Технические проблемы обеспечения информационной безопасности в телекоммуникационных сетях Текст научной статьи по специальности «Компьютерные и информационные науки»

НАУЧНЫЙ ВЕСТНИК МГТУ ГА серия Радиофизика и радиотехника

УДК 621.396

ТЕХНИЧЕСКИЕ ПРОБЛЕМЫ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В ТЕЛЕКОММУНИКАЦИОННЫХ СЕТЯХ

А.С. ПЕТРУШИН, М.В. ЧЕРНЯКОВ

В данной статье рассматриваются семиуровневая модель архитектуры протокола работы с сетями, обоснование и выбор уровня встраивания средств защиты информации, технические проблемы обеспечения информационной безопасности в телекоммуникационных сетях.

1. Семиуровневая модель ISO и выбор уровня для встраивания элементов информационной безопасности

При разработке протоколов TCP/IP (набора протоколов, используемых в Интернет) была использована модель архитектуры протокола работы с сетями, разработанная Международной организацией по стандартизации (International Organization for Standardization). Данная модель получила наименование «Эталонной модели взаимодействия открытых систем» (Open Systems Interconnection (OSI) Reference model). Ее принято называть сокращенно как семиуровневая модель ISO. Данная модель приведена в табл.1.

Несмотря на кажущуюся сложность и громоздкость такого подхода, семиуровневая модель ISO имеет принципиальное значение для эффективного построения глобальных телекоммуникационных сетей. Поскольку каждый уровень независим от другого, то внесение изменений для одного уровня не вызывает проблем с другими. Главное, чтобы интерфейс взаимодействия между уровнями сохранялся.

Таблица 1

Семиуровневая модель ISO

Верхние уровни Application (уровень приложений) - обеспечивает интерфейс с пользователем

Presentation (уровень представления) - преобразует данные в стандартный для нижних уровней вид

Session (уровень сессии) - обеспечивает взаимодействие прикладных программ с сетью

Нижние уровни Transport (транспортный уровень) - при отправке добавляет в пакет адрес получателя, при приеме определяет, какой прикладной программе адресован пакет

Network (сетевой уровень) - обеспечивает маршрутизацию пакетов, определяя тем самым путь данных от одной системы к другой

Data link (канальный уровень) - обеспечивает надежность передачи данных от одной точки маршрута до другой

Physical (физический уровень) - обеспечивает физическое соединение между двумя соседними точками маршрута

В табл. 2 для различных уровней модели 180 приведены некоторые наиболее известные используемые протоколы семейства ТСР/1Р.

Таблица 2

Наиболее известные используемые протоколы семейства TCP/IP

Верхние уровни Application (уровень приложений). Некоторые протоколы: FTP, Telnet, SMTP, POP3, HTTP

Presentation (уровень представления). Для семейства протоколов TCP/IP не используется

Session (уровень сессии). Некоторые протоколы: NetBIOS, DNS, LDAP

Нижние уровни Transport (транспортный уровень). Некоторые протоколы: TCP, UDP

Network (сетевой уровень). Некоторые протоколы: IP, ICMP, MPLS, RIP, IPSec

Datalink (канальный уровень). Некоторые протоколы: ARP, RARP, PPTP, SLIP

Physical (физический уровень). Некоторые физические реализации: Ethernet, Token Ring, FDDI, ATM, ISDN, PPP

Когда мы говорим о защите информации в телекоммуникационной системе, то такая защита реально применяется на следующих уровнях:

■ на уровне приложений;

■ на сессионном уровне;

■ на сетевом уровне;

■ на канальном уровне.

Примеры защиты информации на уровне приложений.

Если шифруется файл какой-либо программой шифрования и отправляется с помощью почтовой программы, то данный вид защиты осуществляется на уровне приложения.

Сама почтовая программа может быть настроена так, что отправляемые ею сообщения будут шифроваться. Это может служить примером защиты информации на уровне приложения.

Ясно, что для каждого приложения надо настраивать свою собственную систему защиты, а если таких приложений много, то задача усложняется. На этом уровне могут работать такие российские программные продукты, как «VIPNET» и «КриптоПро CSP».

Примеры защиты информации на сессионном уровне.

Два хоста в телекоммуникационных сетях, например, Интернет, можно настроить так, что связь между ними, если она осуществляется на определенных условиях (в терминах портов и протоколов), будет проходить в зашифрованном виде. Тем самым ряд приложений, которые используют заданные порты и протоколы оказываются защищенными одним средством защиты. Однако все другие приложения остаются незащищенными.

На этом уровне могут работать такие российские программные продукты, как «КриптоПро CSP» фирмы «КриптоПро» и «Net-Pro» фирмы «Сигнал-Ком».

