Любая компания, ведущая успешный бизнес, не может не использовать в своей деятельности информационные технологии. Информация, доверяемая технике, зачастую во много раз дороже самой техники, поэтому в современном деловом мире большое внимание уделяется защите информации
Информационные системы (ИС) компаний почти всегда построены на основе программных аппаратных продуктов различных производителей. Дело в том, что на данный момент нет ни одной компании-разработчика, которая бы предоставила потребителю полный перечень средств (от аппаратных до программных) для построения современной ИС. Чтобы обеспечить в разнородной ИС надежную защиту информации требуются высококвалифицированные специалисты, которые будут отвечать за безопасность каждого компонента ИС: правильно их настроят, постоянно будут отслеживать происходящие изменения, устанавливать "заплатки" на найденные в системе бреши, контролировать работу пользователей. Очевидно, что чем разнороднее информационная система, тем сложнее обеспечить ее безопасность.
Еще одна негативная сторона использования программных и аппаратных продуктов различных производителей - это разнородность журналов регистрации событий. Каждая из используемых систем регистрирует в своем журнале сведения, относящиеся к внутренним механизмам ее функционирования: коммуникационное оборудование регистрирует сведения о подключениях по конкретным IP-адресам и портам, ОС-о доступе к некоторым объектам ОС (файлам, каталогам и т.д.). Кроме того, в силу различного именования пользователей в разных системах и различной степени подробности регистрируемых событий получить представление о действиях того или иного сотрудника в ИС компании трудно. Поэтому сотрудники службы защиты информации, чтобы получить единую картину реального положения дел и оценить исполнение требований безопасности, вынуждены собирать и обобщать данные о состоянии различных подсистем. Естественно, что в таких условиях трудно обеспечить оперативное реагирование на происходящие в системе изменения.
Каким должно быть решение?
Итак, можно сделать вывод, что идеальное средство защиты информации, которое позволит успешно реализовать политику безопасности организации, должно быть независимым от используемых ОС и прикладных систем и иметь централизованное управление. Кроме того, система регистрации событий, происходящих в ИС (события НСД, изменение привилегий пользователей и т.д.), должна быть единой и позволять администратору составить полную картину происходящих в ИС изменений. В качестве средства, позволяющего построить систему информационной безопасности организации в гетерогенной сети, рассмотрим разработку научно-инженерного предприятия "Информзащита" - систему защиты информации Secret Net.
Что такое SecretNet
Система защиты информации Secret Net является программно-аппаратным комплексом и предназначена для решения следующих задач:
•защита корпоративных ресурсов компании от доступа к ним посторонних лиц с помощью собственных защитных механизмов и встроенных возможностей ОС;
• централизованное управление информационной безопасностью в гетерогенных сетях;
• контроль действий сотрудников в ИС организации и оперативное реагирование на факты и попытки НСД.
Система Secret Net сертифицирована Гостехкомиссией России по 3-му классу защищенности для СВТ.
Рассмотрим, как данный продукт преодолевает перечисленные проблемы.
Многоплатформенность
Система Secret Net позволяет сотруднику службы безопасности со своего АРМ управлять всем спектром защитных механизмов клиентов Secret Net и встроенными возможностями ОС. При этом управление происходит в едином стиле независимо от платформы, на которых установлены клиенты. В этом направлении специалисты НИП "Информзащита" работают уже достаточно давно и достигли успехов. В настоящее время Secret Net позволяет обеспечить защиту рабочих станций и серверов сети, работающих под управлением операционных систем Windows'9x (Windows 95, Windows 98 и их модификаций), Windows NT 4.0, UNIX. На очереди Windows 2000 и другие распространенные ОС. Журналы регистрации и система отчетов не зависят от используемых клиентами Secre Net операционных систем. Администратор безопасности имеет возможность получать обобщенные или детальные отчеты о конфигурации АРМ и серверов сети, настройках защитных механизмов, правах доступа пользователей к корпоративным ресурсам и т.д. Информация обо всех событиях, имеющих отношение к безопасности информационной системы, поступает в реальном режиме времени.
Механизм управления и контроля
Система управления информационной безопасностью в Secret Net оперирует терминами реальной предметной области (например: "сотрудник", "задача", "компьютер", "помещение" и т.д.), что делает процесс управления удобным и понятным. Для упрощения процесса управления полномочиями пользователей и настройками режимов работы компьютеров используется специальный механизм шаблонов. Шаблон представляет собой некоторый набор привилегий и настроек, характерных для тех или иных пользователей. Создав шаблон, соответствующий какой-либо категории сотрудников, администратор может добавлять в ИС пользователей, которым будут присваиваться свойства, заданные этим шаблоном. Что касается контроля работы пользователей, то Secret Net немедленно оповещает администратора о попытках НСД, позволяет без ведома пользователя подключиться к его компьютеру в режиме эмуляции терминала, перехватить управление рабочей станцией, выключить, перезагрузить компьютер или блокировать работу пользователя. Если владелец информационной системы намерен построить систему информационной безопасности и избежать проблем, связанных с гетерогенностью сети, то он должен ориентироваться на продукты, которые специально создавались с целью преодоления "подводных камней" подобного рода. Однако на пути выбора средства управления безопасностью его ожидает сюрприз - на рынке программных продуктов такого рода нет конкуренции.
В интранет-системах для организации и обеспечения информационного обмена используется подход клиент-сервер, главная роль в котором отводится Web-сервису. Web-серверы должны поддерживать традиционные защитные средства, например, такие, как аутентификация и разграничение доступа. Кроме того, необходимо обеспечение новых свойств в особенности безопасности программной среды и на серверной и на клиентской сторонах
Формирование режима информационной безопасности - проблема комплексная. Меры по ее решению можно разделить на четыре уровня:
1) законодательный (законы, нормативные акты, стандарты и т.п.);
2) административный (действия общего характера, предпринимаемые руководством организации);
3) процедурный (меры безопасности, имеющие дело с людьми);
4) программно-технический (технические меры).
Законодательный уровень
В настоящее время наиболее подробным законодательным документом в области информационной безопасности является новая редакция Уголовного кодекса РФ, вступившая в силу в мае 1996 г. Уголовный кодекс стоит на страже всех аспектов информационной безопасности - доступности, целостности, конфиденциальности, предусматривая наказания за "уничтожение, блокирование, модификацию и копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети".
Кроме этого в рамках серии документов Гостехкомиссии подготовлен руководящий документ, устанавливающий классификацию межсетевых экранов (firewalls, или брандмауэров) по уровню обеспечения защищенности от несанкционированного доступа НСД). Это принципиально важный документ, позволяющий упорядочить использование защитных средств, необходимых для реализации технологии интранет.
Разработка сетевых аспектов политики безопасности
Политика безопасности определяется как совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов. При разработке и проведении ее в жизнь целесообразно руководствоваться следующими принципами:
• невозможность миновать защитные средства;
• усиление самого слабого звена;
• невозможность перехода в небезопасное состояние;
• минимизация привилегий;
• разделение обязанностей;
• эшелонированность обороны;
• разнообразие защитных средств;
•простота и управляемость информационной системы;
•обеспечение всеобщей поддержки мер
безопасности.
Принцип невозможности перехода в небезопасное состояние означает, что при любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ. Принцип минимизации привилегий предписывает выделять пользователям и администраторам только те права доступа, которые необходимы им для выполнения служебных обязанностей.
Принцип разделения обязанностей предполагает такое распределение ролей и ответственности, при котором один человек не может нарушить критически важный для организации процесс. Это особенно важно, чтобы предотвратить злонамеренные или неквалифицированные действия системного администратора. Принцип эшелонированности обороны предписывает не полагаться на один защитный рубеж, каким бы надежным он ни казался. За средствами физической защиты должны следовать программно-технические средства, за идентификацией и аутентификацией - управление доступом и как последний рубеж -протоколирование и аудит. Эшелонированная оборона способна, по крайней мере, задержать злоумышленника, а наличие такого рубежа, как протоколирование и аудит, существенно затрудняет незаметное выполнение злоумышленных действий. Принцип разнообразия защитных средств рекомендует организовывать различные по своему характеру оборонительные рубежи, чтобы от потенциального злоумышленника требовалось овладение разнообразными и, по возможности, несовместимыми между собой навыками (например, умением преодолевать высокую ограду и знанием слабостей нескольких операционных систем). Очень важен принцип простоты и управляемости информационной системой в целом и защитных средств в особенности. Только для простого защитного средства можно формально или неформально доказать его корректность. В этой связи важно отметить интегрирующую роль Web-сервиса, скрывающего разнообразие обслуживаемых объектов и предоставляющего единый, наглядный интерфейс. Соответственно, если объекты некоторого вида (скажем, таблицы базы данных) доступны через Web, необходимо заблокировать прямой доступ к ним, поскольку в противном случае система будет сложной и трудноуправляемой.
Всеобщая поддержка мер безопасности
Последний принцип - всеобщая поддержка мер безопасности - носит нетехнический характер Анализ рисков - важнейший этап выработки политики безопасности. При оценке рисков, которым подвержены интранет-системы, нужно учитывать следующие обстоятельства: •новые угрозы по отношению к старым сервисам, вытекающие из возможности пассивного или активного прослушивания сети. Пассивное прослушивание означает чтение сетевого трафика, а активное - его изменение (кражу, дублирование или модификацию передаваемых данных). Например, аутентификация удаленного клиента с помощью пароля многократного использования не может считаться надежной в сетевой среде, независимо от длины пароля;
• новые (сетевые) сервисы и ассоциированные с ними угрозы.
Процедурные меры
В общем и целом интранет-технология не предъявляет каких-либо специфических требований к мерам процедурного уровня. На наш взгляд, отдельного рассмотрения заслуживают лишь два обстоятельства:
1) описание должностей, связанных с определением, наполнением и поддержанием корпоративной гипертекстовой структуры официальных документов;
2) поддержка жизненного цикла информации, наполняющей интранет. При описании должностей целесообразно исходить из аналогии между интранет и издательством. В издательстве существует директор, определяющий общую направленность деятельности. В интранет ему соответствует Web-администратор, решающий, какая корпоративная информация должна присутствовать на Web-сервере и как следует структурировать дерево (точнее, граф) HTML-документов. В многопрофильных издательствах существуют редакции, занимающиеся конкретными направлениями (математические книги, книги для детей и т.п.). Аналогично этому, в интранет целесообразно выделить должность публикатора, ведающего появлением документов отдельных подразделений и определяющего перечень и характер публикаций. У каждой книги есть редактор, отвечающий перед издательством за свою работу. В интранет редакторы занимаются вставкой документов в корпоративное дерево, их коррекцией и удалением. В больших организациях "слой" публикатор/редактор может состоять из нескольких уровней.
Наконец, и в издательстве, и в интранет должны быть авторы, создающие документы. Подчеркнем, что они не должны иметь прав на модификацию корпоративного дерева и отдельных документов. Их дело - передать свой труд редактору.
Управление доступом путем фильтрации информации
Отметим, что бороться с угрозами, присущими сетевой среде, средствами универсальных операционных систем (ОС) не представляется возможным. Универсальная ОС - это огромная программа, наверняка содержащая помимо явных ошибок некоторые особенности, которые могут быть использованы для получения нелегальных привилегий. Современная технология программирования не позволяет сделать столь большие программы безопасными. Кроме того, администратор, имеющий дело со сложной системой, далеко не всегда в состоянии учесть все последствия производимых изменений. Наконец, в универсальной многопользовательской системе бреши в обеспечении безопасности постоянно создаются самими пользователями (слабые и/или редко изменяемые пароли, неудачно установленные права доступа, оставленный без присмотра терминал ит.п.).
Единственный перспективный путь - разработка специализированных защитных средств, которые в силу своей простоты допускают формальную или неформальную верификацию. Межсетевой экран как раз и является таким средством, допускающим дальнейшую декомпозицию, связанную с обслуживанием различных сетевых протоколов.
