CC BY
14
Научная статья
УДК 621.396:004.056
ББК 32.844
В 19
DOI: 10.53598/2410-3225-2023-2-321-40-46
Организация безопасного файлового обмена между корпоративной сетью и сетью общего пользования
(Рецензирована)
1 2 Владимир Васильевич Василенко , Сергей Викторович Рыженко
1-2 ООО «Центр безопасности информации», Москва, Россия
1 v.vasilenku@cbi-info.ru
2 svr@cbi-info.ru
Аннотация. Проведен анализ средств переключения общих устройств хранения информации для разнокатегорийных систем. Приведены примеры реализации перспективных разработок на базе отечественных компонентов. Предложены решения, позволяющие снизить стоимость реализации устранения угроз информационной безопасности и устранения ситуации, когда для гарантированной защиты информационной инфраструктуры недостаточно применения традиционных средств обеспечения защиты информации.
Ключевые слова: угроза безопасности информации, недекларированные возможности, информационная инфраструктура, информация, средство защиты информации
Original Research Paper
Secure data exchange organization between the corporate network
and the public network
12 Vladimir V. Vasilenko , Sergey V. Ryzhenko
1-2 CLL "Information Security Center", Moscow, Russia
1 v.vasilenku@cbi-info.ru
2 svr@cbi-info.ru
Abstract. The article provides analysis of tools for switching shared storage devices between information systems of different categories. Examples of the implementation ofpromising tools based on the components made in Russia are provided. The authors provide solutions to reducing the cost of eliminating information security threats and cases when the use of traditional means of ensuring information security are not enough to guarantee the protection of the information infrastructure.
Keywords: information security threats, undeclared capabilities, information infrastructure, information, information security tools
1. Введение
В современном мире компьютерных технологий и всеобщей цифровизации крайне сложно обойтись без информационной поддержки глобальных сетей, включая сеть общего пользования Интернет.
Однако в последнее время участились случаи хакерских атак с целью не только вывести из строя оборудование и программное обеспечение корпоративной сети, но и хищения информации различного уровня конфиденциальности.
Несмотря на то, что компетентные органы создают базы данных уязвимостей [1], распространяют в свободном доступе меры и методы защиты от них, а также со-
вершенствуют средства защиты информации, атаки продолжают быть эффективными и слабо прогнозируемыми.
Таким образом, в рамках цифрового информационного обмена между корпоративной сетью (КорСеть) и с сетью общего пользования (СетьОП) актуальной становится задача гарантированной защиты при их взаимодействии.
На аппаратном уровне в настоящее время задача безопасного взаимодействия между сетями решается путем использования межсетевых экранов (МЭ), средств однонаправленной передачи информации и иных вспомогательных средств защиты периметра.
В программной среде используются антивирусные программы, средства защиты от несанкционированного доступа (НСД), а также другие программы и приложения, выполняющие функции firewall.
Использование сертифицированных высокоэффективных программно-аппаратных средств имеет ряд экономических ограничений, прежде всего связанных с высокой стоимостью их закупки, трудоемкостью настройки и адаптации для защиты специализированных систем, которые формируют корпоративную сеть и могут содержать специальное программное обеспечение.
На практике существует возможность формирования класса устройств, позволяющих организовать безопасный файловый обмен без анализа всего сетевого трафика, включая служебные и специальные команды. Стоимость таких средств, по предварительной оценке, будет существенно ниже стоимости межсетевых экранов, а эксплуатация не потребует специальных знаний и навыков. Таким образом, актуальной является задача исследования подходов к построению эффективных устройств, обеспечивающих защиту межсетевого взаимодействия за счет буферного обмена файлами.
В статье рассматриваются возможности практического использования средств буферного обмена файлами (СБОФ), в первую очередь разрабатываемых в результате научно-практической деятельности Центра безопасности информации при непосредственном участии авторов настоящей статьи.
2. Угрозы безопасности информации и сценарии их устранения
Как известно из теории защиты информации [2], безопасность передаваемых данных должна обеспечивать целостность, доступность и конфиденциальность защищаемой информации.
Оценивая возможность утечки информации при файловом обмене корпоративной сети с сетью общего пользования (см. рис. 1), можно выделить следующие угрозы безопасности информации:
- угроза утечки защищаемых данных корпоративной сети при передаче неза-щищаемой информации (конфиденциальность) из КорСеть в СетьОП (УБИ 1);
- угроза осуществления попыток доступа к защищаемым данным корпоративной сети (целостность, доступность) из СетьОП через канал обмена информацией (УБИ 2);
- внедрение шпионского и/или вирусного программного обеспечения (целостность, доступность) (УБИ 3);
- компрометация мер защиты информации (целостность, доступность) (УБИ 4);
- организация сетевых атак (целостность, доступность) (УБИ 5).