Защита на сетевом уровне.

Как было показано, защита на уровне приложений и на сессионном уровне не может дать защиты для всех приложений. На компьютер в любой момент может потребоваться установить еще одну прикладную программу и задачу защиты ее данных придется решать заново. Кроме

того, следует учесть, что на современных компьютерах кроме прикладных программ работает еще много программ, драйверов, сервисов, обеспечивающих работу операционной системы, и которые не выходят на уровень приложений или сессионный уровень и, следовательно, не могут быть защищены на этих уровнях. Однако их защита от атак тоже должна быть обеспечена, иначе возникает угроза правильной работе и просто работе компьютера.

Наиболее подходящей здесь является защита на сетевом уровне. Защита на сетевом уровне для обычного компьютера (не маршрутизатора) сводится к тому, чтобы принять относительно каждого проходящего через компьютер пакета ровно одно из следующих решений:

a) для исходящего пакета:

■ зашифровать и отправить в соответствии с заданной маршрутизацией;

■ не изменять и отправить в соответствии с заданной маршрутизацией;

■ не пропускать, то есть уничтожить.

b) для входящего пакета:

■ расшифровать (если он зашифрован) и отдать соответствующему приложению;

■ не изменять и отдать соответствующему приложению;

■ не пропускать, то есть уничтожить.

На этом уровне могут работать следующие российские программные продукты: «У1РКе1:», АПК «Континент-К», «УРК-Застава», «Тропа-Джет», «ФПСУ-1Р», «1р8аГе-Рго». Отметим, что продукт «У1РКе1:» может использоваться и на уровне приложений, как сказано выше.

Защита на канальном уровне

Можно строить защиту, используя канальный уровень. Ведь канальный уровень всегда присутствует в любых телекоммуникационных соединениях. Канальным уровнем является в типовом случае локальная сеть (ЕШете^ и после выхода из сети через маршрутизаторы те каналы, которые предоставляются провайдерами телекоммуникационных услуг. В рамках локальных сетей технически гораздо более удобно строить защиту на сетевом уровне и выше, поскольку информация на этих уровнях более доступна и, следовательно, может быть легче проанализирована.

На канальном уровне используется, как правило, защита двух типов:

■ во-первых, само использование выделенных каналов уже является защитой в определенной степени, поскольку предохраняет от ряда угроз;

■ во-вторых, существуют и имеют определенное распространение канальные шифраторы, но их использование ограничено тем, что технологически такие шифраторы (согласованные по ключам шифрования) следует устанавливать на входе и выходе одного и того же канала. Если на каком-то узле канального уровня происходит слияние или разделение потоков информации и для каждого из потоков ключи шифрования должны быть индивидуальны в зависимости от конечного получателя и отправителя, то канальное шифрование не используется. В качестве примера может служить аппаратно-программный комплекс «Континент-К», который может использоваться на канальном уровне.

Оптимальный уровень для встраивания системы защиты

Из приведенного выше можно сделать вывод, что самый лучший способ защиты - на сетевом уровне, но правильнее сказать, что без защиты на сетевом уровне хорошей защиты не обеспечить.

Самым типовым случаем является сочетание средств защиты на разных уровнях в зависимости от реальных условий. Например, работа с электронной подписью может быть обеспечена только на уровне приложений. Однако без защиты на сетевом уровне возникают большие угрозы для безопасного использования электронной цифровой подписи.

2. Технические проблемы обеспечения информационной безопасности в телекоммуникационных сетях

2.1. Работа с открытыми и защищенными ресурсами

Практически в каждой корпоративной телекоммуникационной системе с точки зрения безопасности желательно исключить возможность общения компьютеров корпоративной сети с открытыми ресурсами Интернет. Вообще говоря, многие УРК (например, «У1РКеЪ>) это могут обеспечить.

Но такая ситуация встречается довольно редко. В настоящее время почти любая корпоративная система для выполнения своих функций должна иметь связь с открытыми ресурсами Интернета, и сразу возникает масса дополнительных проблем с информационной защитой, поскольку соединение с открытыми (чужими) компьютерами открывает потенциальную возможность для атак на корпоративную сеть.

При выборе системы защиты стоит обратить внимание, каким образом предполагается решать этот вопрос. Способ подключения компьютеров корпоративной сети к открытому Интернету рассматривается в одной и типовых схем использования системы, которые рассматриваются ниже.

Типовая схема 1. Полная Защита нескольких локальных сетей, связанных через Интернет без Ргоху-серверов.

