Размещено на http: //www. allbest. ru/

Федеральное государственное образовательное бюджетное учреждение высшего образования

«ФИНАНСОВЫЙ УНИВЕРСИТЕТ ПРИ ПРАВИТЕЛЬСТВЕ РОССИЙСКОЙ ФЕДЕРАЦИИ»

(Финансовый университет)

Колледж информатики и программирования

ВЫПУСКНАЯ КВАЛИФИКАЦИОННАЯ РАБОТА

Основная профессиональная образовательная программа по специальности

10.02.03 Информационная безопасность автоматизированных систем

На тему: Технологии защиты межсетевого обмена данными

Студент группы 4ИБАС-615

Афанасьев Максим Владимирович июня 2019 г.

Руководитель ВКР Володин С.М.

Председатель предметно-цикловой комиссии Володин С.М.

Москва 2019



Оглавление

• Введение
• Глава 1. Теоретическая часть
• 1.1 Описание объекта
• 1.2 Схема расположения информационной инфраструктуры компании
• 1.2 Проблемы обеспечения безопасности ОС
• 1.3 Архитектура подсистемы защиты ОС
• 1.3.1 Подсистема защиты ОС
• 1.3.2 Идентификация, аутентификация и авторизация субъектов доступа
• 1.3.3 Правила разграничения доступа
• 1.3.4 Процедура аудита
• 1.4 Технологии межсетевых экранов
• 1.5 Схемы сетевой защиты на базе МЭ
• 1.6 Основы технологии виртуальных защищенных сетей VPN
• 1.6.1 Концепция построения виртуальных защищенных сетей VPN
• 1.6.2 Достоинства применения технологий VPN
• Глава 2. Практическая часть
• 2.1 Организация межсетевого экранирование для защиты сети
• 2.1.1 Защита на канальном и сеансовом уровнях
• 2.1.2 Защита на сетевом уровне - протокол IPSEC
• 2.1.3 Инфраструктура защиты на прикладном уровне
• 2.2 Обоснование выбора межсетевого экрана «ИВК Кольчуга-К™»
• 2.3 Расположения системы межсетевого экрана в инфраструктуре существующей сети
• Заключение
• Список литературы
• Приложение А

Введение

аутентификация межсетевой экран защищенный

Развитие глобальных компьютерных сетей, появление новых перспективных информационных технологий привлекают все большее внимание. Глобальные сети применяются для передачи коммерческой информации различного уровня конфиденциальности, например для связи головной штаб-квартиры организации с удаленными офисами или создания Web-сайтов организации с размещенной на них рекламой и деловыми предложениями. Многие организации принимают решение о подключении своих локальных и корпоративных сетей к открытой глобальной сети.

Эффективное применение информационных технологий является общепризнанным стратегическим фактором роста конкурентоспособности компании. Многие предприятия в мире переходят к использованию широких возможностей Интернета и электронного бизнеса, неотъемлемый элемент которого -- электронные транзакции.

Электронная коммерция, продажа информации в режиме on-line и многие другие услуги становятся основными видами деятельности для многих компаний, а их корпоративные информационные системы -- главным инструментом управления бизнесом и, фактически, важнейшим средством производства.

Важным фактором, влияющим на развитие коммерческих информационных сетей (КИС) предприятия, является поддержание массовых и разнообразных связей предприятия через Интернет с одновременным обеспечением безопасности этих коммуникаций. Поэтому решение проблем информационной безопасности, связанных с широким распространением Internet, Intranet и Extranet -- одна из самых актуальных задач, стоящих перед разработчиками и поставщиками информационных технологий на сегодняшний день.

Задача обеспечения информационной безопасности КИС традиционно решается построением системы информационной безопасности(СИБ), определяющим требованием к которой является сохранение вложенных в построение КИС инвестиций. Иначе говоря, СИБ должна функционировать абсолютно прозрачно для уже существующих в КИС приложений и быть полностью совместимой с используемыми в КИС сетевыми технологиями.

Однако подключение к открытой глобальной сети может иметь и негативные последствия, поскольку появляются угрозы неправомерного вторжения из внешней сети во внутреннюю сеть. Такое вторжение может выполняться как с целью несанкционированного использования ресурсов внутренней сети, например хищения информации, так и с целью нарушения ее работоспособности. Количество уязвимостей сетевых ОС, прикладных программ и возможных атак на КИС постоянно растет. Без соответствующих средств защиты вероятность успешной реализации таких угроз является достаточно высокой.

Ежегодные потери, обусловленные недостаточным уровнем защищенности компьютерных сетей организаций, оцениваются миллиардами долларов. Поэтому при подключении к Internet локальной или корпоративной сети необходимо позаботиться об обеспечении информационной безопасности этой сети.

Проблема защиты от несанкционированных действий при взаимодействии с внешними сетями может быть успешно решена только на основе комплексной защиты корпоративных компьютерных сетей.

Для того чтобы обеспечить надежную защиту ресурсов КИС, в СИБ должны быть реализованы самые прогрессивные и перспективные технологии информационной защиты. К ним относятся:

криптографическая защита данных для обеспечения конфиденциальности,

целостности и подлинности информации; технологии аутентификации для проверки подлинности пользователей и объектов сети;

технологии межсетевых экранов для защиты корпоративной сети от внешних угроз при подключении к общедоступным сетям связи;

технологии виртуальных защищенных каналов и сетей VPN для защиты информации, передаваемой по открытым каналам связи;

гарантированная идентификация пользователей путем применения токенов (смарт-карт, touch-memory, ключей для USB-портов) и других средств аутентификации;

управление доступом на уровне пользователей и защита от несанкционированного доступа к информации;

поддержка инфраструктуры управления открытыми ключами РК1;

технологии обнаружения вторжений (Intrusion Detection) для активного исследования защищенности информационных ресурсов; технологии защиты от вирусов с использованием специализированных комплексов антивирусной профилактики и защиты;

централизованное управление СИБ на базе единой политики безопасности предприятия;

комплексный подход к обеспечению информационной безопасности, обеспечивающий рациональное сочетание технологий и средств информационной защиты.

