Файл: Защита сетевой инфраструктуры предприятия (Создание положения о коммерческой тайне предприятия).pdf

Способность быть движущей силой, объединяющей безопасность с деловыми процессами, стала ключевым фактором в том, что уровень безопасности в AFSC оказался выше, чем в других компаний финансового рынка.

3. Внедренная интегрированная защита

3.1 Сетевая защита — внедренная в сеть, интегрированная в продукт

Сегодняшние сети становятся все более обширными и по географической распространенности и по количеству объединяемых ими внутренних и внешних сообществ. Они более сложны, они поддерживают широкий спектр разнообразных приложений и услуг, обрабатывают смешанные данные, голосовой и видео трафик, передавая его по проводным и беспроводным подключениям. Вместе с этим сети становятся все более открытыми — используются недоверенные сети общего пользования, подключаются партнеры и постепенно сети становятся деловым инструментом. Фактически, разделение на частные и общественные сети становится все более размытым.

Обширный, сложный и открытый характер сетевой среды увеличивает потребность в устойчивой и всесторонней защите, потому что все элементы сети должны быть защищенными, а так же защищены от воздействий на них.

В этом разделе обсуждается и описывается внедренная, интегрированная защита — один из самых эффективных методов защиты. Здесь указываются пути интеграции и рассматриваются некоторые существующие и недавно появившиеся решения пакета Cisco Integrated Network Security Solutions.

Для начала стоит ознакомиться, со следующими определениями:

Внедренная, интегрированная защита должна защищать сеть от внешних и внутренних угроз, поддерживая постоянное равновесие между необходимым доступом и необходимой защитой.[12]

Это означает, что функциональные возможности защиты должны быть внедрены и интегрированы всюду — от главной сети и до оконечных точек сети — но при этом защита должна быть прозрачна для пользователей и приложений.

Цель состоит в том, чтобы встроить в сеть набор таких защитных возможностей, которые бы создали «интеллектуальную самозащищенную сеть». Такая сеть сможет самостоятельно идентифицировать начало нападения и его ход, при необходимости выдать предупреждение, а затем отреагировать автоматически без участия пользователя.

«Интегрированная защита» описывает функциональные возможности защиты, которые обеспечиваются на сетевом устройстве, например на маршрутизаторе, коммутаторе или на точке беспроводного доступа. По мере прохождения трафика через сетевое устройство, он должен просматриваться и анализироваться, а затем либо отклоняться, либо разделяться, либо разрешаться. Для этого необходимо, чтобы устройство с интегрированной защитой обладало интеллектуальностью, производительностью и масшабируемостью.

«Внедренная защита» означает функциональные возможности защиты, которые распределены по важнейшим участкам сетевой инфраструктуры, и которые присвоены, например, рабочим станциям конечных пользователей, удаленным подразделениям, центру данных и проч.[22]

3.2 Факторы интеграции

В этом разделе рассматриваются факторы, от которых зависит потребность в интегрированной, внедренной защите сетей.

Сети все чаще становятся источниками или объектами атак.

Угрозы могут исходить из недр самого Предприятия или из пограничных областей сети. Суть в том, что защита должна охватывать все аспекты работы сети, а не только защиту периметра или подключений к недоверяемым доменам. Такую всеобъемлющую оборону способна обеспечить только внедренная и полностью интегрированная защита.[10]

Ответственность за политику безопасности, развертывание сети и закупку оборудования изменяется. Уже не так изолированно друг от друга работают Группы администраторов сети (NetOps) и администраторов защиты (SecOps). Традиционная модель развертывания сети заключалась в том, что «сетевики» (NetOps) закупали оборудование и запускали сетевую инфраструктуру, а «безопасники» (SecOps), располагая значительно меньшими бюджетом и ресурсами, работали как обособленная и узко специализированная группа. Эти две группы имели различные роли: «сетевики» обеспечивали доступ, а «безопасники» должны были этот доступ ограничивать, что создавало напряженность внутри Предприятия. Однако, возрастающая угроза и потребность в таких новых технология как IP телефония и беспроводная связь подвели «сетевиков» и «безопасников» к необходимости тесного сотрудничества. Кроме того, в стратегию и развертывание защиты теперь все более вовлекается уровень CxO, который стимулирует «сетевиков» и «безопасников» к еще более тесному сотрудничеству.[10]

