Политика безопасности и принципы построения системы обеспечения безопасности (СОБ) корпоративной сети

Система обеспечения безопасности СОБ представляет собой единую совокупность организационных (административных) мер, правовых и морально-этических норм, программно-аппаратных средств, направленных на противодействие угрозам сети с целью сведения до минимума возможного ущерба пользователям и владельцам сети. Обеспечение безопасности конкретной сети должно осуществляться с учетом конкретных особенностей: назначения, топологии, особенностей конфигурации, потоков информации, количества пользователей, режима работы и т.д.

Формирование СОБ корпоративной сети базируется на политике безопасности (способе управления доступом) – наборе законов, правил и практических рекомендаций, реализуемых с помощью различных мер, норм и средств защиты. Для конкретной организации и ее сети политика безопасности должна быть индивидуальной, учитывающей указанные выше особенности. Ее реализация осуществляется с помощью средств управления механизмами защиты.

Основу политики безопасности составляет способ управления доступом, определяющий порядок доступа субъектов сети к ее объектам. Субъект– это активный компонент сети, являющийся причиной потока информации или изменения состояния сети. Объект– пассивный компонент сети, выполняющий функции хранения, приема или передачи информации. Доступ к объекту подразумевает доступ к содержащейся в нем информации.

Различают два вида политики безопасности: избирательную и полномочную.

В основе избирательной политики безопасности лежит избирательное управление доступом, подразумевающее, что все субъекты и объекты сети идентифицированы, а права доступа субъекта к объекту определяются некоторым правилом (свойством избирательности). Наибольшее применение избирательная политика получила в коммерческом секторе, поскольку ее реализация практически отвечает требованиям коммерческих организаций по разграничению доступа, а также имеет небольшие накладные расходы и стоимость.

Полномочная политика безопасности основана на использовании полномочного управления доступом, для которого характерны следующие: субъекты и объекты сети также идентифицированы; каждому объекту присваивается метка критичности, определяющая ценность, уровень приоритета содержащийся в нем информации; каждому субъекту присваивается уровень прозрачности (уровень доступа), определяющий максимальное значение метки критичности объектов, к которым субъект имеет право доступа. Условие защиты звучит так: субъект может выполнять любую операцию над объектом только в том случае, если его уровень доступа не ниже метки критичности объекта. Основное назначение такой политики – регулирование доступа субъектов сети к объектам с различным уровнем критичности, предотвращение утечки информации с верхних уровней на нижние, блокирование возможных проникновений с нижних уровней на верхние. Полномочная политика безопасности изначально была разработана в интересах МО США для обработки информации с различными грифами секретности. В коммерческом секторе ее применение сдерживается отсутствием в коммерческих организациях четкой классификации хранимой в ККС информации (подобной государственной классификации), а также высокой стоимостью реализации и большими накладными расходами.

Помимо управления доступом субъектов к объектам сети, проблема защиты информации имеет еще один аспект: необходимость разработки правил, регулирующих управление информационными потоками в сети. Необходимо определять, какие информационные потоки в сети являются «легальными», не ведущими к утечке информации, и какие «нелегальными», таящими в себе опасность утечки информации. Управление информационными потоками обычно применяется в рамках избирательной или полномочной политики, дополняя их и повышая надежность СОБ.

Таким образом, избирательное или полномочное управление доступом и управление информационными потоками составляют основу формирования и функционирования СОБ корпоративной сети.

Очевидно, что все средства, отвечающие за реализацию политики безопасности, сами должны быть защищены от любого вмешательства в их работу, так как в противном случае трудно говорить о надежности защиты. Политика безопасности и механизмы поддержки ее реализации образуют единую защищенную среду, имеющую иерархическую структуру: ее верхние уровни представлены требованиями политики безопасности, затем следует интерфейс пользователя, далее – несколько программных уровней защиты (включая уровни операционных систем), и, наконец, на нижнем уровне этой структуры располагаются аппаратные средства защиты.

