых соединений.

Защищённые узлы ViPNet могут быть включены в сеть в любом месте. Все пакеты в адрес других узлов в обязательно преобразуются (инкапсулируются) в ViPNet-кадры и передается через VPN-сеть к получателю. Только при условии того, что свой Координатор-сервер IP адресов будет доступен, Клиент установит соединение с другим конечным узлом

Протокол динамической маршрутизации VPN-трафика работает на прикладном уровне системы через те же соединения VPN, и смысл его работы заключается в следующем:

Каждый защищённый узел при входе в сеть или смене параметров подключения сообщает на свой Сервер IP-адресов или другие Координаторы (если узел сам является Координатором), информацию, которая необходима для доступа к нему.

Координаторы передают эту информацию на другие серверы-маршрутизаторы, в том числе координаторы других VPN-сетей с учетом заданных связей между узлами ViPNet.

Каждый узел при входе в сеть, а также в процессе работы, получает от своего Сервера IP-адресов или других Координаторов (если узел сам является Координатором) информацию, которая необходима для того что бы знать о адресах других узлов, связанных с ним, и способах доступа к этим адресам.

Для преобразования в ViPNet-кадров любых других протоколов используются два типа IP-протокола:

– IP/UDP с портом 55777 IP/241.

В локальной сети, точнее, в широковещательном домене, система автоматически использует протокол IP/24I.

Взаимодействующие узлы, находящихся в разных сетях (широковещательных доменах), система автоматически использует для преобразования протокол UDP, для которого легко организовать прохождение IP-пакетов через любые типы межсетевых экранов и другие устройства с NAT, располагающиеся, как правило, на границе между сетями.

В зависимости от места входа в сеть определяют несколько режимов, в которых может работать узел ViPNet:

– Режим - «Без межсетевого экрана», или «Автономный».

– Межсетевой экран - устройство «Координатор».

– Межсетевой экран - устройство «Со статической трансляцией адресов», на котором возможна настройка статических правил для входящих соединений.

– Межсетевой экран - устройство «С динамической трансляцией адресов», которое в большинстве случаев автоматически позволяет создавать исходящие соединения.

В независимости от режима, который был выбран при работе узлов, в локальной сети автоматически присваиваются свои условия маршрутизации, дающие возможность устройствам в локальной сети взаимодействовать друг с другом напрямую.

Для возможности незащищённым узлам подключаться к сети VipNet, Координатор может выполнять функцию Туннелирующего Сервера (или Криптошлюза).

При таких условиях Координатор действует так:

– предоставляет туннелируемым узлам сведения об IP-адресах клиентов сети ViPNet;

– является шлюзом для отправки данных в сеть ViPNet;

– осуществляет упаковывание кадров в UDP-протокол и шифрование данных от открытых устройств;

– начинает прием и передачу туннелированных данных в сети ViPNet от собственного имени.

В случае когда адресация двух удалённых узлов пересекается, будут использоваться виртуальные адреса.

Расшифрованные кадры, предназначенные туннелируемым устройствам, всегда передаются в сеть от имени реального или виртуального адреса устройства-источника кадра.

Списки туннелируемых IP-адресов можно задать в Центре управления сетью в виде отдельных адресов, либо диапазонов и подветей.

Кадры, которые не требуется защищать, фильтруются обычно, по стандартным шаблонам и настройкам. Для туннелируемых пакетов также могут быть настроены необходимые фильтры.

Использование Координатора для туннелирования необходимо в том случае, если в сети присутствуют незащищенные узлы, которым необходимо обмениваться данными с другими узлами - как защищенными, так и незащищенными.

Координатор, как и остальные сетевые узлы, может иметь множество физических или виртуальных адаптеров, подключенных к разным подсетям. За каждым сетевым адаптером могут находиться не защищённые туннелируемые ресурсы и другие узлы.

В ViPNet Coordinator трансляция сетевых адресов (NAT) осуществима для любых IP-протоколов. TCP, UDP и ICMP в полной мере, все остальные преобразуются частично.

Координатор может выполнять подмену двух типов - статическое преобразование сетевых адресов (SNAT) и одну из форм динамической трансляции - перегруженный NAT (NAT Overload), PAT (Port Address Translation) или Маскарадинг (Masquerading) [11].

3.2.3 VipNet Client

Приложение ViPNet Client является не отемлимой частью, входящей в состав пакетов ViPNet CUSTOM. ViPNet Client выступает в роли VPN-клиента в сети ViPNet и обеспечивает защиту компьютера от несанкционированного доступа при работе в любых сетях.

ПО ViPNet Client на любой персональный компьютер с OS Windows, Mac OS, Linux, будь то стационарный, удаленный, мобильный компьютер или сервер.

ViPNet Client - компонент, выполняющий следующие функции:

1 Персональный сетевой экран - обеспечивает защиту устройства от попыток не санкционированного доступа.

