Файл: Защита сетевой инфраструктуры предприятия (комплекс ViPNet).pdf

ВВЕДЕНИЕ

Администраторы локальных сетей все чаще сталкиваются с проблемами защиты информации. Особенно важно это становится в сетях, в которых приходится работать с информацией, требующей дополнительной защиты. Это сети государственных учреждений, предприятий, связанных с выпуском определенной продукции, иных организаций, которым раскрытие внутренней информации может принести серьезный экономический ущерб.

Тем более важное значение приобретает проблема в тех случаях, когда локальные сети должны быть доступны из Глобальной сети, когда к ним должны подключаться мобильные пользователи или сотрудники удаленных подразделений либо когда пользователи локальной сети должны иметь доступ к Глобальной сети.

Одним из решений этой проблемы является создание виртуальных частных сетей (Virtual Private Network — VPN). Для их создания используется специальное программное обеспечение, одно из которых предлагает компания «Инфотекс».

ГЛАВА 1. АНАЛИЗ СТРУКТУРЫ НЕЗАЩИЩЕННОЙ СЕТИ И ФОРМИРОВАНИЕ ТРЕБОВАНИЙ ЗАЩИТЫ

1.1 Анализ схемы незащищенной сети и выявление потенциальных угроз информационной безопасности

Организация защищенного канала между несколькими локальными сетями через Internet можно рассмотреть на рисунке 1 (Организация туннелей на однокарточных Координаторах, ее схема представлена на рисунке 1).

Рисунок 1. - Схема незащищенной автоматизированной системы

Информация об исходной схеме сети представлена на рисунке 1.

Адреса в локальных сетях частные.

На входах в локальные сети стоят компьютеры PROXY с реальными адресами.

Локальных сетей может быть сколько угодно.

1.2 Формирование требований защиты

Защита информационного обмена при прохождении через открытый Интернет. Требуется защита информационного обмена при прохождении через открытый Интернет.

Требуется, чтобы защищенный туннель был прозрачен для пользователей, которые работают с ресурсами удаленных ЛВС.

Требуется, чтобы пользователи локальной сети не имели доступа к ресурсам открытого Интернета, за исключением ресурсов других локальных сетей, определенных администратором, с которыми организуется защищенное взаимодействие и, возможно, ресурсов мобильных пользователей.

Требуется исключить необходимость установки ПО ViPNet [Координатор] на шлюзы ЛВС.

1.3 Решение проблем защиты информационно-вычислительной сети предприятия

Для того чтобы обеспечить надежную защиту ИВС предприятия, в системе информационной безопасности должны быть реализованы самые прогрессивные и перспективные технологии информационной защиты. К ним относятся:

1. Криптографическая защита данных для обеспечения конфиденциальности, целостности и подлинности информации.

Криптография является методологической основой современных систем обеспечения безопасности информации в компьютерных системах и сетях. Криптография представляет собой совокупность методов преобразования данных, направленных на то, чтобы защитить эти данные, сделав их бесполезными для незаконных пользователей. Такие преобразования обеспечивают решение трех главных проблем защиты данных: обеспечение конфиденциальности, целостности и подлинности передаваемых или сохраняемых данных. Для реализации указанных функций используются криптографические технологии шифрования, цифровой подписи и аутентификации.

Технологии аутентификации для проверки подлинности пользователей и объектов сети.

С каждым зарегистрированным в компьютерной системе субъектом (пользователем или процессом, действующим от имени пользователя) связана некоторая информация, однозначно идентифицирующая его. Это может быть число или строка символов, именующие данный субъект. Эту информацию называют идентификатором субъекта. Прежде чем получить доступ к ресурсам компьютерной системы, пользователь должен пройти процесс первичного взаимодействия с компьютерной системой, который включает идентификацию и аутентификацию.

Идентификация – процедура распознавания пользователя по его идентификатору (имени). Эта функция выполняется, когда пользователь делает попытку войти в сеть.

Аутентификация – процедура проверки подлинности заявленного пользователя, процесса или устройства. Эта проверка позволяет достоверно убедиться, что пользователь (процесс или устройство) является именно тем, кем себя объявляет.

После идентификации и аутентификации субъекта выполняется его авторизация.

Авторизация – процедура предоставления субъекту определенных полномочий и ресурсов в данной системе. Иными словами, авторизация устанавливает сферу его действия и доступные ему ресурсы.

Технологии межсетевых экранов для защиты ИВС от внешних угроз при подключении к общедоступным сетям связи.

Межсетевой экран (МЭ) – это специализированный комплекс межсетевой защиты, называемый также брандмауэром или системой Firewall. МЭ позволяет разделить общую сеть на две части (или более) и реализовать набор правил, определяющих условия прохождения пакетов с данными через границу из одной части общей сети в другую. Как правило, эта граница проводится между локальной сетью предприятия и глобальной сетью Internet.

Технологии виртуальных защищенных каналов и сетей VPN для защиты информации, передаваемой по открытым каналам связи.

В основе концепции построения виртуальных сетей VPN лежит следующая идея: если в глобальной сети имеются два узла, которым нужно обменяться информацией, то между этими двумя узлами необходимо построить виртуальный защищенный туннель для обеспечения конфиденциальности и целостности информации, передаваемой через открытые сети; доступ к этому виртуальному туннелю должен быть чрезвычайно затруднен всем возможным активным и пассивным внешним злоумышленниками.

