Особенности построения защиты информации в телекоммуникационных вычислительных сетях

Анализируя современную ситуацию с разработкой и созданием защиты информации в телекоммуникационных вычислительных сетях, можно выделить четыре направления работ:

• построение защиты на новых самостоятельных (выделенных) сетях, со­здаваемых с использованием элементов технологии Интернета;

• модернизация средств и системы защиты параллельно с доработкой существующих сетей;

• разработка методов и средств защиты информации в Интернете;

• создание защищенных корпоративных сетей на базе существующих те­лекоммуникационных сетей общего пользования, в которых применяются открытые протоколы Интернета.

Как отмечалось выше, действующий сегодня общий концептуальный подход во всех направлениях работ заключается в попытке создания в ука­занных сетях для обработки и передачи информации защищенной среды. Данный подход является продолжением общего подхода к реализации ин­формационных технологий в виде вычислительной среды в той или иной предметной области. Современные информационные технологии основа­ны на применении программных продуктов, обладающих широкими функ­циональными возможностями и развитым пользовательским интерфейсом. В результате такого подхода создавалась иллюзия возможности решения вопросов защиты информации таким же путем. Далее, несмотря на привле­чение к этому вопросу и аппаратной реализации этой технологии, упомя­нутый подход, к сожалению, сохранился. Подход не учитывает специфику конкретных видов автоматизированных систем. Вместо термина «АСУ» при­меняется термин «корпоративная вычислительная сеть» термины «виртуаль­ная сеть», «облако» и т.д.

Не подвергая сомнению правильность выбора пути развития средств ав­томатизации процессов приема, хранения, обработки и передачи информа­ции, включая терминологию, в данной работе в интересах обеспечения бо­лее высокого уровня безопасности информации предлагается при проекти­ровании ее защиты в вычислительных сетях «спуститься с облаков на землю» и для начала посмотреть, где находятся эти процессы. При разработке вы­числительной сети известны состав и размещение технических средств, узлов коммутации пакетов, абонентских комплексов и связей между ними. Далее предлагается выделить в сети объекты автоматизации с территориально-со­средоточенной обработкой данных и каналы связи между ними и затем реа­лизовать методологию построения системы безо­пасности информации.

Предмет защиты в телекоммуникационной сети вычислительной сети оп­ределяется ее техническими и экономическими задачами. К техническим за­дачам относятся: защита управляющих функций на пункте управления се­тью, коммутационных - на узлах коммутации пакетов, кадров кодограммы обмена - в каналах связи. Потенциальные угрозы информации в такой сети, очевидно, будут связаны только с модификацией и утратой. Руководствуясь этим, можно сократить количество возможных каналов НСД на пункте уп­равления и узлах коммутации, а на кадре кодограммы - коли­чество возможных несанкционированных действий.

В экономические задачи сети в числе прочих входят предоставляемые ус­луги, в которые могут войти предоставление информации из базы данных сети и услуги по обмену информацией между ее абонентами. Все услуги ока­зываются за плату. Это обстоятельство требует регистрации и аутентифика­ции пользователя по паролю и защиты последнего от НСД. Разные услуги имеют разные цены и, следовательно, требуют разграничения доступа. В ус­лугу по обмену может добавиться услуга по обеспечению безопасности ин­формации. Тогда придется строить защиту от НСД, с учетом возможной утечки информации.

Если к создаваемой сети подключаются одна или несколько других се­тей, то не следует спешить с созданием единой системы безопасности информации. Такое решение прежде всего зависит от того, кто является собствен­ником сетей и каковы ее задачи. Если собственники разные, то решение от­рицательное, потому что возникает вопрос ответственности за безопасность. Один собственник будет против того, чтобы его контролировал другой. Даже если удастся договорится, первый фактически не отвечает за свою сеть и будет халатно относиться к своим обязательствам. В случае, когда у всех се­тей один собственник, решение будет зависеть от технических возможностей входящих сетей, масштабов применения и нагрузки, которую возьмет на себя единая служба безопасности. Чаще всего встречается попытка объединения гетерогенных сетей, созданных в разное время на разных аппаратных и про­граммных платформах и с различным уровнем безопасности данных. В этом случае необходимо учитывать, что уровень безопасности информации в трак­те «абонент 1 - сеть 1 - сеть 2 - абонент 2» определяется сетью с наименьшим значением этого уровня. Существует еще пара аргументов, влияющих на при­нятие решения. Средства управления каждой сетью наверняка сохранятся, а управление сетью и управление безопасностью ее информации - вещи нераз­делимые. Следовательно, целесообразно то и другое сохранить. Кроме того, даже в случае наличия одного собственника у сетей сохраняется коллизия, упомянутая выше для разных собственников, так как в том и другом случае решающую роль играет фактор ответственности должностных лиц.