При построении СОБ корпоративной сети принципиально возможен выбор одной из двух концепций:

- создание надежной СОБ на базе каналов связи и средств коммутации территориальной сети связи (ТСС) общего пользования, в которой применяются протоколы Internet. Использование этой концепции связано с большими затратами на обеспечение надежной защиты при подключении ККС к Internet;

- создание СОБ на базе специализированной или выделенной сети связи ККС с использованием конкретной сетевой технологии, в частности FR, ATM, ISDN. Здесь предлагается отказаться от средств, услуг и технологий Internet, убедительно доказавших свою жизнеспособность и эффективность.

Эти концепции представляют полярные взгляды на решение проблемы обеспечения безопасности ККС. Очевидно, что решение этой проблемы представляет собой некоторый компромисс между этими концепциями.

Компромиссное решение по созданию СОБ корпоративной сети, использующей средства, услуги и технологии Internet, может базироваться на двух основных принципах:

- использование закрытого протокола при установлении соединения «клиент-сервер», обеспечивающего защищенное взаимодействие абонентов по виртуальному каналу связи;

- доступность открытых протоколов Internet для взаимодействия по защищенному виртуальному каналу после установления соединения.

В рамках указанных концепций создания СОБ корпоративной сети возможны два подхода к обеспечению безопасности ККС: фрагментарный и комплексный.

Главной отличительной особенностью фрагментарного подхода является отсутствие единой защищенной среды. Такой подход ориентируется на противодействие строго определенным угрозам при определенных условиях, например, использование специализиро-ванных антивирусных средств или автономных средств шифрования. Фрагментарные меры защиты обеспечивают эффективную защиту только конкретных объектов ККС от конкретной угрозы. Даже небольшое видоизменение угрозы ведет к потере эффективности защиты. Естественно, что фрагментарный подход имеет ограниченные области применения.

Для комплексного подхода отличительной особенностью является создание защищенной среды передачи, приема, хранения и обработки информации, объединяющей разнородные меры и средства противодействия угрозам безопасности. Эта среда строится на основе разработанной для конкретной ККС политики безопасности, что позволяет гарантировать определенный уровень безопасности. Недостатки комплексного подхода: сложность управления, ограничения на свободу действий пользователей сети, высокая чувствительность к ошибкам установки и настройки средств защиты. Области применения такого подхода неизмеримо шире. Он применяется для создания СОБ крупных ККС (где нарушение безопасности информации может принести огромный материальный ущерб) или небольших ККС, обрабатывающих дорогостоящую информацию или выполняющих ответственные задачи. Комплексный подход реализуется большинством государственных и крупных коммерческих предприятий и учреждений. Он нашел свое отражение в различных стандартах и целенаправленно проводится в жизнь.

Классификациясредствзащиты и способы из разработки

В зависимости от способа реализации методы и средства защиты разделяются на следующие группы.

1. Организационные методы. Они представляют собой набор инструкций, определяющий обязательные для всех пользователей порядок и правила использования компьютеров сети, а также ограничения по правилам доступа в компьютерные помещения.

2. Технологические методы. Они рассматриваются как основа защиты любой системы. Любое технологическое решение реализуется организационно, аппаратно или программно. Примеры технологических решений: фильтрация пакетов, мониторинг и аудит сети, автоматическое ведение журналов регистрации, система «обратного дозвона» (по запросу удаленного пользователя соединение не устанавливается, а лишь регистрируется запрос на соединение, после чего система сама производит обратный вызов абонента по указанному им адресу).

3. Аппаратные средства защиты (АСЗ). Они обеспечивают наиболее надежную защиту, с их помощью могут быть реализованы практически любые концепции защиты, но стоимость реализации оказывается на порядок выше по сравнению с аналогичными по назначению программным средствами. Аппаратные средства исключают любое вмешательство в их работу непосредственно из сети, изучение их работы возможно только при наличии непосредственного физического доступа к ним. Кроме того, они отличаются большей производительностью по сравнению с программными средствами (особенно если они используются в устройствах криптографической защиты).