Межсетевой экран как средство контроля информационных потоков
Межсетевой экран - это полупроницаемая мембрана, которая располагается между защищаемой (внутренней) сетью и внешней средой (внешними сетями или другими сегментами корпоративной сети) и контролирует все информационные потоки во внутреннюю сеть и из нее (рис. 2). Контроль информационных потоков состоит в их фильтрации, то есть в выборочном пропускании через экран, возможно, с выполнением некоторых преобразований и извещением отправителя о том, что его данным в пропуске отказано. Фильтрация осуществляется на основе набора правил, предварительно загруженных в экран и являющихся выражением сетевых аспектов политики безопасности организации.
Целесообразно разделить случаи, когда экран устанавливается на границе с внешней (обычно общедоступной) сетью или на границе между сегментами одной корпоративной сети. Соответственно мы будет говорить о внешнем и внутреннем межсетевых экранах. Как правило, при общении с внешними сетями используется исключительно семейство протоколов TCP/IP. Поэтому внешний межсетевой экран должен учитывать специфику этих протоколов. Для внутренних экранов ситуация сложнее: здесь следует принимать во внимание помимо TCP/IP по крайней мере протоколы SPX/IPX, применяемые в сетях Novell NetWare. Иными словами, от внутренних экранов нередко требуется многопрото-кольность.
Ситуация, когда корпоративная сеть содержит лишь один внешний канал, является скорее исключением, чем правилом. Напротив, типична ситуация, при которой корпоративная сеть состоит из нескольких территориально разнесенных сегментов, каждый из которых подключен к сети общего пользования (рис. 3). В этом случае каждое подключение должно защищаться своим экраном. При рассмотрении любого вопроса, касающегося сетевых технологий, основой служит семиуровневая эталонная модель ISO/OSI. Межсетевые экраны также целесообразно классифицировать по тому, на каком уровне производится фильтрация - канальном, сетевом, транспортном или прикладном. Соответственно можно говорить об экранирующих концентраторах (уровень 2), маршрутизаторах (уровень 3), о транспортном экранировании (уровень 4) и о прикладных экранах (уровень 7). Существуют также комплексные экраны, анализирующие информацию на нескольких уровнях,
При принятии решения "пропустить/не пропустить", межсетевые экраны могут использовать не только информацию, содержащуюся в фильтруемых потоках, но и данные, полученные из окружения, например текущее время.
Экранирующая подсеть
Возможности межсетевого экрана непосредственно определяются тем, какая информация может использоваться в правилах фильтрации и какова может быть мощность наборов правил. Вообще говоря, чем выше уровень в модели ISO/OSI, на котором функционирует экран, тем более содержательная информация ему доступна и, следовательно, тем тоньше и надежнее экран может быть сконфигурирован. В то же время фильтрация на каждом из перечисленных выше уровней обладает своими достоинствами, такими, как дешевизна, высокая эффективность или прозрачность для пользователей. В силу этой, а также некоторых других причин в большинстве случаев используются смешанные конфигурации, в которых объединены разнотипные экраны. Наиболее типичным является сочетание экранирующих маршрутизаторов и прикладного экрана. Приведенная конфигурация называется экранирующей подсетью. Как правило, сервисы, которые организация предоставляет для внешнего применения (например, "представительский" Web-сервер), целесообразно выносить как раз в экранирующую подсеть.
Простота применения и собственная защита
Помимо выразительных возможностей и допустимого количества правил качество межсетевого экрана определяется еще двумя очень важными характеристиками - простотой применения и собственной защищенностью. В плане простоты использования первостепенное значение имеют наглядный интерфейс при задании правил фильтрации и возможность централизованного администрирования составных конфигураций, В свою очередь в последнем аспекте хотелось бы выделить средства централизованной загрузки правил фильтрации и проверки набора правил на непротиворечивость. Важен и централизованный сбор и анализ регистрационной информации, а также получение сигналов о попытках выполнения действий, запрещенных политикой безопасности. Собственная защищенность межсетевого экрана обеспечивается теми же средствами, что и защищенность универсальных систем. При выполнении централизованного администрирования следует еще позаботиться о защите информации от пассивного и активного прослушивания сети, то есть обеспечить ее целостность и конфиденциальность. Хотелось бы подчеркнуть, что природа экранирования (фильтрации) как механизма безопасности, очень глубока. Помимо блокирования потоков данных, нарушающих политику безопасности, межсетевой экран может скрывать информацию о защищаемой сети, тем самым затрудняя действия потенциальных злоумышленников. Так, прикладной экран может осуществлять действия от имени субъектов внутренней сети, в результате чего из внешней сети кажется, что имеет место взаимодействие исключительно с межсетевым экраном (рис. 4). При таком подходе топология внутренней сети скрыта от внешних пользователей, поэтому задача злоумышленника существенно усложняется.
Безопасность программной среды
Идея сетей с так называемыми активными агентами, когда между компьютерами передаются не только пассивные, но и активные исполняемые данные (то есть программы), разумеется, не нова. Первоначально цель состояла в том, чтобы уменьшить сетевой трафик, выполняя основную часть обработки там, где располагаются данные (приближение программ к данным). На практике это означало перемещение программ на серверы. Классический пример реализации подобного подхода - это хранимые процедуры в реляционных СУБД. Для Web-серверов аналогом хранимых процедур являются программы, обслуживающие общий шлюзовый интерфейс (Common Gateway Interface - CGI). CGI-процедуры располагаются на серверах и обычно используются для динамического порождения HTML-документов. Политика безопасности организации и процедурные меры должны определять, кто имеет право помещать на сервер CGI-процедуры. Жесткий контроль здесь необходим, поскольку выполнение сервером некорректной программы может привести к сколь угодно тяжелым последствиям. Разумная мера технического характера состоит в минимизации привилегий пользователя, от имени которого выполняется Web-сервер. В технологии интранет, если заботиться о качестве и выразительной силе пользовательского интерфейса, возникает необходимость в перемещении программ с Web-серверов на клиентские компьютеры - для создания анимации, выполнения семантического контроля при вводе данных и т.д. Вообще, активные агенты - неотъемлемая часть технологии интранет. В каком бы направлении ни перемещались программы по сети, эти действия представляют повышенную опасность, так как программа, полученная из ненадежного источника, может содержать непреднамеренно внесенные ошибки или целенаправленно созданную программную закладку. Такая программа потенциально угрожает всем основным аспектам информационной безопасности доступности (программа может поглотить все наличные ресурсы);
•целостности (программа может удалить или повредить данные);
•конфиденциальности (программа может прочитать данные и передать их по сети).
Защита Web-серверов
Наряду с обеспечением безопасности программной среды, важнейшим будет вопрос о разграничении доступа к объектам Web-сервиса. Для решения этого вопроса необходимо уяснить, что является объектом, как идентифицируются субъекты и какая модель управления доступом - принудительная или произвольная - применяется. В Web-серверах объектами доступа выступают универсальные локаторы ресурсов (URL-Uniform (Universal) Resource Locator). За этими локаторами могут стоять различные сущности - HTML-файлы, CGI-процедуры и т.п. Как правило, субъекты доступа идентифицируются по IP-адресам и/или именам компьютеров и областей управления. Кроме того, может использоваться парольная аутентификация пользователей или более сложные схемы, основанные на криптографических технологиях.
В большинстве Web-серверов права разграничиваются с точностью до каталогов (директорий) с применением произвольного управления доступом. Могут предоставляться права на чтение HTML-файлов, выполнение CGI-процедур и т.д.
Для раннего выявления попыток нелегального проникновения в Web-сервер важен регулярный анализ регистрационной информации. Разумеется, защита системы, на которой функционирует Web-сервер, должна следовать универсальным рекомендациям, главной из которых является максимальное упрощение. Еще один общий принцип состоит в том, чтобы минимизировать объем информации о сервере, которую могут получить пользователи.
Аутентификация в открытых сетях
Методы, применяемые в открытых сетях для подтверждения и проверки подлинности субъектов, должны быть устойчивы к пассивному и активному прослушиванию сети. Суть их сводится к следующему. Субъект демонстрирует знание секретного ключа, при этом ключ либо вообще не передается по сети, либо передается в зашифрованном виде.
Субъект демонстрирует обладание программным или аппаратным средством генерации одноразовых паролей или средством, работающим в режиме "запрос-ответ". Нетрудно заметить, что перехват и последующее воспроизведение одноразового пароля или ответа на запрос ничего не дает злоумышленнику. Субъект демонстрирует подлинность своего местоположения, при этом используется система навигационных спутников.
Виртуальные сети
Одной из важнейших задач является защита потоков корпоративных данных, передаваемых по открытым сетям. Открытые каналы могут быть надежно защищены лишь одним методом - криптографическим. Отметим, что так называемые выделенные линии не обладают особыми преимуществами перед линиями общего пользования в плане информационной безопасности. Выделенные линии хотя бы частично будут располагаться в неконтролируемой зоне, где их могут повредить или осуществить к ним несанкционированное подключение. Реальное достоинство - это гарантированная пропускная способность выделенных линий. Представляется естественным возложить на межсетевой экран задачу шифрования и дешифрования корпоративного трафика на пути во внешнюю сеть и из нее. Чтобы такое шифрование/дешифрование стало возможным, должно произойти начальное распределение ключей. Современные криптографические технологии предлагают для этого целый ряд методо.
Простота и однородность архитектуры
Важнейшим аспектом информационной безопасности является управляемость системы. Наиболее остро проблема управляемости встает на клиентских рабочих местах и на стыке клиентской и серверной частей информационной системы. Причина проста -клиентских мест гораздо больше, чем серверных, они, как правило, разбросаны по значительно большей площади, их используют люди с разной квалификацией и привычками. Обслуживание и администрирование клиентских рабочих мест - занятие чрезвычайно сложное, дорогое и чреватое ошибками. Технология интранет за счет простоты и однородности архитектуры позволяет сделать стоимость администрирования клиентского рабочего места практически нулевой. Важно и то, что замена и повторный ввод в эксплуатацию клиентского компьютера могут быть осуществлены очень быстро, поскольку это "клиенты без состояния", у них нет ничего, что требовало бы длительного восстановления или конфигурирования.
На стыке клиентской и серверной частей интранет-системы находится Web-сервер. Это позволяет иметь единый механизм регистрации пользователей и наделения их правами доступа с последующим централизованным администрированием. Взаимодействие с многочисленными разнородными сервисами оказывается скрытым не только от пользователей, но и в значительной степени от системного администратора.
Заключение
Задача обеспечения информационной безопасности в интранет оказывается более простой, чем в случае произвольных распределенных систем, построенных в архитектуре клиент/сервер. Причина тому - однородность и простота архитектуры интранет. Если разработчики прикладных систем сумеют в полной мере воспользоваться этим преимуществом, то на программно-техническом уровне им будет достаточно нескольких недорогих и простых в освоении продуктов. Правда, к этому необходимо присовокупить продуманную политику безопасности и целостный набор мер процедурного характера
Продукты и решения VPN: взгляд потребителя
В продолжение анализа технологий VPN, опубликованного в нашем журнале (см. Технологии и средства связи - 2000. № 3,4), автор статьи поднимает вопросы законодательной базы в сфере информационной безопасности, делает краткий обзор продуктов и решений VPN, представленных на российском рынке
Преимущества и недостатки
Технология VPN (virtual private network - виртуальная частная сеть) явилась естественным развитием технологии межсетевых экранов, только в отличие от межсетевых экранов, ограничивающих доступ к сетевым или системным ресурсам, непосредственно защищает данные в процессе передачи, то есть является более универсальным средством обеспечения безопасности в информационных сетях.
Идея VPN, несомненно, кажется очень привлекательной - любой менеджер по IT-безопасности с удовольствием внедрил бы ее на своем предприятии. Но хотя на рынке VPN и в нашей стране и за рубежом работает большое количество компаний, постоянно совершенствующих потребительские качества своей продукции, технология, а точнее решения VPN, еще не достигли зрелости, дающей гибкое и эффективное решение IT-безопасности.
Трудности, стоящие на пути разработчиков, имеют объективный характер. VPN - технология новая и сложная сама по себе, помимо этого у каждого корпоративного пользователя (а VPN даже по названию все-таки технология корпоративных пользователей) свои представления и потребности в области обеспечения сетевой безопасности информации в сети.