Цель работы - рассмотреть технологии защиты межсетевого обмена данными и разместить на объекте ВКР.

Совокупность задач, которые следует решить для раскрытия темы: рассмотреть архитектуру подсистемы защиты ОС и особенности функционирования МЭ на различных уровнях модели OSI проанализировать защиту на канальном, сеансовом, прикладном и сетевом уровнях.

В работе рассмотрены базовые средства многоуровневой защиты межсетевого обмена данными относятся защищенные ОС, МЭ, виртуальные защищенные сети VPN, протоколы защиты на канальном, транспортном и сетевом (протокол IPSec) уровнях.



Глава 1. Теоретическая часть

1.1 Описание объекта

Организацию в которой используются технологии защиты межсетевого обмена данными, возьмем на примере АО”ИВК”.

“Информационная внедренческая компания” (ИВК) основана в 1996 году. В настоящее время ИВК -- известный системный интегратор, производитель и поставщик вычислительной техники офисного и специального назначения, разработчик программно-технических решений для создания защищенных информационных систем любого масштаба для корпоративных и государственных заказчиков. Продукция ИВК сертифицирована и производится в соответствии с требованиями технических условий (ТУ).

Основными направлениями деятельности компании являются :

· Разработка, производство и поставка компьютерной техники офисного и специального назначения. Поставка периферийной техники.

· Разработка информационных технологий, системообразующего программного обеспечения и средств защиты информации, предназначенных для создания защищенных территориально распределенных информационных систем и интеграции разнородных информационных ресурсов.

· Разработка комплексных системных проектов.

· Создание современных систем безопасности объектов: охранного видеонаблюдения, контроля управления доступом, охранной и пожарной сигнализации, оповещения о чрезвычайных ситуациях.

· Сервисное обслуживание продуктов компании с момента получения их потребителем.

А основными программными продуктами являются:

· Интеграционная платформа «ИВК ЮПИТЕР»;

· Межсетевой экран с расширенной функциональностью, коммуникационный центр «ИВК КОЛЬЧУГА»;

· Защищенная система электронного документооборота (СЭД) «ИВК БЮРОКРАТЪ»;

· Информационно-аналитическая система обработки неформализованных естественных текстов «ИВК СОНЕТ».

1.2 Схема расположения информационной инфраструктуры компании

Схема информационной инфраструктуры компании представлена на рис.1

Рис. 1 Схема информационной инфраструктуры компании(рис.1)



1.2 Проблемы обеспечения безопасности ОС

Большинство программных средств защиты информации являются прикладными программами. Для их выполнения требуется поддержка операционной системы (ОС). Окружение, в котором функционирует ОС, называется доверенной вычислительной базой (ДВБ). ДВБ включает в себя полный набор элементов, обеспечивающих информационную безопасность: ОС, программы, сетевое оборудование, средства физической защиты и даже организационные процедуры. Краеугольным камнем этой пирамиды является защищенная ОС.

Угрозы безопасности ОС

Организация эффективной и надежной защиты ОС невозможна без предварительного анализа возможных угроз ее безопасности. Угрозы безопасности ОС существенно зависят от условий эксплуатации системы, от того, какая информация хранится и обрабатывается в системе. Например, если ОС используется для организации электронного документооборота, наиболее опасны угрозы, связанные с НСД к файлам. Если же ОС используется как платформа провайдера Internet-услуг, очень опасны атаки на сетевое программное обеспечение ОС.

Угрозы безопасности ОС можно классифицировать по различным аспектам их реализации и таким признакам как:

способ действий злоумышленника, используемые средства атаки, объект атаки, способ воздействия на объект атаки, состояние атакуемого объекта ОС на момент атаки.

ОС может подвергнуться следующим типичным атакам:

· сканированию файловой системы;

· подбору пароля. Существуют несколько методов подбора паролей пользователей:

· тотальный перебор, оптимизированный по статистике встречаемости символов или с помощью словарей;

· подбор пароля с использованием знаний о пользователе (его имени, фамилии, даты рождения, номера телефона);

· краже ключевой информации;

· сборке мусора;

· превышению полномочий;

· программным закладкам;

· жадным программам .

Операционную систему называют защищенной, если она предусматривает средства защиты от основных классов угроз. Защищенная ОС обязательно должна содержать средства разграничения доступа пользователей к своим ресурсам, а также средства проверки подлинности пользователя, начинающего работу с ОС. Кроме того, защищенная ОС должна содержать средства противодействия случайному или преднамеренному выводу ОС из строя.

Существуют два основных подхода к созданию защищенных ОС -- фрагментарный и комплексный.

При применении фрагментарного подхода подсистема защиты ОС представляет собой набор разрозненных программных продуктов, как правило, от разных производителей. Эти программные средства работают независимо друг от друга, при этом практически невозможно организовать их тесное взаимодействие. Кроме того, отдельные элементы такой подсистемы защиты могут некорректно работать в присутствии друг друга, что приводит к резкому снижению надежности системы.

При комплексном подходе защитные функции вносятся в ОС на этапе проектирования архитектуры ОС и являются ее неотъемлемой частью. Отдельные элементы подсистемы защиты, созданной на основе комплексного подхода, тесно взаимодействуют друг с другом при решении различных задач, связанных с организацией защиты информации, поэтому конфликты между ее отдельными компонентами практически невозможны.

Как правило, подсистему защиты ОС, созданную на основе комплексного подхода, проектируют так, чтобы отдельные ее элементы были заменяемы.

Соответствующие программные модули могут быть заменены другими модулями.