4. Программные средства защиты (ПСЗ). Это наиболее распространенные средства, с их помощью реализуются все идеи и методы защиты, причем стоимость реализации сравнительно невысока. Основной недостаток программных средств – доступность для хакеров, особенно это касается широко распространенных на рынке средств защиты. Поэтому желательна разработка собственных оригинальных программных средств защиты.

5. Программно-аппаратные (гибридные) средства защиты. Они основаны на использовании технологических устройств, допускающих некоторую настройку параметров их работы программными методами, и представляют собой компромисс между предыдущими двумя способами, совмещая высокую производительность аппаратно реализованных систем и гибкость настройки программных. К числу таких гибридных средств относятся аппаратно реализованные маршрутизаторы фирмы Cisco, допускающие их настройку для работы в качестве пакетных фильтров.

Для СОБ корпоративной сети существуют различные варианты разработки и приобретения средств защиты. Приведем краткую характеристику этих вариантов.

Коммерческая реализация средств защиты – это доступное и полнофункциональное решение по комплектации СОБ аппаратными и программными средствами защиты. Используя такое решение, необходимо обращать внимание на сертификацию этих средств и приобретать только лицензионные версии. Общим и очевидным недостатком является неопределенность степени защиты по отношению к возможностям фирмы производителя. В связи с этим там, где это возможно, следует воспринимать общие рекомендации, но не всегда использовать конкретные рекомендуемые решения.

Самостоятельная разработка средств защиты – во всех случаях это наиболее предпочтительный вариант, особенно если речь идет о технологических и организационных методах защиты. При самостоятельной разработке АСЗ и ПСЗ достигается более высокая надежность защиты ККС, однако серьезным недостатком такого решения является трудность сертификации конечного продукта. Рациональным представляется такой вариант, когда осуществляется самостоятельная разработка только тех дополнений средств защиты, которые необходимы, но отсутствуют в готовом продукте. В этом случае получается дополнительный рубеж защиты, в том числе и от фирмы-производителя данного продукта.

Индивидуальный заказ средств защиты крупным производителям – такое решение могло бы стать идеальным, но в настоящее время трудно найти организацию, готовую реализовать такой заказ в полном объеме. Кроме того, этот вариант связан с немалыми финансовыми и временными затратами.

Смешанный подход к реализации средств защиты основан на том, что следует, не полагаясь на опыт поставщика, самостоятельно разобраться во всех возможностях настройки предлагаемого изделия и произвести ее, хотя это и связано с существенными трудозатратами. Такой подход почти всегда реален и реализуем.

Традиционные методы исредства обеспечения безопасности ККС

Рассматриваемые ниже конкретные методы и средства защиты, используемые в ККС, разделены на традиционные и специфические сетевые. Традиционные методы и средства зарождались и применялись еще до появления ТКС как в отдельных компьютерах, так и в многопользовательских средствах, построенных на одном компьютере. Сетевые методы и средства появились только с развитием сетевых технологий. Они не заменяют, а дополняют традиционные методы.

Традиционные методы и средства. К ним относятся следующие.

1. Криптографические методы защиты. Они необходимы во всех случаях обеспечения безопасности (независимо от того, применяются они в сети или вне ее) и основаны на шифровании информации и программ. Шифрование программ гарантирует невозможность внесения в них изменений. Криптографическая защита данных осуществляется как при их хранении, так и при передаче по сети. В настоящее время доступны как программная, так и высокопроизводительная аппаратная реализация средств криптографии.

Различают два способа шифрования: канальное и оконечное (абонентское).

Канальное шифрование реализуется с помощью протокола канального уровня, при этом защищается вся передаваемая по каналу связи информация, включая служебную. Особенности канального шифрования:

- обеспечивается надежная защита всей передаваемой информации, причем вскрытие ключа шифрования для одного канала не приводит к компрометации информации в других каналах;

- на промежуточных узлах (ретрансляторах, шлюзах и т.д.) вся информация оказывается открытой;

- для каждой пары узлов необходим свой ключ;

- алгоритм шифрования должен обеспечивать скорость шифрования на уровне пропускной способности канала, что нередко приводит к необходимости его реализации аппаратными средствами, а это увеличивает расходы на создание и обслуживание системы защиты.