Организационная интеграция обуславливает необходимость интегрированной и встроенной защиты. Если защиту строят совместно «сетевики» и «безопасники», то интегрированное решение весьма упрощает задачу.

Организация защиты является приоритетом на всех Предприятиях, однако, бюджеты требуют экономии уже сейчас, а не в перспективе. Интегрированная защита предлагает самую низкую общую стоимость эксплуатации:

• Ввод сервисов защиты в уже имеющееся сетевое устройство означает, что имеющийся модуль, блок питания, сетевые карты и другие компоненты можно использовать и для дополнительных задач. Если же сетевое устройство само по себе является составным и допускает наращивание производительности, то стоимость эксплуатации еще более снижается.
• Управлять новыми службами безопасности позволяют имеющиеся системы управления и контроля.
• Появляются возможности завершить или наоборот расширить текущие договора о поддержке пользователей, предложив им новые возможности защиты.
• Снижается необходимость подготовки кадров, поскольку в качестве платформы защиты используется уже знакомая им система.
• Когда сбалансированное распределение загрузки реализуется как часть интегрированного решения защиты, у Предприятия появляется возможность уменьшить количество серверов и систем защиты типа межсетевых экранов, экономя при этом на вложениях в это оборудование.

Перспективы расширения

Все более расширяющаяся природа сетей является одной из сторон проблемы масштабирования. В настоящее время сеть должна справляться с увеличением количества пользователей, сайтов и услуг. Сеть должна обрабатывать постоянно увеличивающиеся количества трафика — голосового, видео или данных. Теперь сеть поддерживает проводные и беспроводные подключения.[10]

Фактически управление этой средой является весьма проблемным и почти невозможным, если на Предприятии не применяется интегрированный подход. Проблема масштабирования значительно смягчается если, например, интегрированная система управления позволяет управлять сетью интегрированных устройств, имеющих структуру унифицированной идентификации.

Интеграция решений

Наконец, все компоненты сети должны взаимодействовать и функционировать как единое целое.

Рассмотрим центр обработки данных. Он состоит из множества серверов, связанных с внешним миром посредством коммутаторов и маршрутизаторов. Серверы необходимо защитить; маршрутизаторы и коммутаторы должны иметь собственные средства защиты. Кроме того, общая архитектура должна быть функциональной и масштабируемой, а так же иметь интегрированную подсистему управления ею. [22]

Интеграция защиты во всю сеть — фундаментальный аспект стратегии Cisco в области развития и маркетинга. В планы интеграции входят следующие пункты:

• Обеспечить возрастающее количество функций защиты, интегрированных в Cisco IOS. Это программное входит во все платформы Cisco — от решений для удаленных работников и офисов и до решений для главной сети.
• Обеспечить защитные функции в отдельных устройствах защиты и в интегрированных сетевых устройствах, которые кроме этого поддерживают подключения локальных и территориальных сетей передачи данных.
• Предложить такую инфраструктуру управления и контроля, которая обеспечит простое создание интегрированной, внедренной защиты.
• Обеспечить масштабируемую и многофункциональную структуру защиты. В настоящее время сеть становится важным деловым инструментом, который не должен выходить из строя никогда.
• Наконец, обеспечить развертывание модели для клиентов и Предприятий, нуждающихся в интегрированной встроенной защите. Это является задачей архитектуры Cisco SAFE.

Степени интеграции Cisco IOS.

