Первая страница
Наша команда
Контакты
О нас

    Головна сторінка



Концепція безпеки в локальній мережі а також технічні і організаційні аспекти рішення цієї проблеми

Скачати 338.79 Kb.

Концепція безпеки в локальній мережі а також технічні і організаційні аспекти рішення цієї проблеми




Скачати 338.79 Kb.
Сторінка2/2
Дата конвертації10.06.2017
Розмір338.79 Kb.
1   2

Протокол управління криптоключами SKIP
SKIP (Simple Key mamagement for Internet Protocol - Простій протокол управління криптоключами в інтермережі) розроблений компанією Sun Microsystems в 1994 році і запропонований як стандарт Internet. На 33-ій сесії "законодавчого органу" Internet - комісії Internet Engineering Task Force (IETF), що пройшла в липні цього року в Стокгольмі була створена робоча група по протоколу SKIP, що можна вважати першим кроком до прийняття SKIP як стандарт.

IETF (англ. Internet Engineering Task Force) - відкрите міжнародне співтовариство проектувальників, учених, мережевих операторів і провайдерів, створене IAB в 1986 році, яке займається розвитком протоколів і архітектури Інтернету.

У основі SKIP лежить криптографія відкритих ключів Діффі-хеллмана.

SKIP має, в порівнянні з існуючими системами шифрування трафіку ряд унікальних особливостей:
* SKIP універсальний: він шифрує IP-пакети, не знаючи нічого про додатки, користувачів або процеси, що їх формують; встановлений в комп'ютері безпосередньо над пакетним драйвером, він обробляє важ трафік, не накладаючи ніяких обмежень ні на вищерозміщене програмне забезпечення, ні на фізичні канали, на яких він використовується

* SKIP сеансонезависим: для організації захищеної взаємодії не вимагається додаткового інформаційного обміну (за виключенням одного разу і назавжди запитаного відкритого ключа партнера по зв'язку)

* SKIP незалежний від системи шифрування (в тому сенсі, що різні системи шифрування можуть під'єднуватися до системи, як зовнішні бібліотечні модулі); користувач може вибирати будь-який з пропонованих постачальником або використовувати свій алгоритм шифрування інформації;

Шифрува́ння - оборотне перетворення даних, з метою приховання інформації. Шифрування з'явилось близько 4 тис. років назад. Першим відомим зразком шифру вважається єгипетський текст, створений приблизно в 1900 р.

можуть використовуватися різні (різною мірою захищені) алгоритми шифрування для закриття пакетного ключа і власне даних.
Пристрій забезпечення безпеки локальної мережі SKIPBridge
Пристрій SKIPBridge є системою, що встановлюється на інтерфейсі внутренняя/внешняя мережа (локальна сеть/коммуникационный провайдер). Пристрій забезпечує захист (шифрування) трафіку, що направляється з внутрішньої мережі в зовнішню на основі протоколу SKIP, а також фільтрацію і дешифровку трафіку, що поступає із зовнішньої мережі у внутрішню.

IP-пакети, що приймаються із зовнішньої мережі, обробляються протоколом SKIP (расши-фровываются, фільтруються відкриті пакети в режимі тільки захищеного трафіку, контролюється і забезпечується имитозащита). Пакети, що пройшли фільтрацію SKIP, за допомогою протоколу IP передаються програмному забезпеченню SKIPBridge, вирішальному завдання адміністративної безпеки (що забезпечує пакетну фільтрацію), і потім - операційній системі пристрою SKIPBridge, яка маршрутизує пакети на адаптер внутрішньої (локальною) мережі.

Операці́йна систе́ма, скорочено ОС (англ. operating system, OS) - це базовий комплекс програм, що виконує управління апаратною складовою комп'ютера або віртуальної машини; забезпечує керування обчислювальним процесом і організовує взаємодію з користувачем.


Пристрій SunScreen: апаратна система захисту локальних мереж
SunScreen - це спеціалізована система захисту, розроблена компанією Sun Microsystems, вирішальна завдання розвиненої фільтрації пакетів, аутентифікації і забезпечення конфіденційності трафіку. Пристрій SunScreen виконаний на основі апаратного модуля SPF-100. SPF-100 містить SPARC-процесор, що працює під управлінням спеціальної усіченої версії ОС Solaris, з якої вилучені функції низькорівневої обробки IP-пакетів. SunScreen не має IP-адреси, тому він "невидимий" із зовнішньої мережі і, тому, несхильний до прямої атаки.