Абонентское шифрование реализуется с помощью протокола прикладного или в некоторых случаях представительного уровня. Оно обеспечивает конфиденциальность данных между двумя прикладными объектами (отправитель зашифровывает данные, получатель – расшифровывает). Особенности абонентского шифрования:

- защищается только содержание сообщения, служебная информация остается открытой;

- при стойком алгоритме шифрования никто, кроме отправителя и получателя, не может восстановить информацию;

- маршрут передачи не имеет значения – в любом канале информация остается защищенной;

- для каждой пары пользователей требуется уникальный ключ;

- пользователи принимают участие в выполняемых операциях и должны знать процедуры шифрования и распределения ключей.

Выбор способа шифрования зависит от результатов анализа риска, от выяснения того, что более, уязвимо – непосредственно отдельный канал связи или содержание сообщения, передаваемого по различным каналам. Для канального шифрования затрачивается меньше времени, оно более прозрачно для пользователя и требует меньше ключей. Абонентское шифрование более гибко, может использоваться выборочно, но требует участия пользователей.

2. Парольная защита. Основана на использовании некоторой комбинации символов (пароля), открывающей доступ к запрашиваемому ресурсу сети. С помощью паролей защищаются файлы, личные или фирменные архивы, программы или отдельные компьютеры (пароль на его включение). В сетях пароли используются как самостоятельно, так и в качестве основы для различных методов аутентификации.

В практике использования паролей выработан ряд требований:

- длина пароля не может быть менее 8 символов (короткие пароли обладают слабой защищенностью, так как на современных компьютерах раскрываются простым перебором);

- в качестве пароля не может использоваться слово из какого бы то ни было языка;

- один и тот же пароль не может быть использован для доступа к разным объектам;

- старый пароль не должен использоваться повторно;

- пароль должен меняться как можно чаще.

3. Идентификация пользователей. Это развитие системы парольной защиты на более современном техническом уровне. Для идентификации пользователей применяются специальные электронные карты, содержащие идентифицирующую конкретного пользователя информацию. Реализация системы идентификации пользователей осуществляется аппаратно, поэтому она является более надежной, чем парольная защита.

4. Аутентификация пользователей. Это процедура проверки пользователей, аппаратуры или программы для получения доступа к определенному ресурсу. В сущности это также развитие системы парольной защиты для использования в сетях. По отношению к пользователю система аутентификации обычно требует указания имени и предъявления пароля или электронной карты. Частая смена паролей, а тем более электронных карт неудобна, поэтому многие переходят к использованию одноразового динамического пароля, который генерируется аппаратными или программными средствами.

5. Привязка программ и данных к конкретному компьютеру. Основная идея этого метода состоит в том, что в данные или программу включаются конкретные параметры (характеристики) конкретного компьютера, что делает невозможным чтение данных или исполнение программ на другом компьютере. Применительно к сети различные модификации такого метода могут требовать либо выполнения всех операций на конкретном компьютере, либо наличия активного соединения сети с конкретным компьютером.

6. Разграничение прав доступа пользователей к ресурсам сети. В основу метода положено использование таблиц или наборов таблиц, определяющих права пользователей и построенных по правилам «разрешено все, кроме» или «разрешено только». Таблицы по идентификатору или паролю пользователя определяют его права доступа к ресурсам сети – дискам, конкретным файлам, операциям записи, чтения или копирования, системному принтеру и т.д. Возможность такого разграничения определяется, как правило, возможностями используемой операционной системы, которые заложены именно в ней. Большинство современных ОС предусматривают разграничение доступа, но в каждой из них эти возможности реализованы разными способами и в разном объеме.

