ВВЕДЕНИЕ
Любая компания, ведущая успешный бизнес, не может не использовать в своей деятельности информационные технологии. Информация, доверяемая технике, зачастую во много раз дороже самой техники, поэтому в современном деловом мире большое внимание уделяется защите информации.
Специалистам по информационным технологиям, занимающимся внедрением комплексных систем защиты информации, наверняка хотелось бы создать или получить в свое пользование некую универсальную систему, решающую все задачи обеспечения сетевой безопасности. Система подобного типа должна вести учет использования системных ресурсов, производить аутентификацию пользователей, управлять доступом к ресурсам на системном и сетевом уровне, обеспечивать криптографическую защиту данных при хранении и передаче, поддерживать все операции с ключевой информацией, обеспечивать антивирусную защиту. При этом система должна быть полностью управляемой, иметь прозрачный интерфейс подключения криптобиблиотек, обладать программно-технической совместимостью с продуктами и оборудованием других производителей и абсолютной надежностью при работе, как в глобальных, так и локальных сетях. И кроме этого должна превышать все известные аналоги по производительности.
РЕЖИМ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРЕДПРИЯТИЯ
Формирование режима информационной безопасности - проблема комплексная. Меры по ее решению можно разделить на четыре уровня:
1) законодательный (законы, нормативные акты, стандарты и т.п.);
2) административный (действия общего характера, предпринимаемые руководством организации);
3) процедурный (меры безопасности, имеющие дело с людьми);
4) программно-технический (технические меры).
Законодательный уровень
В настоящее время наиболее подробным законодательным документом в области информационной безопасности является новая редакция Уголовного кодекса РФ, вступившая в силу в мае 1996 г. Уголовный кодекс стоит на страже всех аспектов информационной безопасности - доступности, целостности, конфиденциальности, предусматривая наказания за "уничтожение, блокирование, модификацию и копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети".
Кроме этого, в рамках серии документов Гостехкомиссии при Президенте РФ подготовлен руководящий документ, устанавливающий классификацию межсетевых экранов (firewalls, или брандмауэров) по уровню обеспечения защищенности от несанкционированного доступа (НСД). Это принципиально важный документ, позволяющий упорядочить использование защитных средств.
Согласно нормативным актам средства обеспечения информационной безопасности, используемые на территории РФ, подлежат сертификации в Гостехкомиссии при Президенте РФ, а те же средства для защиты автоматизированных систем, классифицированных по классам защищенности 1А, 1Б и 2А, обязательно включают в свой состав средства шифрования, предварительно сертифицированные в ФАПСИ. Риск, связанный с использованием не сертифицированных средств обеспечения безопасности, лежит на владельце этих средств:
• государственным предприятиям запрещено использовать шифровальные средства, не имеющие сертификата ФАПСИ;
• юридическим и физическим лицам запрещено заниматься разработкой или эксплуатацией шифровальных средств, не имея соответствующей лицензии на подобную деятельность, выданную ФАПСИ;
• запрещено размещение государственных заказов на предприятиях, использующих не сертифицированные ФАПСИ шифровальные средства.
Административный и процедурный уровень.
Разработка сетевых аспектов политики безопасности
Политика безопасности определяется как совокупность документированных управленческих решений, направленных на защиту информации и ассоциированных с ней ресурсов. При разработке и проведении ее в жизнь целесообразно руководствоваться следующими принципами:
• невозможность миновать защитные средства;
• усиление самого слабого звена;
• невозможность перехода в небезопасное состояние;
• минимизация привилегий;
• разделение обязанностей;
• эшелонированность обороны;
• разнообразие защитных средств;
•простота и управляемость информационной системы;
•обеспечение всеобщей поддержки мер безопасности.
Принцип невозможности перехода в небезопасное состояние означает, что при любых обстоятельствах, в том числе нештатных, защитное средство либо полностью выполняет свои функции, либо полностью блокирует доступ. Принцип минимизации привилегий предписывает выделять пользователям и администраторам только те права доступа, которые необходимы им для выполнения служебных обязанностей.
Принцип разделения обязанностей предполагает такое распределение ролей и ответственности, при котором один человек не может нарушить критически важный для организации процесс. Это особенно важно, чтобы предотвратить злонамеренные или неквалифицированные действия системного администратора. Принцип эшелонированности обороны предписывает не полагаться на один защитный рубеж, каким бы надежным он ни казался. За средствами физической защиты должны следовать программно-технические средства, за идентификацией и аутентификацией - управление доступом и как последний рубеж - протоколирование и аудит. Эшелонированная оборона способна, по крайней мере, задержать злоумышленника, а наличие такого рубежа, как протоколирование и аудит, существенно затрудняет незаметное выполнение злоумышленных действий. Принцип разнообразия защитных средств рекомендует организовывать различные по своему характеру оборонительные рубежи, чтобы от потенциального злоумышленника требовалось овладение разнообразными и, по возможности, несовместимыми между собой навыками (например, умением преодолевать высокую ограду и знанием слабостей нескольких операционных систем). Очень важен принцип простоты и управляемости информационной системой в целом и защитных средств в особенности. Только для простого защитного средства можно формально или неформально доказать его корректность. В этой связи важно отметить интегрирующую роль Web-сервиса, скрывающего разнообразие обслуживаемых объектов и предоставляющего единый, наглядный интерфейс. Соответственно, если объекты некоторого вида (скажем, таблицы базы данных) доступны через Web, необходимо заблокировать прямой доступ к ним, поскольку в противном случае система будет сложной и трудноуправляемой.