Законодательная база
Как показывают опросы, проводимые в Интернете, помимо совершенно очевидных характеристик защищенности и стоимости для пользователей VPN важны также производительность и управляемость, комфортность работы с тем или иным видом VPN-реализации (см. "Список базовых параметров системы VPN"). В нашей стране не последнюю роль играет еще одна характеристика - так называемая "легитимность".
Почему-то принято считать, что законодательной базы в сфере обеспечения информационной безопасности у нас нет. На самом деле она существует и, более того, достаточно обширна -несколько федеральных законов, принятых за последние десять лет, а также указы президента, постановления правительства, государственные стандарты, руководящие документы Федерального агентства правительственной связи и информации (ФАПСИ) и многочисленные ведомственные инструкции. Увы, в большинстве своем эти документы многословны, малоконкретны и не всегда последовательны. Например, в текстах федеральных законодательных актов до сих пор отсутствует юридическое определение средств криптографической защиты. Тем не менее такие ключевые документы, как Закон "Об информации, информатизации и защите информации" от 20.02.95 и Указ Президента РФ № 334 "О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования ни формации" от 03.04.95, активно ссылаются на понятие шифровальных, т.е. криптографических средств.
Можно и нельзя
Согласно нормативным актам средства обеспечения информационной безопасности, используемые на территории РФ, подлежат сертификации в Гостехкомиссии при Президенте РФ, а те же средства для защиты автоматизированных систем, классифицированных по классам защищенности 1А, 1Б и 2А, обязательно включают в свой состав средства шифрования, предварительно сертифицированные в ФАПСИ. Риск, связанный с использованием несертифицированных средств обеспечения безопасности, лежит на владельце этих средств:
• государственным предприятиям запрещено использовать шифровальные средства, не имеющие сертификата ФАПСИ;
• юридическим и физическим лицам запрещено заниматься разработкой или эксплуатацией шифровальных средств, не имея соответствующей лицензии на подобную деятельность, выданную ФАПСИ;
• запрещено размещение государственных заказов на предприятиях, использующих не сертифицированные ФАПСИ шифровальные средства;
• сертифицированные ФАПСИ шифровальные средства рекомендованы для обязательного применения коммерческими банками при их взаимодействии с Центральным банком РФ.
Сложности с ГОСТами
И без того достаточно непростая ситуация с сертификацией и лицензированием в области разработки и применения шифровальных средств в России осложняется тем, что ФАПСИ сертифицирует только средства криптографической защиты информации (СКЗИ), реализующие криптографические алгоритмы, определенные российскими ГОСТами. Но ГОСТы описывают алгоритм асимметричного шифрования только для электронной цифровой подписи, остальное – это
симметричные схемы и алгоритмы шифрования, совершенно не поддерживающие криптоалгоритмов западных разработчиков и не предусматривающие безопасного автоматизированного управления ключевой информацией. Как известно, функция управления ключами является очень важной для развертывания полноценной системы VPN и реализуется на основе алгоритмов асимметричного шифрования, поступивших в распоряжение западных разработчиков примерно 20 лет назад.
Кому нужны системы VPN?
Возвращаясь к вопросу о выборе подходящего VPN-решения в свете всех юридических тонкостей, можно сказать следующее. Во-первых, далеко не все перечисленные в этой статье и присутствующие на российском рынке продукты VPN имеют сертификаты ФАПСИ, но, с другой стороны, многие имеют или, по крайней мере, претендуют на получение сертификата Гостехкомиссии, что тоже довольно ценно. Во вторых, на основе анализа отечественной нормативной базы и опыта внедрения систем защиты информации, всех российских корпоративных потребителей систем информационной безопасности можно разделить на три группы:
• государственные предприятия, работающие с информацией, представляющей государственную тайну;
• государственные предприятия, работающие с конфиденциальной информацией, не представляющей государственную тайну;
•негосударственные предприятия,
работающие с конфиденциальной
информацией, не представляющей
государственную тайну.
В расчете на первую, не самую многочисленную группу написано большинство законов и, конечно же, ГОСТы. Резюме: обязателен полный набор необходимых сертификатов и лицензий.
Третья группа - последняя в списке, но не последняя по значению. Ее трудно назвать сейчас основным потребителем систем безопасности, хотя в будущем, видимо, таковым станет именно она. Теоретически и практически потребителей этой группы должны интересовать надежные системы безопасности, а не сертификаты ФАПСИ или Гостехкомиссии.
Как показывает тенденция последних лет, предприятия второй группы являются пока наиболее активными покупателями сертифицированных систем безопасности. При этом сертификат Гостехкомиссии является обязательным. Сертификат ФАПСИ был бы идеальным решением, но при защите автоматизированной системы любого класса защищенности, кроме упомянутых выше классов 1А, 1Б и 2А, системой безопасности, сертифицированной Гостехкомиссией, даже использующей алгоритмы криптографических преобразований, объяснить отсутствие сертификата ФАПСИ также просто, как доказать необходимость его наличия.
Продукты и решения
В России продукты и решения VPN предлагают многие компании. Есть среди них и такие "монстры" сетевой индустрии, как Cisco Systems, и решения от признанных лидеров в области сетевой безопасности, например Checkpoint Software, продукты которой в нашей стране представляет компания UNI; есть предложения и от российских разработчиков - МО ПНИЭИ, "Элвис+", "Сигнал-Ком", "ИнфоТеКС", "Инфосистемы Джет", "Информзащита" и др. В силу правовой ситуации, сложившейся с сертификацией СКЗИ, являющейся неотъемлемой частью VPN, и лицензированием деятельности предприятий, использующих эти средства в своей деятельности, российские разработчики получают серьезные преимущества перед западными конкурентами в борьбе за отечественный рынок VPN. (Более детальные сведения см. Техническое обозрение // Технологии и средства связи. - М., 2000. № 6. - Прим. ред.)
Secure Vision, Cisco Systems
Secure Vision от всемирно известной компании Cisco Systems — не продукт и даже не решение, а мировоззрение. Мировоззрение состоит в том, что в произвольной конфигурации VPN во всех узловых точках ставятся сетевые устройства Cisco Systems под управлением специализированной операционной системы IOS, которая будет поддерживать по возможности все базовые стандарты в области сетевой безопасности. В настоящее время такими универсальными, хотя и не безупречными, стандартами являются DES и IPSec. В зависимости от требований по производительности реализовать VPN можно либо программно, и тогда это называется IOS Firewall feature set, либо аппаратно - в таком случае мы имеем дело с PIX Firewall.
VPN-1, Checkpoint Software Technologies
Криптошлюз VPN-1 - это только один из компонентов интегрированной системы Secure Virtual Network (SVN) bundle, в которую входят также межсетевой экран FireWall-1 и средство управления полосой пропускания FloodGate-1. Шлюз поддерживает форматы SKIP, IPSec и фирменный формат FWZ с алгоритмом симметричного шифрования FWZ1. Возможно также использование DES, CAST-40, 3DES. В качестве протокола управления открытыми ключами поддерживается схема ISAKMP. Однако для построения более-менее полноценной структуры PKI придется воспользоваться еще одним продуктом, который называется Certificate Manager и построен на Entrust CA Server, а в качестве каталога используется Netscape Directory. Вообще, решения Checkpoint Software выполнены на высокопрофессиональном уровне и, безусловно, универсальны, хотя стойкость алгоритмов шифрования, используемых криптошлюзом, находится под вопросом. Поддержка "чужих" криптобиблиотек, в частности ГОСТа, в ближайшее время не предвидится.
Для удаленного подключения мобильного пользователя из Интернета к локальной сети через VPN-1 Gateway используется программный VPN-клиент SecuRemote, работающий под управлением Windows.
ШИП, МО ПНИЭИ
Появившийся на российском рыим VPN одним из первых криптографический комплекс "Шифратор IP-потоков" (ШИП), разработки московского отделения Пензенского научно-исследовательского электротехнического института, рекомендован ФАПСИ в качестве СКЗИ при работе в сетях передачи общего пользования. Комплекс включает в себя, помимо собственно криптошлюзов, средства управления, хранения и передачи ключевой информации и средства оперативного мониторинга и регистрации событий безопасности. Среди функций этого комплекса можно перечислить следующие: обеспечение конфиденциальности и целостности данных, передаваемых в сетях общего пользования, построенных на основе протокола IP; создание защищенных подсетей передачи конфиденциальной информации; объединение локальных сетей в единую защищенную сеть; блокирование доступа к ресурсам защищаемой сети из открытой сети; аутентификацию абонентов сети; централизованное управление защищенной подсетью.
АПК ШИП поддерживает сетевые протоколы IP, ICMP, IPX, X.25, Frame Relay, а также инкапсуляцию IPX в IP, X.25 и IP в Frame Relay; протоколы маршрутизации RIP2, OSPF, BGP; из алгоритмов шифрования данных, основной и единственный, - ГОСТ 28147-89.
В состав комплекса входят распределенная сеть шифраторов (криптошлюзов) и один или несколько центров управления ключевой системой. Шифратор состоит из аппаратного датчика случайных чисел, программного модуля криптографического преобразования, работающего на уровне ядра операционной системы FreeBSD, модулей записи протокола, безопасной загрузки системы и клиентской части ключевой системы. Подсистемы центра управления ключевой системой состоят из серверного модуля и программного средства управления ключевой системой, реализованного в среде Windows, и сервисной программы просмотра протоколов работы криптографического комплекс. Управление ключевой системой включает в себя следующие функции:
периодическую смену ключей шифрования, контроль и рассылку таблиц соответствия, определяющих возможность абонентов работать друг с Другом, сбор и хранение информации о критичных сетевых событиях (в том числе аутентификация абонента, установление защищенного сеанса обмена, смена ключа и пр.).
"Застава", ОАО "Элвис+"
Еще один продукт, довольно давно и хорошо известный, - комплекс "Застава" от московской компании "Элвис+". Это программно реализованный масштабируемый ряд продуктов для организации VPN на различных каналах связи, в локальных и глобальных сетях. В состав комплекса входят: межсетевой криптошлюз "Застава-офис", "Застава-сервер" для криптозащиты одиночного сервера и VPN-клиент "Застава-клиент".
"Застава-офис" не содержит ничего "лишнего" - модуль криптопреобразо-ваний, встраиваемый в ОС Solaris или Windows NT на уровне сетевого драйвера, и средства управления. Пути роста "вниз" - в сторону установки средств контроля и разграничения доступа, средств индивидуальной антивирусной и криптозащиты диска, регистрации критичных событий, а также "вверх" - в сторону интеграции с системами PKI хранения и распределения индивидуальной, в том числе ключевой информации пользователей, допустимы и даже рекомендуемы. В частности, в качестве типичного решения для безопасного доступа небольшого офиса в Интернет приветствуется интеграция описанного криптошлюза с одноименным межсетевым экраном производства той же компании.
Net-PRO, ЗАО "Сигнал-Ком"
Программный комплекс Net-PRO обеспечивает защиту потоков данных в различных вариантах: в пределах корпоративной локальной сети, при взаимодействии территориально разнесенных локальных сетей одного предприятия, при взаимодействии с удаленными ресурсами через сети общего пользования, при необходимости организации безопасной работы удаленного пользователя с корпоративной сетью. Для аутентификации и защиты потоков данных в Net-PRO используется модернизированный протокол Secure Socket Layer (SSL), работающий поверх TCP/IP.
Особенностью реализации этого протокола в версии компании "Сигнал-Ком" является поддержка нескольких алгоритмов шифрования, включая отечественный ГОСТ 28147-89; предусмотрена двусторонняя и односторонняя аутентификация на основе криптографических алгоритмов с открытым ключом; аутентификация осуществляется с применением цифровых сертификатов в формате Х.509. Администратору предоставляется возможность централизованного управления и осуществления просмотра зарегистрированных событий и нештатных ситуаций. Комплекс функционирует под управлением Windows NT/9x.
Состав системы: Net-PRO VPN Server - серверный модуль, поддерживающий взаимодействие с аналогичными серверными модулями (или) с клиентскими модулями, реализует функции межсетевого экрана и выполняет процедуры аутентификации и шифрования потока данных и др. Net-PRO VPN Client - клиентский модуль, обеспечивающий защищенное взаимодействие с серверным модулем Net-PRO VPN Server.