Гарантированная идентификация пользователей путем применения токенов (смарт-карт, touch-memory, ключей для USB-портов и т. п.) и других средств аутентификации.

Технологии обнаружения вторжений (Intrusion Detection) для активного исследования защищенности информационных ресурсов.

Данные технологии позволяют не только распознавать существующие уязвимости и атаки, но и выявлять изменившиеся старые или появившиеся новые уязвимости и противопоставлять им соответствующие средства защиты.

Технологии защиты от вирусов с использованием специализированных комплексов антивирусной профилактики и защиты.

Для обнаружения и защиты от компьютерных вирусов разработано несколько видов специальных программ, которые позволяют обнаруживать и уничтожать компьютерные вирусы. Такие программы называются антивирусными.

 Централизованное управление системой информационной безопасности на базе единой политики безопасности предприятия.

Важнейшим компонентом системы управления корпоративной сетью является система информационной безопасности. Эта система должна:

• централизованно и оперативно осуществлять управляющие воздействия на средства сетевой безопасности;

• проводить регулярный аудит и мониторинг, дающие объективную информацию о состоянии информационной безопасности для принятия оперативных решений.

1.4 Защита информационного обмена при прохождении через открытый Интернет

Виртуальная частная сеть (VPN) - логическая сеть, данные по которой передаются с использованием криптографических средств защиты трафика, создаваемая поверх другой сети, например Internet.

Структура VPN:

VPN состоит из двух частей: «внутренняя» (подконтрольная) сеть, которых может быть несколько, и «внешняя» сеть, по которой проходит инкапсулированное соединение (обычно используется Интернет). Возможно также подключение к виртуальной сети отдельного компьютера. Подключение удалённого пользователя к VPN производится посредством сервера доступа, который подключён как к внутренней, так и к внешней (общедоступной) сети. При подключении удалённого пользователя (либо при установке соединения с другой защищённой сетью) сервер доступа требует прохождения процесса идентификации, а затем процесса аутентификации. После успешного прохождения обоих процессов, удалённый пользователь (удаленная сеть) наделяется полномочиями для работы в сети, то есть происходит процесс авторизации.

Классификация VPN:

Классифицировать VPN решения можно по нескольким основным параметрам:

1. По степени защищенности используемой среды:

Защищённые

Наиболее распространённый вариант виртуальных частных сетей. С его помощью возможно создать надежную и защищенную сеть на основе ненадёжной сети, как правило, Интернета. Примером защищённых VPN являются: IPSec, OpenVPN и PPTP.

Доверительные:

Используются в случаях, когда передающую среду можно считать надёжной и необходимо решить лишь задачу создания виртуальной подсети в рамках большей сети. Проблемы безопасности становятся неактуальными. Примерами подобных VPN решений являются: Multi-protocol label switching (MPLS) и L2TP (Layer 2 Tunnelling Protocol) (точнее сказать, что эти протоколы перекладывают задачу обеспечения безопасности на другие, например L2TP, как правило, используется в паре с IPSec).

1. По способу реализации:

В виде специального программно-аппаратного обеспечения

Реализация VPN сети осуществляется при помощи специального комплекса программно-аппаратных средств. Такая реализация обеспечивает высокую производительность и, как правило, высокую степень защищённости.

В виде программного решения

Используют персональный компьютер со специальным программным обеспечением, обеспечивающим функциональность VPN.

Интегрированное решение

Функциональность VPN обеспечивает комплекс, решающий также задачи фильтрации сетевого трафика, организации сетевого экрана и обеспечения качества обслуживания.

1. По назначению:

Intranet VPN

Используют для объединения в единую защищённую сеть нескольких распределённых филиалов одной организации, обменивающихся данными по открытым каналам связи.

Remote Access VPN

Используют для создания защищённого канала между сегментом корпоративной сети (центральным офисом или филиалом) и одиночным пользователем, который, работая дома, подключается к корпоративным ресурсам с домашнего компьютера, корпоративного ноутбука, смартфона или интернет-киоскa.

Extranet VPN

Используют для сетей, к которым подключаются «внешние» пользователи (например, заказчики или клиенты). Уровень доверия к ним намного ниже, чем к сотрудникам компании, поэтому требуется обеспечение специальных «рубежей» защиты, предотвращающих или ограничивающих доступ последних к особо ценной, конфиденциальной информации.

Internet VPN

Используется для предоставления доступа к интернету провайдерами, обычно в случае если по одному физическому каналу подключаются несколько пользователей.

Client/Server VPN

Он обеспечивает защиту передаваемых данных между двумя узлами (не сетями) корпоративной сети. Особенность данного варианта в том, что VPN строится между узлами, находящимися, как правило, в одном сегменте сети, например, между рабочей станцией и сервером. Такая необходимость очень часто возникает в тех случаях, когда в одной физической сети необходимо создать несколько логических сетей. Например, когда надо разделить трафик между финансовым департаментом и отделом кадров, обращающихся к серверам, находящимся в одном физическом сегменте. Этот вариант похож на технологию VLAN, но вместо разделения трафика, используется его шифрование.

1. По типу протокола:

Существуют реализации виртуальных частных сетей под TCP/IP, IPX и AppleTalk. Но на сегодняшний день наблюдается тенденция к всеобщему переходу на протокол TCP/IP, и абсолютное большинство VPN решений поддерживает именно его. Адресация в нём чаще всего выбирается в соответствии со стандартом RFC5735, из диапазона Приватных сетей TCP/IP