Всеобщая поддержка мер безопасности
Последний принцип - всеобщая поддержка мер безопасности - носит нетехнический характер Анализ рисков - важнейший этап выработки политики безопасности. При оценке рисков, нужно учитывать следующие обстоятельства:
· новые угрозы по отношению к старым сервисам, вытекающие из возможности пассивного или активного прослушивания сети. Пассивное прослушивание означает чтение сетевого трафика, а активное - его изменение (кражу, дублирование или модификацию передаваемых данных). Например, аутентификация удаленного клиента с помощью пароля многократного использования не может считаться надежной в сетевой среде, независимо от длины пароля;
· новые (сетевые) сервисы и ассоциированные с ними угрозы.
Процедурные меры
На наш взгляд, отдельного рассмотрения заслуживают лишь два обстоятельства:
1) описание должностей, связанных с определением, наполнением и поддержанием корпоративной гипертекстовой структуры официальных документов;
2) поддержка жизненного цикла информации.
На предприятии существует руководитель, определяющий общую направленность деятельности. В информационных сетях ему соответствует Web-администратор, решающий, какая корпоративная информация должна присутствовать на Web-сервере и как следует структурировать дерево (точнее, граф) HTML-документов.
Программно-технический уровень.
Управление доступом путем фильтрации информации.
Отметим, что бороться с угрозами, присущими сетевой среде, средствами универсальных операционных систем (ОС) не представляется возможным. Универсальная ОС - это огромная программа, наверняка содержащая помимо явных ошибок некоторые особенности, которые могут быть использованы для получения нелегальных привилегий. Современная технология программирования не позволяет сделать столь большие программы безопасными. Кроме того, администратор, имеющий дело со сложной системой, далеко не всегда в состоянии учесть все последствия производимых изменений. Наконец, в универсальной многопользовательской системе бреши в обеспечении безопасности постоянно создаются самими пользователями (слабые и/или редко изменяемые пароли, неудачно установленные права доступа, оставленный без присмотра терминал ит.п.).
Единственный перспективный путь - разработка специализированных защитных средств, которые в силу своей простоты допускают формальную или неформальную верификацию. Межсетевой экран как раз и является таким средством, допускающим дальнейшую декомпозицию, связанную с обслуживанием различных сетевых протоколов.
Межсетевой экран как средство контроля информационных потоков.
Межсетевой экран - это полупроницаемая мембрана, которая располагается между защищаемой (внутренней) сетью и внешней средой (внешними сетями или другими сегментами корпоративной сети) и контролирует все информационные потоки во внутреннюю сеть и из нее. Контроль информационных потоков состоит в их фильтрации, то есть в выборочном пропускании через экран, возможно, с выполнением некоторых преобразований и извещением отправителя о том, что его данным в пропуске отказано. Фильтрация осуществляется на основе набора правил, предварительно загруженных в экран и являющихся выражением сетевых аспектов политики безопасности организации.
Целесообразно разделить случаи, когда экран устанавливается на границе с внешней (обычно общедоступной) сетью или на границе между сегментами одной корпоративной сети. Соответственно мы будет говорить о внешнем и внутреннем межсетевых экранах. Как правило, при общении с внешними сетями используется исключительно семейство протоколов TCP/IP. Поэтому внешний межсетевой экран должен учитывать специфику этих протоколов. Для внутренних экранов ситуация сложнее: здесь следует принимать во внимание помимо TCP/IP по крайней мере протоколы SPX/IPX, применяемые в сетях Novell NetWare. Иными словами, от внутренних экранов нередко требуется многопротокольность.
Ситуация, когда корпоративная сеть содержит лишь один внешний канал, является скорее исключением, чем правилом. Напротив, типична ситуация, при которой корпоративная сеть состоит из нескольких территориально разнесенных сегментов, каждый из которых подключен к сети общего пользования. В этом случае каждое подключение должно защищаться своим экраном. При рассмотрении любого вопроса, касающегося сетевых технологий, основой служит семиуровневая эталонная модель ISO/OSI. Межсетевые экраны также целесообразно классифицировать по тому, на каком уровне производится фильтрация - канальном, сетевом, транспортном или прикладном. Соответственно можно говорить об экранирующих концентраторах, маршрутизаторах, о транспортном экранировании и о прикладных экранах. Существуют также комплексные экраны, анализирующие информацию на нескольких уровнях,
При принятии решения "пропустить/не пропустить", межсетевые экраны могут использовать не только информацию, содержащуюся в фильтруемых потоках, но и данные, полученные из окружения, например текущее время.
Экранирующая подсеть.