Персональный сетевой экран позволяет системному администратору или пользователю (при наличии полномочий):

– настраивать доступом к файлам компьютера из локальной сети или сети Интернет;

– находить злоумышленников, пытающихся получить доступ к информации на вашем компьютере, определять их адрес;

– настраивать фильтрацию по типам и протоколам для каждого узла, ресурса или компонента сети, ограничивать не желательные ресурсы;

– фильтровать данные по типам сервисов и протоколов для связанных с данным узлом других защищенных узлов;

– мониторить активность приложений, выходящих в сеть на данном компьютере, где установлена программа ViPNet Client, это даёт возможность вовремя идентифицировать и заблокировать активность несанкционированных служб и сервисов.

2. Развёртывание защищённых соединений между устройствами с установленным ПО ViPNet Client, для любых стандартных сетевых приложений.

– шифрование IP-пакетов с добавлением в них информации для обеспечения целостности, контроля времяни, аутентификации и скрытия первоначальной структуры пакета;

– блокировка шифрованных пакетов при нарушении их целостности, превышении допустимой разницы между временем отправки и текущим временем (защита от переповторов) или при невозможности аутентифицировать пакет;

– предоставление СОМ-интерфейса для вызова криптографических функций и их использования веб-приложениями.

Возможность создания защищенных соединений между устройствами с ПО ViPNet Client позволяет:

– организовать схему защищенного использования всевозможных веб-приложений, в том числе приложений для интернет-торговли, интернет-бизнеса, веб-хостинга, веб- вещания и т. д., с доступом к веб-платформе, на которой установлено ПО ViPNet Client, только конкретному списку участников VPN. Такая структура обеспечивает пользователям и организации гибкое и безопасное использование всевозможных интернет-приложений как наиболее простого и доступного средства работы организации в целом;

– защитить и дополнительно авторизовать все соединения между локальными, мобильными и удаленными пользователями программы ViPNet Client и корпоративными серверами приложений, баз данных, SQL-серверами с установленной программой ViPNet Client.

– предоставлять возможность передавать конфиденциальную информацию через открытые сети.

3. Услуги защищенных служб реального времени для организации обмена сообщениями, проведения конференций, защищенных аудио- и видеопереговоров позволяют:

– проводить обмен сообщениями, бмениваться сообщениями или организовывать обмен сообщениями, в процессе которого организатор видит все сообщения, в то время как участники обмена сообщений друг друга не видят. При этом ведутся и могут быть сохранены протоколы всех сообщений;

– проводить защищенные конференции;

– оперативно отображать подтверждения доставки и прочтения сообщений;

– проводить защищенные аудио- (Voice over IP, VoIP) и видеопереговоры (конференции).

При этом технология ViPNet поддерживает любые стандартные программные и аппаратные средства для проведения аудио- и видеоконференций, основанные на IP-технологиях.

4. Сервис защищенных услуг почты - защищенный почтовый клиент с вфункцией аутентификации отправителя и получателя.

Деловая почта -один из компонентов, входящий в состав приложения ViPNet Client, способен:

– обмениваться электронными письмами по открытым каналам с защитой на всем маршруте следования, при этом в качестве открытого канала могут быть использованы типовые серверы SMTP/POP3;

– организовать по установленным правилам защищенную автоматическую обработку стандартных документов, формируемых другими приложениями и системами управления бизнесом (бухгалтерскими, банковскими, управленческими и прочими);

– подтверждать личность отправителя, используя электронно-цифровую подпись, встроенную в общий комплекс обеспечения безопасности;

– отправлять письма только тем получателям, для которых оно предназначалось, при необходимости рассылать копии на списки заданные в ЦУСе;

Программное обеспечение ViPNet Client состоит из следующих компонентов:

– низкоуровневый драйвер сетевой защиты (ViPNet-драйвер)

– программа ViPNet Монитор;

– транспортный модуль ViPNet MFTP;

– программа ViPNet Контроль приложений;

– программа ViPNet Деловая почта.

В приложении ViPNet Client Монитор существует возможность настройки фильтрации сетевых данных, что позволяет блокировать или пропускать IP-кадры в зависимости от IP-адреса отправителя, используемого протокола или порта [12].

4. РЕАЛИЗАЦИЯ ЗАЩИЩЁННОЙ ВИРТУАЛЬНОЙ СЕТИ ИСПДн

В соответствии с постановлением правительства области от 28 марта 2016 года №288, создана единая централизованная информационная система бюджетного (бухгалтерского) учета и отчетности.

