CC BY
249
Educational Technology & Society 11(1) 2008
ISSN 1436-4522
Технологии обеспечения информационной безопасности корпоративных образовательных сетей
А.В.Усков1, А. Д.Иванников1, В.Л.Усков2 'Государственный научно-исследовательский институт информационных технологий и телекоммуникаций «Информика», Москва, Россия [email protected]. [email protected] 2кафедра компьютерных наук и информационных систем Бредли университет, город Пеория, штат Иллинойс, США uskov@bradley .edu
АННОТАЦИЯ
Рассматриваются вопросы политики, стандартов, технологий и процедур обеспечения информационной безопасности корпоративных образовательных сетей. Описывается разработанный метод защиты локальных серверов корпоративной образовательной сети на основе построения виртуальных частных сетей.
This paper presents various policies, technologies and procedures aimed at security of corporate educational networks. It also describes a proposed method of network security based on a development of Virtual Private Network.
Ключевые слова
безопасность, корпоративная образовательная сеть, технологии, VPN-сети.
Введение
Быстрый рост глобальной компьютерной сети Интернет и стремительное развитие информационных, компьютерных, сетевых, мультимедийных, коммуникационных, коллаборативных технологий привели к формированию новых моделей функционированию образовательных организаций в мире. Инфраструктура современных колледжей и университетов включает в себя географически распределенные подразделения самой организации, ее студентов или слушателей, преподавателей, администраторов, со-исполнителей учебно-методических и научноисследовательских проектов. В связи с этим, общепризнанным стратегическим фактором роста конкурентоспособности современной образовательной организации является построение и эффективное использование ею корпоративной образовательной сети (КОС).
К настоящему времени развернуто множество КОС как отдельных колледжей и/или университетов, так и малых, средних и крупных объединений колледжей или университетов. Это привело к тому, что все больше компонентов и технологий КОС, ее программных приложений и средств, электронных курсов и образовательных модулей, данных в распределенных базах данных становятся доступными большему количеству географически распределенных пользователей - в итоге, это создает значительные удобства и преимущества в их работе. Однако, обратной стороной этого процесса является тот факт, что образовательные организации сталкиваются с возрастающим числом всевозможных угроз для своих КОС - различными компьютерными вирусами, несанкционированным доступом к конфиденциальной информации, разнообразными типами компьютерных атак на инфраструктуру КОС. Так, например, в CSI/FBI отчете за 2006 год (2006 CSI/FBI Survey, 2006) приводятся данные примерно 600 респондентов - представителей больших, средних и маленьких организаций в различных областях - об обнаруженных угрозах для компьютерных сетей их организаций за последний год. Суммарное распределение обнаруженных угроз в организациях респондентов было следующим: компьютерные вирусы (65% респондентов сообщили об этом типе атаки или злоупотреблении), кражи
корпоративных и персональных ноутбуков с конфиденциальной информацией (47%), намеренное злоупотребление и/или неумышленные ошибки при работе внутри компьютерной сети (42%), несанкционированный доступ к информации (32%), отказ в обслуживании (25%), проникновение в систему (15%), намеренное злоупотребление и/или неумышленные ошибки при работе в беспроводных сетях (14%), кража частной конфиденциальной информации (9%), финансовое мошенничество (9%), телефонное мошенничество (8%), ошибки в работе с открытыми Web-приложениями (6%), атаки на Web-сайты (6%), саботаж (3%).
В связи с этим, одной из самых актуальных задач, которые стоят сегодня перед разработчиками и персоналом технического сопровождения КОС является полномасштабное решение проблемы информационной безопасности (ИБ) КОС - от создания стратегии, политики и стандартов ИБ организации до разработки конкретных технологий, процедур и рекомендаций по обеспечению ИБ.
Данная работа посвящена системному изложению политики, стандартов, технологий и процедур ИБ КОС, а также описанию предложенных высокоэффективных методов обеспечения ИБ на основе построения виртуальных частных сетей (virtual private network) - VPN-сетей.
Стратегия, политики и стандарты информационной безопасности КОС.