Возможности межсетевого экрана непосредственно определяются тем, какая информация может использоваться в правилах фильтрации и какова может быть мощность наборов правил. Вообще говоря, чем выше уровень в модели ISO/OSI, на котором функционирует экран, тем более содержательная информация ему доступна и, следовательно, тем тоньше и надежнее экран может быть сконфигурирован. В то же время фильтрация на каждом из перечисленных выше уровней обладает своими достоинствами, такими, как дешевизна, высокая эффективность или прозрачность для пользователей. В силу этой, а также некоторых других причин в большинстве случаев используются смешанные конфигурации, в которых объединены разнотипные экраны. Наиболее типичным является сочетание экранирующих маршрутизаторов и прикладного экрана. Приведенная конфигурация называется экранирующей подсетью. Как правило, сервисы, которые организация предоставляет для внешнего применения (например, "представительский" Web-сервер), целесообразно выносить как раз в экранирующую подсеть.
Простота применения и собственная защита.
Помимо выразительных возможностей и допустимого количества правил качество межсетевого экрана определяется еще двумя очень важными характеристиками - простотой применения и собственной защищенностью. В плане простоты использования первостепенное значение имеют наглядный интерфейс при задании правил фильтрации и возможность централизованного администрирования составных конфигураций, В свою очередь в последнем аспекте хотелось бы выделить средства централизованной загрузки правил фильтрации и проверки набора правил на непротиворечивость. Важен и централизованный сбор и анализ регистрационной информации, а также получение сигналов о попытках выполнения действий, запрещенных политикой безопасности. Собственная защищенность межсетевого экрана обеспечивается теми же средствами, что и защищенность универсальных систем. При выполнении централизованного администрирования следует еще позаботиться о защите информации от пассивного и активного прослушивания сети, то есть обеспечить ее целостность и конфиденциальность. Хотелось бы подчеркнуть, что природа экранирования (фильтрации) как механизма безопасности, очень глубока. Помимо блокирования потоков данных, нарушающих политику безопасности, межсетевой экран может скрывать информацию о защищаемой сети, тем самым, затрудняя действия потенциальных злоумышленников. Так, прикладной экран может осуществлять действия от имени субъектов внутренней сети, в результате чего из внешней сети кажется, что имеет место взаимодействие исключительно с межсетевым экраном. При таком подходе топология внутренней сети скрыта от внешних пользователей, поэтому задача злоумышленника существенно усложняется.
Безопасность программной среды.
Идея сетей с так называемыми активными агентами, когда между компьютерами передаются не только пассивные, но и активные исполняемые данные (то есть программы), разумеется, не нова. Первоначально цель состояла в том, чтобы уменьшить сетевой трафик, выполняя основную часть обработки там, где располагаются данные (приближение программ к данным). На практике это означало перемещение программ на серверы. Классический пример реализации подобного подхода - это хранимые процедуры в реляционных СУБД. Для Web-серверов аналогом хранимых процедур являются программы, обслуживающие общий шлюзовый интерфейс (Common Gateway Interface - CGI). CGI-процедуры располагаются на серверах и обычно используются для динамического порождения HTML-документов. Политика безопасности организации и процедурные меры должны определять, кто имеет право помещать на сервер CGI-процедуры. Жесткий контроль здесь необходим, поскольку выполнение сервером некорректной программы может привести к сколь угодно тяжелым последствиям. Разумная мера технического характера состоит в минимизации привилегий пользователя, от имени которого выполняется Web-сервер. Если заботиться о качестве и выразительной силе пользовательского интерфейса, возникает необходимость в перемещении программ с Web-серверов на клиентские компьютеры - для создания анимации, выполнения семантического контроля при вводе данных и т.д. В каком бы направлении ни перемещались программы по сети, эти действия представляют повышенную опасность, так как программа, полученная из ненадежного источника, может содержать непреднамеренно внесенные ошибки или целенаправленно созданную программную закладку. Такая программа потенциально угрожает всем основным аспектам информационной безопасности: доступности (программа может поглотить все наличные ресурсы); •целостности (программа может удалить или повредить данные); •конфиденциальности (программа может прочитать данные и передать их по сети).
Защита Web-серверов.
Наряду с обеспечением безопасности программной среды, важнейшим будет вопрос о разграничении доступа к объектам Web-сервиса. Для решения этого вопроса необходимо уяснить, что является объектом, как идентифицируются субъекты и какая модель управления доступом - принудительная или произвольная - применяется. В Web-серверах объектами доступа выступают универсальные локаторы ресурсов (URL-Uniform (Universal) Resource Locator). За этими локаторами могут стоять различные сущности - HTML-файлы, CGI-процедуры и т.п. Как правило, субъекты доступа идентифицируются по IP-адресам и/или именам компьютеров и областей управления. Кроме того, может использоваться парольная аутентификация пользователей или более сложные схемы, основанные на криптографических технологиях.
В большинстве Web-серверов права разграничиваются с точностью до каталогов (директорий) с применением произвольного управления доступом. Могут предоставляться права на чтение HTML-файлов, выполнение CGI-процедур и т.д.