Угроза УБИ 1 может быть устранена организационными мерами, направленными на разделение пользователем КорСети информации по уровню конфиденциальности и контроль отправки только незащищаемой информации.
Рис. 1. Схема взаимодействия сетей Fig. 1. Network interaction diagram
Вероятность реализации УБИ 2-УБИ 5 может быть снижена за счет формализации файлового обмена. Одним из способов формализации является структурированная передача информации, состоящая из заранее определенных форматов (шаблонов) запроса, ответа и квитанции.
Схема формализованного файлового обмена для получения незащищаемой информации из сети общего пользования приведена на рисунке 2.
Рис. 2. Схема структурированного файлового обмена Fig. 2. Diagram of structured file exchange
Сценарий структурированного файлового обмена заключается в следующем: 1) в корпоративной сети формируются строго структурированный запрос, содержащий сведения о необходимой из СетьОП информации, и шаблон ответа определенного формата и структуры;
2) запрос и шаблон ответа передаются в общую с СетьОП папку;
3) из СетьОП осуществляется считывание запроса и поиск по нему необходимой информации, которой насыщается (заполняется) шаблон ответа;
4) по готовности ответа формируется строго структурированная квитанция, содержащая служебные сведения об ответе (объем файла ответа, время создания, контрольная сумма и т.п.). При отрицательном результате создания файла ответа формируется квитанция, содержащая сведения о его отсутствии, а ответу присваивается файл шаблона ответа;
5) ответ и квитанция передаются в общую с КорСеть папку;
6) в КорСети осуществляется считывание квитанции и с использованием записанной в нее информации - проверка ответа;
7) после проверки ответ открывается для считывания и извлекается запрашиваемая информация.
3. Реализация защиты корпоративной сети в части обеспечения целостности и доступности информации
Программная реализация предложенного сценария обеспечения защищенности информации, циркулирующей в корпоративной сети, имеет ряд недостатков, связанных с постоянно совершенствующимися методами взлома сетей, получения доступа к данным или заражением вирусными программами.
Для решения задачи защиты корпоративной сети в части обеспечения целостности и доступности информации требуется программно-аппаратная реализация в виде единого комплекса (ПАК).
Программная составляющая (специальное программное обеспечение (СПО)) должна обеспечивать следующие функции:
в КорСети:
- формирование запроса и шаблона;
- отправку запроса и шаблона в каталог;
- считывание ответа и квитанции из каталога;
- обработку ответа и квитанции.
в СетьОП:
- считывание запроса и шаблона из каталога;
- обработку запроса и формирование ответа;
- формирование квитанции;
- отправку ответа и квитанции в каталог.
В качестве аппаратной составляющей ПАК предлагается использовать ИББ-переключатель, управляемый только из корпоративной сети или с помощью заранее сформированных команд, выполняющих алгоритм взаимодействия между сетями.
Схема предлагаемого ПАК приведена на рисунке 3.
Для защищенного обмена данными разработан следующий алгоритм работы переключателя машинного носителя информации (ПМНИ):
1) в начальном состоянии переключатель МНИ подключен к компьютеру (АРМ) корпоративной сети и содержит четыре пустые папки: «Каталог запросов», «Каталог шаблонов», «Каталог ответов», «Каталог квитанций»;
2) после передачи файлов запроса и шаблона СПО КорСети переключает ПМНИ к компьютеру (АРМ) сети общего пользования;
3) по окончанию сброса ответа и квитанции СПО СетьОП сообщает ПМНИ, что информация сброшена («флаг» передачи), и СПО КорСети переключает ПМНИ на АРМ КорСети;
4) СПО КорСети проверяет сброшенные файлы на наличие вирусов, шпионских
программ и соответствия ответа квитанции и шаблону;
5) квитанция удаляется, а ответ перемещается пользователю КорСети.
Рис. 3. Схема программно-аппаратного комплекса Fig. 3. Block diagram of the hardware-software complex
4. Пример аппаратной реализации переключателя машинного носителя информации
В настоящее время на рынке переключатели, которые могут быть использованы для решения задач, описанных в статье, имеют ряд существенных недостатков:
- устройства сочетают комбинированные решения для переключения не только USB, но и видео-, аудиоинтерфейсов, что повышает их стоимость;
- устройства управляются механическими кнопками или сочетанием клавиш клавиатуры, что затрудняет программную реализацию разработанного алгоритма работы ПМНИ;
- устройства включают в себя ряд микросхем иностранного производства, вероятно, содержащих недекларированные возможности.
Исключение указанных недостатков может быть достигнуто использованием простых микросхем с открытым кодом прошивки или микросхем отечественного производства.
Одно из таких решений предложено пользователями сети Интернет [3] и основывается на специализированной микросхеме TS3USB221.
Описанный в статье алгоритм работы не может быть реализован простым переключением питания и требует доработки предложенного решения.
Блок-схема реализации аппаратной части ПМНИ приведена на рисунке 4.