Современная корпоративная образовательная система (КОС) представляет собой сложную распределенную компьютерную систему, которая осуществляет автоматизированную обработку информации, связанную с процессом обучения студентов и переподготовкой кадров, и использует для этого самые современные информационные, компьютерные, сетевые, программные, мультимедийные, коммуникационные и коллаборативные технологии.
Информационная безопасность КОС. Под обеспечением информационной безопасности (ИБ) КОС ниже понимается организация противодействия любому несанкционированному вторжению в процесс нормального (штатного) функционирования КОС, а также попыткам модификации, хищения, выведения из строя или разрушения ее компонентов, т.е. защиту всех компонентов КОС -программного (системного и прикладного) обеспечения, данных (временных и постоянных), технического обеспечения или аппаратных средств, персонала (административного и технического), пользователей (Шаньгин В.Ф., 2008).
Современная парадигма обеспечения информационной безопасности подразумевает многоуровневую документированную программу, которая, как правило, включает активное использование:
1)на верхнем уровне: утвержденной стратегии ИБ и составляющих ее разнообразных отдельных политик ИБ,
2) на среднем уровне: обязательных базовых (международных и/или
национальных) стандартов и рекомендуемых руководств,
3)на низшем уровне: отдельных технологий и средств защиты ИБ, детализированных процедур, а также многочисленных метрик защищенности системы.
Стратегия ИБ КОС. Под стратегией информационной безопасности образовательной организации будем понимать согласованную совокупность управленческих решений, оказывающих определяющее воздействие на деятельность всех организаций, заинтересованных в нормальном функционировании КОС, и имеющих долгосрочные и труднообратимые последствия.
Политики ИБ КОС. Под политикой информационной безопасности (ПИБ) ниже понимается совокупность документов, требований и правил, направленных на защиту информации в КОС и ассоциированных с ней ресурсов. Как правило, каждая разработанная ПИБ ориентирована на определенную и ограниченную группу рисков и угроз для ИБ, связанных с отдельной функцией КОС, отдельной компонентой КОС или способом ее организации и использования. Можно выделить следующий перечень ПИБ для обобщенной КОС:
1) политика использования Интернета образовательной организацией,
2) политика допустимого использования КОС в целом и ее отдельных частей,
3) политика назначения, использования и обновления пользователями паролей доступа к КОС в целом и/или к отдельным ее частям,
4) политика использования электронной почты,
5) политика антивирусной защиты.
6) политика использования образовательного контента,
7) политика модификации и добавления образовательного контента,
8) политика публичных сервисов,
9) политика безопасности лаборатории демилитаризованной зоны,
10) политика безопасности компьютерной лаборатории внутри КОС,
11) политика беспроводного доступа в КОС,
12) политика аудита защищенности КОС, (мониторинг атак, анализ уязвимостей, измерение защищенности, и т.п.),
13) политика оценки рисков КОС,
14) политика использования защищенных виртуальных частных сетей в КОС - VPN-сетей,
15) политика по установке и использованию межсетевых экранов (firewall, брандмауэров) - МЭ,
16) политика обеспечения безопасности серверов и маршрутизаторов,
17) политика классификации конфиденциальности информации в КОС,
18) политика шифрования данных и информации в КОС.
Каждая ПИБ, как правило, определяет, почему образовательная организация защищает свою информацию, и содержит такие разделы, как, цель, область применения, основная часть, ответственность, последствия за несоответствие требованиям политики.