Пристрій SunScreen, містить п'ять Ethernet-адаптерів, до яких можуть під'єднуватися чотири незалежні сегменти локальної мережі і комунікаційний провайдер. Для кожного сегменту забезпечується настройка індивідуальної політики безпеки шляхом завдання складного набору правил фільтрації пакетів (по напряму розповсюдження, по адресах відправника/одержувача, по протоколах і додатках, за часом доби і т.д.).

Іншою важливою межею SunScreen є підтримка протоколу SKIP, що, з одного боку використовується для забезпечення безпеки роботи, управління і конфігурації систем SunScreen, а з іншої - дозволяє організовувати SKIP-захист призначеного для користувача трафіку. Використання протоколу SKIP в Screen-системах привностит декілька додаткових можливостей. Screen-пристрої можуть інкапсулювати важ зовнішній трафік локальних мереж, що захищаються, в SKIP (проводити SKIP-туннелиро-вание). При цьому початкові IP-пакети можуть поміщатися в блоки даних SKIP-пакетів, а мережеві адреси всіх вузлів внутрішніх мереж можуть бути замінені на деякі віртуальні адреси, що відповідають в зовнішній мережі Screen-пристроям (адресна векторизація). В результаті важ трафік між локальними мережами, що захищаються, може виглядати ззовні тільки як повністю шифрований трафік між узлами-Screen-устрой-ствами. Вся інформація, яка може бути в цьому випадку доступна зовнішньому спостерігачеві, - це тимчасова динаміка і оцінка інтенсивності трафіку, яка, відмітимо, може маскуватися шляхом використання стиснення даних і видачі "порожнього" трафіку.

Сти́снення да́них (англ. data compression) - це процедура перекодування даних, яка проводиться з метою зменшення їхнього обсягу, розміру, об'єму.

Продукт SunScreen був визнаний журналом "LAN Magazin" продуктом 1996 року в категорії firewall.


Концепція рішення: політика безпеки

У такому важливому завданні, як забезпечення безпеки інформаційної системи, немає і не може бути повністю готового рішення. Це пов'язано з тим, що структура кожної організації, функціональні зв'язки між її підрозділами і окремими співробітниками практично ніколи повністю не повторюються. Тільки керівництво організації може визначити, наскільки критичне порушення безпеки для компонент інформаційної системи, хто, коли і для вирішення яких завданнях може використовувати ті або інші інформаційні сервіси.

Ключовим етапом для побудови надійної інформаційної системи є вироблення політики безпеки.

Під політикою безпеки ми розумітимемо сукупність документованих управлінських рішень, направлених на захист інформації і пов'язаних з нею ресурсів.

З практичної точки зору політикові безпеки доцільно розділити на три рівні:

* Рішення, що зачіпають організацію в цілому.

Аспект (лат. aspectus - вигляд, погляд) - поняття філософії (онтології, теорії пізнання). У філософії аспект розглядається

Вони носять вельми загальний характер і, як правило, виходять від керівництва організації.

* Питання, що стосуються окремих аспектів інформаційної безпеки, але важливі для різних систем, експлуатованих організацією.

* Конкретні сервіси інформаційної системи.


Третій рівень включає два аспекти - цілі (політики безпеки) і правила їх досягнення, тому його порою важко відокремити від питань реалізації. На відміну від двох верхніх рівнів, третій повинен бути набагато детальніше. У окремих сервісів є багато властивостей, які не можна єдиним чином регламентувати в рамках всієї організації. В той же час ці властивості настільки важливі для забезпечення режиму безпеки, що рішення, що відносяться до них, повинні ухвалюватися на управлінському, а не технічному рівні.

У даному випадку істотна політика безпеки, що формується на двох нижніх рівнях. Для того, щоб розглянути її конкретніше, необхідно визначити суть і основні функціональні властивості міжмережевого екрану - інструменту проведення цієї політики.

Нижні Рівні - село в Україні, в Чутівському районі Полтавської області. Населення становить 183 осіб. Орган місцевого самоврядування - Черняківська сільська рада.

Міжмережевий екран, Мережевий екран, Фаєрво́л, файрво́л англ. Firewall, буквально «вогняна стіна» - пристрій або набір пристроїв, сконфігурованих, щоб допускати, відмовляти, шифрувати, пропускати через проксі весь комп'ютерний трафік між областями різної безпеки згідно з набором правил та інших критеріїв.


Міжмережевий екран - інструмент реалізації політики безпеки
Розглянемо структуру інформаційної системи підприємства (організації). У загальному випадку вона є неоднорідним набором (комплекс) з різних комп'ютерів, керованих різними операційними системами і мережевого устаткування, що здійснює взаємодію між комп'ютерами. Оскільки описана система вельми різнорідна (навіть комп'ютери одного типу і з однією ОС можуть, відповідно до їх призначення, мати абсолютно різні конфігурації), навряд чи має сенс здійснювати захист кожного елементу окремо. У зв'язку з цим пропонується розглядати питання забезпечення інформаційної безпеки для локальної мережі в цілому. Це виявляється можливим при використанні міжмережевого екрану (firewall).