Согласно проекту по внедрению ЕЦИС, следующим этапом стало подключение к системе Государственных бюджетных и автономных учреждений Вологодской области. Для этого органами местного самоуправления муниципальных районов были организованы казённые учреждения, взявшие на себя обязанности по ведению бухгалтерского учёта и отчётности. Для каждого вновь созданного учреждения был развёрнут сервер ЕЦИС, хранящий в себе базу, в том числе с персональными данными. Сервера находятся в центре обработки данных бюджетного учреждения «Центр информационных технологий»,для доступа к ним и предотвращения угроз безопасности под этот проект была закуплена сеть VipNet №12161. Комплект поставки включает: пакет VipNet Admibistrator для управления и настройки сети, два программно-аппаратных комплекса Vipnet coordinator HW 2000, для создания надёжного кластера, приложение VipNet Client для обмена данными с остальными защищёнными узлами и координаторами. Для подключения к этой защищённой сети и доступа к «своему» серверу Муниципальный район за свои средства приобретает координаторы и клиенты, схема серверов и доступа к ним показана в приложении.

Развёртывание VipNet сети условно можно разделить на две части: настройка рабочего места для администрирования и установка и масштабирование компонентов сети.

4.1 Установка и настройка VipNet Administrator

Первоначальной задачей для администратора является установка и настройка пакета VipNet Administrator: серверную часть приложения «Центр управления сетью», клиентскую часть приложения «Центр управления сетью», базу данных, приложение «Удостоверяющий и ключевой центр». Существует две типовых схемы установки, когда все компоненты установлены на одном персональном компьютере, рисунок 3.1 и когда на разных. Для своей сети №12161 выберем первый вариант, так как та схема является наиболее простой и подходит для небольших сетей с одним администратором, а так большим плюсом является то, что исключаются дополнительные трудности c развертыванием SQL-сервера [13].

Рисунок 4.1-Схема установки компонентов

После выбора схемы размещения компонентов ПО ViPNet Administrator можно приступать к установке серверного приложения ЦУСа. Это типовая установка, производится путём запуска дистрибутива Setup.exe, не будем на ней подробно останавливаться. Во время установки будет автоматически развёрнут SQL-сервер и созданы базы данных: Vipnet Administrator, Vipnet Journals для хранения журналов аудита программы «Центр управления сетью». Так же учётная запись с правами администратора для пользователя баз данных. После установки потребуется перезагрузка, установка приложения возобновится после неё автоматически. В появившихся окнах выберем нужные пункты и компоненты, при завершении установки нажимаем кнопку «закрыть», таким образом будет установлена серверная часть приложения «Центр управления сетью», можно приступать к установке клиентской части ЦУСа.

Установка клиентской части ЦУСа производится на тот же персональный компьютер, это так же типовая операция, производится путём запуска дистрибутива Setup.exe. После выбора необходимых параметров установка будет завершена, можно переходить к установке приложения «Удостоверяющий и ключевой центр».

В рамках реализации схемы размещения компонентов, установка будет производиться на том же месте. Это типовая установка, производится путём запуска дистрибутива Setup.exe. В конце установки нажимаем кнопку «Закрыть», потребуется перезагрузка, после которой все компоненты будут установлены и готовы к работе.

Следующей задачей является создание структуры сети согласно разработанной схеме, настройка связей между узлами и пользователями, формирование дистрибутивов ключей для узлов. Все эти операции выполняются в приложении «Центр управления сетью».

При запуске клиентское приложение автоматически подключится к серверному, так как по умолчанию подключение выполняется по локальному адресу компьютера. При первом запуске VipNet Administrator необходимо загрузить файл лицензии. Следующим действием будет выбор возможных сценариев работы, нажимаем «Настроить структуру защищённой сети самостоятельно», окно выбора сценариев представлено на рисунке 4.2.



Рисунок 4.2-Варианты первичной загрузки ЦУС

Далее откроется окно для работы с приложением, представленное на рисунке 4.3.

Рисунок 4.3-Рабочее окно ЦУС

Задаём первоначальные настройки приложения путём добавления ролей, которые будут присваиваться новым узлам, настройки роле представлены на рисунке 4.4.



Рисунок 4.4-Окно настроек ролей защищённых узлов

4.2 Установка и настройка компонентов сети VipNet

В рамках реализации схемы, в локальной сети районных серверов необходимо создать узел HW-2000 Coordinator Municipal. Для этого в программе «Центр управления сетью» выберем представление «Моя сеть», на панели навигации раздел «Координаторы», нажимаем значок добавления узла. Появится окно создания узла «Координатор», изображённое на рисунке 4.5, зададим для него имя, поставим значение «Создать пользователя автоматически».

.

Рисунок 4.5-Окно создания узла «Координатор"

Для созданного координатора назначаются роли «VPN-сервера» и «Обмен файлами и сообщениями». На рисунке 4.6 изображено окно настроек туннелирования, добавим в нём диапазон IP-адресов серверов, для доступа к ним через глобальную сеть.



