CC BY
193
Проведенный анализ и представленные методики позволяют подойти к решению исследуемой проблемы с системной точки зрения, демонстрируя, как при этом все средства, методы и мероприятия, используемые для защиты, рационально объединяются в единый целостный механизм.
БИБЛИОГРАФИЧЕСКИЙ СПИСОК
1. Грушо А. А. Скрытые каналы и безопасность информации в компьютерных системах // Дискретная математика, Т. 10. Вп. 1. 1998.
2. Грушо А. А. О существовании скрытых каналов // Дискретная математика. Т.11. Вып. 1. 1999.
3. Грушо А. А., Тимонина Е. Е. Теоретические основы защиты информации. М.: Изд-во. -«Яхтсмен», 1996.
4. Тимонина Е.Е. Механизмы контроля скрытых каналов // Информационные технологии в науке, образовании, телекоммуникации, бизнесе: Труды международной конференции. Украина, Крым, 2002.
5. Казарин О. В. Безопасность программного обеспечения компьютерных систем. М.,
2003.
6. Домарев В. В. Безопасность информационных технологий. Системный подход. Киев: ДиаСофт. 2001.
7. Зегжда Д. П.,Шмаков Э. М. Проблема анализа безопасности программного обеспечения// Безопасность информационных технологий. 1995. №2.
8. Зегжда Д. П. Проблемы безопасности программного обеспечения. - СПб.: Изд-во. СПбГТУ, 1995.
9. Lampson B. W. A Note of the Confinement Problem. - Communications of ACM, 1973.
10.Tsai C. R., Gligor V. D., Chandersekaran C. S. A Formal Method for the Identification of Covert Storage Channels in Source Code. - IEEE Transactions on Software Engineering, 1990.
А. П. Жук, Р. Ю. Савелов
Россия, г. Ставрополь, Ставропольский государственный университет
АРХИТЕКТУРА МЕЖСЕТЕВОГО ЭКРАНА ДЛЯ КОРПОРАТИВНЫХ СЕТЕЙ
В настоящее время ввиду бурного развития бизнеса наиболее большое распространение получили корпоративные сети, которые также называют сетями масштаба предприятия. Пользователями корпоративной сети являются только сотрудники предприятия [1].
Корпоративные сети имеют ряд концептуальных преимуществ, таких как высокая отказоустойчивость, способность выполнения параллельных вычислений, возможность гибкого распределения работ по всей системе, оперативный доступ к обширной корпоративной информации, взаимодействие с потенциальными клиентами посредством общедоступных сетей и Internet и другие.
Но вместе с этим в корпоративных сетях появляются и риски, связанные с опасностями взаимодействия с открытой и неконтролируемой внешней средой. Такая среда представляет собой большую угрозу безопасности корпоративным сетям, так как возрастает количество удалённых пользователей, которые могут получить несанкционированный доступ к ресурсам сети предприятия.
Для устранения проблем, связанных с безопасностью, известно много различных решений, самым распространенным из которых является применение межсетевых экранов. Их использование - это первый шаг, который должно сделать любое предприятие, подключающее свою корпоративную сеть к Internet [2].
Межсетевые экраны реализуют механизмы контроля доступа из внешних сетей к внутренней сети предприятия путем фильтрации всего входящего и исходящего трафика, пропуская только авторизованные данные.
Все межсетевые экраны функционируют на основе информации, получаемой от различных уровней эталонной модели ISO/OSI, и чем выше уровень OSI, на основе которого построен межсетевой экран, тем выше уровень защиты, им обеспечиваемый [2].
Однако межсетевые экраны имеют ряд недостатков. Так, межсетевые экраны с фильтрацией пакетов не скрывают внутренней сети предприятия и не обладают функциями аутентификации пользователей. А межсетевые экраны со шлюзами прикладного уровня не защищают её от авторизованных пользователей, вредоносного мобильного кода и от вложений в сообщения электронной почты.
Решить данную проблему можно при помощи межсетевого экрана, сочетающего в себе функции пакетного фильтра и шлюза прикладного уровня.
Такой межсетевой экран включает следующие активные элементы: пакетные фильтры, шлюз прикладного уровня с двойным подключением, фильтр электронной почты и систему обнаружения вторжений (рис. 1).