Концепція міжмережевого екранування формулюється таким чином.

Хай є дві безліч інформаційних систем. Екран - це засіб розмежування доступу клієнтів з однієї множини до серверів з іншої множини.

Розмежування доступу (англ. access mediation) - сукупність процедур, що реалізують перевірку запитів на доступ і оцінку на підставі Правил розмежування доступу можливості надання доступу.

Екран виконує свої функції, контролюючи всі інформаційні потоки між двома безліччю систем. У простому випадку екран складається з двох механізмів, один з яких обмежує переміщення даних, а другий, навпаки, йому сприяє (тобто здійснює переміщення даних). У більш загальному випадку екран (напівпроникну оболонку) зручно уявляти собі як послідовність фільтрів. Кожен з них може затримати (не пропустити) дані, а може і відразу "перекинути" їх "на іншу сторону". Крім того, допускається передача порції даних на наступний фільтр для продовження аналізу, або обробка даних від імені адресата і повернення результату відправникові

Крім функцій розмежування доступу, екрани здійснюють також протоколювання інформаційних обмінів.

Обро́бка да́них - систематична цілеспрямована послідовність дій над даними. Обробка даних містить в собі множину різних операцій.

Зазвичай екран не є симетричним, для нього визначені поняття "усередині" і "зовні". При цьому завдання екранування формулюється як захист внутрішньої області від потенційно ворожої зовнішньої. Так, міжмережеві екрани встановлюють для захисту локальної мережі організації, що має вихід у відкрите середовище, подібну Internet. Інший приклад екрану - пристрій захисту порту, контролюючий доступ до комунікаційного порту комп'ютера до і незалежно від всіх інших системних захисних засобів.

Екранування дозволяє підтримувати доступність сервісів внутрішньої області, зменшуючи або взагалі ліквідовуючи навантаження, що індукується зовнішньою активністю. Зменшується уразливість внутрішніх сервісів безпеки, оскільки спочатку сторонній зловмисник повинен подолати екран, де захисні механізми конфігуровані особливо ретельно і жорстко. Крім того, екрануюча система, на відміну від універсальної, може бути влаштована простішим і, отже, безпечнішим чином.

Екранування дає можливість контролювати також інформаційні потоки, направлені в зовнішню область, що сприяє підтримці режиму конфіденційності.

Найчастіше екран реалізують як мережевий сервіс на третьому (мережевому), четвертому (транспортному) або сьомому (прикладному) рівнях семирівневої еталонної моделі OSI. У першому випадку ми маємо екрануючий маршрутизатор, в другому - екрануючий транспорт, в третьому - екрануючий шлюз. Кожен підхід мають свої достоїнства і недоліки; відомі також гібридні екрани, де робиться спроба об'єднати кращі якості згаданих підходів.

Екрануючий маршрутизатор має справу з окремими пакетами даних, тому іноді його називають пакетним фільтром. Рішення про те, пропустити або затримати дані, приймаються для кожного пакету незалежно, на підставі аналізу полів заголовків мережевого і (мабуть) транспортного рівнів, шляхом застосування заздалегідь заданої системи правив. Ще один важливий компонент аналізованої інформації - порт, через який пакет поступив в маршрутизатор.

Сучасні маршрутизатори (такі, як продукти компаній Bay Networks або Cisco) дозволяють пов'язувати з кожним портом декілька десятків правив і фільтрувати пакети як на вході (під час вступу до маршрутизатора), так і на виході. В принципі, як пакетний фільтр може використовуватися і універсальний комп'ютер, забезпечений декількома мережевими картами.

Основні достоїнства екрануючих маршрутизаторів - дешевизна (на межі мереж маршрутизатор потрібний практично завжди, справа лише в тому, щоб задіювати його екрануючі можливості) і прозорість для вищих рівнів моделі OSI. Основний недолік - обмеженість аналізованої інформації і, як наслідок. відносна слабкість забезпечуваного захисту.

Екрануючий транспорт дозволяє контролювати процес встановлення віртуальних з'єднань і передачу інформації ним. З погляду реалізації екрануючий транспорт є досить простим, а значить, надійну програму. Приклад екрануючого транспорту - продукт TCP wrapper.