Стандарты ИБ. Стандарты ИБ, в целом, посвящены практическим вопросам обеспечения ИБ, т.е. что организация намерена предпринять для реализации ИБ КОС. Они, как правило, детализируют различия по настройке средств безопасности на отдельных технических платформах и в операционных системах, программных приложениях и базах данных. ИБ современных КОС, как и любой распределенной компьютерной системы, в общем случае должна базироваться на выполнении следующих международных стандартов: ISO/IEC 17799:2005 (BS 7799-1:2002), ISO/IEC 15408, ISO/IEC TR 13335, германский стандарт BSI IT Protection Manual, стандарты NIST США серии 800 (NIST, Nov. 2005; NIST, Dec. 2005), стандарты и библиотеки CobiI, ITIL, SAC, COSO, SAS78/94 и некоторых других, аналогичных им. В случае российских КОС, они должны соответствовать государственным стандартам РФ по защите информации: ГОСТ Р 50922-96, ГОСТ Р 51275-99, ГОСТ Р 51583-2000, ГОСТ Р 51511-2001, ГОСТ Р 52069.0-2003, ГОСТ Р 52447-2005, ГОСТ Р 52633-2006 и некоторым смежным стандартам.
Технологии обеспечения безопасности КОС.
Процедуры по обеспечению ИБ описывают, как и с применением каких технологий ИБ образовательная организация должна выполнять требования, описанные в документах более высокого уровня. Следует отметить, что в настоящее время образовательные организации мира используют очень широкий спектр технологий и процедур по обеспечению ИБ КОС. Поэтому, авторы сочли необходимым исследовать вопрос эффективности применения различных технологий ИБ в КОС университетов и колледжей мира. Отборочным критерием в данном случае служила частота внедрения и/или степень активного использования технологии или процедуры ИБ в образовательных организациях в 2003-2006 годах. Методика проведенных авторами исследований основывалась на:
1) анализе публикаций (за 2002-2007 годы ) в данной области, включая около 35 доступных отчетов и публикаций по вопросам безопасности КОС больших, средних и малых образовательных организаций годах (Green K., 2006; 2006 CSI/FBI Survey, 2006; Adler P., 2006; NIST, Dec. 2005; NIST, Nov. 2005);
2) анализе выступлений и презентаций известных специалистов в области ИБ в 2002-2007 годах (Pirani J. et al., 2003),
3) онланй опросе и личных интервью (проведенных в 2007 году) специалистов - системных администраторов КОС,
4) личного опыта одного их авторов по системному администрированию КОС большого (свыше 8000 пользователей) университета.
В результате проведенных исследований, авторами сформулирован перечень наиболее часто используемых технологий и процедур обеспечения ИБ в КОС, который приведен ниже с указанием популярности по 10-бальной шкале каждой отдельной технологии или процедуры (в данном случае, 10 баллов соответствуют наилучшей технологии):
1) внешние, т.е. расположенные по периметру, МЭ - 9.5;
2) внутренние МЭ - 9.5;
3) программное обеспечение по обнаружению и обезвреживанию компьютерных вирусов - 9.5;
4) VPN-сети для удаленного доступа к КОС - 9.0; следует отметить бурный (примерно 33% в год) рост популярности внедрения и использования этой технологии за последние 2 года;
5) ограничение типов протоколов обмена данными, которым разрешается проходить через внешние и внутренние МЭ и маршрутизаторы КОС -8.5;
6) существенное ограничение, а в предельном случае, даже исключение возможности (т.е. блокирование) обращения к серверам и некоторым сетевым программным системам/приложениям КОС - 8.0;
7) централизованное восстановление данных в КОС - 8.0;
8) программное обеспечение по предотвращению несанкционированной пользователем передачи от его имени данных и/или информации (antispyware или anti-adware) - 8.0;
9) активная фильтрация (active filtering) - 7.5 (отметим, что число организаций, внедряющих эту высокоэффективную технологию, удваивается каждый год в течение последних трех лет);
10) ограничение на продолжительность использования некоторых программных приложений КОС - 7.5;
11) контрольные листы (списки) доступа, расположенные на серверах КОС (server-based access control list) - 7.0;
12) корпоративная директория или фолдер (corporate directory) или центральный репозиторий организации - 7.0 (отметим примерно 25%-ый в год рост популярности этой технологии);