Cisco IOS Software — программное обеспечение, которое управляет всеми маршрутизаторами и коммутаторами Cisco. Большой набор его защитных функций расширяется с каждым новым выпуском. В Cisco IOS входят разнообразные функции от механизмов запрета/разрешения доступа, например, списки контроля доступа (списки ACL) и поддержка различных типов VPN, защита от вторжений, сервисы сложной идентификации и экранирования.

В настоящий момент Cisco IOS Software имеет три ряда функциональных возможностей:

• Устойчивые сервисы защиты
• Всеобъемлющие сервисы IP такие как маршрутизация, качество обслуживания (QoS), многоадресная рассылка, голос по IP (VoIP)
• Защищенное управление, защита управляющего трафика и возможность управления пакетом Cisco IOS Software на устройствах. Пакет Cisco IOS Software отличает именно интеграция этих трех рядов. Наглядный пример решения, которому весьма выгодна интеграция Cisco IOS Software — Cisco Voice and Video-Enabled IPSec VPN (V3PN). Это решение гарантирует соответствующее качество и устойчивость зашифрованного голосового и видео-трафика благодаря таким новым особенностям Cisco IOS Software как качества обслуживания для приложений, требующих малой задержки и динамическому резервированию протокола IPSec, позволяющему избежать разрыва соединений.[1]

Специализированные и сетевые устройства.

Специализированные устройства — специализированные защитные системы, выполняющие одну или несколько защитных функций; например, межсетевой экран также поддерживает VPN или возможности защиты от вторжений. В Cisco PIX Firewall имеется встроенный модуль VPN, а так же программно реализованные VPN и система обнаружения вторжений (IDS).

Интегрированные сетевые устройства поддерживают подключения сетей (LAN, WAN по отдельности и совместно), сервисы IP и сервисы защиты; в качестве примера можно назвать маршрутизатор, который одновременно выполняет роль межсетевого экрана. Маршрутизаторы Cisco SOHO 90 и 831 — недавно появившиеся образцы решений для удаленного офиса, обеспечивают интегрированную защиту и подключения по Ethernet и ADSL. [1]

Другой пример интегрированных функциональных возможностей программного решения Cisco IOS — интеллектуальный коммутатор, который поддерживает коммутацию и защиту на Уровне 2 и Уровне 3. Коммутатор Catalyst Cisco 6500 теперь имеет такие функции как защита от вторжений, межсетевой экран, сети VPN, Secure Socket Layer (SSL) и другие модули защиты.

На сегодняшний день Предприятия могут выбирать между отдельным прибором и интегрированным сетевым устройством. Чтобы сделать правильный выбор, нужно рассмотреть следующие факторы:

• Бюджет. Реализация защиты на имеющемся сетевом оборудовании дает максимальную экономию средств как при внедрении так и при эксплуатации. Кроме того, для управления функциями защиты можно использовать имеющуюся инфраструктуру управления.
• Простота. Узкофункциональное или выделенное устройство защиты является наиболее простым в установке и в управлении. Многофункциональные устройства по определению состоят из различных элементов и это усложняет конфигурирование и повышает вероятность ошибок. В отличие от них, узкофункциональное устройство имеет ограниченный набор конфигураций.
• Модульность. Идеальным решением для сети филиала может стать интегрированное сетевое устройство, обеспечивающее на единой платформе защиту и связь. Однако, для главной сети или для обширного проекта может оказаться более предпочтительным модульный подход. Например, Catalyst Cisco 6500 имеет гибкую, настраиваемую и модульную архитектуру, что позволит в будущем защитить вложения в это оборудование.
• Организация контроля. «Безопасникам» может потребоватся платформа, контролировать и конфигурировать которую сумеет только группа специалистов; такое решение может подвести к выбору специализированных устройств, а не интегрированных сетевых устройств. Если же за защиту сети отвечают «сетевики», то, в отличии «безопасников», они они скорее выберут интегрированное сетевое устройство — по соображениям простоты. [21]