Пакетный фильтр представляет собой активный элемент межсетевого экрана и предназначен для управления трафиком входящих и исходящих пакетов на уровне доступа к сети (адрес отправителя и получателя, тип протокола), сетевом (IP, IPX, ICMP-протоколы) и транспортном уровнях (UDP, TCP).
Чтобы решать, какие действия следует выполнять для каждого полученного межсетевым экраном пакета, пакетный фильтр использует набор правил. Для каждого пакета межсетевой экран просматривает весь набор правил в порядке их создания, проверяя, удовлетворяет ли пакет какому-либо из них.
Шлюз прикладного уровня является единственной компьютерной системой, к которой возможен доступ из незащищённой сети (например, из Internet) [3]. Передачу пакетов через шлюз прикладного уровня выполняют прокси-серверы для протоколов TELNET, FTP, HTTP и Java.
На них возложены дополнительные функции, обеспечивающие безопасность службы. Telnet-прокси-сервер отвечает за управляемый обмен данными с помощью программы Telnet. FTP-прокси-сервер обеспечивает управляемый обмен данными с помощью протокола FTP и накладывает ограничения на команды и имена передаваемых файлов. HTTP-прокси-сервер обеспечивает управляемый обмен данными с помощью протокола HTTP, анализирует и проверяет все используемые методы и команды и защищает от активных элементов HTML-страниц (JavaScript, ActiveX).
Представленный шлюз прикладного уровня реализован с «двойным подключением», то есть он имеет два сетевых интерфейса, один из которых относится к защищаемой сети, а другой - к незащищённой. При использовании данной реализации сетевые пакеты не могут миновать шлюз прикладного уровня, так как такой шлюз является единственным физическим путём, по которому может проходить трафик.
Почтовый фильтр представляет собой активный элемент межсетевого экрана и предназначен для мониторинга и контроля всех входящих и исходящих почтовых сообщений. Мониторинг включает в себя анализ заголовков и структуры сообщений и проверку на наличие в тексте сообщения или прикрепленных файлах разрешенных или запрещенных к использованию в почтовых сообщениях слов или последовательностей слов, а также исполняемых файлов и вредоносного мобильного кода.
Система обнаружения вторжений исследует пакеты в сети на наличие знакомых шаблонов (сигнатур) в реальном масштабе времени, что помогает выявлять нарушения системы безопасности ещё до того, как они произойдут [4].
Данная архитектура межсетевого экрана обладает следующими характеристиками:
1. Простые правила. Настройка фильтров и шлюза прикладного уровня производится в соответствии с правилами, принятыми для отдельных активных элементов межсетевого экрана.
2. Взаимная защита. Пакетными фильтрами определяется, кто имеет право доступа к шлюзу прикладного уровня с двойным подключением, и осуществляется защита шлюза.
3. Вложенная безопасность. Злоумышленнику для получения доступа к корпоративной сети приходится преодолевать несколько барьеров: пакетный фильтр, затем шлюз прикладного уровня с двойным подключением и, наконец, другой пакетный фильтр.
Intemet
Корпоративная сеть
Рис. 1. Архитектура межсетевого экрана с высоким уровнем безопасности
4. Различные возможности интеграции и анализа. Активные элементы межсетевого экрана работают с использованием разных стратегий. Пакетные фильтры интерпретируют пакеты, передаваемые вверх на уровне доступа к сети, сетевом и транспортном уровнях. Шлюз прикладного уровня с двойным подключением интерпретирует обмен данными на прикладном уровне. Таким образом, наличие уз-
ких мест в возможностях интеграции и анализа может повлиять только на один активный элемент межсетевого экрана.
5. Безопасность корпоративной почты. Почтовый фильтр анализирует все входящие и исходящие почтовые сообщения и обеспечивает безопасность почтовых серверов.
6. Обнаружение атак и аномалий на сетевом уровне. Интегрированная в межсетевой экран система обнаружения вторжений отслеживает пакеты в сети в реальном времени.
Для обоснования предложенной архитектуры межсетевого экрана рассмотрим несколько типов атак на корпоративную сеть:
1. Пассивная атака (использование сканеров).
2. Отказ в обслуживании (Dos-атака).
3. Атака маскированием.
4. Атака «человек-посередине».
5. Атака с использованием червей и троянских программ.