13) программные и технические средства обнаружение вторжений (intrusion detection) - 6.5;
14) технологии шифрования данных при их передаче в КОС- 6.0;
15) инфраструктура открытых ключей (PKI) - 5.5;
16) паролирование допуска в КОС и/или к отдельным ее частям и приложениям - 5.0;
17) корпоративное руководство (план, программа) по восстановлению доступности, конфиденциальности, отказоустойчивости и целостности программного и технического обеспечения и данных КОС, нарушенных в результате неправомочного (злонамеренного) использования ее ресурсов или стихийных бедствий - 4.5;
18) программные и технические средства предотвращение вторжений (intrusion prevention system) - 4.0;
19) система контроля регистраций (логинов) пользователей КОС - 4.0;
20) МЭ для отдельных программных приложений КОС (application-level firewall) - 4.0;
21) смарт-карты, одноразовые пропуска и/или другие электронные ключи для обеспечения допуска в КОС - 4.0;
22) ограничения на тип и контент, а в некоторых случаях, даже на URL конкретных Web-сайтов, которыми разрешается пользоваться в данной КОС; это достигается за счет использования технологий активной и пассивной фильтрации с помощью МЭ, и динамическим перечнем Web-
сайтов, которые недопустимо использовать пользователям данной КОС) - 3.5;
23) соблюдение стандартов ИБ в КОС - 3.0;
24) программные и технические средства защиты программного обеспечения, информации и данных на отдельных пользовательских компьютерах - 3.0;
25) установка специального программного обеспечения, направленного на постоянный (24/7/365) мониторинг появления в КОС злонамеренного кода (malicious code), обнаружения случаев несанкционированного доступа, (unauthorized access), организованных атак (attacks) или вторжений (intrusion), внештатных изменений в запротоколированной и объявленной неизменности (tranquility) программных и технических средств КОС - 2.0;
26) биометрические средства аутентификации пользователей - 2.0;
27) использование специализированных физических устройств для аутентификации пользователей (например, магнитных карточек) - 1.5;
28) электронная подпись - 1.0.
В настоящее время в образовательных организациях наблюдается резкий рост числа аудиторий, лабораторий и пользователей, использующих беспроводной (WiFi) доступ к сетям интранет и Интернет. В связи с этим, дополнительно приведем перечень высокоэффективных технологий и процедур ИБ для КОС с беспроводным доступом; ниже указаны как показатели популярности отдельных технологий по 10-бальной шкале, так и примерный процент роста популярности данной технологии каждый год в период с 2003 по 2006 гг. (Green K., 2006; Pirani J., 2003; Adler P., 2006; Усков А.В. и др., 2007):
1) WiFi МЭ - 7.0 (80%);
2) технология VPN-сетей (virtual private networks) - 7.0 (70%);
3) технология RADIUS (remote authentication dial-in user service) - 5.5 (10%);
4) технология 128-bit WEP (Wired Equivalency Privacy) - 3.5 (30%);
5) технология Kerberos - 2.0 (100%);
6) протокол EAP (Extensible Authentication Protocol) - 2.0 (200%);
7) технология 40-bit WEP (Wired Equivalency Privacy) - 2.0 (20%);
8) технологии на основе AES (Advanced encryption standard) - 1.5 (125%).
Необходимо отметить, что в настоящее время все более широкое применение
находят технологии WPA (WiFi Protected Access) и WPA2. В сочетании с известными TKIP-алгоритмом и Michael-алгоритмом шифрования данных, эта технология также использует и алгоритм, основанный на использовании вышеуказанного AES стандарта и CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code) протокола. С 2006 года получение сертификата WPA2 является обязательным для всех вновь сертифицируемых WiFi устройств.
Следует особо подчеркнуть, что результаты проведенного исследования позволяют определить ярко выраженную тенденцию образовательных организаций к созданию и использованию централизованного (единого) корпоративного центра ИБ КОС (что осуществлено примерно в 62% опрошенных организациях) вместо устаревающей стратегии по использованию локальных отделов (групп) информационной безопасности образовательной сети (что на сегодня еще остается примерно в 38% организаций).