В порівнянні з пакетними фільтрами, що екранує транспорт володіє більшою інформацією, тому він може здійснювати тонший контроль за віртуальними з'єднаннями (наприклад, він здатний відстежувати кількість передаваної інформації і розривати з'єднання після перевищення певної межі, перешкоджаючи тим самим несанкціонованому експорту інформації). Аналогічно, можливе накопичення змістовнішої реєстраційної інформації. Головний недолік - звуження області застосовності, оскільки поза контролем залишаються датаграммные протоколи. Зазвичай екрануючий транспорт застосовують у поєднанні з іншими підходами, як важливий додатковий елемент.

Екрануючий шлюз, що функціонує на прикладному рівні, здатний забезпечити найбільш надійний захист. Як правило, що екранує шлюз є універсальним комп'ютером, на якому функціонують програмні агенти, - поодинці для кожного обслуговуваного прикладного протоколу. При подібному підході, крім фільтрації, реалізується ще один найважливіший аспект екранування. Суб'єкти із зовнішньої мережі бачать тільки шлюзовий комп'ютер; відповідно, їм доступна тільки та інформація про внутрішню мережу, яку шлюз вважає потрібним експортувати. Шлюз насправді екранує, тобто затуляє, внутрішню мережу від зовнішнього світу. В той же час суб'єктам внутрішньої мережі здається, що вони безпосередньо спілкуються з об'єктами зовнішнього світу. Недолік екрануючих шлюзів - відсутність повної прозорості, що вимагає спеціальних дій для підтримки кожного прикладного протоколу.

Прикладом інструментарію для побудови екрануючих шлюзів є TIS Firewall Toolkit компанії Trusted Information Systems.

У гібридних системах, таких як Firewall-1 компанії Sun Microsystems, дійсно вдається об'єднати кращі якості екрануючих систем, тобто отримати надійний захист, зберегти прозорість для додатків і утримати накладні витрати в розумних межах. Крім того, з'являються і дуже цінні нові можливості, такі як відстежування передачі інформації в рамках датаграммных протоколів.

Комуніка́ція (від лат. communicatio - єдність, передача, з'єднання, повідомлення, пов'язаного з дієсловом лат. communico - роблю спільним, повідомляю, з'єдную, похідним від лат. communis - спільний) - це процес обміну інформацією (фактами, ідеями, поглядами, емоціями тощо) між двома або більше особами, спілкування за допомогою вербальних і невербальних засобів із метою передавання та одержання інформації.

Важливим поняттям екранування є зона риски, яка визначається як безліч систем, які стають доступними зловмисникові після подолання екрану або якого-небудь з його компонентів. Як правило, для підвищення надійності захисту екран реалізують як сукупність елементів, так що "злом" один з них ще не відкриває доступ до всієї внутрішньої мережі. Приклад можливої конфігурації багатокомпонентного екрану представлений на мал. 3.

Розглянемо вимоги до реальної системи, що здійснює міжмережеве екранування. В більшості випадків екрануюча система повинна:


* Забезпечувати безпеку внутрішньої (що захищається) мережі і повний контроль над зовнішніми підключеннями і сеансами зв'язку;

* Володіти могутніми і гнучкими засобами управління для повного і, наскільки можливо, простого втілення в життя політики безпеки організації. Крім того, екрануюча система повинна забезпечувати просту реконфигурацию системи при зміні структури мережі;

* Працювати непомітно для користувачів локальної мережі і не утрудняти виконання ними легальних дій;

* Працювати досить ефективно і встигати обробляти важ вхідний і витікаючий трафік в "пікових" режимах. Це необхідно для того, щоб firewall не можна було, образно кажучи, "закидати" великою кількістю викликів, які привели б до порушення роботи;

* Володіти властивостями самозахисту від будь-яких несанкціонованих дій, оскільки міжмережевий екран є ключем до конфіденційної інформації в організації;

* Якщо у організації є декілька зовнішніх підключень, у тому числі і у видалених філіях, система управління екранами повинна мати можливість централізований забезпечувати для них проведення єдиної політики безпеки;

Конфіденці́йна інформ́ація - інформація про фізичну особу (персональні дані) або юридичну особу, доступ та поширення якої можливі лише за згодою її власників (тобто тих, кого ця інформація безпосередньо стосується) та на тих умовах, які вони вкажуть.

Система керування, також Система управління (англ. control system) - систематизований набір засобів впливу на підконтрольний об'єкт для досягнення цим об'єктом певної мети. Об'єктом системи керування можуть бути як технічні об'єкти так і люди.