Программно-аппаратные средства защиты ОС обязательно должны дополняться административными мерами защиты. Перечислим основные административные меры защиты:

· Постоянный контроль корректности функционирования ОС, особенно ее подсистемы защиты. Такой контроль удобно организовать, если ОС поддерживает автоматическую регистрацию наиболее важных событий в специальном журнале.

· Организация и поддержание адекватной политики безопасности. Политики безопасности ОС должна постоянно корректироваться, оперативно реагируя на попытки злоумышленников преодолеть защиту ОС, а также на изменения в конфигурации ОС, установку и удаление прикладных программ.

· Инструктирование пользователей операционной системы о необходимости соблюдения мер безопасности при работе с ОС и контроль за соблюдением этих мер.

· Регулярное создание и обновление резервных копий программ и данных ОС.

· Постоянный контроль изменений в конфигурационных данных и политике безопасности ОС. Информацию об этих изменениях целесообразно хранить на неэлектронных носителях информации, для того чтобы злоумышленнику, преодолевшему защиту ОС, было труднее замаскировать свои несанкционированные действия.

Выбор и поддержание адекватной политики безопасности являются одной из наиболее важных задач администратора ОС. Если принятая в ОС политика безопасности неадекватна, то это может привести к НСД злоумышленника к ресурсам системы и к снижению надежности функционирования ОС. [1]

Адекватная политика безопасности это - такая политика безопасности, которая обеспечивает достаточный уровень защищенности ОС. Следует особо отметить, что адекватная политика безопасности - это не обязательно та политика безопасности, при которой достигается максимально возможная защищенность системы.

Адекватная политика безопасности определяется не только архитектурой ОС, но и ее конфигурацией, установленными прикладными программами.

Специальных стандартов защищенности ОС не существует. Для оценки защищенности ОС используются стандарты, разработанные для компьютерных систем в общем. Как правило, сертификация ОС по некоторому классу защиты сопровождается составлением требований к адекватной политике безопасности, при безусловном выполнении которой защищенность конкретного экземпляра ОС будет соответствовать требованиям соответствующего класса защиты.

Определяя адекватную политику безопасности, администратор ОС должен в первую очередь ориентироваться на защиту ОС от конкретных угроз ее безопасности. [4,5]

1.3 Архитектура подсистемы защиты ОС

1.3.1 Подсистема защиты ОС

Подсистема защиты ОС выполняет следующие основные функции.

· Идентификация и аутентификация.

· Разграничение доступа.

· Аудит.

· Управление политикой безопасности.

· Криптографические функции.

· Сетевые функции.

Подсистема защиты обычно не представляет собой единый программный модуль. Как правило, каждая из перечисленных функций подсистемы защиты решается одним или несколькими программными модулями. Некоторые функции встраиваются непосредственно в ядро ОС. Между различными модулями подсистемы защиты должен существовать четко определенный интерфейс, используемый при взаимодействии модулей для решения общих задач.

В таких ОС, как Windows, подсистема защиты четко выделяется в общей архитектуре ОС, в других, как UNIX, защитные функции распределены практически по всем элементам ОС. Однако любая ОС, удовлетворяющая стандарту защищенности, должна содержать подсистему защиты, выполняющую все вышеперечисленные функции. Обычно подсистема защиты ОС допускает расширение дополнительными программными модулями.

1.3.2 Идентификация, аутентификация и авторизация субъектов доступа

В защищенной ОС любой пользователь (субъект доступа), перед тем как начать работу с системой, должен пройти идентификацию, аутентификацию и авторизацию. Идентификация субъекта доступа заключается в том, что субъект сообщает ОС идентифицирующую информацию о себе (имя, учетный номер) и таким образом идентифицирует себя.

Для того чтобы установить, что пользователь именно тот, за кого себя выдает, в информационных системах предусмотрена процедура аутентификации, задача которой -- предотвращение доступа к системе нежелательных лиц.

Аутентификация субъекта доступа заключается в том, что субъект предоставляет ОС помимо идентифицирующей информации еще и аутентифицирующую информацию, подтверждающую, что он действительно является тем субъектом доступа, к которому относится идентифицирующая информация.

Авторизация субъекта доступа происходит после успешной идентификации и аутентификации. При авторизации субъекта ОС выполняет действия, необходимые для того, чтобы субъект мог начать работу в системе.

С точки зрения обеспечения безопасности ОС процедуры идентификации и аутентификации являются весьма ответственными.

1.3.3 Правила разграничения доступа

Соответствовать аналогичным правилам, принятым в организации, в которой установлена ОС.

· Не должны допускать разрушающие воздействия субъектов доступа на ОС, выражающиеся в несанкционированном изменении, удалении или другом воздействии на объекты, жизненно важные для нормальной работы ОС.

· Любой объект доступа должен иметь владельца. Недопустимо присутствие ничейных объектов -- объектов, не имеющих владельца.

· Не допускать присутствия недоступных объектов -- объектов, к которым не может обратиться ни один субъект доступа ни по одному методу доступа.

· Не допускать утечки конфиденциальной информации.

Существуют две основные модели разграничения доступа:

избирательное (дискреционное) разграничение доступа;

полномочное (мандатное) разграничение доступа.

При избирательном разграничении доступа определенные операции над конкретным ресурсом запрещаются или разрешаются субъектам или группам субъектов. Большинство ОС реализуют именно избирательное разграничение доступа (discretionary access control).

Полномочное разграничение доступа заключается в том, что все объекты могут иметь уровни секретности, а все субъекты делятся на группы, образующие иерархию в соответствии с уровнем допуска к информации. Иногда эту модель называют моделью многоуровневой безопасности, предназначенной для хранения секретов.

1.3.4 Процедура аудита

Процедура аудита применительно к ОС заключается в регистрации в специальном журнале, называемом журналом аудита или журналом безопасности, событий, которые могут представлять опасность для ОС. Пользователи системы, обладающие правом чтения журнала аудита, называются аудиторами.