ViPNet, ОАО "ИнфоТеКС"
ViPNet - это новая торговая марка, продаваемых и ранее компанией "Ин-фоТеКС" решений на основе пакета программ "Корпоративная наложенная сеть "Инфотекс". Важным и неоспоримым достоинством этого пакета является наличие сертификата Гос-техкомиссии по классу 1 В для автоматизированных систем и по 3-му классу для межсетевых экранов.
Компания активно экспериментирует в сфере разнообразных маркетинговых схем, предлагая варианты приобретения от индивидуальных средств сетевой защиты ViPNet Desk и сетей VPN фиксированной конфигурации ViPNet Office до распределенных VPN-конфигураций для крупных предприятий ViPNet Tunnel и ViPNet Corporate.
Компоненты системы программного обеспечения корпоративной наложенной сети "Инфотекс":
- сервис безопасности - модуль фильтрации и туннелирования трафика на основе драйвера сетевой защиты IP-LIR (работает в операционных средах Windows 95/98/NT, Linux);
- универсальный сервер - осуществляет функции менеджера IP-адресов, сервера почтовых и управляющих сообщений;
- центр управления сетью - формирует логическую инфраструктуру защищенной сети, осуществляет функции сетевого управления и мониторинга;
ключевой центр безопасности -формирует первичную ключевую информацию, осуществляет ее хранение и сертификацию.
"Тропа", АО "Инфосистемы Джет"
Компания "Инфосистемы Джет" известна специалистам по информационной безопасности как разработчик сертифицированного по 2-му классу безопасности межсетевого экрана "Застава-Джет". В начале этого года, не собираясь сдавать завоеванные позиции, компания представила на рынок свою новую разработку - комплекс кодирования межсетевых потоков "Тропа". Программный комплекс представляет собой пример традиционного VPN между удаленными локальными сетями: набор криптошлюзов и компоненты управления (центры генерации, регистрации, распределения ключей и мониторинга работы системы). Программная платформа - ОС Solaris. Совместимость с "Заставой-Джет".
Одной из основных целей разработчиков было строгое следование спецификации IPSec. Абонент защищенной сети может обмениваться данными с любым другим абонентом сети, причем кодирование передаваемых данных как для абонентов, так и для используемого ими программного обеспечения является прозрачным. Криптошлюз осуществляет селективное шифрование только между абонентами, находящимися в виртуальном "контуре безопасности". Таким образом, в задачи криптошлюза входит также фильтрация трафика на кодируемый и некодируемый и его маршрутизация.
"Континент-К", НИП "Информза-щита"
Решение криптошлюза "Континент-К" компании "Информзащита" представляет собой специализированное аппаратно-программное устройство, функционирующее на платформе Intel под управлением сокращенной версии ОС FreeBSD. Комплекс состоит из криптографического шлюза, центра управления сетью криптомаршрутизаторов и неограниченного количества консолей управления.
Криптографический шлюз в стандартной поставке оборудуется платой "Электронный замок "Соболь" (сертифицирован ФАПСИ) со встроенным датчиком случайных чисел. Плата обеспечивает локальную идентификацию и аутентификацию администратора криптошлюза и контроль целостности программного обеспечения. Таким образом, решается проблема собственной защиты криптографического маршрутизатора.
В АПК "Континент-К" используются собственный протокол шифрования IP-пакетов, основанный на алгоритме симметричного шифрования -ГОСТ 28147-89, и собственные алгоритмы инкапсуляции и сжатия заголовков IP-пакетов, а также достигаются внушительные показатели производительности на операциях шифрования - порядка 30 Мбит с.
Поиск комплексного решения
Специалистам по информационным технологиям, занимающимся внедрением комплексных систем защиты ин формации, наверняка хотелось бы создать или получить в свое пользование некую универсальную систему, решающую все задачи обеспечения сетевой безопасности. Система подобного типа должна вести учет использования системных ресурсов, производить аутентификацию пользователей, управлять доступом к ресурсам на системном и сетевом уровне, обеспечивать криптографическую защиту данных при хранении и передаче, поддерживать все операции с ключевой информацией, обеспечивать антивирусную защиту. При этом система должна быть полностью управляемой, иметь прозрачный интерфейс подключения криптобиблиотек, обладать программно-технической совместимостью с продуктами и оборудованием других производителей и абсолютной надежностью при работе как в глобальных, так и локальных сетях... И кроме этого должна превышать все известные аналоги по производительности и распространяться бесплатно.
В принципе правильная реализация стратегии VPN подразумевает, что большая часть вышеперечисленных функций обязательна для надежной и безопасной работы. Но пока подавляющее большинство разработчиков акцентируют свое внимание на каком-либо одном аспекте безопасности:
встраивании известных криптоалгоритмов в общесистемное программное обеспечение, повышении эффективности шифрования трафика в Интернете, управлении ключами или, наоборот, на создании "коробочных" продуктов, не требующих обслуживания. Самые "продвинутые" VPN-pe-шения по-прежнему обеспечивают защиту только для виртуальной (вынесенной за пределы предприятия) части корпоративной сети, а не для корпоративной сети как таковой (вне зависимости от того, где находятся ее рабочие места и ресурсы).
Впрочем, даже поверхностный обзор показывает, что на российском рынке существуют довольно разнообразные предложения VPN, а мировой, да и российский спрос предполагает, что качество предлагаемых реализации защищенных корпоративных сетей будет непрерывно расти. Недостатка в интересных и оригинальных решениях комплексной проблемы VPN нет уже сейчас, хотя время комплексных решений, видимо, еще впереди.
Вопросы несанкционированного доступа к информации, обрабатываемой средствами вычислительной техники, путем радиоперехвата побочных электромагнитных излучений и наводок (ПЭМИН), продолжают оставаться актуальными, несмотря на обширный набор технических средств противодействия. Это связано как с появлением новых образцов высокочувствительной аппаратуры (селективных радиоприемников, сканеров), которые могут быть использованы для радиоперехвата, так и общим подходом к совершенствованию системы доступа к конфиденциальной информации. Маскировка побочных информативных излучений осуществляется путем формирования и излучения в окружающее пространство широкополосного шумового сигнала, уровень которого превышает уровень ПЭМИН. Указанный способ маскировки ПЭМИН был разработан в 1981 году сотрудниками Института радиотехники и электроники [2] и рекомендован руководящими документами Гостехкомиссии России к использованию. В разработанных устройствах в качестве формирователя маскирующего сигнала используется автостохастический генератор шума на основе системы двух связанных транзисторных генераторов с дополнительным внешним низкочастотным воздействием. Первый генератор, содержащий нелинейный усилитель, цепь запаздывающей обратной связи (ЗОС) и инерционную цепь автосмещения, является «ведущим» и обеспечивает формирование многих колебаний (мод) на собственных частотах, определяемых задержкой сигнала в цепи ЗОС Второй генератор, содержащий нелинейный усилитель и цепь регулируемой обратной связи, является «ведомым», так как работает в режиме внешнего запуска от первого генератора. Он обогащает спектр колебаний системы связанных генераторов дополнительными частотными компонентами, то есть формирует вторую «сетку» собственных частот с неэквидистантной, относительно первой, расстановкой гармонических составляющих. Взаимодействие двух генераторов на нелинейностях р/п-переходов используемых активных элементов (транзисторов) обеспечивает процесс формирования хаотических (шумовых) колебаний через последовательный каскад бифуркаций удвоения периода, который в радиофизике определяется понятием динамического хаоса [З].
Дополнительно повысить стабильность работы устройства маскировки, улучшить статистические характеристики шумового маскирующего сигнала позволяет низкочастотный источник шума. Внешний низкочастотный шум при воздействии на систему связанных генераторов сужает полосу синхронизации и приводит к срыву возможных синхронных колебаний. При этом, наряду с дополнительной модуляцией, в системе имеют место как параметрические процессы, так и синхронизация шумом, то есть реализуются дополнительные условия для экспоненциального расхождения фазовых траекторий генераторов. Математическим образом такого процесса является «странный аттрактор».
Эффективная работа устройства радиомаскировки обеспечивается использованием в качестве излучающей антенны магнитного диполя - электрической рамки (кольцевого проводника с равномерно распределенным током). Такая антенна создает достаточно равномерное распределение электромагнитного поля по всем направлениям пространства. По результатам сертификационных испытаний такой излучатель представляет собой слабонаправленную антенную систему, формирующую электромагнитную волну с поляризацией, близкой к круговой.
В устройства радиомаскировки встроена схема контроля работоспособности, позволяющая постоянно контролировать как статистические характеристики (качество) маскирующего сигнала, так и его уровень. При необходимости к исполнительному элементу схемы контроля работоспособности может быть подключено внешнее устройство дистанционного контроля, с его помощью можно автоматически блокировать работу систем вычислительной техники в случае возникновения неполадок в работе устройства радиомаскировки.
В целом, использование в качестве генератора шума системы связанных генераторов с внешним воздействием и излучающей антенны типа магнитного диполя позволило повысить стабильность работы устройства радиомаскировки и улучшить его характеристики.
ГШ-1000М выполнен в виде отдельного генераторного модуля с жесткой излучающей антенной магнитного типа и питанием от сети 220 В (12 В). ГШ-К-ЮООМ представляет собой унифицированную плату, встраиваемую в системный блок компьютера. Генератор работает на внешнюю антенну. ГШ-К-ЮООМвыпускаются в двух модификациях:
для слотов PCI или ISA. Схемные решения и электрические характеристики данных устройств радиомаскировки идентичны. Технические решения, использованные в устройствах радиомаскировки, защищены патентами на изобретение [4].
Электромагнитное поле помехового (маскирующего) сигнала, формируемое устройствами радиомаскировки, по результатам сертификационных испытаний представляет собой нормальный стационарный случайный процесс со сплошным энергетическим спектром в диапазоне частот 100 кГц - 1000 МГц и нормализованным коэффициентом качества не ниже 0,9.
В процессе разработки и сертификации устройств радиомаскировки были проведены сравнения уровней маскирующих сигналов с уровнями ПЭМИН средств отображения информации, НГМД, НЖМД, клавиатуры, CD-ROM. Результаты сертификационных испытаний подтвердили факт соответствия характеристик устройств радиомаскировки ГШ-ЮООМ и ГШ-К-ЮОО Мтребованиям нормативных документов Гостехкомиссии России для таких устройств. Как результат оба устройства сертифицированы в качестве средств защиты информации для маскировки побочных информационных электромагнитных излучений технических средств персональных компьютеров, компьютерных сетей и комплексов на объектах информатизации первой, второй и третьей категорий.
Для маскировки ПЭМИН средств вычислительной техники, размещенных в помещении площадью до 50 м2, достаточно одного устройства, в то время как в больших (протяженных) вычислительных центрах, терминальных залах необходимо использовать несколько комплектов устройств радиомаскировки, размещая их по периметру объекта. Максимальное расстояние между соседними устройствами не должно превышать 20 метров. В процессе эксплуатации устройств радиомаскировки ГШ-ЮООМ и ГШ-К-ЮООМ имеется возможность дистанционного и местного оперативного контроля работоспособности требованиям нормативных документов Гостехкомиссии России для таких устройств. Как результат оба устройства сертифицированы в качестве средств защиты информации для маскировки побочных информационных электромагнитных излучений технических средств персональных компьютеров, компьютерных сетей и комплексов на объектах информатизации первой, второй и третьей категорий.
Для маскировки ПЭМИН средств вычислительной техники, размещенных в помещении площадью до 50 м2, достаточно одного устройства, в то время как в больших (протяженных) вычислительных центрах, терминальных залах необходимо использовать несколько комплектов устройств радиомаскировки, размещая их по периметру объекта. Максимальное расстояние между соседними устройствами не должно превышать 20 метров. В процессе эксплуатации устройств радиомаскировки ГШ-ЮООМ и ГШ-К-ЮООМ имеется возможность дистанционного и местного оперативного контроля работоспособности
ЛИТЕРАТУРА:
1. Иванов В. П., Сяк В. В. Маскировка информационных излучений средств вычислительной техники //Информационно-методический журнал «Защита информации. Конфидент», № I, 1998. С. 67-71.