1. Незащищенная схема (рис. 1)

Ш

Незащищенные компьютеры

га

з ' (рабочие станции или серверы) ^

Маршрутизатор

Локальная сеть № М

т

Незащищенные компьютеры

га

2. Информация об исходной схеме сети:

■ адреса в локальных сетях реальные;

■ на входах в обе локальные сети стоят маршрутизаторы;

■ локальных сетей может быть сколько угодно.

3. Требуемая защита:

■ информационного обмена при прохождении через открытый Интернет;

■ информационного обмена внутри локальных сетей;

■ виртуальная защищенная сеть должна быть невидима для всех, кто в нее не входит;

■ пользователя виртуальной защищенной сети не должны иметь доступа к ресурсам открытого Интернета, за исключением ресурсов данной виртуальной защищенной сети.

4. Схема защиты, обеспечивающая выполнение сформулированных требований (рис. 2)

Локальная сеть № 1

Защищенный компьютер Защищенный компьютер с ПО \7iPNet [Клиент] с ПО \7iPNet [Клиент]

Защищенный компьютер Защищенный компьютер с ПО У1Р№ [Координатор] с ПО У1Р№ [Администратор]

Маршрутизатор

Маршрутизатор

рЛокальная сеть № М

■ ■ ■ ■ ■ ■ ■ ■ ■ ■ ■ ■

|"кй

Защищенный компьютер с ПО \7iPNet [Клиент]

Защищенный компьютер с ПО \7iPNet [Клиент]

П.

Защищенный компьютер с ПО \7iPNet [Координатор]

Рис. 2.

5. Комментарии к схеме защиты

Программное обеспечение (ПО) ViPNet [Администратор] устанавливается на один из компьютеров (администратор безопасности) распределенной сети (обычно в центральном офисе).

Данное ПО позволяет:

■ создать топологию (логическую конфигурацию) УРК и сгенерировать всю ключевую информацию для УРК, задает названия рабочим станциям, разрешает или запрещает связи между рабочими станциями;

■ модифицировать (добавить или удалять объекты) УРК с последующей рассылкой обновленной справочной и ключевой информации тем объектам УРК, которых коснулось конкретное изменение;

■ централизованно обновить установленное ПО (УіРКеї [Клиент] и УіРКеї [Координатор]) в случае выхода новой версия.

ПО ViPNet [Координатор] целесообразно устанавливать в каждой локальной сети на один из компьютеров. 1Р-адреса таких компьютеров должны быть статическими.

Данное ПО выполняет следующие функция и является:

■ сервером 1Р-адресов, то есть является справочным бюро, которое сообщает объектам УРК о текущем состоянии других объектов УРК (включены или выключены) и их ІР-адресах;

■ сервером для рассылки обновлений (ПО, справочная и ключевая информация);

■ сервером-маршрутизатором для рассылки почтовых сообщений (если используется программа «Деловая почта») и файлов, посылаемых по «файловому обмену» между объектами УРК.

ПО ViPNet [Клиент] устанавливается на все остальные компьютеры всех локальных сетей.

Данное ПО выполняет следующие функции:

■ шифрует весь исходящий информационный обмен с другими объектами УРК;

■ расшифровывает весь входящий информационный обмен от других объектов УРК;

■ запрещает доступ к ресурсам в открытом Интернете;

■ предоставляет большой набор сервисных возможностей для взаимодействия с другими объектами (отправка онлайновых текстовых сообщений, получение информации о включенности конкретного объекта УРК, отправка почтовых сообщений и файлов, и др.);

■ при старте компьютера сообщает своему серверу ІР-адресов (компьютер локальной сети с установленным ПО УіРКеї [Координатор]) свой текущий ІР-адрес;

■ при выключении компьютера сообщает своему серверу ІР-адресов об этом;

■ является Персональным Сетевым Экраном, который запрещает доступ с открытых ресурсов на данный компьютер.

Типовая схема 2. Организация защищенного канала между несколькими локальными сетями через Интернет. «Туннель» на многокарточных Координаторах.

1. Незащищенная схема (рис. 3)

2. Информация об исходной схеме сети:

■ адреса в локальных сетях частные;

■ на входах в локальные сети стоят компьютеры РЯОХУ с реальными адресами;

■ локальных сетей может быть сколько угодно.

3. Требуемая защита:

■ информационного обмена при прохождении через открытый Интернет;

■ защищенный «Туннель» должен быть прозрачен для пользователей, которые работают с ресурсами удаленных ЛВС;

■ пользователи локальной сети не должны иметь доступа к ресурсам открытого Интернета, за исключением ресурсов других локальных сетей, определенных администратором, с которыми организуется защищенное взаимодействие.