Методики обеспечения ИБ КОС на основе VPN -сетей
Одним из наиболее перспективных подходов к решению проблемы ИБ КОС является использование интегрированных решений на основе совместного использования различных указанных выше технологий ИБ с различными компонентами КОС (операционными системами, маршрутизаторами, МЭ, каталогами доступа, и т.п.), и б). Виртуальные частные сети - VPN-сети -объединяют в себе а) технологию туннелирования, позволяющую создать и замаскировать виртуальный канал в открытой сети Интернет, и б) технологию шифрования передаваемой информации с использованием криптографических
средств по обеспечения конфиденциальности и целостности передаваемой информации. Ниже приводятся краткое описание разработанного метода обеспечения ИБ КОС на основе построения VPN-сетей для разных категорий пользователей.
Формулировка проблемы. Типовой проблемой защиты локальных серверов КОС (находящихся в различных подразделениях образовательной организации) является необходимость
1) предоставления полного (нефильтрованного) доступа к локальному
серверу одной группы (группы «А») пользователей (например,
системному администратору, разработчикам образовательного контента, и т.п.),
2) полной фильтрации несанкционированного доступа к указанному
локальному серверу другой группы (группы «Б») пользователей,
при условии, что пользователи групп «А» и «Б» находятся на одной и той же подсети КОС и используют динамические IP-адреса.
При традиционном подходе к решению этой задачи администраторы КОС, как правило, либо разделяют пользователей двух указанных групп на две независимые подсети КОС (что ведет к необходимости обязательного изменения таблицы маршрутизации ТМ), либо используют статические IP-адреса (что является неудобным во многих случаях, когда пользователи работают на переносных
компьютерах в разных подсетях образовательной организации, а также с использованием беспроводной связи.
Метод решения. Разработанный метод решения этой проблемы и защиты ИБ локального сервера основан на туннелировании, построенном по технологии IPSEC VPN. Достоинствами этой технологии являются 1) полное шифрование данных, передаваемых в туннеле, 2) полная защита от ложной имитации соединения (spoofing), 3) отсутствие необходимости инсталляции какого-либо дополнительного программного обеспечения, т.к. IPSEC VPN технология является интегрированной частью Microsoft Windows Server 2000, Server 2003, Windows 2000 и Windows XP операционных систем.
В разработанном методе защиты локального сервера КОС межсетевой экран разрешает пропуск только IPSEC VPN пакетов; все остальные пакеты (кроме пакетов, посланных к разрешенным портам, например, порту 80) отфильтровываются с помощью МЭ. IPSEC VPN технология активируется на локальном сервере с установкой “отвечать на все IPSEC запросы»; дополнительно устанавливается ключ шифрования информации в туннеле. Важно отметить, что сам сервер запросы на установку IPSEC туннелей не отсылает. На компьютерах пользователей группы «А» активируется установка «требовать построения и использования IPSEC VPN туннеля при связи с сервером»; это приводит к тому, что пользовательские компьютеры запрашивают построение шифрованного туннеля в канале связи с сервером. Компьютеры пользователей группы «Б», во-первых, не имеют информации и «не знают» о необходимости построения и использования IPSEC VPN туннеля, и, во-вторых, не имеют ключей шифрования информации в туннеле. Таким образом, для пользовательских компьютеров группы «А» сервер полностью открыт для коммуникаций с высокоэффективным шифрованием передаваемой через туннель и надежно защищен используемым МЭ, а для пользовательских компьютеров группы «Б» - сервер полностью закрыт.
Хорошим дополнением к разработанному методу ИБ КОС является интеграция, во-первых, предложенной концепции «трех групп пользователей КОС» или «трех зон КОС» (т.е. а) зоны «студенты» или Learning Zone - LZ, б) зоны «преподаватели и аспиранты» или Working Zone - WZ, в) зоны “администраторы» или Admin Zone - AZ), и, во-вторых, технологии контрольных списков доступа, расположенных на локальных серверах КОС.
Отметим, что некоторым недостатком разработанного способа может служить незначительная потеря ресурсов процессоров сервера КОС на обязательное шифрование данных и информации, предназначенных для передачи через туннель; однако численные эксперименты показывают, что при использовании современных мощных процессоров в серверах этот недостаток не оказывает заметного влияния на общую эффективность КОС.