6. Использование вредоносного мобильного кода.
7. Создание лазеек (backdoors).
8. Атака с использованием коммуникационных протоколов и служб.
9. Внутренние атаки.
Исходя из этого зададим множество А = {1, 2, 3, 4, 5, 6, 7, 8, 9} - множество типов атак на корпоративную сеть.
Использование пакетного фильтра позволяет защитить корпоративную сеть от атаки маскированием и отказа в обслуживании, то есть вероятность обнаружения атаки пакетным фильтром равна
Ppf = — = 0,2 (1)
pf 10
Шлюз прикладного уровня защищает корпоративную сеть от атаки с использованием вредоносного мобильного кода, коммуникационных протоколов и служб. Отсюда вероятность обнаружения атаки шлюзом прикладного уровня
Pg = 0,2
Система обнаружения вторжений защищает корпоративную сеть от пассивных атак, внутренних атак, создания лазеек и атак с использованием червей и троянских программ. Вероятность обнаружения атаки системой обнаружения вторжений plds = °А
Предположим, что атаки из заданного множества А равновероятны, то есть
Ра = - = 0,11 (2)
a9
Пусть в корпоративную сеть поступают сообщения, каждое из которых состоит из последовательности пакетов. Все сообщения независимо друг от друга с вероятностью P содержат атаку из заданного множества А.
Входящие сообщения проверяются активными элементами межсетевого экрана. Требуется найти вероятность того, что атака будет обнаружена.
Пусть событие А - сообщение будет блокировано. Перейдём к противоположному событию A - сообщение не будет блокировано.
Представим событие A как сумму двух несовместных вариантов
A = A + A, (3)
где A - сообщение не содержит атаку, A - сообщение содержит атаку, но она не обнаружена активными элементами межсетевого экрана.
P(A) = І - Pa (4)
Найдём P(A2 ) . Для этого надо умножить вероятность того, что сообщение содержит атаку на вероятность того, что эта атака не будет обнаружена активными элементами. Вероятность того, что атака не будет обнаружена равна (І-Py) *
* (1-Pag ) * (1-Pids ). Отсюда
P( A2) = Pa [(І-Ppf ) * (І-Pag ) * (І- Pids)] ;
P(A) = P(A) + P(A2) = І - Pa + Pa [(І - Ppf )] * (І - Pag ) * (І - Plds ) =
0,93224.
Вероятность того, что атака будет обнаружена активными элементами межсетевого экрана P(A) = І - P(A) = 0,0б77б.
Для сравнения, вероятность обнаружения атаки из заданного множества атак А только при использовании пакетного фильтра составляет 0,022.
Предложенная архитектура межсетевого экрана позволяет создать межсетевой экран, который сочетает в себе функции пакетного фильтра и шлюза прикладного уровня.
Кроме того, отличительной особенностью такого межсетевого экрана является использование интегрированных систем обнаружения вторжений и почтового фильтра, что позволяет обеспечить максимальную безопасность корпоративных сетей при их взаимодействии с публичными и общедоступными сетями.
БИБЛИОГРАФИЧЕСКИЙ СПИСОК
1. Олифер В.Г., Олифер Н.А. Компьютерные сети - СПб: Питер, 200І. - 864 с.
2. Лукацкий А.В. Firewall - не панацея. - http://www.citforum.ru
3. Польман Н., Кразерс Т. Архитектура брандмауэров для сетей предприятия / Пер. с англ. - М.: Изд. дом «Вильямс». 2003. - 432 с.
4. Лукацкий А.В. Новые грани обнаружения и отражения угроз. - http://www.citforum.ru
М.К. Климов Россия, г. Ростов-на-Дону, РВИ РВ
ЗАЩИТА ИНФОРМАЦИИ В КРИТИЧЕСКИ ВАЖНЫХ СЕГМЕНТАХ СИСТЕМ АВТОНОМНОГО ЭЛЕКТРОСНАБЖЕНИЯ С КОМПЬЮТЕРИЗИРОВАННЫМ УПРАВЛЕНИЕМ
В настоящее время критически важные сегменты (средства управления) систем автономного электроснабжения с компьютеризированным управлением предназначены для выполнения весьма ответственных задач обеспечения гарантированного электроснабжения объектов и комплексов специального назначения. Сис-