Для раннего выявления попыток нелегального проникновения в Web-сервер важен регулярный анализ регистрационной информации. Разумеется, защита системы, на которой функционирует Web-сервер, должна следовать универсальным рекомендациям, главной из которых является максимальное упрощение. Еще один общий принцип состоит в том, чтобы минимизировать объем информации о сервере, которую могут получить пользователи.
Аутентификация в открытых сетях.
Методы, применяемые в открытых сетях для подтверждения и проверки подлинности субъектов, должны быть устойчивы к пассивному и активному прослушиванию сети. Суть их сводится к следующему. Субъект демонстрирует знание секретного ключа, при этом ключ либо вообще не передается по сети, либо передается в зашифрованном виде.
Субъект демонстрирует обладание программным или аппаратным средством генерации одноразовых паролей или средством, работающим в режиме "запрос-ответ". Нетрудно заметить, что перехват и последующее воспроизведение одноразового пароля или ответа на запрос ничего не дает злоумышленнику. Субъект демонстрирует подлинность своего местоположения, при этом используется система навигационных спутников.
Виртуальные сети
Одной из важнейших задач является защита потоков корпоративных данных, передаваемых по открытым сетям. Открытые каналы могут быть надежно защищены лишь одним методом - криптографическим. Отметим, что так называемые выделенные линии не обладают особыми преимуществами перед линиями общего пользования в плане информационной безопасности. Выделенные линии хотя бы частично будут располагаться в неконтролируемой зоне, где их могут повредить или осуществить к ним несанкционированное подключение. Реальное достоинство - это гарантированная пропускная способность выделенных линий. Представляется естественным возложить на межсетевой экран задачу шифрования и дешифрования корпоративного трафика на пути во внешнюю сеть и из нее. Чтобы такое шифрование/дешифрование стало возможным, должно произойти начальное распределение ключей. Современные криптографические технологии предлагают для этого целый ряд методов.
Простота и однородность архитектуры.
Важнейшим аспектом информационной безопасности является управляемость системы. Наиболее остро проблема управляемости встает на клиентских рабочих местах и на стыке клиентской и серверной частей информационной системы. Причина проста - клиентских мест гораздо больше, чем серверных, они, как правило, разбросаны по значительно большей площади, их используют люди с разной квалификацией и привычками. Обслуживание и администрирование клиентских рабочих мест - занятие чрезвычайно сложное, дорогое и чреватое ошибками. За счет простоты и однородности архитектуры возможно сделать стоимость администрирования клиентского рабочего места практически нулевой. Важно и то, что замена и повторный ввод в эксплуатацию клиентского компьютера могут быть осуществлены очень быстро, если "клиенты без состояния", у них нет ничего, что требовало бы длительного восстановления или конфигурирования.
На стыке клиентской и серверной частей находится Web-сервер. Это позволяет иметь единый механизм регистрации пользователей и наделения их правами доступа с последующим централизованным администрированием. Взаимодействие с многочисленными разнородными сервисами оказывается скрытым не только от пользователей, но и в значительной степени от системного администратора.
СОВРЕМЕННЫЕ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ
Программно-аппаратный комплекс SecretNet.
В качестве средства, позволяющего построить систему информационной безопасности организации в гетерогенной сети, рассмотрим разработку научно-инженерного предприятия "Информзащита" - систему защиты информации Secret Net.
Что такое SecretNet?
Система защиты информации Secret Net является программно-аппаратным комплексом и предназначена для решения следующих задач:
• защита корпоративных ресурсов компании от доступа к ним посторонних лиц с помощью собственных защитных механизмов и встроенных возможностей ОС;
• централизованное управление информационной безопасностью в гетерогенных сетях;
• контроль действий сотрудников в ИС организации и оперативное реагирование на факты и попытки НСД.
Система Secret Net сертифицирована Гостехкомиссией при Президенте России по 3-му классу защищенности для СВТ (Средств вычислительной техники).
Рассмотрим, как данный продукт преодолевает перечисленные проблемы.
Многоплатформенность
Система Secret Net позволяет сотруднику службы безопасности со своего АРМ управлять всем спектром защитных механизмов клиентов Secret Net и встроенными возможностями ОС. При этом управление происходит в едином стиле независимо от платформы, на которых установлены клиенты. В настоящее время Secret Net позволяет обеспечить защиту рабочих станций и серверов сети, работающих под управлением операционных систем Windows'9x (Windows 95, Windows 98 и их модификаций), Windows NT 4.0, UNIX. На очереди Windows 2000 и другие распространенные ОС. Журналы регистрации и система отчетов не зависят от используемых клиентами Secret Net операционных систем. Администратор безопасности имеет возможность получать обобщенные или детальные отчеты о конфигурации АРМ и серверов сети, настройках защитных механизмов, правах доступа пользователей к корпоративным ресурсам и т.д. Информация обо всех событиях, имеющих отношение к безопасности информационной системы, поступает в реальном режиме времени.