Незащищенные компьютеры (рабочие станции или серверы)

Незащищенные компьютеры (рабочие станции или серверы)

Рис. 3.

4. Схема защиты, обеспечивающая выполнение сформулированных требований (рис. 4).

Локальная сеть № 1

Незащищенный компьютер (рабочая станция или сервер

Защищенный компьютер с ПО \ZiPNet [Администратор]

Защищенный шлюз ЛВС с ПО \ZiPNet [Координатор]

PROXY

Защищенный шлюз ЛВС с ПО \ZiPNet [Координатор]

Локальная сеть № М

Незащищенные компьютеры (рабочие станции или серверы]

4. Комментарии к схеме защиты

ПО ViPNet [Администратор] устанавливается на один из компьютеров (администратор безопасности) распределенной сети (обычно в центральном офисе).

Данное ПО позволяет:

■ создать топологию (логическую конфигурацию) УРК-Типпе1 и сгенерировать ключевую информацию для УРК-Типпе1, задает названия объектам УРК-Типпе1 и разрешает или запрещает связи между ними;

■ модифицировать (добавить или удалить объекты) УРК-Типпе1 с последующей рассылкой обновленной справочной и ключевой информации тем объектам УРК-Типпе1, которых коснулось конкретное изменение;

■ централизованно обновить установленное ПО (У1Р№1 [Координатор]) в случае выхода новой версии.

ПО ViPNet [Координатор] устанавливается на шлюзы локальных сетей (компьютеры РЯОХУ). 1Р-адреса таких компьютеров должны быть статическими и реальными.

Данное ПО выполняет следующие функции:

■ является Межсетевым Экраном, который запрещает доступ в ЛВС из открытого Интернета;

■ туннелирует открытый информационный обмен между компьютерами удаленных ЛВС в защищенное соединение от У1Р№1 [Координатора] данной ЛВС до У1Р№1 [Координатора] удаленной ЛВС;

■ разграничивает доступ удаленных туннелируемых компьютеров к ресурсам «своей» ЛВС (не к каждому компьютеру данной ЛВС смогут получить доступ компьютеры удаленной ЛВС);

■ разграничивает доступ «своих» туннелируемых компьютеров к ресурсам удаленной ЛВС (не каждый компьютер данной ЛВС сможет получить доступ к компьютерам удаленной ЛВС).

Типовая схема 3. Организация защищенного канала между локальными сетями через Интернет с мобильными пользователи. «Туннель» на многокарточных Координаторах.

1. Незащищенная схема (рис. 5)

2. Информация об исходной схеме сети:

■ адреса в локальных сетях частные;

■ на входах в локальные сети стоят компьютеры РЯОХУ с реальными адресами;

■ локальных сетей может быть сколько угодно;

■ к открытому Интернету подключается произвольное количество мобильных пользователей.

3. Требуемая защита:

■ информационного обмена при прохождении через открытый Интернет;

■ защищенный «Туннель» должен быть прозрачен для пользователей, которые работают с ресурсами удаленных ЛВС;

■ пользователи локальной сети не должны иметь доступа к ресурсам открытого Интернета, за исключением ресурсов других локальных сетей, определенных администратором, с которыми организуется защищенное взаимодействие и, возможно, ресурсов мобильных пользователей;

■ должен быть защищенный доступ мобильных пользователей к туннелируемым ресурсам ЛВС.

Незащищенные компьютеры ==Щп=\ (рабочие станции или серверы) Г

Незащищенный мобильный пользователь

Незащищенный мобильный пользователь

Незащищенные компьютеры (рабочие станции или серверы)

Рис. 5.

4. Схема защиты, обеспечивающая выполнение сформулированных требований (рис. 6)

ЩЛ (рабочие станции или серверы)

5. Комментарии к схеме защиты:

ПО ViPNet [Администратор] устанавливается на один из компьютеров (администратор

безопасности) распределенной сети (обычно в центральном офисе).

Данное ПО позволяет:

■ создать топологию (логическую конфигурацию) УРК-сети и сгенерировать ключевую информацию для объектов УРК-сети, задает названия объектам и разрешает или запрещает связи между ними;

■ модифицировать (добавить или удалить объекты) УРК-сети с последующей рассылкой обновленной справочной и ключевой информации тем объектам УРК-сети, которых коснулось конкретное изменение;

■ централизованно обновить установленное ПО (У1РКе1 [Клиент] и У1РКе1 [Координатор]) в случае выхода новой версии.

ПО ViPNet [Координатор] устанавливается на шлюзы локальных сетей (компьютеры РЯОХУ). 1Р-адреса таких компьютеров должны быть статическими.