С другой стороны, необходимы координация действий, разрешение кон­фликтных ситуаций, централизованный контроль функционирования сетей и распределение паролей аутентификации и ключей шифрования. В решении этих вопросов принципиальную роль играет назначение сетей. Если они слу­жат для выполнения задач передачи данных в АСУ или корпоративной сети, их абоненты являются членами одной организации, в которой существует определенная иерархия их отношений. Тогда единая служба необходима. В случае выполнения сетями задач обслу­живания независимых абонентов ситуация меняется. Скорее всего абоненты для обмена информацией между собой пожелают пользоваться собственной системой абонентского шифрования или, по крайней мере, собственными ключами шифрования и цифровой подписи (это подтверждается появлением сетей VPN). Для получения открытой информации из баз данных сетей або­ненту достаточно будет предъявить пароль сетевой аутентификации (в неяв­ном виде - многоразовый и в явном виде - одноразовый), который (ые) должен(ы) быть выдан ему лично при регистрации в сети. Защиту собственной информации по обеспечению функционирования сети целесообразно оста­вить за ее собственной службой безопасности. В итоге нетрудно заметить, что в объединенных некорпоративных сетях организация единой службы безопасности информации не актуальна. При этом для реализации взаимо­действия достаточно составить и подписать соответствующее соглашение при разработке моста или шлюза.

Развивая далее последнюю тему, заметим, что глобальная сеть Интернет с технической точки зрения - это объединение транснациональных компью­терных сетей, работающих по самым разнообразным протоколам, связыва­ющим всевозможные типы компьютеров, физически передающих данные по телефонным проводам и оптоволокну, через местные, региональные, глобаль­ные сети, радиомодемы и спутники. С административной точки зрения - это не более чем удобная терминологическая условность. Координацию сети осу­ществляет Центр информационных сетей при Стэнфордском исследователь­ском институте в Менло парк (Калифорния, США). Принимая во внимание изложенное выше, уровень безопасности информации в Интернете опреде­ляется уровнем безопасности информации сетей, входящих в нее, а слабость последних заключается прежде всего в противоречии задач обслуживания абонентов и безопасности информации. Известно, что основной задачей Ин­тернета является автоматизировать обмен информацией как можно больше­го количества людей, предоставить как можно больше информационных ус­луг. С позиций безопасности чем больше абонентов, тем больше вероятность появления нарушителя; чем больше услуг, тем сложнее система, больше ка­налов несанкционированного доступа к информации и сложнее построить защиту. Налицо действие известного закона о переходе количества в каче­ство. По указанным выше причинам централизованную систему безопаснос­ти информации создавать сложно, не эффективно и не нужно, а с экономи­ческой и политической точек зрения даже опасно. На информационном рын­ке появится монополист, который будет навязывать свои продукты и политическую волю. Каков же выход из этого положения? - В разумном со­четании децентрализации и централизации управления и контроля, приме­нении последней на уровне входящих в Интернет самостоятельных сетей, совершенствовании в них защиты информации и взаимодействия в этом пла­не между собой.

Пока реализуются эти предложения, существующие телекоммуникацион­ные вычислительные сети продолжают работать, и было бы неразумно их не использовать. При этом для защиты обмена информацией в открытых сетях целесообразно применить специальные средства защиты трактов передачи данных. Такой метод используется при построении защищенных виртуаль­ных частных сетей (Virtual Privat Network - VPN). Виртуальная сеть форми­руется на основе каналов связи открытой сети. Сам термин «виртуальная» основан на том, что каналы связи виртуальной сети моделируются с помо­щью каналов связи реальной. Открытая сеть может служить основой для од­новременного сосуществования множества независимых виртуальных сетей, количество которых определяется пропускной способностью открытых ка­налов связи.

Виртуальную сеть, использующую в качестве внешней среды передачи информации глобальную сеть Интернет, часто называют еще сетью Extranet.

Эффективность использования виртуальных сетей во многом определя­ется степенью защищенности информации, циркулирующей по открытым ка­налам связи. Безопасность информационного обмена необходимо обеспечить как в случае объединения локальных сетей, так и в случае доступа к локаль­ным сетям удаленных пользователей.

Защита информации в процессе ее передачи по открытым каналам осно­вана на построении защищенных виртуальных каналов связи, называемых крипто-защищенными туннелями, или туннелями VPN. Каждый такой туннель представляет собой соединение, проведенное через открытую сеть, по которому передаются криптографически защищенные пакеты сообщений вир­туальной сети.

Для защиты от повтора, удаления и задержек пакетов сообщений, пере­даваемых по туннелю VPN, используются встроенные возможности стека про­токолов TCP/IP. Для защиты от повтора, удаления и задержек на уровне от­дельных сообщений в состав каждого сообщения подсистемой защиты при­кладного уровня должна добавляться дополнительная информация. В качестве такой дополнительной информации могут использоваться номера, случайные числа, а также отметки времени.

С целью защиты от отказа получения сообщений подсистема защиты при­кладного уровня должна предусматривать при приеме каждого сообщения передачу отправителю уведомления о получении сообщения. Такое уведом­ление должно криптографически подписываться получателем сообщения. Защита от отказа отправления сообщения, т.е. защита от непризнания циф­ровой подписи, может быть обеспечена только правовыми и организацион­ными мерами по приданию цифровой подписи юридической силы. Чтобы предотвратить отказы от открытых ключей, а соответственно и отказы от цифровой подписи, обмен открытыми ключами должен подкрепляться юри­дической процедурой.

Дата добавления: 2014-01-14