Необходимость включения в защищенную ОС функций аудита обусловлена следующими обстоятельствами:

· обнаружение попыток вторжения является важнейшей задачей системы защиты, поскольку ее решение позволяет минимизировать ущерб от взлома и собирать информацию о методах вторжения;

· подсистема защиты ОС может не отличить случайные ошибки пользователей от злонамеренных действий. Администратор, просматривая журнал аудита, сможет установить, что произошло при вводе пользователем неправильного пароля -- ошибка легального пользователя или атака злоумышленника. Если пользователь пытался угадать пароль 20--30 раз, то это явная попытка подбора пароля;

· администраторы ОС должны иметь возможность получать информацию не только о текущем состоянии системы, но и о том, как ОС функционировала в недавнем прошлом. Такую возможность обеспечивает журнал аудита;

· если администратор ОС обнаружил, что против системы проведена успешная атака, ему важно выяснить, когда была начата атака и каким образом она осуществлялась. Журнал аудита может содержать всю необходимую информацию.

К числу событий, которые могут представлять опасность для ОС, обычно относят следующие:

· вход или выход из системы;

· операции с файлами (открыть, закрыть, переименовать, удалить);

· обращение к удаленной системе;

· смену привилегий или иных атрибутов безопасности (режима доступа, уровня благонадежности пользователя).

Если фиксировать в журнале аудита все события, объем регистрационной информации будет расти слишком быстро, что затруднит ее эффективный анализ. Необходимо предусмотреть выборочное протоколирование как в отношении пользователей, так и в отношении событий.

Требования к аудиту. Подсистема аудита ОС должна удовлетворять следующим требованиям.

· Добавлять записи в журнал аудита может только ОС.

· Редактировать или удалять отдельные записи в журнале аудита не может ни один субъект доступа, в том числе и сама ОС.

· Просматривать журнал аудита могут только пользователи, обладающие соответствующей привилегией.

· Очищать журнал аудита могут только пользователи-аудиторы.

· При переполнении журнала аудита ОС аварийно завершает работу

· («зависает»).

Для ограничения доступа к журналу аудита должны применяться специальные средства защиты.

Политика аудита -- это совокупность правил, определяющих, какие события должны регистрироваться в журнале аудита. Для обеспечения надежной защиты ОС в журнале аудита должны обязательно регистрироваться следующие события:

· попытки входа/выхода пользователей из системы;

· попытки изменения списка пользователей;

· попытки изменения политики безопасности, в том числе и политики аудита.

Окончательный выбор событий, которые должны регистрироваться в журнале аудита, возлагается на аудиторов. При выборе оптимальной политики аудита следует учитывать ожидаемую скорость заполнения журнала аудита. Политика аудита должна оперативно реагировать на изменения в конфигурации ОС, в характере хранимой и обрабатываемой информации и особенно на выявленные попытки атаки ОС.

В некоторых ОС подсистема аудита помимо записи информации о зарегистрированных событиях в специальный журнал предусматривает возможность интерактивного оповещения аудиторов об этих событиях. [10,4]

1.4 Технологии межсетевых экранов

Межсетевой экран(МЭ) -- это специализированный комплекс межсетевой защиты, называемый также брандмауэром или системой firewall. МЭ позволяет разделить общую сеть на две части (или более) и реализовать набор правил, определяющих условия прохождения пакетов с данными через границу из одной части общей сети в другую. Как правило, эта граница проводится между корпоративной (локальной) сетью предприятия и глобальной сетью Internet.

Обычно МЭ защищают внутреннюю сеть предприятия от «вторжений» из глобальной сети Internet, хотя они могут использоваться и для защиты от «нападений» из корпоративной интрасети, к которой подключена локальная сеть предприятия. Технология МЭ одна из самых первых технологий защиты корпоративных сетей от внешних угроз.

Для большинства организаций установка МЭ является необходимым условием обеспечения безопасности внутренней сети.

Особенности функционирования МЭ на различных уровнях модели OSI

Для противодействия несанкционированному межсетевому доступу МЭ должен располагаться между защищаемой сетью организации, являющейся внутренней, и потенциально враждебной внешней сетью. При этом все взаимодействия между этими сетями должны осуществляться только через МЭ. Организационно МЭ входит в состав защищаемой сети.

МЭ, защищающий сразу множество узлов внутренней сети, призван решить: задачу ограничения доступа внешних (по отношению к защищаемой сети) пользователей к внутренним ресурсам корпоративной сети. К таким пользователям могут быть отнесены партнеры, удаленные пользователи, хакеры и даже сотрудники самой компании, пытающиеся получить доступ к серверам баз данных, защищаемых

МЭ;

задачу разграничения доступа пользователей защищаемой сети к внешним ресурсам. Решение этой задачи позволяет, например, регулировать доступ к серверам, не требующимся для выполнения служебных обязанностей.

До сих пор не существует единой общепризнанной классификации МЭ. Их можно классифицировать, например, по следующим основным признакам.

МЭ поддерживают безопасность межсетевого взаимодействия на различных уровнях модели OSI. При этом функции защиты, выполняемые на разных уровнях эталонной модели, существенно отличаются друг от друга. Поэтому комплексный МЭ удобно представить в виде совокупности неделимых экранов, каждый из которых ориентирован на отдельный уровень модели OSI.

Чаще всего комплексный экран функционирует на сетевом, сеансовом и прикладном уровнях эталонной модели. Соответственно различают такие неделимые МЭ, как:

· экранирующий маршрутизатор;

· шлюз сеансового уровня (экранирующий транспорт);

· шлюз прикладного уровня (экранирующий шлюз) .

Используемые в сетях протоколы (TCP/IP,PX/IPX) не полностью соответствуют эталонной модели OSI, поэтому экраны перечисленных типов при выполнении своих функций могут охватывать и соседние уровни эталонной модели. Например, прикладной экран может осуществлять автоматическое зашифровы- вание сообщений при их передаче во внешнюю сеть, а также автоматическое расшифровывание криптографически закрытых принимаемых данных. В этом случае такой экран функционирует не только на прикладном уровне модели OSI, но и на уровне представления.