Данное ПО выполняет следующие функции:

■ туннелирует открытый информационный обмен между компьютерами удаленных ЛВС в защищенное соединение от У1РКе1 [Координатора] данной ЛВС до У1РКе1 [Координатора] удаленной ЛВС;

■ туннелирует открытый информационный обмен между компьютерами своей ЛВС в защищенное соединение от У1РКе1 [Координатора] данной ЛВС до защищенного мобильного пользователя с ПО У1РКе1 [Клиент];

■ разграничивает доступ удаленных туннелируемых компьютеров и защищенных мобильных пользователей к ресурсам «своей» ЛВС (не к каждому компьютеру данной ЛВС смогут получить доступ компьютеры удаленной ЛВС и защищенные мобильные пользователи);

■ разграничивает доступ «своих» туннелируемых компьютеров к ресурсам удаленной ЛВС и защищенных мобильных пользователей (не каждый компьютер данной ЛВС сможет получить доступ к компьютерам удаленной ЛВС и защищенным мобильным пользователям);

■ является сервером 1Р-адресов, то есть является справочным бюро, которое сообщает защищенным мобильным пользователям о текущем состоянии других объектов (включены или выключены) и их 1Р-адресах;

■ является сервером для рассылки обновлений (ПО, справочная и ключевая информация);

■ является сервером-маршрутизатором для рассылки почтовых сообщений (если используется программа «Деловая Почта») и файлов, посылаемых по «файловому обмену» между объектами УРК;

■ является Межсетевым Экраном, который запрещает доступ в ЛВС из открытого Интернета.

ПО ViPNet [Клиент] устанавливается на компьютеры всех мобильных пользователей.

Данное ПО выполняет следующие функции:

■ шифрует весь исходящий информационный обмен с другими объектами УРК;

■ расшифровывает весь входящий информационный обмен от других объектов УРК;

■ запрещает доступ к ресурсам в открытом Интернете;

■ предоставляет большой набор сервисных возможностей для взаимодействия с другими объектами УРК (отправка онлайновых текстовых сообщений, получение информации о включенности конкретного объекта УРК, отправка почтовых сообщений и файлов, и др.);

■ при старте компьютера сообщает своему серверу 1Р-адресов (компьютер локальной сети с установленным ПО У1РКе1 [Координатор]) свой текущий ГР-адрес;

■ при выключении компьютера сообщает своему серверу 1Р-адресов об этом;

■ является Персональным Сетевым Экраном, который запрещает доступ с открытых ресурсов на данный компьютер мобильного пользователя.

Типовая схема 4. Безопасный доступ из локальной сети в Интернет с использованием технологии «Открытый Интернет».

1. Незащищенная схема (рис. 7)

Ш

Незащищенные компьютеры (рабочие станции или серверы)

га

Незащищенный мобильный пользователь

Незащищенный I L

мобильный пользователь

-Локальная сеть № 1

Незащищенный шлюз ЛВС

Локальная сеть № М

га

Незащищенные компьютеры

га

¡¡§Л (рабочие станции или серверы) Г Щ

Рис. 7.

2. Информация об исходной схеме сети:

■ адреса в локальных сетях частные;

■ на входах в локальные сети стоят компьютеры PROXY с реальными адресами;

■ локальных сетей может быть сколько угодно;

■ к открытому Интернету подключается произвольное количество мобильных пользователей.

3. Требуемая защита:

■ информационного обмена при прохождении через открытый Интернет;

■ информационного обмена внутри локальных сетей;

■ виртуальная защищенная сеть должна быть невидима для всех, кто в нее не входит;

■ пользователи виртуальной защищенной сети не должны иметь доступа к ресурсам от-

крытого Интернета, за исключением ресурсов данной виртуальной защищенной сети;

■ требуется обеспечить возможность безопасного доступа в открытый Интернет для пользователей виртуальной защищенной сети изнутри локальных сетей.

4. Схема защиты, обеспечивающая выполнение сформулированных требований (рис.8)

Защищенный шлюз ЛВС - ViPNel [Координатор] Защищенной Сети

Защищенный шлюз ЛВС - ViPNel [Координатор] Защищенной Сети

ш ■ ■ ■ Защищенные компьютеры |к-Х-1 щ ■ ■ ■ Защищенные компьютеры Ш

" Ё5 ™1 с ViPNet [Клиент “ □= |= 1 <= ViPNet [Клиент; Г

Рис. 8.

5. Комментарии к схеме защиты

ПО ViPNet [Администратор] устанавливается на один из компьютеров (администратор безопасности) распределенной сети (обычно в центральном офисе).