* Мати засоби авторизації доступу користувачів через зовнішні підключення. Типовою є ситуація, коли частина персоналу організації повинна виїжджати, наприклад, у відрядження, і в процесі роботи їм потрібний доступ, принаймні, до деяких ресурсів внутрішньої комп'ютерної мережі організації. Система повинна надійно розпізнавати таких користувачів і надавати їм необхідний види доступу.
Екранування дозволяє підтримувати доступність сервісів усередині інформаційної системи, зменшуючи або взагалі ліквідовуючи навантаження, ініційоване зовнішньою активністю. Зменшується уразливість внутрішніх сервісів безпеки, оскільки спочатку зловмисник повинен подолати екран, де захисні механізми конфігуровані особливо ретельно і жорстко. Крім того, екрануюча система, на відміну від універсальної, може бути влаштована простішим і, отже, надійнішим чином. Екранування дає можливість контролювати інформаційні потоки, направлені в зовнішню область, забезпечуючи режим конфіденційності.

Таким чином, екранування у поєднанні з іншими заходами безпеки використовує ідею багаторівневого захисту. За рахунок цього внутрішня мережа піддається ризику тільки у разі подолання декілька, по-різному організованих захисних рубежів.

Наявність інструменту міжмережевого екранування дозволяє використовувати його і для контролю доступу до інформаційних ресурсів організації по комутованих каналах зв'язку. Для цього необхідно використовувати пристрій, званий термінальним сервером. Термінальний сервер є програмно-апаратною конфігурацією, розглянутою в наступному розділі.

Термінальний сервер (англ. terminal server) - сервер, що надає клієнтам обчислювальні ресурси (процесорний час, пам'ять, дисковий простір) для вирішення завдань. Технічно термінальний сервер - надпотужний комп'ютер (або кластер), підключений до мережі з термінальними клієнтами - у котрих є, як правило, малопотужні або застарілі робочі станції або спецрішення для доступу до термінального сервера.

Як засіб роботи з комутованими каналами зв'язку пропонується термінальний сервер "Annex" компанії "Bay Networks".
Особливості і переваги пропонованого рішення
Конфігурація міжмережевого екрану з екрануючою підмережею (мал. 3) є однією з найбільш надійних на сьогоднішній день. Причиною цьому є наявність принаймні трьох рівнів захисту:
* Зовнішній екрануючий маршрутизатор;

* Екрануючий шлюз;

* Внутрішній екрануючий маршрутизатор.
Слабкі місця кожною з цих систем різні. Екрануюча підмережа дозволяє також просте включення комутованих каналів зв'язку в загальний контур забезпечення безпеки. Критичною у разі пропонованого рішення буде ефективність роботи екрануючого шлюзу, його здатність ефективно переробляти інформацію, що проходить через екран. Це, у свою чергу, вимагає установки програмного забезпечення з малими втратами в продуктивності системи на екрануючий комп'ютер-шлюз, який сам достатньо надійно захищений вбудованими засобами ОС, - наприклад, комп'ютер фірми SUN під управлінням ОС Solaris з програмою міжмережевого екранування Firewall-1.

Програма міжмережевого екранування Firewall-1 є лідером в своєму класі програм - на її основі побудовано більше 4000 систем, що в чотири рази більше, ніж у наступного за ним продукту. Причиною цьому є ряд відмінних рис, якими володіє вказана програма:


* Висока надійність, що забезпечується як роботою на рівні фільтрації мережевих пакетів, так і на рівні додатків;

* Централізоване управління роботою декількох фільтруючих модулів;

* Можливість роботи з будь-яким мережевим сервісом, як стандартним, так і визначеним користувачем;

Взаємодія комп'ютерів між собою, а також з іншим активним мережевим обладнанням, в TCP / IP-мережах організовано на основі використання мережевих служб, які забезпечуються спеціальними процесами мережевої операційної системи (ОС) - демонами в UNIX-подібних ОС, службами в ОС сімейства ОС Windows і т. д.

* Можливість фільтрації UDP пакетів;

* Можливість управління фільтрами маршрутизаторів компаній Bay Networks і CISCO;

* Висока ефективність роботи: використання Firewall-1 зменшує пропускну спроможність інформаційного каналу не більш, ніж на 10%;

* Повна прозорість роботи сервісів і додатків для користувачів;

* Додаткова аутентифікація клієнтів для великого набору сервісів;

* Дружний інтерфейс, що дозволяє легко перебудовувати правила фільтрації, описуючи їх в термінах політики безпеки;

* Для кожного правила (політики доступу) можуть бути визначені умови протоколювання, сповіщення адміністратора або іншої реакції системи;

* Засоби перевірки правил роботи фільтру на внутрішню несуперечність;

* Засоби моніторингу стану компонент системи, що дозволяють своєчасно виявити спробу нападу на неї;