Шлюз сеансового уровня при своем функционировании охватывает транспортный и сетевой уровни модели OSI. Экранирующий маршрутизатор при анализе пакетов сообщений проверяет их заголовки не только сетевого, но и транспортного уровня.

МЭ указанных типов имеют свои достоинства и недостатки. Многие из используемых МЭ являются либо прикладными шлюзами, либо экранирующими маршрутизаторами, не обеспечивая полную безопасность межсетевого взаимодействия. Надежную защиту обеспечивают только комплексные межсетевые экраны, каждый из которых объединяет экранирующий маршрутизатор, шлюз сеансового уровня, а также прикладной шлюз. Рассмотрим функционирование прикладного шлюза.

Прикладной шлюз, называемый также экранирующим шлюзом, функционирует на прикладном уровне модели OSI, охватывая также уровень представления, и обеспечивает наиболее надежную защиту межсетевых взаимодействий [9]. Защитные функции прикладного шлюза, как и шлюза сеансового уровня, относятся к функциям посредничества. Однако прикладной шлюз, в отличие от шлюза сеансового уровня, может выполнять существенно большее количество функций защиты, к которым относятся следующие:

· идентификация и аутентификация пользователей при попытке установления соединений через МЭ;

· проверка подлинности информации, передаваемой через шлюз;

· разграничение доступа к ресурсам внутренней и внешней сетей;

· фильтрация и преобразование потока сообщений, например динамический поиск вирусов и прозрачное шифрование информации;

· регистрация событий, реагирование на задаваемые события, а также анализ зарегистрированной информации и генерация отчетов;

· кэширование данных, запрашиваемых из внешней сети.

Поскольку функции прикладного шлюза относятся к функциям посредничества, этот шлюз представляет собой универсальный компьютер, на котором функционируют программные посредники (экранирующие агенты) -- по одному для каждого обслуживаемого прикладного протокола (HTTP, FTP, SMTP, NNTP)- Программный посредник (application proxy) каждой службы TCP/IP ориентирован на обработку сообщений и выполнение функций защиты, относящихся именно к этой службе.

Прикладной шлюз перехватывает с помощью соответствующих экранирующих агентов входящие и исходящие пакеты, копирует и перенаправляет информацию, как бы функционирует в качестве сервера-посредника, исключая прямые соединения между внутренней и внешней сетью.

Посредники, используемые прикладным шлюзом, имеют важные отличия от канальных посредников шлюзов сеансового уровня. Во-первых, посредники прикладного шлюза связаны с конкретными приложениями (программными серверами), во-вторых, они могут фильтровать поток сообщений на прикладном уровне модели OSI.

Прикладные шлюзы используют в качестве посредников специально разработанные для этой цели программные серверы конкретных служб TCP/IP -- серверы HTTP, FTP, SMTP, NnTP и др. Эти программные серверы функционируют на МЭ в резидентном режиме и реализуют функции зашиты, относящиеся к соответствующим службам TCP/IP.

Существует два основных варианта исполнения МЭ -- программный и программно-аппаратный. В свою очередь программно-аппаратный вариант имеет две разновидности -- в виде специализированного устройства и в виде модуля в маршрутизаторе или коммутаторе.

В настоящее время чаще используется программное решение, которое на первый взгляд выглядит более привлекательным. Это связано с тем, что для его применения достаточно, казалось бы, только приобрести программное обеспечение (ПО) МЭ и установить на любой компьютер, имеющийся в организации. Однако на практике далеко не всегда в организации находится свободный компьютер, удовлетворяющий достаточно высоким требованиям по системным ресурсам. Поэтому одновременно с приобретением ПО приобретается и компьютер для его установки. Затем следует процесс установки на компьютер операционной системы (ОС) и ее настройка, что также требует времени и оплаты работы установщиков. И только после этого устанавливается и настраивается ПО системы обнаружения атак. Нетрудно заметить, что использование обычного персонального компьютера далеко не так просто, как кажется на первый взгляд.

Поэтому в последние годы значительно возрос интерес к программно-аппаратным решениям, которые постепенно вытесняют «чисто» программные системы. Широкое распространение стали получать специализированные программно-аппаратные решения, называемые security appliance. Программно-аппаратный комплекс межсетевого экранирования обычно состоит из компьютера, а также функционирующих на нем ОС и специального ПО. Следует отметить, что это специальное ПО часто называют firewall. Используемый компьютер должен быть достаточно мощным и физически защищенным, например находиться в специально отведенном и охраняемом помещении. Кроме того, он должен иметь средства защиты от загрузки ОС с несанкционированного носителя. [2,8]

1.5 Схемы сетевой защиты на базе МЭ

Для того чтобы МЭ успешно защищал ресурсы организации, политика доступа пользователей к сетевым сервисам должна быть реалистичной. Реалистичной считается такая политика, при которой найден баланс между защитой сети организации от известных рисков и необходимым доступом пользователей к сетевым сервисам.

Политика работы МЭ задает базовый принцип управления межсетевым взаимодействием, положенный в основу функционирования МЭ. Может быть выбран один из двух принципов:

1) запрещено все, что явно не разрешено;

2) разрешено все, что явно не запрещено.

Фактически выбор принципа устанавливает, насколько «подозрительной» или «доверительной» должна быть система защиты. В зависимости от выбора, решение может быть принято как в пользу безопасности и в ущерб удобству использования сетевых сервисов, так и наоборот.