Рисунок 4.6-Окно настроек координатора

Следующим этапом будет создание и настройка VipNet клиента, который необходимо установить на той же рабочей машине, где были установлены компоненты ЦУС и УКЦ. Данный клиент необходим для обмена информацией между ЦУС и остальным сетевыми узлами. Для этого в программе «Центр управления сетью» выберем представление «Моя сеть», на панели навигации раздел «Клиенты», нажимаем значок добавления узла. Появится окно создания узла «Клиента», представленное на рисунке 4.7, зададим для него имя, укажем координатор, за которым он будет находиться, поставим значение «Создать пользователя автоматически».

Рисунок 4.7-Окно создания узла «Клиент»

Данному клиенту присвоятся роли: «Network control center», «VPN-клиент», «Business mail», «Обмен сообщениями и файлами». А так же автоматическая, системная связь между клиентом и координатором.

На данном этапе мы создали в программе «Центр управления сетью» дистрибутивы ключей, необходимых для активации основных элементов защищённой сети: шлюзовой координатор HW-2000 Coordinator Municipal и клиент администратора «Администратор безопасности», теперь необходимо выгрузить дистрибутивы ключей, для этого перейдём в программу «Удостоверяющий и ключевой центр».

При первом запуске УКЦ программа предложит нам два сценария: «Настройка новой базы», «Импорт базы данных», выбираем первый, которые изображены на рисунке 4.8.

Рисунок 4.8-Сценарии создания базы данных УКЦ

Будет запущен мастер, в котором необходимо прописать имя SQL-сервера и имя базы данных, а так же тип проверки при подключению к SQL-серверу, в нашем случае логин и пароль. На следующем шаге мастер инициализации потребуется внести данные системного администратора, которые потребуются для сертификата ключа проверки электронной подписи. Завершающим этапом будет создание пароля администратора для этой сети. Для продолжения нажимаем «Далее», и с помощью «Электронной рулетки» будет инициализирован генератор случайных чисел для формирования данных.

Если все действия произведены правильно, то результатом будут: создание учётной записи администратора, издание сертификата администратора УКЦ, создание мастер-ключа, подключение к базе данных и заполнение её данными, при этом откроется главное окно программы, изображённое на рисунке 4.9.



Рисунок 4.9-Рабочее окно УКЦ

Для выдачи дистрибутивов ключей необходимо выбрать сетевые узлы, нажать правую кнопку и в выдающем меню нажать «Выдать новый дистрибутив ключей», при этом откроется проводник, содержащий папки сетевых узлов с дистрибутивами ключей и паролем от них.

Эти файлы необходимо передавать доверенным путём: спец-связью, отправкой на защищённый узел, лично в руки с подписью в журнале безопасности.

Завершающим этапом инициализации пакета «VipNet Administrator» будет настройка автоматического резервного копировании, эта функция изображена на рисунке 4.10. Необходимо в программе УКЦ перейти в настройки и открыть «Восстановление конфигурации». Зададим ежедневное создание копий.

Рисунок 4.10-Окно настроек резервного копирования

Кроме того, для обеспечения гарантированного восстановления программы в случае сбоя, производитель рекомендует создание резервных копий в ручном режиме, а так же создание копий ключей администратора.

Следующим шагом в развёртывании защищённой сети будет установка компонентов, дистрибутивы ключей для которых мы создали ранее.

Для начала необходимо настроить координаторы HW-2000. Операционной составляющей комплекса является адаптированная версия ОС Linux, работа с которой возможна на прямую в консольном режиме, либо через WEB-интерфейс, либо через SSH-клиенты.. Причём для первичной инициализации подойдёт только первый способ. Для этого перенесём ключи на флешь-носитель и подключим в USB-разъём. Все манипуляции необходимо произвести с обоими координаторами, так как будет настроен кластер из двух аппаратных комплексов. При первом запуске устройства необходимо ввести стандартные логин и пароль «vipnet-vipnet». После входа запустится мастер, с помощью которого будут заданны основные параметры и настройки, а так же загрузятся справочники и ключи. Далее требуется настроить сетевые интерфейсы, в нашем случае их будет четыре: 10.1.1.*-сеть для обмена данными с серверами Муниципальных районов, 172.16.120.*-сеть для управления и мониторинга устройства, 91.215.206.*-внешний адрес, для выхода в глобальную сеть Интернет, 11.11.12.1/30-интерфейс взаимодействия кластера. Так же необходимо включить функцию «кластера горячего резервирования», при этом важно проверить, что бы оба устройства были настроены одинаково, имели одинаковую платформу и версию системного программного обеспечения. Этих первоначальных настроек достаточно для того, что бы смонтировать координаторы в стойку центра обработки данных и продолжить работу с устройствами через web-интерфейс. Главное окно настроек координатора через браузер изображено на рисунке 4.11.

...