Механизм управления и контроля
Система управления информационной безопасностью в Secret Net оперирует терминами реальной предметной области (например: "сотрудник", "задача", "компьютер", "помещение" и т.д.), что делает процесс управления удобным и понятным. Для упрощения процесса управления полномочиями пользователей и настройками режимов работы компьютеров используется специальный механизм шаблонов. Шаблон представляет собой некоторый набор привилегий и настроек, характерных для тех или иных пользователей. Создав шаблон, соответствующий какой-либо категории сотрудников, администратор может добавлять в ИС пользователей, которым будут присваиваться свойства, заданные этим шаблоном. Что касается контроля работы пользователей, то Secret Net немедленно оповещает администратора о попытках НСД, позволяет без ведома пользователя подключиться к его компьютеру в режиме эмуляции терминала, перехватить управление рабочей станцией, выключить, перезагрузить компьютер или блокировать работу пользователя.
Продукты технологии VPN.
В качестве примера защиты потоков корпоративных данных, передаваемых по открытым сетям, предлагаем краткий обзор продуктов и решений VPN.
Преимущества и недостатки
Технология VPN (virtual private network - виртуальная частная сеть) явилась естественным развитием технологии межсетевых экранов, только в отличие от межсетевых экранов, ограничивающих доступ к сетевым или системным ресурсам, непосредственно защищает данные в процессе передачи, то есть является более универсальным средством обеспечения безопасности в информационных сетях.
Идея VPN, несомненно, кажется очень привлекательной - любой менеджер по IT-безопасности с удовольствием внедрил бы ее на своем предприятии. Но хотя на рынке VPN и в нашей стране и за рубежом работает большое количество компаний, постоянно совершенствующих потребительские качества своей продукции, технология, а точнее решения VPN, еще не достигли зрелости, дающей гибкое и эффективное решение IT-безопасности.
Трудности, стоящие на пути разработчиков, имеют объективный характер. VPN - технология новая и сложная сама по себе, помимо этого у каждого корпоративного пользователя (а VPN даже по названию все-таки технология корпоративных пользователей) свои представления и потребности в области обеспечения сетевой безопасности информации в сети.
Ограничения в применении
Как показывают опросы, проводимые в Интернете, помимо совершенно очевидных характеристик защищенности и стоимости для пользователей VPN важны также производительность и управляемость, комфортность работы с тем или иным видом VPN-реализации. В нашей стране не последнюю роль играет еще одна характеристика - так называемая "легитимность".
Помимо законодательных аспектов применения VPN - технологий указанных выше, существуют несколько федеральных законов, принятых за последние десять лет, а также указы президента, постановления правительства, государственные стандарты, руководящие документы Федерального агентства правительственной связи и информации (ФАПСИ) и многочисленные ведомственные инструкции. Такие ключевые документы, как Закон "Об информации, информатизации и защите информации" от 20.02.95 и Указ Президента РФ № 334 "О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования ни формации" от 03.04.95, активно ссылаются на понятие шифровальных, т.е. криптографических средств.
Кому нужны системы VPN?
Возвращаясь к вопросу о выборе подходящего VPN-решения в свете всех юридических тонкостей, можно сказать следующее. Во-первых, далеко не все присутствующие на российском рынке продукты VPN имеют сертификаты ФАПСИ, но, с другой стороны, многие имеют или, по крайней мере, претендуют на получение сертификата Гостехкомиссии, что тоже довольно ценно. Во вторых, на основе анализа отечественной нормативной базы и опыта внедрения систем защиты информации, всех российских корпоративных потребителей систем информационной безопасности можно разделить на три группы:
• государственные предприятия, работающие с информацией, представляющей государственную тайну;
• государственные предприятия, работающие с конфиденциальной информацией, не представляющей государственную тайну;
•негосударственные предприятия, работающие с конфиденциальной информацией, не представляющей государственную тайну.
В расчете на первую, не самую многочисленную группу написано большинство законов и, конечно же, ГОСТы. Резюме: обязателен полный набор необходимых сертификатов и лицензий.
Третья группа - последняя в списке, но не последняя по значению. Ее трудно назвать сейчас основным потребителем систем безопасности, хотя в будущем, видимо, таковым станет именно она. Теоретически и практически потребителей этой группы должны интересовать надежные системы безопасности, а не сертификаты ФАПСИ или Гостехкомиссии.
Как показывает тенденция последних лет, предприятия второй группы являются пока наиболее активными покупателями сертифицированных систем безопасности. При этом сертификат Гостехкомиссии является обязательным.
Продукты и решения
В России продукты и решения VPN предлагают многие компании. Есть среди них и такие "монстры" сетевой индустрии, как Cisco Systems, и решения от признанных лидеров в области сетевой безопасности, например Checkpoint Software, продукты которой в нашей стране представляет компания UNI; есть предложения и от российских разработчиков - МО ПНИЭИ, "Элвис+", "Сигнал-Ком", "ИнфоТеКС", "Инфосистемы Джет", "Информзащита" и др. В силу правовой ситуации, сложившейся с сертификацией СКЗИ, являющейся неотъемлемой частью VPN, и лицензированием деятельности предприятий, использующих эти средства в своей деятельности, российские разработчики получают серьезные преимущества перед западными конкурентами в борьбе за отечественный рынок VPN.