2. Дмитриев А. С., Залогин Н. Н., Иванов В. П. и др. Способ маскировки радиоизлучений средств вычислительной техники и устройство для его реализации //Авторское свидетельство № 1773220, кл. 04 К 3/00. Россия, приоритет от 21 сентября 1981 г.
3. Кислой В. Я. Динамический хаос и его использование в радиоэлектронике //Радиотехника и электроника, № 10, Т. 38, 1993. С. 1783.
4. Безруков В. А., Иванов В. П., Калашников В. С., Лебедев М. Н. Устройство радиомаскировки //Положительное решение по за нелинейный усилитель и цепь регулируемой обратной связи, является
В новый век -с новой техникой
Центр комплексной безопасности информации ГУП СНПО "Элерон" вот уже более 30 лет работает под девизом "Профессионалам - профессиональную технику". В последние несколько лет наметилась тенденция к возрождению специальных подразделений по защите информации на государственных предприятиях, прежде всего, в оборонном комплексе и силовых ведомствах. Кроме того, резко возрос профессионализм лицензиатов Гостехкомиссии и ФАПСИ в этой области деятельности, которых к настоящему времени зарегистрировано более 800. Это обстоятельство заставило разработчиков ЦКБИ приложить немало усилий с тем, чтобы войти в третье тысячелетие с новым поколением ранее широко зарекомендовавших себя на рынке образцов специальной контрольно-измерительной и защитной аппаратуры, отвечающей последним нормативным требованиям по защите информации и рассчитанным на долговременную перспективу. С некоторыми из перечисленных разработок мы и хотим познакомить вас в этой публикации
Зарница П" - новый тип средств измерений
Защита от утечки информации по каналам побочного электромагнитного излучения от технических средств обработки и передачи информации (ТСПИ и ВТ) приобретает особое значение в связи с постоянно растущими масштабами внедрения техники.
Работы по специальным исследованиям ТСПИ и ВТ проводятся в специализированных центрах, которые должны быть оснащены современной измерительной техникой. Только Гостехкомиссией России аккредитовано более 40 испытательных и 100 аттестационных центров. К сожалению, высококачественная отечественная и импортная измерительная техника, необходимая для проведения специальных исследований, отличается исключительно высокой стоимостью и большими массогабаритными показателями. При этом часто возникают ситуации, когда необходимые измерения требуется проводить непосредственно на объектах, где установлено исследуемое оборудование. Таким образом, специальным центрам необходимо иметь малогабаритную высокопроизводительную измерительную технику, предназначенную для проведения специальных исследований в условиях реально функционирующих объектов.
ЦКБИ ГУП СНПО "Элерон" имеет многолетний опыт в разработке и производстве подобных комплексов. В настоящее время центр завершил работы по созданию переносного программно-аппаратного комплекса "Зарница П" для проведения специальных исследований. Работа включала в себя НИР, ОКР и сертификацию. Любое техническое решение - это всегда компромисс между стоимостью, техническими параметрами и массогабаритными показателями. Неоднократные попытки создания отечественного относительно недорогого серийно изготавливаемого малогабаритного измерительного радиоприемного устройства (РПУ) успехом не увенчались. Поэтому в своих разработках ЦКБИ был вынужден ориентироваться на недорогие импортные широкополосные РПУ.
Технические решения программно-аппаратного комплекса "Зарница П"
Результатом нашей работы стало создание программно-аппаратного измерительного комплекса на базе РПУ AR 5000. Комплекс позволяет производить селективные измерения уровней электрических сигналов (в том числе имеющих импульсный характер) в рабочем диапазоне частот от 0,01 МГц до 2,1 ГГц, а также осуществлять их анализ и расчет характеристик побочных электромагнитных излучений средств ТСПИ и ВТ на соответствие требованиям нормативно-методических документов Принцип действия комплекса основан на селективном измерении напряжения в выделенной полосе частот, аналогично принципу действия измерительных приемников. Основным измерительным ядром комплекса является отдельный блок предварительной обработки (БПО) сигнала ПЧ 10,7 МГц с выхода РПУ AR 5000. С широкополосного видеодетектора сигнал поступает на пиковый детектор с программируемым временем накопления. Аналогичные технические решения и алгоритмы обработки сигнала были многократно апробированы в более ранних разработках центра, проведенных в интересах Минобороны и Минатома. Используемый пиковый детектор отличает малая постоянная времени заряда и большая постоянная времени разряда. Возможность установки времени накопления в широком временном диапазоне позволяет производить регистрацию и последующую обработку импульсных сигналов отТСПИ и ВТ с высокой точностью. Следует отметить, что несмотря на несовершенство схемотехники, тракт высокой и промежуточной частот у РПУ AR 5000 обладает параметрами, позволяющими использовать их в составе измерительных комплексов. При этом основное значение имеет долговременная стабильность параметров. Индивидуальная калибровка каждого комплекса учитывает характеристики тракта конкретного РПУАК 5000. Таким образом, селективные частотные свойства комплекса определяются параметрами РПУ, а погрешность измерения уровней входных сигналов обеспечивается трактом БПО в режиме работы программируемого пикового детектора.
В результате метрологической сертификации комплекса "Зарница П" в целом, включающей в себя определение рабочего диапазона частот, пределов допустимой погрешности измерений, значений рабочих полос пропускания, ослабления паразитных каналов приема, КСВ, времени готовности и межпроверочного интервала 2 года, был получен сертификат Госкомитета РФ по стандартизации и метрологии об утверждении типа средств измерений. Долговременная стабильность параметров комплекса была дополнительно подтверждена при сертификации в Гостехкомиссии России. В составе программно-аппаратного комплекса "Зарница П" впервые в России сертифицирована расчетная задача "Экзар" на соответствие требованиям действующих нормативно-методических документов. Программно-аппаратный комплекс выпускается в двух модификациях: "Зарница П" с приемкой ОТК и "Экран" с приемкой заказчика. Комплексы могут комплектоваться по желанию клиента наборами широкополосных измерительных антенн "Амур-М" разработки и производства ЦКБИ. В составе комплекса также могут быть использованы любые измерительные антенны (R = 50 Ом) как отечественного, так и импортного производства. Масса комплекса в упаковке не превышает 13 кг (включая РПУ, БПО и ПЭВМ типа "ноутбук").
"Дельта" и другие...
ЦКБИ также завершены разработки новейших модификаций широко известных программно-аппаратных комплексов обнаружения и определения местоположения высокочастотных каналов утечки речевой информации из помещений серий "Дельта-П" (переносные) и "Дельта-С" (стационарные). Все эти модификации отличаются расширенным диапазоном частот, повышенным быстродействием и другими улучшенными ТТХ. В частности, изменения коснулись стационарных комплексов "Дельта С". Как правило, охраняемые помещения удалены друг от друга, что заставляет использовать в составе стационарных комплексов несколько РПУ. В выпускавшихся ранее комплексах управление РПУ и обработка поступающих от них сигналов осуществлялась поочередно, что резко увеличивало время сканирования заданного диапазона частот и, следовательно, уменьшало эффективность работы системы в целом. Комплексы последней модификации способны параллельно работать с четырьмя РПУ. При необходимости дополнительные РПУ могут быть подключены к комплексу в режиме последовательного обслуживания. Это, наряду с изменениями алгоритмов обнаружения сигналов, позволило существенно повысить эксплуатационные характеристики стационарных комплексов. Одновременно со стационарными комплексами продолжается выпуск переносных комплексов "Дельта П". Отличительными признаками переносных комплексов "Дельта" являются высокая вероятность обнаружения, низкая вероятность ложного срабатывания, простота в эксплуатации, развитые сервисные функции. О других новых разработках центра мы расскажем в следующих публикациях.
1
Любая компания, ведущая успешный бизнес, не может не использовать в своей деятельности информационные технологии. Информация, доверяемая технике, зачастую во много раз дороже самой техники, поэтому в современном деловом мире большое внимание уделяется защите информации.
Специалистам по информационным технологиям, занимающимся внедрением комплексных систем защиты информации, наверняка хотелось бы создать или получить в свое пользование некую универсальную систему, решающую все задачи обеспечения сетевой безопасности. Система подобного типа должна вести учет использования системных ресурсов, производить аутентификацию пользователей, управлять доступом к ресурсам на системном и сетевом уровне, обеспечивать криптографическую защиту данных при хранении и передаче, поддерживать все операции с ключевой информацией, обеспечивать антивирусную защиту. При этом система должна быть полностью управляемой, иметь прозрачный интерфейс подключения криптобиблиотек, обладать программно-технической совместимостью с продуктами и оборудованием других производителей и абсолютной надежностью при работе, как в глобальных, так и локальных сетях. И кроме этого должна превышать все известные аналоги по производительности.
РЕЖИМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРЕДПРИЯТИЯФормирование режима информационной безопасности - проблема комплексная. Меры по ее решению можно разделить на четыре уровня:
1) законодательный (законы, нормативные акты, стандарты и т.п.);
2) административный (действия общего характера, предпринимаемые руководством организации);
3) процедурный (меры безопасности, имеющие дело с людьми);
4) программно-технический (технические меры).
Законодательный уровень
В настоящее время наиболее подробным законодательным документом в области информационной безопасности является новая редакция Уголовного кодекса РФ, вступившая в силу в мае 1996 г. Уголовный кодекс стоит на страже всех аспектов информационной безопасности - доступности, целостности, конфиденциальности, предусматривая наказания за "уничтожение, блокирование, модификацию и копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети".
Кроме этого, в рамках серии документов Гостехкомиссии при Президенте РФ подготовлен руководящий документ, устанавливающий классификацию межсетевых экранов (firewalls, или брандмауэров) по уровню обеспечения защищенности от несанкционированного доступа (НСД). Это принципиально важный документ, позволяющий упорядочить использование защитных средств.
Согласно нормативным актам средства обеспечения информационной безопасности, используемые на территории РФ, подлежат сертификации в Гостехкомиссии при Президенте РФ, а те же средства для защиты автоматизированных систем, классифицированных по классам защищенности 1А, 1Б и 2А, обязательно включают в свой состав средства шифрования, предварительно сертифицированные в ФАПСИ. Риск, связанный с использованием не сертифицированных средств обеспечения безопасности, лежит на владельце этих средств:
• государственным предприятиям запрещено использовать шифровальные средства, не имеющие сертификата ФАПСИ;
• юридическим и физическим лицам запрещено заниматься разработкой или эксплуатацией шифровальных средств, не имея соответствующей лицензии на подобную деятельность, выданную ФАПСИ;
• запрещено размещение государственных заказов на предприятиях, использующих не сертифицированные ФАПСИ шифровальные средства.
Административный и процедурный уровень.
Политика безопасности определяется как совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов. При разработке и проведении ее в жизнь целесообразно руководствоваться следующими принципами:
• невозможность миновать защитные средства;
• усиление самого слабого звена;
• невозможность перехода в небезопасное состояние;
• минимизация привилегий;
• разделение обязанностей;
• эшелонированность обороны;
• разнообразие защитных средств;
•простота и управляемость информационной системы;
•обеспечение всеобщей поддержки мер безопасности.
Принцип невозможности перехода в небезопасное состояние означает, что при любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ. Принцип минимизации привилегий предписывает выделять пользователям и администраторам только те права доступа, которые необходимы им для выполнения служебных обязанностей.