Данное ПО позволяет:

■ создать топологию (логическую конфигурацию) VPN-сети и сгенерировать ключевую информацию для объектов VPN-сети, задает названия объектам VPN-сети и разрешает или запрещает связи между ними;

■ модифицировать (добавить или удалить объекты) VPN-сети с последующей рассылкой обновленной справочной и ключевой информации тем объектам VPN-сети, которых коснулось конкретное изменение;

■ централизованно обновить установленное ПО (ViPNet [Клиент] и ViPNet [Координатор]) в случае выхода новой версии.

ПО ViPNet [Координатор] устанавливается на шлюзы локальных сетей (компьютеры PROXY). IP-адреса таких компьютеров должны быть статическими и реальными.

ПО ViPNet [Координатор] Защищенной Сети выполняет следующие функции:

■ является сервером IP-адресов, то есть является справочным бюро, которое сообщает объектам VPN о текущем состоянии других объектов VPN (включены или выключены) и их IP-адресах;

■ является сервером для рассылки обновлений (ПО, справочная и ключевая информация);

■ является сервером-маршрутизатором для рассылки почтовых сообщений (если используется программа «Деловая Почта») и файлов, посылаемых по «файловому обмену» между объектами VPN;

■ является Межсетевым Экраном, который запрещает доступ в ЛВС из открытого Интернета;

■ запрещает доступ к открытым ресурсам, как открытого Интернета, так и локальной сети, если они есть, для всех пользователей защищенной сети.

ПО ViPNet [Координатор] Открытого Интернета выполняет следующие функции:

■ организовывает доступ к ресурсам открытого Интернета от имени своего IP-адреса для привилегированных пользователей защищенной сети, за счет установленного на этом же компьютере ПО Proxy (например, WinGate, MinRoute и т.д.);

■ запрещает доступ к ресурсам открытого Интернета для непривилегированных пользователей защищенной сети;

■ организовывает защищенный «Туннель» между собой и привилегированным пользователем защищенной сети, на время его работы с ресурсами открытого Интернета, без возможности доступа к этому туннелю со стороны всех остальных пользователей защищенной сети;

■ является Межсетевым Экраном, который запрещает доступ в ЛВС из открытого Интернета.

ПО ViPNet [Клиент] устанавливается на компьютеры всех мобильных пользователей и пользователей защищенной сети.

Данное ПО выполняет следующие функции:

■ шифрует весь исходящий информационный обмен с другими объектами VPN;

■ расшифровывает весь входящий информационный обмен от других объектов VPN;

■ запрещает доступ к ресурсам в открытом Интернете для непривилегированных пользователей защищенной сети;

■ организовывает доступ к ресурсам открытого Интернета для привилегированных пользователей защищенной сети через защищенный «Туннель» с ViPNet [Координатором] Открытого Интернета;

■ запрещает взаимодействие со всеми другими пользователями защищенной сети (привилегированными и непривилегированными) и открытыми ресурсами ЛВС, если они есть, на время организации доступа к ресурсам открытого Интернета;

■ предоставляет большой набор сервисных возможностей для взаимодействия с другими объектами VPN (отправка онлайновых текстовых сообщений, получение информации о включенности конкретного объекта VPN, отправка почтовых сообщений и файлов, и др.);

■ при старте компьютера сообщает своему серверу IP-адресов (компьютер локальной сети с установленным ПО ViPNet [Координатор]) свой текущий IP-адрес;

■ при выключении компьютера сообщает своему серверу IP-адресов об этом;

■ является Персональным Сетевым Экраном, который запрещает доступ с открытых ресурсов на данный компьютер.

2.2. Прозрачность для приложений и удобство для пользователей

При выборе средств защиты одно из самых первых правил состоит в том, что они не должны мешать основной функциональности телекоммуникационной системы. Лучше всего, если средства защиты являются прозрачными для используемых приложений. Иначе говоря, после своей установки (чем обычно занимаются администраторы) средства защиты в идеале не должны вносить изменений в работу рядовых пользователей сети.

На самом деле, средства защиты всегда вносят тот или иной дискомфорт для пользователей. Появляется необходимость дополнительного ввода паролей, проведения каких-то новых настроек. Нужно помнить, что пользователи при сбоях своих основных приложений чаще всего

будут винить в этом систему защиты, хотя проблема может быть совсем не в этом. Все это может явиться причиной негативного восприятия системы защиты вплоть до отказа от нее.

Наиболее прозрачными для пользователей являются системы защиты сетевого и канального уровня, поскольку рядовые пользовательские программы обычно не имеют интерфейсных элементов для связи с этими уровнями. Наиболее неудобными с той же точки зрения являются системы защиты уровня приложений.