При выборе принципа 1 МЭ настраивается так, чтобы блокировать любые явно не разрешенные межсетевые взаимодействия. Этот принцип соответствует классической модели доступа, используемой во всех областях информационной безопасности. Такой подход позволяет адекватно реализовать принцип минимизации привилегий, поэтому с точки зрения безопасности он является лучшим. Администратор безопасности должен на каждый тип разрешенного взаимодействия задавать правила доступа (одно и более). Администратор не сможет по забывчивости оставить разрешенными какие-либо полномочия, так как по умолчанию они будут запрещены. Доступные лишние сервисы могут быть использованы во вред безопасности, что особенно характерно для закрытого и сложного ПО, в котором могут быть различные ошибки и некорректности. Принцип 1, в сущности, является признанием факта, что незнание может причинить вред. Следует отметить, что правила доступа, сформулированные в соответствии с этим принципом, могут доставлять пользователям определенные неудобства.

При выборе принципа 2 МЭ настраивается так, чтобы блокировать только явно запрещенные межсетевые взаимодействия. В этом случае повышается удобство использования сетевых сервисов со стороны пользователей, но снижается безопасность межсетевого взаимодействия. Пользователи имеют больше возможностей обойти МЭ, например, могут получить доступ к новым сервисам, не запрещаемым политикой (или даже не указанным в политике), или запустить запрещенные сервисы на нестандартных портах TCP/UDP, которые не запрещены политикой. Администратор может учесть не все действия, которые запрещены пользователям. Ему приходится работать в режиме реагирования, предсказывая и запрещая те межсетевые взаимодействия, которые отрицательно воздействуют на безопасность сети. При реализации принципа 2 внутренняя сеть оказывается менее защищенной от нападений хакеров, поэтому производители МЭ обычно отказываются от его использования.

МЭ является симметричным. Для него отдельно задаются правила, ограничивающие доступ из внутренней сети во внешнюю сеть, и наоборот

В зависимости от типа экрана эти функции могут выполняться с различной полнотой.

Простые МЭ ориентированы на выполнение только одной из них. Комплексные МЭ обеспечивают совместное выполнение указанных функций защиты. Собственная защищенность МЭ достигается с помощью тех же средств, что и защищенность универсальных систем [9].

При подключении корпоративной сети к глобальным сетям необходимо разграничить доступ в защищаемую сеть из глобальной сети и из защищаемой сети в глобальную сеть, а также обеспечить защиту подключаемой сети от удаленного НСД со стороны глобальной сети. При этом- организация заинтересована в сокрытии информации о структуре своей сети и ее компонентов от пользователей глобальной сети. Работа с удаленными пользователями требует установления жестких ограничений доступа к информационным ресурсам защищаемой сети.

Часто возникает потребность иметь в составе корпоративной сети несколько сегментов с разными уровнями защищенности:

· свободно доступные сегменты (например, рекламный WWW-сервер);

· сегмент с ограниченным доступом (например, для доступа сотрудникам организации с удаленных узлов);

· закрытые сегменты (например, финансовая локальная подсеть организации).

Для подключения МЭ могут использоваться различные схемы, которые зависят от условий функционирования защищаемой сети, а также от количества сетевых интерфейсов и других характеристик, используемых МЭ. Широкое распространение получили схемы:

· защиты сети с использованием экранирующего маршрутизатора;

· единой защиты локальной сети;

· с защищаемой закрытой и не защищаемой открытой подсетями;

· с раздельной защитой закрытой и открытой подсетей.

Рассмотрим подробнее схему с защищаемой закрытой и не защищаемой открытой подсетями. Если в составе локальной сети имеются общедоступные открытые серверы, то их целесообразно вынести как открытую подсеть до МЭ (рис. 2). Этот способ обладает высокой защищенностью закрытой части локальной сети, но обеспечивает пониженную безопасность открытых серверов, расположенных до МЭ.

Рис. 2 Схема с защищаемой закрытой и не защищаемой открытой подсетями

Некоторые МЭ позволяют разместить эти серверы на себе. Однако такое решение не является лучшим с точки зрения безопасности самого МЭ и загрузки компьютера. Схему подключения МЭ с защищаемой закрытой подсетью и не защищаемой открытой подсетью целесообразно использовать лишь при невысоких требованиях по безопасности к открытой подсети.

Если же к безопасности открытых серверов предъявляются повышенные требования, тогда необходимо использовать схему с раздельной защитой закрытой и открытой подсетей.

Персональные и распределенные сетевые экраны

За последние несколько лет в структуре корпоративных сетей произошли определенные изменения. Если раньше границы таких сетей можно было четко очертить, то сейчас это практически невозможно. Еще недавно такая граница проходила через все маршрутизаторы или иные устройства (например, модемы), через которые осуществлялся выход во внешние сети. В удаленных офисах организации ситуация была схожа. Однако сейчас полноправным пользователем защищаемой МЭ сети является сотрудник, находящийся за пределами защищаемого периметра. К таким сотрудникам относятся пользователи, работающие на дому или находящиеся в командировке. Несомненно им также требуется защита. Но все традиционные МЭ построены так, что защищаемые пользователи и ресурсы должны находиться под их защитой с внутренней стороны корпоративной или локальной сети, что является невозможным для мобильных пользователей.

Для решения этой проблемы были предложены следующие подходы:

· применение распределенных МЭ (distributed firewall);

· использование возможностей виртуальных частных сетей VPN.

Распределенный межсетевой экран -- централизованно управляемая совокупность сетевых мини-экранов, защищающих отдельные компьютеры сети.