* Засоби детального протоколювання і генерації звітів;

* Трансляція адрес локальної мережі, що дозволяє реалізувати як додатковий захист комп'ютерів локальної мережі, так і ефективніше використання офіційного набору IP-адрес;

* Простота установки і адміністрування.
Одним з найбільш поширених засобів аутентифікації видалених користувачів є програма S/key компанії Bellcore. Ця програма є засобом обміну одноразовими паролями, що робить неможливим несанкціонований доступ в систему, навіть якщо ця інформація ким-небудь перехоплена. Програма S/key сумісна із засобами аутентифікації системи Firewall-1.
Технічні аспекти забезпечення безпеки
У цьому розділі ми детальніше розглянемо основні апаратні і програмні компоненти, використовувані для досягнення захисту локальної мережі організації.
Апаратне забезпечення і компоновка системи безпеки

Структура екрануючого сегменту

У конфігурації firewall з екрануючою підмережею створюється додатковий мережевий сегмент, який розміщується між Internet і локальною мережею організації. У типовому випадку ця підмережа ізолюється маршрутизаторами, які можуть виконувати роль фільтрів.

Зазвичай екрануюча підмережа конфігурується так, щоб забезпечити доступ до комп'ютерів підмережі як із зовнішніх мереж, так і зсередини. Проте, прямий обмін інформаційними пакетами між зовнішніми і захищеними мережами неможливий.

Екрануючий шлюз є єдиною крапкою, до якої можливий доступ ззовні. Це гранично звужує зону риски, що складається з шлюзу і всіх маршрутизаторів, що здійснюють зв'язок між екрануючими підмережами, зовнішніми мережами і закритою локальною мережею.

При атаці системи з екрануючою підмережею необхідно подолати принаймні три незалежні лінії захисту, що є вельми складним завданням. Засоби моніторингу стану компонент міжмережевого екрану практично неминуче виявляють подібну спробу і адміністратор системи своєчасно може зробити необхідні дії із запобігання несанкціонованому доступу.

В більшості випадків робота екрануючої підмережі дуже сильно залежить від комплекту програмного забезпечення, встановленого на комп'ютері-шлюзі.



Конфігурація комп'ютера-шлюзу

Комп'ютер-шлюз з програмним забезпеченням, що несе основне навантаження, пов'язане з реалізацією політики безпеки, є ключовим елементом міжмережевого екрану. У зв'язку з цим він повинен задовольняти ряду вимог:


* Бути фізично захищеним;

* Мати засоби захисту від завантаження ОС з несанкціонованого носія;

* Мати засоби захисту на рівні ОС, що розмежовують доступ до ресурсів системи;

* ОС комп'ютера повинна забороняти привілейований доступ до своїх ресурсів з локальної мережі;

* ОС комп'ютера повинна містити засоби моніторингу/аудиту будь-яких адміністративних дій.
Приведеним вимогам задовольняють молодші моделі серверів SPARC під управлінням ОС Solaris. В даному випадку рекомендується модель SPARCstation 4 з ОЗУ 32 Мб і ємкістю диска 1 Гб.

Забезпечення безпеки видаленого доступу

Робота видалених користувачів, що підключаються через комутовані лінії зв'язку, також повинна контролюватися відповідно до політики безпеки, що проводиться в організації. Оскільки телефонні лінії неможливо тримати під контролем, необхідні додаткові засоби аутентифікації користувачів. При цьому кожен з легальних користувачів повинен мати можливість доступу до потрібних ресурсів.

Типове рішення цієї задачі - установка термінального сервера, який володіє необхідними функціональними можливостями. Мережевий термінальний сервер Annex компанії Bay Networks є системою з декількома асинхронними портами і одним інтерфейсом локальної мережі. Обмін інформацією між асинхронними портами і локальною мережею, здійснюється тільки після відповідної авторизації і аутентифікації зовнішнього користувача.

Програмне забезпечення термінального сервера надає можливості адміністрування і контролю сеансів зв'язку через комутовані канали.


Програмне забезпечення і конфігурація

Програма Firewall-1

Програма Firewall-1 встановлюється на комп'ютер-шлюз і виконує основні функції екранування міжмережевого доступу. Структурно Firewall-1 є адміністративним модулем, керівник набором модулів фільтрів, встановлених, відповідно, на маршрутизаторах, комп'ютері-бастіоні і, при необхідності, на виділених серверах усередині локальної мережі.

В даному випадку пропонується установка модулів фільтрації Firewall-1 на комп'ютер-шлюз і маршрутизатори екрануючої підмережі.