2.3. Совместимость с сервисами существующей сети

Перед развертыванием VPN в рамках локальной сети организации всегда возникает вопрос о совместимости будущей VPN с сервисами, которые уже существуют в ЛВС. Совместимость будущей VPN с уже существующими сервисами является одним из важнейших факторов при выборе программного обеспечения для построения VPN. Под сетевыми сервисами ЛВС можно понимать различные сервисы электронной почты, сервисы регистрации в домене сети, аудиовидео конференции, FTP, HTTP и т.д.

Наиболее распространенным примером совместимости сетевых сервисов с функционалом VPN можно считать вход сетевого компьютера в домен сети организации. Если возникает проблема совместимости сервисов сети и VPN, то пользователь не получит доступа к сетевым ресурсам организации. Также несовместимость сетевых сервисов может привести к перебоям в работе электронной почты предприятия, доступа пользователей в Интернет, доступа пользователей к внутренним сетевым ресурсам предприятия (базы данных, файл-серверы, внутренний WEB). В настоящее время программно-аппаратные комплексы, предназначенные для построения VPN, предоставляют пользователям прозрачное использование сетевых сервисов, существующих в сети предприятия, то есть организация VPN в рамках ЛВС предприятия никак не влияет на удобство работы непосредственно в сети.

2.4. Совместимость с трансляцией адресов (NAT)

Одной из острых проблем, возникающих при построении системы защиты информационных систем на базе виртуальных частных сетей - VPN, является проблема совместимости с сетевым оборудованием, выполняющим трансляцию адресов (NAT - network address translation). Это могут быть уже имеющиеся в сети МЭ, сервера Proxy с функцией NAT или РАТ (port address translation - трансляция портов). Особенно остро вопрос стоит в тех организациях, которые используют средства VPN и МЭ разных производителей.

Когда организации не хватает реальных адресов или когда необходимо обеспечить доступ в Интернет, скрыв при этом структуру корпоративной сети, применяется трансляция адресов, т.е. подмена в ip-пакете адреса источника, принадлежащего внутренней сети, на адрес сети Интернет; для входящего трафика выполняется обратное преобразование.

Компьютеры, организующие VPN, создают новые заголовки IP-пакетов для передачи данных через защищенное соединение («туннель»). При прохождении через межсетевой экран такой трафик, в большинстве случаев, блокируется.

Одним из возможных решений проблемы является размещение устройства - шлюза VPN перед межсетевым экраном с функцией NAT - шлюзом сети Интернет. Исходящий трафик, предназначенный узлам VPN, сначала будет подвергаться трансляции адресов, а затем обрабатываться шлюзом VPN для направления на узлы виртуальной сети. Однако в таком случае возникает проблема защиты самого устройства - шлюза VPN от несанкционированного доступа из Интернет. Также не решенным остается вопрос о применении персональных МЭ на компьютерах - клиентах VPN. Особенно остро этот вопрос стоит для мобильных пользователей.

Более перспективным и технологически грамотным решением является инкапсуляция тра-

фика VPN до прохождения им межсетевого экрана. Такое решение предлагает комитет IETF (Internet Engineering Task Force) для VPN на основе IPSec. Пакеты, адресованные узлам VPN, после формирования заголовка У VPN инкапсулируются в пакеты UDP (User Datagram Protocol) устройствами VPN (клиентами и шлюзами). После этого трафик проходит через межсетевые экраны с NAT, не вызывая нареканий. В настоящий момент решение находится на стадии обсуждения и пока не получило статус стандарта. Компания «ИнфоТеКС» предвосхитила решение IETF и реализовала инкапсуляцию трафика VPN в UDP-пакеты задолго до опубликования решений IETF, обеспечив совместимость продуктов ViPNet с любыми межсетевыми экранами и прокси-серверами, поддерживающими функцию NAT.

2.5. Работа с динамическими адресами

Как и с применением технологии NAT сетевых адресов, технология работы с динамическими IP-адресами призвана обеспечить работоспособность ЛВС предприятия при нехватке реальных IP-адресов или при организации работы с Интернет. Также технология использования динамической адресации позволяет повысить уровень безопасности ЛВС, поскольку адресация в сети предприятия может меняться динамически.

Одним из сервисов, предоставляющих динамическую адресацию, является сервис DHCP -Server операционной системы Windows NT 4.0 Server. Данный сервис реализует динамическое распределение IP-адресов внутри локальной сети организации.

До недавнего времени построение виртуальных частных сетей (VPN) в сетях с динамической адресацией часто приводило к невозможности построения первых. VPN-клиенты требовали перенастройки своей конфигурации, что негативно отражалось на работе конечных пользователей с данными программами (порой пользователь не знает, как устанавливается, а тем более настраивается такое ПО). Также переназначение IP-адресов при работе клиентов с ресурсами VPN порождало конфликты адресации внутри локальной сети (клиенты переставали видеть свои сервера и т.д.).