ШИП, МО ПНИЭИ
Появившийся на российском рынке VPN одним из первых криптографический комплекс "Шифратор IP-потоков" (ШИП), разработки московского отделения Пензенского научно-исследовательского электротехнического института, рекомендован ФАПСИ в качестве СКЗИ при работе в сетях передачи общего пользования. Комплекс включает в себя, помимо собственно криптошлюзов, средства управления, хранения и передачи ключевой информации и средства оперативного мониторинга и регистрации событий безопасности.
Среди функций этого комплекса можно перечислить следующие: обеспечение конфиденциальности и целостности данных, передаваемых в сетях общего пользования, построенных на основе протокола IP; создание защищенных подсетей передачи конфиденциальной информации; объединение локальных сетей в единую защищенную сеть; блокирование доступа к ресурсам защищаемой сети из открытой сети; аутентификацию абонентов сети; централизованное управление защищенной подсетью.
АПК ШИП поддерживает сетевые протоколы IP, ICMP, IPX, X.25, Frame Relay, а также инкапсуляцию IPX в IP, X.25 и IP в Frame Relay; протоколы маршрутизации RIP2, OSPF, BGP; из алгоритмов шифрования данных, основной и единственный, - ГОСТ 28147-89.
В состав комплекса входят распределенная сеть шифраторов (криптошлюзов) и один или несколько центров управления ключевой системой. Шифратор состоит из аппаратного датчика случайных чисел, программного модуля криптографического преобразования, работающего на уровне ядра операционной системы FreeBSD, модулей записи протокола, безопасной загрузки системы и клиентской части ключевой системы. Подсистемы центра управления ключевой системой состоят из серверного модуля и программного средства управления ключевой системой, реализованного в среде Windows, и сервисной программы просмотра протоколов работы криптографического комплекс. Управление ключевой системой включает в себя следующие функции: периодическую смену ключей шифрования, контроль и рассылку таблиц соответствия, определяющих возможность абонентов работать друг с другом, сбор и хранение информации о критичных сетевых событиях (в том числе аутентификация абонента, установление защищенного сеанса обмена, смена ключа и пр.).
"Застава", ОАО "Элвис+"
Еще один продукт, довольно давно и хорошо известный, - комплекс "Застава" от московской компании "Элвис+". Это программно реализованный масштабируемый ряд продуктов для организации VPN на различных каналах связи, в локальных и глобальных сетях. В состав комплекса входят: межсетевой криптошлюз "Застава-офис", "Застава-сервер" для криптозащиты одиночного сервера и VPN-клиент "Застава-клиент".
"Застава-офис" не содержит ничего "лишнего" - модуль криптопреобразований, встраиваемый в ОС Solaris или Windows NT на уровне сетевого драйвера, и средства управления. Пути роста "вниз" - в сторону установки средств контроля и разграничения доступа, средств индивидуальной антивирусной и криптозащиты диска, регистрации критичных событий, а также "вверх" - в сторону интеграции с системами PKI хранения и распределения индивидуальной, в том числе ключевой информации пользователей, допустимы и даже рекомендуемы. В частности, в качестве типичного решения для безопасного доступа небольшого офиса в Интернет приветствуется интеграция описанного криптошлюза с одноименным межсетевым экраном производства той же компании.
Защита от НСД путем радиоперехвата ПЭМИН
Вопросы несанкционированного доступа к информации, обрабатываемой средствами вычислительной техники, путем радиоперехвата побочных электромагнитных излучений и наводок (ПЭМИН), продолжают оставаться актуальными, несмотря на обширный набор технических средств противодействия. Это связано как с появлением новых образцов высокочувствительной аппаратуры (селективных радиоприемников, сканеров), которые могут быть использованы для радиоперехвата, так и общим подходом к совершенствованию системы доступа к конфиденциальной информации. Маскировка побочных информативных излучений осуществляется путем формирования и излучения в окружающее пространство широкополосного шумового сигнала, уровень которого превышает уровень ПЭМИН. Указанный способ маскировки ПЭМИН был разработан в 1981 году сотрудниками Института радиотехники и электроники [2] и рекомендован руководящими документами Гостехкомиссии России к использованию. В разработанных устройствах в качестве формирователя маскирующего сигнала используется автостохастический генератор шума на основе системы двух связанных транзисторных генераторов с дополнительным внешним низкочастотным воздействием. Первый генератор, содержащий нелинейный усилитель, цепь запаздывающей обратной связи (ЗОС) и инерционную цепь автосмещения, является «ведущим» и обеспечивает формирование многих колебаний (мод) на собственных частотах, определяемых задержкой сигнала в цепи ЗОС Второй генератор, содержащий нелинейный усилитель и цепь регулируемой обратной связи, является «ведомым», так как работает в режиме внешнего запуска от первого генератора. Он обогащает спектр колебаний системы связанных генераторов дополнительными частотными компонентами, то есть формирует вторую «сетку» собственных частот с неэквидистантной, относительно первой, расстановкой гармонических составляющих. Взаимодействие двух генераторов на нелинейностях р/п-переходов используемых активных элементов (транзисторов) обеспечивает процесс формирования хаотических (шумовых) колебаний через последовательный каскад бифуркаций удвоения периода, который в радиофизике определяется понятием динамического хаоса [З].