Новизна предложенной аппаратной реализации заключается не только в использовании микросхемы TS3USB221, имеющей полное описание в открытом доступе [4], но и применении отечественного микроконтроллера «Миландр К1986ВЕ92QI» или «Миландр К1986ВЕ^1», позволяющего автоматизировать процесс переключения задействованного USB-интерфейса с сохранением требований по безопасности информации.
Для питания микросхем могут применяться диоды и стабилизатор на 3,3 В MCP1700T-3302E.
При первом подключении ПМНИ к АРМ осуществляется инициализация диска
(коммутатора), которая не требуется при каждом последующем переключении ПМНИ.
Рис. 4. Блок-схема переключателя машинного носителя информации Fig. 4. Machine media switch block diagram
5. Выводы
В статье рассмотрены угрозы обеспечения информационной безопасности корпоративной сети при обмене данными с сетью общего пользования.
Предложены способы их устранения, позволяющие решать задачи сопряжения сетей, содержащих информацию различных уровней значимости.
В качестве аппаратной реализации предложен технологически простой и эффективный вариант сопряжения сетей, позволяющий (в отличие от иных существующих переключателей) исключить недекларированные возможности микроконтроллеров и иностранных микросхем.
Инновационный подход к физическому разделению информационных систем позволяет не только снизить стоимость решений по защите информации, но и избежать ситуации, когда для гарантированной защиты информационной инфраструктуры недостаточно применения традиционных средств защиты информации.
Таким образом, в ходе исследования выдвинута и подтверждена гипотеза решения актуальной проблемы обеспечения гарантированной защиты сопрягаемых сетей за счет применения ПМНИ.
Полученные научно-практические результаты являются основой для дальнейших исследований и производства средств сопряжения информационных систем для различных протоколов и интерфейсов с учетом требований нормативных правовых актов к уровням доверия [5].
Примечания
1. Банк данных угроз безопасности информации, ГНИИИ ПТЗИ. URL: https://bdu.fstec.ru/vul (дата обращения: 20.03.2023).
2. Галатенко В.А. Основы информационной безопасности. Москва: Интернет-Университет Информационных пехнологий - ИНТУИТ.РУ, 2008. 205 с.
3. Коммутатор USB своими руками, Блог Ebay. URL: https://mysku.club/blog/ebay/79876.html (дата обращения: 23.03.2023).
4. TS3USB221A ESD Protected, High-Speed USB 2.0 (480-Mbps) 1:2 Multiplexer and De-mu datasheet (Rev. A). URL: https://datasheet.lcsc.com/szlcsc/Texas-Instruments-TI-TS3USB221ARSER_C128396.pdf (дата обращения: 26.03.2023).
5. Выписка из Требований по безопасности информации, утвержденных приказом ФСТЭК России от 2 июня 2020 г. № 76 // ФСТЭК России, 2021. URL:
https://fstec.ru/tekhnicheskaya-zashchita-informatsii/ dokumenty-po-sertifikatsii/120-normativnye-dokumenty/2126-vypiska-iz-trebovanij-po-bezopasnosti-informatsiiut\'erzhdennykh-pnkazom-fstek-rossii-ot-2-iyunya-2020-g-n-76 (дата обращения: 20.04.2023).
References
1. Data bank of information security threats, GNIII PTZI. URL: https://bdu.fstec.ru/vul (access date: 20.03.2023).
2. Galatenko V.A. Fundamentals of information security. Moscow: Internet University of Information Technologies - INTUIT.RU, 2008. 205 p.
3. USB Switch with your own hands, Ebay Blog. URL: https://mysku.club/blog/ebay/79876.html (access date: 23.03.2023).
4. TS3USB221A ESD Protected, High-Speed USB 2.0 (480-Mbps) 1:2 Multiplexer and Demu datasheet (Rev. A). URL: https://datasheet.lcsc.com/szlcsc/Texas-Instruments-TI-TS3USB221ARSER_C128396.pdf (access date: 26.03.2023).
5. Extract from the Information Security Requirements approved by the order of the FSTEC of Russia dated June 2, 2020 No. 76 // FSTEC of Russia, 2021. URL: https://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty-po-sertifikatsii/120-normativnye-dokumenty/2126-vypiska-iz-trebovanij-po-bezopasnosti-informatsiiut\'erzhdennykh-pnkazom-fstek-rossii-ot-2-iyunya-2020-g-n-76 (access date: 20.04.2023).
Авторы заявляют об отсутствии конфликта интересов. The authors declare no conflicts of interests.
Статья поступила в редакцию 28.04.2023; одобрена после рецензирования 17.05.2023; принята к публикации 18.05.2023.
The article was submitted 28.04.2023; approved after reviewing 17.05.2023; accepted for publication 18.05.2023.
© В.В. Василенко, С.В. Рыженко, 2023