В настоящее время программное обеспечение, предназначенное для построения VPN, обладает функционалом, обеспечивающим прозрачную работу VPN в сетях с динамической адресацией, будь то динамическое выделение адресов сервером DHCP, либо выделение адресного пространства провайдером информационных услуг. Конечный пользователь может и не знать о том, что на его компьютере произошла смена IP-адреса. Также функционал работы VPN с динамическими IP-адресами позволил строить VPN с применением удаленных пользователей. Данная технология основана на подключении удаленного пользователя к своей VPN через Интернет, используя dial-up - соединение, то есть, используя ноутбук и модем.

2.6. Наличие различных операционных систем

Системы защиты должны предусматривать возможность наличия в телекоммуникационной системе компьютеров с различными операционными системами. Нередко это является непреодолимым препятствием для внедрения в целом удобной системы защиты. Количество операционных систем достаточно велико и, как правило, не удается построить систему, которую можно инсталлировать непосредственно на любую из существующих операционных систем. С этой точки зрения хорошими системами защиты являются такие системы, которые имеют механизм решения этой проблемы.

Например, для системы защиты «ViPNet» таким механизмом является туннелирование. Допустим, что трафик между двумя компьютерами надо защитить шифрованием, поскольку он проходит через Интернет. Если на два компьютера можно установить систему «ViPNet», то взаимодействие этих компьютеров будет происходить так, как показано на рис.9. Однако, если

на один из компьютеров систему «УІР№1;» установить не удается или нежелательно (кстати, это бывает не только из-за операционной системы), то взаимодействие организуется так, как показано на рис.10. В этом случае трафик, исходящий из незащищенного компьютера и входящий в него, незашифрованны. Однако «УіР№і:»-туннель обеспечивает зашифрованность трафика при прохождении через Интернет. В открытом же виде этот трафик появляется внутри защищенной территории там, где обеспечить его защиту, т.е. обеспечить невозможность перехвата, организационными мерами легко.

Шифрованный трафик Рис.9.

Защищенная зона

Незащищенный

компьютер

Шифрованный трафик

Открытый трафик

Выводы

Рис. 10.

Современные авиационные системы и комплексы широко используют в своей работе телекоммуникационные сети. Телекоммуникационные сети предоставляют огромные выгоды из-за доступа к значительному объему необходимой, но, как правило, территориально распределенной информации. Однако такие возможности одновременно создают потенциальную опасность с точки зрения обеспечения информационной безопасности. Поэтому важно знать основы информационной безопасности, методы, способы и средства ее обеспечения.

В данной статье рассматриваются семиуровневая модель архитектуры протокола работы с сетями, обоснование и выбор уровня встраивания средств защиты информации, технические проблемы обеспечения информационной безопасности в телекоммуникационных сетях.

ЛИТЕРАТУРА:

1. Крыжановский Г. А., Черняков М.В. Оптимизация авиационных систем передачи информации. - М.: Транспорт, 1986.

2. Крыжановский Г.А., Черняков М.В. Комплексирование авиационных систем передачи информации. -М.: Транспорт, 1992.

3. Черняков М.В., Петрушин А.С. Основы информационных технологий и систем. - М.: Наука, 2004.

4. ГОСТ Р 51188-98. «Защита информации. Испытания программных средств на наличие компьютерных

вирусов. Типовое руководство».

TECHNICAL PROBLEMS OF MAINTENANCE OF INFORMATION SAFETY IN TELECOMMUNICATION NETWORKS

Petrushin A.S., Tcherniakov M.V.

In given clause the substantiation and a choice of a level of embedding of means of protection of the information, technical problems of maintenance of information safety in telecommunication networks are considered model of architecture of the report of work with networks.

Сведения об авторах

Черняков Михаил Владимирович, 1937 г.р., окончил ВВИА им. проф. Н.Е. Жуковского (1960), доктор технических наук, профессор, академик Российской академии транспорта и Международной академии информатизации при ООН, профессор кафедры авиационных радиоэлектронных систем МГТУ ГА, автор более 200 научных работ, область научных интересов - автоматизация технологических процессов УВД.

Петрушин Андрей Станиславович, 1969 г.р., окончил МГУ им. М.В. Ломоносова (1996), кандидат технических наук, докторант кафедры авиационных радиоэлектронных систем МГТУ ГА, автор 35 научных работ, область научных интересов - моделирование и оценка эффективности систем УВД.