Дополнительно повысить стабильность работы устройства маскировки, улучшить статистические характеристики шумового маскирующего сигнала позволяет низкочастотный источник шума. Внешний низкочастотный шум при воздействии на систему связанных генераторов сужает полосу синхронизации и приводит к срыву возможных синхронных колебаний. При этом, наряду с дополнительной модуляцией, в системе имеют место, как параметрические процессы, так и синхронизация шумом, то есть реализуются дополнительные условия для экспоненциального расхождения фазовых траекторий генераторов. Математическим образом такого процесса является «странный аттрактор».
Эффективная работа устройства радиомаскировки обеспечивается использованием в качестве излучающей антенны магнитного диполя - электрической рамки (кольцевого проводника с равномерно распределенным током). Такая антенна создает достаточно равномерное распределение электромагнитного поля по всем направлениям пространства. По результатам сертификационных испытаний такой излучатель представляет собой слабонаправленную антенную систему, формирующую электромагнитную волну с поляризацией, близкой к круговой.
В устройства радиомаскировки встроена схема контроля работоспособности, позволяющая постоянно контролировать как статистические характеристики (качество) маскирующего сигнала, так и его уровень. При необходимости к исполнительному элементу схемы контроля работоспособности может быть подключено внешнее устройство дистанционного контроля, с его помощью можно автоматически блокировать работу систем вычислительной техники в случае возникновения неполадок в работе устройства радиомаскировки.
В целом, использование в качестве генератора шума системы связанных генераторов с внешним воздействием и излучающей антенны типа магнитного диполя позволило повысить стабильность работы устройства радиомаскировки и улучшить его характеристики.
ГШ-1000М выполнен в виде отдельного генераторного модуля с жесткой излучающей антенной магнитного типа и питанием от сети 220В (12 В). ГШ-К-ЮООМ представляет собой унифицированную плату, встраиваемую в системный блок компьютера. Генератор работает на внешнюю антенну. ГШ-К-ЮООМ выпускаются в двух модификациях: для слотов PCI или ISA. Схемные решения и электрические характеристики данных устройств радиомаскировки идентичны. Технические решения, использованные в устройствах радиомаскировки, защищены патентами на изобретение [4].
Электромагнитное поле помехового (маскирующего) сигнала, формируемое устройствами радиомаскировки, по результатам сертификационных испытаний представляет собой нормальный стационарный случайный процесс со сплошным энергетическим спектром в диапазоне частот 100 кГц - 1000 МГц и нормализованным коэффициентом качества не ниже 0,9.
В процессе разработки и сертификации устройств радиомаскировки были проведены сравнения уровней маскирующих сигналов с уровнями ПЭМИН средств отображения информации, НГМД, НЖМД, клавиатуры, CD-ROM. Результаты сертификационных испытаний подтвердили факт соответствия характеристик устройств радиомаскировки ГШ-ЮООМ и ГШ-К-ЮООМ требованиям нормативных документов Гостехкомиссии России для таких устройств. Как результат оба устройства сертифицированы в качестве средств защиты информации для маскировки побочных информационных электромагнитных излучений технических средств персональных компьютеров, компьютерных сетей и комплексов на объектах информатизации первой, второй и третьей категорий.
Для маскировки ПЭМИН средств вычислительной техники, размещенных в помещении площадью до 50 м2, достаточно одного устройства, в то время как в больших (протяженных) вычислительных центрах, терминальных залах необходимо использовать несколько комплектов устройств радиомаскировки, размещая их по периметру объекта. Максимальное расстояние между соседними устройствами не должно превышать 20 метров. В процессе эксплуатации устройств радиомаскировки ГШ-ЮООМ и ГШ-К-ЮООМ имеется возможность дистанционного и местного оперативного контроля работоспособности требованиям нормативных документов Гостехкомиссии России для таких устройств. Как результат оба устройства сертифицированы в качестве средств защиты информации для маскировки побочных информационных электромагнитных излучений технических средств персональных компьютеров, компьютерных сетей и комплексов на объектах информатизации первой, второй и третьей категорий.
Для маскировки ПЭМИН средств вычислительной техники, размещенных в помещении площадью до 50 м2, достаточно одного устройства, в то время как в больших (протяженных) вычислительных центрах, терминальных залах необходимо использовать несколько комплектов устройств радиомаскировки, размещая их по периметру объекта. Максимальное расстояние между соседними устройствами не должно превышать 20 метров. В процессе эксплуатации устройств радиомаскировки ГШ-ЮООМ и ГШ-К-ЮООМ имеется возможность дистанционного и местного оперативного контроля работоспособности
Программно-аппаратный комплекс "Зарница П" для проведения специальных исследований
Программно-аппаратный комплекс «Зарница П» является представителем нового поколения ранее широко зарекомендовавших себя на рынке образцов специальной контрольно-измерительной и защитной аппаратуры, отвечающей последним нормативным требованиям по защите информации и рассчитанным на долговременную перспективу. Комплекс создан на базе РПУ (радиоприемное устройство) AR 5000. Он позволяет производить селективные измерения уровней электрических сигналов (в том числе имеющих импульсный характер) в рабочем диапазоне частот от 0,01 МГц до 2,1 ГГц, а также осуществлять их анализ и расчет характеристик побочных электромагнитных излучений (ПЭМИН) средств ТСПИ и ВТ на соответствие требованиям нормативно-методических документов. Принцип действия комплекса основан на селективном измерении напряжения в выделенной полосе частот, аналогично принципу действия измерительных приемников.