Принцип разделения обязанностей предполагает такое распределение ролей и ответственности, при котором один человек не может нарушить критически важный для организации процесс. Это особенно важно, чтобы предотвратить злонамеренные или неквалифицированные действия системного администратора. Принцип эшелонированности обороны предписывает не полагаться на один защитный рубеж, каким бы надежным он ни казался. За средствами физической защиты должны следовать программно-технические средства, за идентификацией и аутентификацией - управление доступом и как последний рубеж - протоколирование и аудит. Эшелонированная оборона способна, по крайней мере, задержать злоумышленника, а наличие такого рубежа, как протоколирование и аудит, существенно затрудняет незаметное выполнение злоумышленных действий. Принцип разнообразия защитных средств рекомендует организовывать различные по своему характеру оборонительные рубежи, чтобы от потенциального злоумышленника требовалось овладение разнообразными и, по возможности, несовместимыми между собой навыками (например, умением преодолевать высокую ограду и знанием слабостей нескольких операционных систем). Очень важен принцип простоты и управляемости информационной системой в целом и защитных средств в особенности. Только для простого защитного средства можно формально или неформально доказать его корректность. В этой связи важно отметить интегрирующую роль Web-сервиса, скрывающего разнообразие обслуживаемых объектов и предоставляющего единый, наглядный интерфейс. Соответственно, если объекты некоторого вида (скажем, таблицы базы данных) доступны через Web, необходимо заблокировать прямой доступ к ним, поскольку в противном случае система будет сложной и трудноуправляемой.
Всеобщая поддержка мер безопасностиПоследний принцип - всеобщая поддержка мер безопасности - носит нетехнический характер Анализ рисков - важнейший этап выработки политики безопасности. При оценке рисков, нужно учитывать следующие обстоятельства:
новые угрозы по отношению к старым сервисам, вытекающие из возможности пассивного или активного прослушивания сети. Пассивное прослушивание означает чтение сетевого трафика, а активное - его изменение (кражу, дублирование или модификацию передаваемых данных). Например, аутентификация удаленного клиента с помощью пароля многократного использования не может считаться надежной в сетевой среде, независимо от длины пароля;
новые (сетевые) сервисы и ассоциированные с ними угрозы.
Процедурные мерыНа наш взгляд, отдельного рассмотрения заслуживают лишь два обстоятельства:
1) описание должностей, связанных с определением, наполнением и поддержанием корпоративной гипертекстовой структуры официальных документов;
2) поддержка жизненного цикла информации.
На предприятии существует руководитель, определяющий общую направленность деятельности. В информационных сетях ему соответствует Web-администратор, решающий, какая корпоративная информация должна присутствовать на Web-сервере и как следует структурировать дерево (точнее, граф) HTML-документов.
Программно-технический уровень.
Управление доступом путем фильтрации информации.
Отметим, что бороться с угрозами, присущими сетевой среде, средствами универсальных операционных систем (ОС) не представляется возможным. Универсальная ОС - это огромная программа, наверняка содержащая помимо явных ошибок некоторые особенности, которые могут быть использованы для получения нелегальных привилегий. Современная технология программирования не позволяет сделать столь большие программы безопасными. Кроме того, администратор, имеющий дело со сложной системой, далеко не всегда в состоянии учесть все последствия производимых изменений. Наконец, в универсальной многопользовательской системе бреши в обеспечении безопасности постоянно создаются самими пользователями (слабые и/или редко изменяемые пароли, неудачно установленные права доступа, оставленный без присмотра терминал ит.п.).
Единственный перспективный путь - разработка специализированных защитных средств, которые в силу своей простоты допускают формальную или неформальную верификацию. Межсетевой экран как раз и является таким средством, допускающим дальнейшую декомпозицию, связанную с обслуживанием различных сетевых протоколов.
Межсетевой экран как средство контроля информационных потоков.
Межсетевой экран - это полупроницаемая мембрана, которая располагается между защищаемой (внутренней) сетью и внешней средой (внешними сетями или другими сегментами корпоративной сети) и контролирует все информационные потоки во внутреннюю сеть и из нее. Контроль информационных потоков состоит в их фильтрации, то есть в выборочном пропускании через экран, возможно, с выполнением некоторых преобразований и извещением отправителя о том, что его данным в пропуске отказано. Фильтрация осуществляется на основе набора правил, предварительно загруженных в экран и являющихся выражением сетевых аспектов политики безопасности организации.
Целесообразно разделить случаи, когда экран устанавливается на границе с внешней (обычно общедоступной) сетью или на границе между сегментами одной корпоративной сети. Соответственно мы будет говорить о внешнем и внутреннем межсетевых экранах. Как правило, при общении с внешними сетями используется исключительно семейство протоколов TCP/IP. Поэтому внешний межсетевой экран должен учитывать специфику этих протоколов. Для внутренних экранов ситуация сложнее: здесь следует принимать во внимание помимо TCP/IP по крайней мере протоколы SPX/IPX, применяемые в сетях Novell NetWare. Иными словами, от внутренних экранов нередко требуется многопротокольность.
Ситуация, когда корпоративная сеть содержит лишь один внешний канал, является скорее исключением, чем правилом. Напротив, типична ситуация, при которой корпоративная сеть состоит из нескольких территориально разнесенных сегментов, каждый из которых подключен к сети общего пользования. В этом случае каждое подключение должно защищаться своим экраном. При рассмотрении любого вопроса, касающегося сетевых технологий, основой служит семиуровневая эталонная модель ISO/OSI. Межсетевые экраны также целесообразно классифицировать по тому, на каком уровне производится фильтрация - канальном, сетевом, транспортном или прикладном. Соответственно можно говорить об экранирующих концентраторах, маршрутизаторах, о транспортном экранировании и о прикладных экранах. Существуют также комплексные экраны, анализирующие информацию на нескольких уровнях,
При принятии решения "пропустить/не пропустить", межсетевые экраны могут использовать не только информацию, содержащуюся в фильтруемых потоках, но и данные, полученные из окружения, например текущее время.
Экранирующая подсеть.
Возможности межсетевого экрана непосредственно определяются тем, какая информация может использоваться в правилах фильтрации и какова может быть мощность наборов правил. Вообще говоря, чем выше уровень в модели ISO/OSI, на котором функционирует экран, тем более содержательная информация ему доступна и, следовательно, тем тоньше и надежнее экран может быть сконфигурирован. В то же время фильтрация на каждом из перечисленных выше уровней обладает своими достоинствами, такими, как дешевизна, высокая эффективность или прозрачность для пользователей. В силу этой, а также некоторых других причин в большинстве случаев используются смешанные конфигурации, в которых объединены разнотипные экраны. Наиболее типичным является сочетание экранирующих маршрутизаторов и прикладного экрана. Приведенная конфигурация называется экранирующей подсетью. Как правило, сервисы, которые организация предоставляет для внешнего применения (например, "представительский" Web-сервер), целесообразно выносить как раз в экранирующую подсеть.
Простота применения и собственная защита.
Помимо выразительных возможностей и допустимого количества правил качество межсетевого экрана определяется еще двумя очень важными характеристиками - простотой применения и собственной защищенностью. В плане простоты использования первостепенное значение имеют наглядный интерфейс при задании правил фильтрации и возможность централизованного администрирования составных конфигураций, В свою очередь в последнем аспекте хотелось бы выделить средства централизованной загрузки правил фильтрации и проверки набора правил на непротиворечивость. Важен и централизованный сбор и анализ регистрационной информации, а также получение сигналов о попытках выполнения действий, запрещенных политикой безопасности. Собственная защищенность межсетевого экрана обеспечивается теми же средствами, что и защищенность универсальных систем. При выполнении централизованного администрирования следует еще позаботиться о защите информации от пассивного и активного прослушивания сети, то есть обеспечить ее целостность и конфиденциальность. Хотелось бы подчеркнуть, что природа экранирования (фильтрации) как механизма безопасности, очень глубока. Помимо блокирования потоков данных, нарушающих политику безопасности, межсетевой экран может скрывать информацию о защищаемой сети, тем самым, затрудняя действия потенциальных злоумышленников. Так, прикладной экран может осуществлять действия от имени субъектов внутренней сети, в результате чего из внешней сети кажется, что имеет место взаимодействие исключительно с межсетевым экраном. При таком подходе топология внутренней сети скрыта от внешних пользователей, поэтому задача злоумышленника существенно усложняется.
Безопасность программной среды.
Идея сетей с так называемыми активными агентами, когда между компьютерами передаются не только пассивные, но и активные исполняемые данные (то есть программы), разумеется, не нова. Первоначально цель состояла в том, чтобы уменьшить сетевой трафик, выполняя основную часть обработки там, где располагаются данные (приближение программ к данным). На практике это означало перемещение программ на серверы. Классический пример реализации подобного подхода - это хранимые процедуры в реляционных СУБД. Для Web-серверов аналогом хранимых процедур являются программы, обслуживающие общий шлюзовый интерфейс (Common Gateway Interface - CGI). CGI-процедуры располагаются на серверах и обычно используются для динамического порождения HTML-документов. Политика безопасности организации и процедурные меры должны определять, кто имеет право помещать на сервер CGI-процедуры. Жесткий контроль здесь необходим, поскольку выполнение сервером некорректной программы может привести к сколь угодно тяжелым последствиям. Разумная мера технического характера состоит в минимизации привилегий пользователя, от имени которого выполняется Web-сервер. Если заботиться о качестве и выразительной силе пользовательского интерфейса, возникает необходимость в перемещении программ с Web-серверов на клиентские компьютеры - для создания анимации, выполнения семантического контроля при вводе данных и т.д. В каком бы направлении ни перемещались программы по сети, эти действия представляют повышенную опасность, так как программа, полученная из ненадежного источника, может содержать непреднамеренно внесенные ошибки или целенаправленно созданную программную закладку. Такая программа потенциально угрожает всем основным аспектам информационной безопасности:
доступности (программа может поглотить все наличные ресурсы);
•целостности (программа может удалить или повредить данные);
•конфиденциальности (программа может прочитать данные и передать их по сети).
Защита Web-серверов.Наряду с обеспечением безопасности программной среды, важнейшим будет вопрос о разграничении доступа к объектам Web-сервиса. Для решения этого вопроса необходимо уяснить, что является объектом, как идентифицируются субъекты и какая модель управления доступом - принудительная или произвольная - применяется. В Web-серверах объектами доступа выступают универсальные локаторы ресурсов (URL-Uniform (Universal) Resource Locator). За этими локаторами могут стоять различные сущности - HTML-файлы, CGI-процедуры и т.п. Как правило, субъекты доступа идентифицируются по IP-адресам и/или именам компьютеров и областей управления. Кроме того, может использоваться парольная аутентификация пользователей или более сложные схемы, основанные на криптографических технологиях.
В большинстве Web-серверов права разграничиваются с точностью до каталогов (директорий) с применением произвольного управления доступом. Могут предоставляться права на чтение HTML-файлов, выполнение CGI-процедур и т.д.
Для раннего выявления попыток нелегального проникновения в Web-сервер важен регулярный анализ регистрационной информации. Разумеется, защита системы, на которой функционирует Web-сервер, должна следовать универсальным рекомендациям, главной из которых является максимальное упрощение. Еще один общий принцип состоит в том, чтобы минимизировать объем информации о сервере, которую могут получить пользователи.
Аутентификация в открытых сетях.
Методы, применяемые в открытых сетях для подтверждения и проверки подлинности субъектов, должны быть устойчивы к пассивному и активному прослушиванию сети. Суть их сводится к следующему. Субъект демонстрирует знание секретного ключа, при этом ключ либо вообще не передается по сети, либо передается в зашифрованном виде.
Субъект демонстрирует обладание программным или аппаратным средством генерации одноразовых паролей или средством, работающим в режиме "запрос-ответ". Нетрудно заметить, что перехват и последующее воспроизведение одноразового пароля или ответа на запрос ничего не дает злоумышленнику. Субъект демонстрирует подлинность своего местоположения, при этом используется система навигационных спутников.
Виртуальные сетиОдной из важнейших задач является защита потоков корпоративных данных, передаваемых по открытым сетям. Открытые каналы могут быть надежно защищены лишь одним методом - криптографическим. Отметим, что так называемые выделенные линии не обладают особыми преимуществами перед линиями общего пользования в плане информационной безопасности. Выделенные линии хотя бы частично будут располагаться в неконтролируемой зоне, где их могут повредить или осуществить к ним несанкционированное подключение. Реальное достоинство - это гарантированная пропускная способность выделенных линий. Представляется естественным возложить на межсетевой экран задачу шифрования и дешифрования корпоративного трафика на пути во внешнюю сеть и из нее. Чтобы такое шифрование/дешифрование стало возможным, должно произойти начальное распределение ключей. Современные криптографические технологии предлагают для этого целый ряд методов.