Формулировка проблемы. Другой типовой проблемой защиты локальных серверов КОС (находящихся в различных подразделениях образовательной организации) является необходимость установки дополнительного МЭ между основным корпоративным маршрутизатором и локальным сервером подразделения образовательной организации (например, кафедры или отдела). При традиционном подходе установка подобного дополнительного МЭ каждый раз требует либо наличия прав сетевого администратора КОС у администратора локального сервера либо изменения таблиц маршрутизации (ТМ) на основном корпоративном маршрутизаторе; оба традиционных решения ведут к необходимости обязательных дополнительных согласований между администраторами КОС и локальных серверов.
Метод решения. Разработанный метод решения этой проблемы и защиты ИБ локального сервера основан на основе интегрированного использования технологии активной фильтрации и технологии межсетевых экранов. В данном случае, МЭ строится между корпоративным маршрутизатором и локальным сервером, причем МЭ в данном случае строится по принципу фильтрующего моста. Более того, обязательным условием является работа построенного фильтрующего моста на канальном уровне или уровне 2 в модели 081. В результате, как показывают многочисленные эксперименты и 4-летний использования данного решения, исключается необходимость обязательных дополнительных согласований между администраторами КОС и локальных серверов.
Заключение
Ряд решений по совместному интегрированному использованию описанных выше технологий и процедур ИБ, а также предложенные методы обеспечения ИБ локальных серверов КОС были протестированы, внедрены и использованы в 20042007 годах в корпоративной образовательной среде одного из университетов США с более, чем 8000 физических пользователей и около 150 локальных серверов. В результате постоянного (24/7/365) мониторинга локальных серверов подразделений университета не было зарегистрировано ни одного случая успешной внешней или внутренней атаки или несанкционированного доступа на защищенные локальные серверы, включая стримминг-серверы, серверы данных, Web-серверы, серверы коммуникаций. Это свидетельствует о высокой эффективности предложенных и разработанных методов защиты ИБ локальных серверов КОС.
Литература
[Усков А.В. и др., 2007] Усков А.В. , Иванников А. Д. Безопасность корпоративных образовательных сетей // Труды XIV Всероссийской научно-методической конференции «Телематика-2007» - Санкт-Петербург: Изд-во СПГУ ИТМО, 2007. [Шаньгин В.Ф., 2008] Шаньгин В.Ф. Информационная безопасность компьютерных систем и сетей. - М.: ИД «ФОРУМ» - ИНФРА-М, 2008.
[2006 CSI/FBI Survey, 2006] 2006 CSI/FBI Computer Crime and Security Survey // Computer Security Institute, 2006. / Internet. -http://Lcmpnet.com/gocsi/db area/pdfs/fbi/FBI2006.pdf
[Adler P., 2006] Adler P. A Unified Approach to Information Security Compliance // EDUCASE Review, October 2006. / Internet. -http ://www.educause.edu/ir/library/pdf/erm0653 .pdf
[NIST, Nov. 2005] Guide to Malware Prevention and Handling // U.S. National Institute of
Standards and Technology, Washington, DC, November 2005. / Internet. -
http://csrc.nist.gov/publications/nistpubs/800-83/SP800-83.pdf
[NIST, Dec. 2005] Guide to IPsec VPNs, U.S. National Institute of Standards and
Technology // Washington, DC, December 2005. / Internet. -
http://csrc.nist.gov/publications/nistpubs/800-77/sp800-77.pdf
[Green K., 2006] Green K. The 2006 National Survey of Information Technology in US Higher Education // The Campus Computing Project, 2006. / Internet. -http://www.campuscomputing.net/sites/www.campuscomputing.net/files/2006-CCP.pdf
[Pirani J. et al., 2003] Pirani J., Voloudakis J. Information Security: Governance, Stretagy, and Practice in Higher Education // EDUCASE Center for Applied Research, 2003. / Internet. - http://www.educause.edu/ir/library/pdf/ers0305/rs/ers0305w.pdf