Робота з програмою Firewall-1 складається з наступних етапів:


* вироблення правил фільтрації відповідно до політики безпеки підприємства;

* визначення мережевих об'єктів, взаємовідношення яких регламентується правилами фільтрації;

* визначення набору використовуваних сервісів або на основі вбудованої бази даних, що має значний набір TCP/IP сервісів, або визначаючи власні сервіси, використовувані в організації;

* визначення бази даних користувачів з вказівкою можливих робочих місць, часу роботи і порядок аутентифікації;

Робо́че мі́сце - елементарна одиниця виробничої структури, що містить частину простору виробничого підрозділу, яка потрібна для здійснення трудової операції та оснащена матеріально-технічними засобами, що використовуються у процесі праці.

* визначення правил фільтрації в інтерфейсі Firewall-1;

* перевірка внутрішньої несуперечності набору правил фільтрації;

* компіляція фільтру і його установка на фільтруючих модулях;

* аналіз протоколів роботи для перевірки адекватності політики безпеки підприємства.


Додатково включається трансляція адрес. Висока продуктивність Firewall-1 і прозорість програми для користувачів дозволяє ефективно використовувати його як інструмент міжмережевого екранування відповідно до політики безпеки підприємства.

Засіб аутентифікації S/key

Програма S/key призначена для генерації одноразових паролів, використовуваних для аутентифікації видалених користувачів.

Одноразовий пароль (англ. one time password, OTP) - це пароль, який є дійсним тільки для одного сеансу автентифікації. Його дія також може бути обмежена певним проміжком часу. Перевага такого паролю порівняно зі статичним полягає в тому, що його неможливо використовувати повторно.

Основною перевагою цієї програми є відсутність передачі пароля через загальнодоступні комунікації. Це, у свою чергу, робить неможливим діставання несанкціонованого доступу шляхом перехоплення мережевих пакетів, що можливо, наприклад, у разі стандартних сервісів типу telnet.

У основі роботи програми S/key лежить використання односторонніх функцій - функцій, для яких відновлення значення аргументу по значенню функції (звернення) вимагає практично недоступних обчислювальних ресурсів.

Обчи́слювальні ресу́рси - можливості, забезпечувані компонентами обчислювальної системи, що витрачаються (зайняті) в процесі її роботи.

Робота S/key складається з ініціалізації, коли призначений для користувача пароль використовується як аргумент односторонньої функції, вживаної послідовно N разів, і сеансової аутентифікації, яка зводиться до наступного:
* видалений користувач повідомляє серверу своє ім'я;

* сервер повертає користувачеві число, рівне N-1;

* користувач на локальному комп'ютері вводить пароль, з яким клієнтська частина проводить N-1 обчислень односторонньої функції;

* результат обчислень посилається серверу;

* сервер проводить ще одне обчислення односторонньої функції і порівнює результат з отриманим від клієнта в попередній раз.
Таким чином, при використанні некриптографічного засобу забезпечується перевірка достовірності клієнта, причому сеансові паролі є одноразовими і не відновлюються за допомогою попередніх або подальших паролів.

Модуль управління термінальним сервером

Модуль управління термінальним сервером Annex має достатньо просунуті можливості забезпечення безпеки самого сервера і розмежування доступу клієнтів, виконуючи наступні функції:


* використання локального пароля на доступ до послідовного порту, для доступу по протоколу PPP, для доступу до адміністративної консолі;

Послідо́вний порт (англ. serial port) - двонаправлений послідовний інтерфейс, призначений для обміну байтовою інформацією. Послідовний тому, що інформація через нього передається по одному біту, біт за бітом (на відміну від паралельного порту).

* використання запиту на аутентифікацію з якої-небудь машини локальної мережі;

* використання зовнішніх засобів аутентифікації, таких як S/key;

* установку списку контролю доступу на порти термінального сервера;

* протоколювання сеансів зв'язку через термінальний сервер.
Пропонується установка термінального сервера так, щоб його робота здійснювалася виключно через комп'ютер-бастіон і з використанням аутентифікації одноразовими паролями (S/key). Це дозволить досягти необхідного ступеня безпеки при роботі видалених користувачів з інформаційними ресурсами організації.
Розробка і корекція правил політики безпеки
При конфігурації міжмережевих екранів основні конструктивні рішення заздалегідь задаються політикою безпеки, прийнятої в організації. У описуваному випадку необхідно розглянути два аспекти політики безпеки: політику доступу до мережевих сервісів і політика міжмережевого екрану.

При формуванні політики доступу до мережевих сервісів повинні бути сформульовані правила доступу користувачів до різних сервісів, використовуваних в організації. Цей аспект, таким чином складається з двох компонент.