Простота и однородность архитектуры.
Важнейшим аспектом информационной безопасности является управляемость системы. Наиболее остро проблема управляемости встает на клиентских рабочих местах и на стыке клиентской и серверной частей информационной системы. Причина проста - клиентских мест гораздо больше, чем серверных, они, как правило, разбросаны по значительно большей площади, их используют люди с разной квалификацией и привычками. Обслуживание и администрирование клиентских рабочих мест - занятие чрезвычайно сложное, дорогое и чреватое ошибками. За счет простоты и однородности архитектуры возможно сделать стоимость администрирования клиентского рабочего места практически нулевой. Важно и то, что замена и повторный ввод в эксплуатацию клиентского компьютера могут быть осуществлены очень быстро, если "клиенты без состояния", у них нет ничего, что требовало бы длительного восстановления или конфигурирования.
На стыке клиентской и серверной частей находится Web-сервер. Это позволяет иметь единый механизм регистрации пользователей и наделения их правами доступа с последующим централизованным администрированием. Взаимодействие с многочисленными разнородными сервисами оказывается скрытым не только от пользователей, но и в значительной степени от системного администратора.
СОВРЕМЕННЫЕ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ
Программно-аппаратный комплекс SecretNet.
В качестве средства, позволяющего построить систему информационной безопасности организации в гетерогенной сети, рассмотрим разработку научно-инженерного предприятия "Информзащита" - систему защиты информации Secret Net.
Что такое SecretNet?
Система защиты информации Secret Net является программно-аппаратным комплексом и предназначена для решения следующих задач:
• защита корпоративных ресурсов компании от доступа к ним посторонних лиц с помощью собственных защитных механизмов и встроенных возможностей ОС;
• централизованное управление информационной безопасностью в гетерогенных сетях;
• контроль действий сотрудников в ИС организации и оперативное реагирование на факты и попытки НСД.
Система Secret Net сертифицирована Гостехкомиссией при Президенте России по 3-му классу защищенности для СВТ (Средств вычислительной техники).
Рассмотрим, как данный продукт преодолевает перечисленные проблемы.
Многоплатформенность
Система Secret Net позволяет сотруднику службы безопасности со своего АРМ управлять всем спектром защитных механизмов клиентов Secret Net и встроенными возможностями ОС. При этом управление происходит в едином стиле независимо от платформы, на которых установлены клиенты. В настоящее время Secret Net позволяет обеспечить защиту рабочих станций и серверов сети, работающих под управлением операционных систем Windows'9x (Windows 95, Windows 98 и их модификаций), Windows NT 4.0, UNIX. На очереди Windows 2000 и другие распространенные ОС. Журналы регистрации и система отчетов не зависят от используемых клиентами Secret Net операционных систем. Администратор безопасности имеет возможность получать обобщенные или детальные отчеты о конфигурации АРМ и серверов сети, настройках защитных механизмов, правах доступа пользователей к корпоративным ресурсам и т.д. Информация обо всех событиях, имеющих отношение к безопасности информационной системы, поступает в реальном режиме времени.
Механизм управления и контроля
Система управления информационной безопасностью в Secret Net оперирует терминами реальной предметной области (например: "сотрудник", "задача", "компьютер", "помещение" и т.д.), что делает процесс управления удобным и понятным. Для упрощения процесса управления полномочиями пользователей и настройками режимов работы компьютеров используется специальный механизм шаблонов. Шаблон представляет собой некоторый набор привилегий и настроек, характерных для тех или иных пользователей. Создав шаблон, соответствующий какой-либо категории сотрудников, администратор может добавлять в ИС пользователей, которым будут присваиваться свойства, заданные этим шаблоном. Что касается контроля работы пользователей, то Secret Net немедленно оповещает администратора о попытках НСД, позволяет без ведома пользователя подключиться к его компьютеру в режиме эмуляции терминала, перехватить управление рабочей станцией, выключить, перезагрузить компьютер или блокировать работу пользователя.
Продукты технологии VPN.
В качестве примера защиты потоков корпоративных данных, передаваемых по открытым сетям, предлагаем краткий обзор продуктов и решений VPN.
Технология VPN (virtual private network - виртуальная частная сеть) явилась естественным развитием технологии межсетевых экранов, только в отличие от межсетевых экранов, ограничивающих доступ к сетевым или системным ресурсам, непосредственно защищает данные в процессе передачи, то есть является более универсальным средством обеспечения безопасности в информационных сетях.
Идея VPN, несомненно, кажется очень привлекательной - любой менеджер по IT-безопасности с удовольствием внедрил бы ее на своем предприятии. Но хотя на рынке VPN и в нашей стране и за рубежом работает большое количество компаний, постоянно совершенствующих потребительские качества своей продукции, технология, а точнее решения VPN, еще не достигли зрелости, дающей гибкое и эффективное решение IT-безопасности.
Трудности, стоящие на пути разработчиков, имеют объективный характер. VPN - технология новая и сложная сама по себе, помимо этого у каждого корпоративного пользователя (а VPN даже по названию все-таки технология корпоративных пользователей) свои представления и потребности в области обеспечения сетевой безопасности информации в сети.
Ограничения в применении
Как показывают опросы, проводимые в Интернете, помимо совершенно очевидных характеристик защищенности и стоимости для пользователей VPN важны также производительность и управляемость, комфортность работы с тем или иным видом VPN-реализации. В нашей стране не последнюю роль играет еще одна характеристика - так называемая "легитимность".
Помимо законодательных аспектов применения VPN - технологий указанных выше, существуют несколько федеральных законов, принятых за последние десять лет, а также указы президента, постановления правительства, государственные стандарты, руководящие документы Федерального агентства правительственной связи и информации (ФАПСИ) и многочисленные ведомственные инструкции. Такие ключевые документы, как Закон "Об информации, информатизации и защите информации" от 20.02.95 и Указ Президента РФ № 334 "О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования ни формации" от 03.04.95, активно ссылаются на понятие шифровальных, т.е. криптографических средств.
Кому нужны системы VPN?
Возвращаясь к вопросу о выборе подходящего VPN-решения в свете всех юридических тонкостей, можно сказать следующее. Во-первых, далеко не все присутствующие на российском рынке продукты VPN имеют сертификаты ФАПСИ, но, с другой стороны, многие имеют или, по крайней мере, претендуют на получение сертификата Гостехкомиссии, что тоже довольно ценно. Во вторых, на основе анализа отечественной нормативной базы и опыта внедрения систем защиты информации, всех российских корпоративных потребителей систем информационной безопасности можно разделить на три группы:
• государственные предприятия, работающие с информацией, представляющей государственную тайну;
• государственные предприятия, работающие с конфиденциальной информацией, не представляющей государственную тайну;
•негосударственные предприятия, работающие с конфиденциальной информацией, не представляющей государственную тайну.
В расчете на первую, не самую многочисленную группу написано большинство законов и, конечно же, ГОСТы. Резюме: обязателен полный набор необходимых сертификатов и лицензий.
Третья группа - последняя в списке, но не последняя по значению. Ее трудно назвать сейчас основным потребителем систем безопасности, хотя в будущем, видимо, таковым станет именно она. Теоретически и практически потребителей этой группы должны интересовать надежные системы безопасности, а не сертификаты ФАПСИ или Гостехкомиссии.
Как показывает тенденция последних лет, предприятия второй группы являются пока наиболее активными покупателями сертифицированных систем безопасности. При этом сертификат Гостехкомиссии является обязательным.
Продукты и решения
В России продукты и решения VPN предлагают многие компании. Есть среди них и такие "монстры" сетевой индустрии, как Cisco Systems, и решения от признанных лидеров в области сетевой безопасности, например Checkpoint Software, продукты которой в нашей стране представляет компания UNI; есть предложения и от российских разработчиков - МО ПНИЭИ, "Элвис+", "Сигнал-Ком", "ИнфоТеКС", "Инфосистемы Джет", "Информзащита" и др. В силу правовой ситуации, сложившейся с сертификацией СКЗИ, являющейся неотъемлемой частью VPN, и лицензированием деятельности предприятий, использующих эти средства в своей деятельности, российские разработчики получают серьезные преимущества перед западными конкурентами в борьбе за отечественный рынок VPN.
ШИП, МО ПНИЭИ
Появившийся на российском рынке VPN одним из первых криптографический комплекс "Шифратор IP-потоков" (ШИП), разработки московского отделения Пензенского научно-исследовательского электротехнического института, рекомендован ФАПСИ в качестве СКЗИ при работе в сетях передачи общего пользования. Комплекс включает в себя, помимо собственно криптошлюзов, средства управления, хранения и передачи ключевой информации и средства оперативного мониторинга и регистрации событий безопасности.
Среди функций этого комплекса можно перечислить следующие: обеспечение конфиденциальности и целостности данных, передаваемых в сетях общего пользования, построенных на основе протокола IP; создание защищенных подсетей передачи конфиденциальной информации; объединение локальных сетей в единую защищенную сеть; блокирование доступа к ресурсам защищаемой сети из открытой сети; аутентификацию абонентов сети; централизованное управление защищенной подсетью.
АПК ШИП поддерживает сетевые протоколы IP, ICMP, IPX, X.25, Frame Relay, а также инкапсуляцию IPX в IP, X.25 и IP в Frame Relay; протоколы маршрутизации RIP2, OSPF, BGP; из алгоритмов шифрования данных, основной и единственный, - ГОСТ 28147-89.
В состав комплекса входят распределенная сеть шифраторов (криптошлюзов) и один или несколько центров управления ключевой системой. Шифратор состоит из аппаратного датчика случайных чисел, программного модуля криптографического преобразования, работающего на уровне ядра операционной системы FreeBSD, модулей записи протокола, безопасной загрузки системы и клиентской части ключевой системы. Подсистемы центра управления ключевой системой состоят из серверного модуля и программного средства управления ключевой системой, реализованного в среде Windows, и сервисной программы просмотра протоколов работы криптографического комплекс. Управление ключевой системой включает в себя следующие функции: периодическую смену ключей шифрования, контроль и рассылку таблиц соответствия, определяющих возможность абонентов работать друг с другом, сбор и хранение информации о критичных сетевых событиях (в том числе аутентификация абонента, установление защищенного сеанса обмена, смена ключа и пр.).
"Застава", ОАО "Элвис+"
Еще один продукт, довольно давно и хорошо известный, - комплекс "Застава" от московской компании "Элвис+". Это программно реализованный масштабируемый ряд продуктов для организации VPN на различных каналах связи, в локальных и глобальных сетях. В состав комплекса входят: межсетевой криптошлюз "Застава-офис", "Застава-сервер" для криптозащиты одиночного сервера и VPN-клиент "Застава-клиент".
"Застава-офис" не содержит ничего "лишнего" - модуль криптопреобразований, встраиваемый в ОС Solaris или Windows NT на уровне сетевого драйвера, и средства управления. Пути роста "вниз" - в сторону установки средств контроля и разграничения доступа, средств индивидуальной антивирусной и криптозащиты диска, регистрации критичных событий, а также "вверх" - в сторону интеграции с системами PKI хранения и распределения индивидуальной, в том числе ключевой информации пользователей, допустимы и даже рекомендуемы. В частности, в качестве типичного решения для безопасного доступа небольшого офиса в Интернет приветствуется интеграция описанного криптошлюза с одноименным межсетевым экраном производства той же компании.