7. Использование заложенных в ОС возможностей защиты. Это превратилось в обязательное правило, однако большинство используемых ОС имеют недостаточную защиту или предоставляют возможности ее реализации дополнительными средствами. Например, операционная система Windows NT сертифицирована на класс защиты, предусматривающий: защиту объектов от повторного использования другими процессами, возможность владельца ресурса (например, файла) контролировать доступ к нему, идентификацию пользователей с помощью уникальных имен и паролей, возможность аудита связанных с безопасностью событий, защиту ОС самой себя от изменений.

Специфические методы исредства

Введем сначала понятие промежуточной сети, которая представляет собой совокупность оборудования (включая межсетевые экраны, маршрутизаторы, концентраторы, мосты и т.д.), расположенного между двумя объединенными сетями. Основными типами устройств защиты промежуточной сети являются пакетные фильтры, прокси-системы, системы контроля текущего состояния, которые обычно реализуются в межсетевых экранах.

1. Межсетевые экраны (брандмауэры) – механизмы защиты сети от внешнего мира, они служат барьером, ограничивающим распространение информации из одной сети в другую. Межсетевые экраны (МЭ) реализуются программными, аппаратными или программно-аппаратными средствами. Они могут быть: открытыми (функционируют на основе открытых протоколов Internet и служат для подключения к ККС открытых серверов Internet) и корпоративными (служат для обеспечения в ККС защищенного взаимодействия «клиент-сервер» с закрытыми серверами корпоративной сети, в том числе по виртуальным каналам сетей общего пользования), внешними (работают на виртуальном канале парами – входной и выходной МЭ, предназначены для разграничения прав доступа к виртуальному каналу связи и согласования параметров его защищенности при взаимодействии «клиент-сервер») и внутренними (обеспечивают разграничение прав доступа к ресурсам информационного сервера).

Основные функции МЭ корпоративной сети:

- физическое разделение рабочих станций и серверов ККС от каналов связи общего назначения (деление на подсети);

- разграничение прав доступа пользователей ККС к серверам по нескольким признакам;

- регистрация всех событий, связанных с доступом к серверам ККС;

- обеспечение многоэтапной идентификации и аутентификации всех сетевых элементов;

- контроль за целостностью программ и данных, а также отслеживание прерывания такого контроля во время сеанса обмена данными;

- сокрытие IP-адресов информационных серверов;

- согласование качества обслуживания между межсетевыми средствами защиты глобальной сети при установлении соединения.

Кроме того, межсетевой экран ККС на уровне взаимодействия «клиент-сервер» должен использовать средства защиты, реализующие функции таких служб безопасности: засекречивания соединения, выборочных полей и потока данных, контроля за целостностью соединения и выборочных полей, защиты от отказов с подтверждением отправления и доставки.

Используются несколько типов МЭ, отличающихся назначением и принципами построения. Основные из них – пакетные фильтры, прокси-системы, устройства контроля текущего состояния.

Пакетные фильтры – аппаратные или программные механизмы, предназначенные для ограничения входящего и исходящего трафиков между взаимодействующими абонентами сети, реализующие при этом определенный набор задаваемых при настройке правил. Примером аппаратного фильтра может служить фильтрующий маршрутизатор, в который встроены функции ограничения трафика на входе и выходе. Он отличается высокой пропускной способностью. Программный фильтр обычно устанавливается на сетевом сервере, выполняющем роль маршрутизирующего шлюза. Его пропускная способность ниже, чем у аппаратного фильтра, зато его система настройки является более гибкой и удобной.

Прокси-система – это шлюз прикладного уровня, реализующий идею прокси-сервера (сервера-посредника), который выступает в роли посредника между внешней и внутренней сетями (при использовании прокси-сервера ККС и Internet физически не соединены). Основные преимущества прокси-сервера: сохранение инкогнито компьютера конечного пользователя (сокрытие IP-адреса этого компьютера от хакера) и экономия адресного пространства, так как для внутренней сети может использоваться любая схема адресации, включая использование официально не зарегистрированных IP-адресов. Его основной недостаток – поддержка только тех протоколов, для которых он разработан.