МЭ не решает все проблемы безопасности корпоративной сети. Кроме описанных выше достоинств МЭ, существуют ограничения в их использовании и угрозы безопасности, от которых МЭ не могут защитить. Отметим наиболее существенные из этих ограничений:

· возможное ограничение пропускной способности. Традиционные МЭ являются потенциально узким местом сети, так как все соединения должны проходить через МЭ и в некоторых случаях изучаться МЭ;

· отсутствие встроенных механизмов защиты от вирусов. Традиционные МЭ не могут защитить от пользователей, загружающих зараженные вирусами программы для ПЭВМ из интернетовских архивов или при передаче таких программ в качестве приложений к письму, поскольку эти программы могут быть зашифрованы или сжаты большим числом способов;

· отсутствие эффективной защиты от получаемого из Internet опасного содержимого (апплеты Java, управляющие элементы ActiveX, сценарии JavaScript.). Специфика мобильного кода такова, что он может быть использован как средство для проведения атак. Мобильный код может быть реализован в виде:

-- вируса, который вторгается в ИС и уничтожает данные на локальных дисках, постоянно модифицируя свой код и затрудняя тем самым свое обнаружение и удаление;

-- агента, перехватывающего пароли, номера кредитных карт и т. п.;

-- программы, копирующей конфиденциальные файлы, содержащие деловую и финансовую информацию и пр.;

· МЭ не может защитить от ошибок и некомпетентности администраторов и пользователей;

· традиционные МЭ являются по существу средствами, только блокирующими атаки. В большинстве случаев они защищают от атак, которые уже находятся в процессе осуществления. Более эффективным было бы не только блокирование, но и упреждение атак, устранение предпосылок реализации вторжений. Для организации упреждения атак необходимо использовать средства обнаружения атак и поиска уязвимостей, которые будут своевременно обнаруживать и рекомендовать меры по устранению «слабых мест» в системе защиты. Для защиты информационных ресурсов распределенных корпоративных систем необходимо применение комплексной системы информационной безопасности, которая позволит эффективно использовать достоинства МЭ и компенсировать их недостатки с помощью других средств безопасности. [13,11,17]

1.6 Основы технологии виртуальных защищенных сетей VPN

Задача создания компьютерной сети предприятия в пределах одного здания может быть решена относительно легко. Однако современная инфраструктура корпораций включает в себя географически распределенные подразделения самой корпорации, ее партнеров, клиентов и поставщиков. Поэтому создание корпоративной сети стало существенно более сложной задачей.

1.6.1 Концепция построения виртуальных защищенных сетей VPN

В основе концепции построения виртуальных сетей Virtual Private Network(VPN) лежит достаточно простая идея: если в глобальной сети имеются два узла, которым нужно обменяться информацией, то между этими двумя узлами необходимо построить виртуальный защищенный туннель для обеспечения конфиденциальности и целостности информации, передаваемой через открытые сети; доступ к этому виртуальному туннелю должен быть чрезвычайно затруднен всем возможным активным и пассивным внешним наблюдателям.

Преимущества, получаемые компанией от создания таких виртуальных туннелей, заключаются прежде всего в значительной экономии финансовых средств, поскольку в этом случае компания может отказаться от построения или аренды дорогих выделенных каналов связи для создания собственных intranet/extranet сетей и использовать для этого дешевые Интернет-каналы, надежность и скорость передачи которых в большинстве своем уже не уступает выделенным линиям. Очевидная экономическая эффективность от внедрения VPN-технологий стимулирует предприятия к активному их внедрению.

В настоящее время технологии построения виртуальных защищенных частных сетей (VPN) привлекают все больше внимания со стороны крупных компаний (банков, ведомств, крупных государственных структур). Причина такого интереса заключается в том, что VPN-технологии действительно дают возможность не только существенно сократить расходы на содержание выделенных каналов связи с удаленными подразделениями (филиалами), но и повысить конфиденциальность обмена информацией.

VPN-технологии позволяют организовывать защищенные туннели как между офисами компании, так и к отдельным рабочим станциям и серверам. Потенциальным клиентам предлагается широкий спектр оборудования и ПО для создания виртуальных защищенных сетей -- от интегрированных многофункциональных и специализированных устройств до чисто программных продуктов.

1.6.2 Достоинства применения технологий VPN

Эффективное применение информационных технологий(ИТ) в сочетании с технологиями в области информационной безопасности является важнейшим стратегическим фактором повышения конкурентоспособности современных предприятий и организаций. Технология виртуальных частных сетей VPN позволяет решать эти задачи, обеспечивая связь между сетями, а также между удаленным пользователем и корпоративной сетью с помощью защищенного канала (туннеля), «проложенного» в общедоступной сети Интернет.

Достоинства использования VPN-технологий для защиты информации в распределенных сетевых ИС масштаба предприятия:

· возможность защиты всей корпоративной сети -- от крупных локальных сетей офисов до отдельных рабочих мест. Защита может быть распространена на все звенья сети -- от сегментов локальных сетей до коммуникационных каналов глобальных сетей, в том числе выделенных и коммутируемых линий;

· масштабируемость системы защиты, для защиты объектов различной сложности и производительности можно использовать адекватные по уровню сложности, производительности и стоимости программные или программно-аппаратные средства защиты;

· использование ресурсов открытых сетей в качестве отдельных коммуникационных звеньев корпоративной сети; все угрозы, возникающие при использовании сетей общего пользования, будут компенсироваться средствами защиты информации;

· обеспечение подконтрольности работы сети и достоверная идентификация всех источников информации. При необходимости может быть обеспечена аутентификация трафика на уровне отдельных пользователей;

· сегментация ИС и организация безопасной эксплуатации системы, обрабатывающей информацию различных уровней конфиденциальности, программными и программно-аппаратными средствами защиты информации.

· Технология VPN входит в число важнейших технологий, которые планируют использовать предприятия в ближайшем будущем.[2,6]

Глава 2. Практическая часть

2.1 Организация межсетевого экранирование для защиты сети

2.1.1 Защита на канальном и сеансовом уровнях

Виртуальный защищенный канал можно построить с помощью системных средств, реализованных на разных уровнях модели взаимодействия открытых систем OSI. От выбранного рабочего уровня OSI зависит функциональность реализуемой VPN и ее совместимость с приложениями КИС, а также с другими средствами защиты.