Защита от НСД путем радиоперехвата ПЭМИН
Вопросы несанкционированного доступа к информации, обрабатываемой средствами вычислительной техники, путем радиоперехвата побочных электромагнитных излучений и наводок (ПЭМИН), продолжают оставаться актуальными, несмотря на обширный набор технических средств противодействия. Это связано как с появлением новых образцов высокочувствительной аппаратуры (селективных радиоприемников, сканеров), которые могут быть использованы для радиоперехвата, так и общим подходом к совершенствованию системы доступа к конфиденциальной информации. Маскировка побочных информативных излучений осуществляется путем формирования и излучения в окружающее пространство широкополосного шумового сигнала, уровень которого превышает уровень ПЭМИН. Указанный способ маскировки ПЭМИН был разработан в 1981 году сотрудниками Института радиотехники и электроники [2] и рекомендован руководящими документами Гостехкомиссии России к использованию. В разработанных устройствах в качестве формирователя маскирующего сигнала используется автостохастический генератор шума на основе системы двух связанных транзисторных генераторов с дополнительным внешним низкочастотным воздействием. Первый генератор, содержащий нелинейный усилитель, цепь запаздывающей обратной связи (ЗОС) и инерционную цепь автосмещения, является «ведущим» и обеспечивает формирование многих колебаний (мод) на собственных частотах, определяемых задержкой сигнала в цепи ЗОС Второй генератор, содержащий нелинейный усилитель и цепь регулируемой обратной связи, является «ведомым», так как работает в режиме внешнего запуска от первого генератора. Он обогащает спектр колебаний системы связанных генераторов дополнительными частотными компонентами, то есть формирует вторую «сетку» собственных частот с неэквидистантной, относительно первой, расстановкой гармонических составляющих. Взаимодействие двух генераторов на нелинейностях р/п-переходов используемых активных элементов (транзисторов) обеспечивает процесс формирования хаотических (шумовых) колебаний через последовательный каскад бифуркаций удвоения периода, который в радиофизике определяется понятием динамического хаоса [З].
Дополнительно повысить стабильность работы устройства маскировки, улучшить статистические характеристики шумового маскирующего сигнала позволяет низкочастотный источник шума. Внешний низкочастотный шум при воздействии на систему связанных генераторов сужает полосу синхронизации и приводит к срыву возможных синхронных колебаний. При этом, наряду с дополнительной модуляцией, в системе имеют место, как параметрические процессы, так и синхронизация шумом, то есть реализуются дополнительные условия для экспоненциального расхождения фазовых траекторий генераторов. Математическим образом такого процесса является «странный аттрактор».
Эффективная работа устройства радиомаскировки обеспечивается использованием в качестве излучающей антенны магнитного диполя - электрической рамки (кольцевого проводника с равномерно распределенным током). Такая антенна создает достаточно равномерное распределение электромагнитного поля по всем направлениям пространства. По результатам сертификационных испытаний такой излучатель представляет собой слабонаправленную антенную систему, формирующую электромагнитную волну с поляризацией, близкой к круговой.
В устройства радиомаскировки встроена схема контроля работоспособности, позволяющая постоянно контролировать как статистические характеристики (качество) маскирующего сигнала, так и его уровень. При необходимости к исполнительному элементу схемы контроля работоспособности может быть подключено внешнее устройство дистанционного контроля, с его помощью можно автоматически блокировать работу систем вычислительной техники в случае возникновения неполадок в работе устройства радиомаскировки.
В целом, использование в качестве генератора шума системы связанных генераторов с внешним воздействием и излучающей антенны типа магнитного диполя позволило повысить стабильность работы устройства радиомаскировки и улучшить его характеристики.
ГШ-1000М выполнен в виде отдельного генераторного модуля с жесткой излучающей антенной магнитного типа и питанием от сети 220В (12 В). ГШ-К-ЮООМ представляет собой унифицированную плату, встраиваемую в системный блок компьютера. Генератор работает на внешнюю антенну. ГШ-К-ЮООМ выпускаются в двух модификациях: для слотов PCI или ISA. Схемные решения и электрические характеристики данных устройств радиомаскировки идентичны. Технические решения, использованные в устройствах радиомаскировки, защищены патентами на изобретение [4].
Электромагнитное поле помехового (маскирующего) сигнала, формируемое устройствами радиомаскировки, по результатам сертификационных испытаний представляет собой нормальный стационарный случайный процесс со сплошным энергетическим спектром в диапазоне частот 100 кГц - 1000 МГц и нормализованным коэффициентом качества не ниже 0,9.
В процессе разработки и сертификации устройств радиомаскировки были проведены сравнения уровней маскирующих сигналов с уровнями ПЭМИН средств отображения информации, НГМД, НЖМД, клавиатуры, CD-ROM. Результаты сертификационных испытаний подтвердили факт соответствия характеристик устройств радиомаскировки ГШ-ЮООМ и ГШ-К-ЮООМ требованиям нормативных документов Гостехкомиссии России для таких устройств. Как результат оба устройства сертифицированы в качестве средств защиты информации для маскировки побочных информационных электромагнитных излучений технических средств персональных компьютеров, компьютерных сетей и комплексов на объектах информатизации первой, второй и третьей категорий.
Для маскировки ПЭМИН средств вычислительной техники, размещенных в помещении площадью до 50 м2, достаточно одного устройства, в то время как в больших (протяженных) вычислительных центрах, терминальных залах необходимо использовать несколько комплектов устройств радиомаскировки, размещая их по периметру объекта. Максимальное расстояние между соседними устройствами не должно превышать 20 метров. В процессе эксплуатации устройств радиомаскировки ГШ-ЮООМ и ГШ-К-ЮООМ имеется возможность дистанционного и местного оперативного контроля работоспособности требованиям нормативных документов Гостехкомиссии России для таких устройств. Как результат оба устройства сертифицированы в качестве средств защиты информации для маскировки побочных информационных электромагнитных излучений технических средств персональных компьютеров, компьютерных сетей и комплексов на объектах информатизации первой, второй и третьей категорий.
Для маскировки ПЭМИН средств вычислительной техники, размещенных в помещении площадью до 50 м2, достаточно одного устройства, в то время как в больших (протяженных) вычислительных центрах, терминальных залах необходимо использовать несколько комплектов устройств радиомаскировки, размещая их по периметру объекта. Максимальное расстояние между соседними устройствами не должно превышать 20 метров. В процессе эксплуатации устройств радиомаскировки ГШ-ЮООМ и ГШ-К-ЮООМ имеется возможность дистанционного и местного оперативного контроля работоспособности
Программно-аппаратный комплекс "Зарница П" для проведения специальных исследований
Программно-аппаратный комплекс «Зарница П» является представителем нового поколения ранее широко зарекомендовавших себя на рынке образцов специальной контрольно-измерительной и защитной аппаратуры, отвечающей последним нормативным требованиям по защите информации и рассчитанным на долговременную перспективу. Комплекс создан на базе РПУ (радиоприемное устройство) AR 5000. Он позволяет производить селективные измерения уровней электрических сигналов (в том числе имеющих импульсный характер) в рабочем диапазоне частот от 0,01 МГц до 2,1 ГГц, а также осуществлять их анализ и расчет характеристик побочных электромагнитных излучений (ПЭМИН) средств ТСПИ и ВТ на соответствие требованиям нормативно-методических документов. Принцип действия комплекса основан на селективном измерении напряжения в выделенной полосе частот, аналогично принципу действия измерительных приемников.
Основным измерительным ядром комплекса является отдельный блок предварительной обработки (БПО) сигнала ПЧ 10,7 МГц с выхода РПУ AR 5000. С широкополосного видеодетектора сигнал поступает на пиковый детектор с программируемым временем накопления. Аналогичные технические решения и алгоритмы обработки сигнала были многократно апробированы в более ранних разработках, проведенных в интересах Минобороны и Минатома. Используемый пиковый детектор отличает малая постоянная времени заряда и большая постоянная времени разряда. Возможность установки времени накопления в широком временном диапазоне позволяет производить регистрацию и последующую обработку импульсных сигналов от ТСПИ (технических средств обработки и передачи информации) и ВТ с высокой точностью. Следует отметить, что, несмотря на несовершенство схемотехники, тракт высокой и промежуточной частот у РПУ AR 5000 обладает параметрами, позволяющими использовать их в составе измерительных комплексов. При этом основное значение имеет долговременная стабильность параметров. Индивидуальная калибровка каждого комплекса учитывает характеристики тракта конкретного РПУ АК 5000. Таким образом, селективные частотные свойства комплекса определяются параметрами РПУ, а погрешность измерения уровней входных сигналов обеспечивается трактом БПО в режиме работы программируемого пикового детектора.
В результате метрологической сертификации комплекса "Зарница П" в целом, включающей в себя определение рабочего диапазона частот, пределов допустимой погрешности измерений, значений рабочих полос пропускания, ослабления паразитных каналов приема, КСВ, времени готовности и межпроверочного интервала 2 года, был получен сертификат Госкомитета РФ по стандартизации и метрологии об утверждении типа средств измерений. Долговременная стабильность параметров комплекса была дополнительно подтверждена при сертификации в Гостехкомиссии России. В составе программно-аппаратного комплекса "Зарница П" впервые в России сертифицирована расчетная задача "Экзар" на соответствие требованиям действующих нормативно-методических документов. Программно-аппаратный комплекс выпускается в двух модификациях: "Зарница П" с приемкой ОТК и "Экран" с приемкой заказчика. Комплексы могут комплектоваться по желанию клиента наборами широкополосных измерительных антенн "Амур-М" разработки и производства ЦКБИ. В составе комплекса также могут быть использованы любые измерительные антенны (R = 50 Ом) как отечественного, так и импортного производства. Масса комплекса в упаковке не превышает 13 кг (включая РПУ, БПО и ПЭВМ типа "ноутбук").
ЛИТЕРАТУРА:
1. Иванов В. П., Сяк В. В. Маскировка информационных излучений средств вычислительной техники //Информационно-методический журнал «Защита информации. Конфидент», № I, 1998. С. 67-71.
2. Дмитриев А. С., Залогин Н. Н., Иванов В. П. и др. Способ маскировки радиоизлучений средств вычислительной техники и устройство для его реализации //Авторское свидетельство № 1773220, кл. 04 К 3/00. Россия, приоритет от 21 сентября 1981 г.
3. Кислой В. Я. Динамический хаос и его использование в радиоэлектронике //Радиотехника и электроника, № 10, Т. 38, 1993.
4. Безруков В. А., Иванов В. П., Калашников В. С., Лебедев М. Н. Устройство радиомаскировки.//Положительное решение по заявке на изобретение №2000112294 (012706) от 28 ноября 2000 года, Россия, приоритет от 15 мая 2000г.
5. В новый век – с новой техникой. «Системы безопасности» №37, февраль-март 2001г., стр. 76.
6. Защита информации в гетерогенных сетях. «Системы безопасности» №38, апрель-май 2001г., стр. 83.
7. Бардаев Э.А., Ловцов Д.А., Борисов А.В. Информационная безопасность в интранет. «Системы безопасности» №38, апрель-май 2001г., стр. 88.
8. Щуров П.Ю. Продукты и решения VPN: взгляд потребителя. «Технологии и средства связи.» №1 2001 год, стр.92-96.
9. Беззубцев О.А. Начальник Лицензионного и сертификационного центра ФАПСИ.
О сертификации и лицензировании СКЗИ (Средств криптографической защиты информации). «Технологии и средства связи.» №1 2001 год, стр.97.
10. Игорь Ляпунов. Проблемы системной интеграции в области защиты информации. «Конфидент», №1 январь-февраль 2001г., стр.68-69.
11. Лебедев М.Н., Иванов В.П., Сак В.В. Устройства радиомаскировки информационных излучений СВТ. «Конфидент», №1 январь-февраль 2001г., стр.35-37.
1
применяемые в реферате (для справки)
НСД – несанкционированный доступ.
ФАПСИ – Федеральное агентство правительственной связи и информации.
СGI – (Common Gateway Interface) общийшлюзовыйинтерфейс.
СВТ – Средства вычислительной техники.
VPN – (Virtualprivatenetwork) – виртуальная частная сеть.
СКЗИ – Средства криптографической защиты информации.
ПЭМИН – Побочные электромагнитные излучения и наводки.
ЗОС – Запаздывающая обратная связь.
ГШ – Генератор шума.
НГМД – Накопители на гибких магнитных дисках.
НЖМД – Накопители на жестких магнитных дисках.
РПУ – Радиоприемное устройство (специальный радиоприемник).
ТСПИ и ВТ – Технические средства передачи информации и вычислительная техника.
БПО – Блок предварительной обработки АПК «Зарница П»