База правив для користувачів описує коли, який користувач (група користувачів) яким сервісом і на якому комп'ютері може скористатися. Окремо визначаються умови роботи користувачів поза локальною мережею організації так само як і умови їх аутентифікації.

База правив для сервісів описує набір сервісів, що проходять через мережевий екран, а також допустимі адреси клієнтів серверів для кожного сервісу (групи сервісів).

У політиці, що регламентує роботу міжмережевого екрану, рішення можуть бути ухвалені як на користь безпеки в збиток легкості використання, так і навпаки. Є два основних:
* Все, що не дозволене, то заборонено.

* Все, що не заборонене, то дозволено.


У першому випадку міжмережевий екран повинен бути конфігурований так, щоб блокувати все, а його робота повинна бути впорядкована на основі ретельного аналізу небезпеки і риски. Це безпосередньо відбивається на користувачах і вони, взагалі кажучи, можуть розглядати екран просто як перешкоду. Така ситуація примушує накладати підвищені вимоги на продуктивність екрануючих систем і підвищує актуальність такої властивості, як "прозорість" роботи міжмережевого екрану з погляду користувачів. Перший підхід є безпечнішим, оскільки передбачається, що адміністратор не знає, які сервіси або порти безпечні, і які "дірки" можуть існувати в ядрі або додатку розробника програмного забезпечення. З огляду на те, що багато виробників програмного забезпечення не поспішають публікувати виявлені недоліки, істотні для інформаційної безпеки (що характерний для виробників так званого "закритого" програмного забезпечення, найбільшим з яких є Microsoft), цей підхід є, поза сумнівом, консервативнішим. По суті, він є визнанням факту, що незнання може заподіяти шкоду.

У другому випадку, системний адміністратор працює в режимі реагування, передбачаючи, які дії, що негативно впливають на безпеку, можуть зробити користувачі або порушники, і готує захист проти таких дій. Це істотно відновлює адміністратора firewall проти користувачів в нескінченних "гонках озброєнь", які можуть виявитися такими, що вельми вимотують. Користувач може порушити безпеку інформаційної системи, якщо не буде упевнений в необхідності заходів, направлених на забезпечення безпеки.



Висновок

Описані технічні рішення - тільки частина індустрії забезпечення безпеки, що бурхливо розвивається, в Internet. Проте вже зараз достатньо очевидно, що мова йде про виникненні новою, спільною, такою, що виходить по масштабу за межі окремого протоколу технічної ідеї, яка вважає кінець розрізненим технічним рішенням в області безпеки і дає початок єдиної технології побудови захищених комунікацій локальних мереж



Порівняння Internet з інформаційним містом стало банальністю. Проте, в цьому місті живуть різні люди і, переїздить в нього, слід пам'ятати не тільки про блага цивілізації, але і про можливі небезпеки. Грамотно конфігуровані міжмережеві екрани - вельми практичний і надійний засіб захисту від зовнішніх погроз.


Література

1. Борисюк Б.М. «Системи та мережі передачі даних»

2. Буров Є.М. «Комп’ютерні мережі» Вид. «Львів» 2002р.

3. Куроус Дж. «Компьютерные сети» Изд. «Питер» 2004г.

4. Луцький Г.М., Кулаков Ю.О. «Комп’ютерні мережі» Київ вид. «Юніор» 2005р.

5. Оліфер В.Г. «Компьютерные сети. Принципы технологии. Протоколы»

Изд. «Питер» 2002г.




1   2


Скачати 338.79 Kb.

  • Internet Engineering Task Force
  • Пристрій забезпечення безпеки локальної мережі SKIPBridge
  • Пристрій SunScreen: апаратна система захисту локальних мереж
  • Концепція рішення: політика безпеки
  • Міжмережевий екран - інструмент реалізації політики безпеки
  • Особливості і переваги пропонованого рішення
  • Технічні аспекти забезпечення безпеки
  • Апаратне забезпечення і компоновка системи безпеки Структура екрануючого сегменту
  • Конфігурація компютера-шлюзу
  • Забезпечення безпеки видаленого доступу
  • Програмне забезпечення і конфігурація Програма Firewall-1
  • Засіб аутентифікації S/key
  • Модуль управління термінальним сервером
  • Розробка і корекція правил політики безпеки
  • Література 1. Борисюк Б.М. «Системи та мережі передачі даних» 2. Буров Є.М. «Комп’ютерні мережі» Вид. «Львів» 2002р.
  • 5. Оліфер В.Г. «Компьютерные сети. Принципы технологии. Протоколы» Изд. «Питер» 2002г.