Средства VPN, применяемые на канальном уровне модели OSI, позволяют обеспечить инкапсуляцию различных видов трафика третьего уровня (и выше) и построение виртуальных туннелей типа «точка--точка» (от маршрутизатора к маршрутизатору или от персонального компьютера к шлюзу ЛВС).

При построении защищенных виртуальных сетей на сеансовом уровне появляется возможность криптографической защиты информационного обмена, включая аутентификацию, а также реализации ряда функций посредничества между взаимодействующими сторонами.

Протоколы формирования защищенных каналов на канальном уровне

Протоколы РРТР, L2F и L2TP -- это протоколы туннелирования канального уровня модели OSI. Общим свойством этих протоколов является то, что они используются для организации защищенного многопротокольного удаленного доступа к ресурсам корпоративной сети через открытую сеть, например через Интернет.

Все три протокола -- РРТР, L2F и L2TP -- обычно относят к протоколам формирования защищенного канала, однако этому определению точно соответствует только протокол РРТР, который обеспечивает туннелирование и шифрование передаваемых данных. Протоколы L2F и L2TP поддерживают только функции туннелирования. Для защиты туннелируемых данных в этих протоколах необходимо использовать некоторый дополнительный протокол, в частности IPSec.

Клиентское ПО обычно использует для удаленного доступа стандартный протокол канального уровня РРР. Протоколы РРТР, L2F и L2TP основываются на протоколе РРР и являются его расширениями. Первоначально протокол РРР, расположенный на канальном уровне, был разработан для инкапсуляции данных и их доставки по соединениям типа «точка--точка». Этот протокол служит также для организации асинхронных (например, коммутируемых) соединений. В частности, в настройках коммутируемого доступа удаленных систем Windows 2000 или Windows 9x обычно указывается подключение к серверу по протоколу РРР.

В набор РРР входят протокол управления соединением LCP, ответственный за конфигурацию, установку, работу и завершение соединения «точка--точка», и протокол управления сетью NCP, способный инкапсулировать в РРР протоколы сетевого уровня для транспортировки через соединение «точка--точка». Это позволяет одновременно передавать пакеты Novell IPX и Microsoft IP no одному соединению РРР.

Для доставки конфиденциальных данных из одной точки в другую через сети общего пользования сначала производится инкапсуляция данных с помощью протокола РРР, затем протоколы РРТР и L2TP выполняют шифрование данных и собственную инкапсуляцию. После того как туннельный протокол доставляет пакеты из начальной точки туннеля в конечную, выполняется деинкапсуляция.

На физическом и канальном уровнях протоколы РРТР и L2TP идентичны, но на этом их сходство заканчивается и начинаются различия.

Протоколы формирования защищенных каналов на сеансовом уровне

Самым высоким уровнем модели OSI, на котором возможно формирование защищенных виртуальных каналов, является пятый -- сеансовый уровень, При построении защищенных виртуальных сетей на сеансовом уровне появляется возможность криптографической защиты информационного обмена, включая аутентификацию, а также реализации ряда функций посредничества между взаимодействующими сторонами.

Действительно, сеансовый уровень модели OSI отвечает за установку логических соединений и управление этими соединениями. Поэтому существует возможность применения на этом уровне программ-посредников, проверяющих допустимость запрошенных соединений и обеспечивающих выполнение других функций защиты межсетевого взаимодействия.

Однако на сеансовом уровне начинается непосредственная зависимость от приложений, реализующих высокоуровневые протоколы. Поэтому реализация протоколов защиты информационного обмена, соответствующих этому уровню, в большинстве случаев требует внесения изменений в высокоуровневые сетевые приложения.

Для защиты информационного обмена на сеансовом уровне широкое распространение получил протокол SSL. Для выполнения на сеансовом уровне функций посредничества между взаимодействующими сторонами организацией IETF в качестве стандарта принят протокол SOCKS .

Многие точки доступа работают в открытом режиме, поэтому необходимо использовать методы защиты передаваемых данных. На защищаемом компьютере должен быть установлен VPN-клиент, который возьмет на себя решение этой задачи. Практически все современные ОС содержат в своем составе такие программные компоненты. [6,4]

2.1.2 Защита на сетевом уровне - протокол IPSEC

Стек протоколов IPSec используется для аутентификации участников обмена, туннелирования трафика и шифрования IP -пакетов. Основное назначение протокола IPSec (Internet Protocol Security) -- обеспечение безопасной передачи данных по сетям IP. Поскольку архитектура IPSec совместима с протоколом IPv4, ее поддержку достаточно обеспечить на обоих концах, соединения; промежуточные сетевые узлы могут вообще ничего «не знать» об IPSec. Протокол IPSec может защищать трафик как текущей версии протокола IPv4, применяемой сегодня в Internet, так и трафик новой версии IPv6, которая постепенно внедряется в Internet.

Архитектура средств безопасности IPSec

Основное назначение протоколов IPSec -- обеспечение безопасной передачи данных по сетям IP. Применение IPSec гарантирует:

· целостность передаваемых данных (т. е. данные при передаче не искажены, не потеряны и не продублированы);

· аутентичность отправителя (т. е. данные переданы именно тем

· отправителем, который доказал, что он тот, за кого себя выдает);

· конфиденциальность передаваемых данных (т. е. данные передаются в форме, предотвращающей их несанкционированный просмотр).

Следует отметить, что обычно в понятие безопасности данных включают еще одно требование -- доступность данных, что в рассматриваемом контексте можно интерпретировать как гарантию их доставки. Протоколы IPSec не решают данную задачу, оставляя ее протоколу транспортного уровня TCP. Стек протоколов IPSec обеспечивает защиту информации на сетевом уровне, что делает эту защиту невидимой для работающих приложений.

Фундаментальной единицей коммуникации в IP-сетях является IP-пакет. IPпакет содержит S-адрес источника и D-адрес получателя сообщения, транспортный заголовок, информацию о типе данных, переносимых в этом пакете, и сами данные (рис. 3). [10]

...