Устройства контроля текущего состояния обеспечивают отслеживание соединения по его установлению. В отличие от фильтров они не просто ориентируются на заголовок IP-пакета, но и проверяют информацию о приложении, чтобы убедиться, что это действительно тот пакет, который объявлен в заголовке. Кроме того, такие устройства значительно производительнее прокси-систем.

2. Средства усиления защиты сети – это некоторые устройства промежуточной сети и отдельные технологические решения.

К ним относятся:

- шлюзы уровня виртуального канала, позволяющие пользователям соединяться и обмениваться пакетами с сервером. При этом каждый пакет в отдельности не проверяется, а после проверки адресных данных принимаются сразу несколько пакетов. Такие шлюзы могут использоваться для полного запрета прямых контактов компьютеров внутренней сети с внешней сетью;

- переключаемые мосты на концентраторе, контролирующие направление трафика в сети и реализующие дополнительную фильтрацию пакетов, создавая таким образом еще один барьер для хакеров;

- создание виртуальной части сети, если предусматривается подключение удаленных пользователей к ККС. Применение такой технологии основано на аутентификации удаленных пользователей и шифровании всего сетевого трафика;

- изоляция протоколов путем использования протокола TCP/IP только для связи с Internet. Во внутренней сети используются другие протоколы, несовместимые с TCP/IP, а доступ к Internet осуществляется через шлюз прикладного уровня;

- реализация межсетевого экрана на внутреннем сервере. Такой экран располагается после выделенного сетевого экрана и является последним рубежом защиты.

3. Архитектурные методы защиты – это решения, принимаемые на уровне топологии и архитектуры сети с целью повышения ее защищенности. Такие решения могут приниматься на уровне внутренней сети (корпоративной, локальной) или на уровне промежуточной сети, которая связывает внутреннюю сеть с внешней (например, с сетью Internet).

На уровне топологии и архитектуры внутренней сети могут приниматься такие решения:

- физическая изоляция закрытого сегмента внутренней сети, содержащего конфиденциальную информацию, от внешней сети, связь с которой поддерживается через открытый сегмент внутренней сети;

- кратковременное (сеансовое) подключение внутренней сети к сегменту сети, подключенному к Internet, с помощью коммутатора и/или переключаемого моста (такое подключение более безопасно, чем постоянное соединение);

- функциональное разделение внутренней сети на подсети, при котором в каждой подсети работают пользователи (сотрудники компании), объединенные по профессиональным интересам.

Меры обеспечения безопасности на уровне архитектуры промежуточной сети нередко связаны с реализацией компонентов многоуровневой защиты. Если промежуточная сеть включает маршрутизатор, компьютер, выделенный для межсетевого экрана, и концентратор, соединенный непосредственно с сервером внутренней сети, то средства защиты могут быть реализованы на каждом из этих устройств. Например, на маршрутизаторе – фильтрация пакетов, на компьютере – межсетевой экран, на концентраторе – переключаемый мост и виртуальная ЛКС, на сервере внутренней сети – еще один межсетевой экран.

Обязательным дополнением к рассмотренным сетевым методам и средствам защиты является мониторинг и аудит сети, составляющие основу обеспечения ее безопасности. Мониторинг (контроль текущего состояния и параметров работы сети) и аудит (регулярный анализ журналов регистрации для выявления происходящих в сети процессов и активности пользователей) входят в обязанности сетевого администратора. Проведение этой работы обеспечивается сетевыми ОС, которые имеют соответствующие встроенные или дополнительно поставляемые программы. Для этой же цели могут использоваться дополнительные средства: аппаратные или программные перехватчики пакетов (анализирующие собранные пакеты на наличие в них информации, которой может воспользоваться злоумышленник), аппаратно реализованные анализаторы сети (измеряющие и контролирующие трафик в сети) и др.

В заключение еще раз следует подчеркнуть, что при построении СОБ корпоративной сети предпочтительнее использовать аппаратные или аппаратно-программные средства, так как чисто программные средства не обеспечивают такой же надежной защиты.