Основным измерительным ядром комплекса является отдельный блок предварительной обработки (БПО) сигнала ПЧ 10,7 МГц с выхода РПУ AR 5000. С широкополосного видеодетектора сигнал поступает на пиковый детектор с программируемым временем накопления. Аналогичные технические решения и алгоритмы обработки сигнала были многократно апробированы в более ранних разработках, проведенных в интересах Минобороны и Минатома. Используемый пиковый детектор отличает малая постоянная времени заряда и большая постоянная времени разряда. Возможность установки времени накопления в широком временном диапазоне позволяет производить регистрацию и последующую обработку импульсных сигналов от ТСПИ (технических средств обработки и передачи информации) и ВТ с высокой точностью. Следует отметить, что, несмотря на несовершенство схемотехники, тракт высокой и промежуточной частот у РПУ AR 5000 обладает параметрами, позволяющими использовать их в составе измерительных комплексов. При этом основное значение имеет долговременная стабильность параметров. Индивидуальная калибровка каждого комплекса учитывает характеристики тракта конкретного РПУ АК 5000. Таким образом, селективные частотные свойства комплекса определяются параметрами РПУ, а погрешность измерения уровней входных сигналов обеспечивается трактом БПО в режиме работы программируемого пикового детектора.
В результате метрологической сертификации комплекса "Зарница П" в целом, включающей в себя определение рабочего диапазона частот, пределов допустимой погрешности измерений, значений рабочих полос пропускания, ослабления паразитных каналов приема, КСВ, времени готовности и межпроверочного интервала 2 года, был получен сертификат Госкомитета РФ по стандартизации и метрологии об утверждении типа средств измерений. Долговременная стабильность параметров комплекса была дополнительно подтверждена при сертификации в Гостехкомиссии России. В составе программно-аппаратного комплекса "Зарница П" впервые в России сертифицирована расчетная задача "Экзар" на соответствие требованиям действующих нормативно-методических документов. Программно-аппаратный комплекс выпускается в двух модификациях: "Зарница П" с приемкой ОТК и "Экран" с приемкой заказчика. Комплексы могут комплектоваться по желанию клиента наборами широкополосных измерительных антенн "Амур-М" разработки и производства ЦКБИ. В составе комплекса также могут быть использованы любые измерительные антенны (R = 50 Ом) как отечественного, так и импортного производства. Масса комплекса в упаковке не превышает 13 кг (включая РПУ, БПО и ПЭВМ типа "ноутбук").
ЛИТЕРАТУРА:
1. Иванов В. П., Сяк В. В. Маскировка информационных излучений средств вычислительной техники //Информационно-методический журнал «Защита информации. Конфидент», № I, 1998. С. 67-71.
2. Дмитриев А. С., Залогин Н. Н., Иванов В. П. и др. Способ маскировки радиоизлучений средств вычислительной техники и устройство для его реализации //Авторское свидетельство № 1773220, кл. 04 К 3/00. Россия, приоритет от 21 сентября 1981 г.
3. Кислой В. Я. Динамический хаос и его использование в радиоэлектронике //Радиотехника и электроника, № 10, Т. 38, 1993.
4. Безруков В. А., Иванов В. П., Калашников В. С., Лебедев М. Н. Устройство радиомаскировки.//Положительное решение по заявке на изобретение №2000112294 (012706) от 28 ноября 2000 года, Россия, приоритет от 15 мая 2000г.
5. В новый век – с новой техникой. «Системы безопасности» №37, февраль-март 2001г., стр. 76.
6. Защита информации в гетерогенных сетях. «Системы безопасности» №38, апрель-май 2001г., стр. 83.
7. Бардаев Э.А., Ловцов Д.А., Борисов А.В. Информационная безопасность в интранет. «Системы безопасности» №38, апрель-май 2001г., стр. 88.
8. Щуров П.Ю. Продукты и решения VPN: взгляд потребителя. «Технологии и средства связи.» №1 2001 год, стр.92-96.
9. Беззубцев О.А. Начальник Лицензионного и сертификационного центра ФАПСИ.
О сертификации и лицензировании СКЗИ (Средств криптографической защиты информации). «Технологии и средства связи.» №1 2001 год, стр.97.
10. Игорь Ляпунов. Проблемы системной интеграции в области защиты информации. «Конфидент», №1 январь-февраль 2001г., стр.68-69.
11. Лебедев М.Н., Иванов В.П., Сак В.В. Устройства радиомаскировки информационных излучений СВТ. «Конфидент», №1 январь-февраль 2001г., стр.35-37.