Вопрос 14 Туннелирование
На наш взгляд, туннелированиеследует рассматривать как самостоятельный сервис безопасности. Его суть состоит в том, чтобы "упаковать" передаваемую порцию данных, вместе со служебными полями, в новый "конверт". В качестве синонимов термина " туннелирование " могут использоваться " конвертование " и " обертывание ".
Туннелирование может применяться для нескольких целей:
передачи через сеть пакетов, принадлежащих протоколу, который в данной сети не поддерживается (например, передача пакетов IPv6 через старые сети, поддерживающие только IPv4);
обеспечения слабой формы конфиденциальности (в первую очередьконфиденциальности трафика ) за счет сокрытия истинных адресов и другой служебной информации;
обеспечения конфиденциальности и целостности передаваемых данных при использовании вместе с криптографическими сервисами.
Туннелирование может применяться как на сетевом, так и на прикладном уровнях. Например, стандартизовано туннелирование для IP и двойноеконвертование для почты X.400.
Комбинация туннелирования и
шифрования (наряду с необходимой криптографической
инфраструктурой)
на выделенных шлюзах и экранирования
на маршрутизаторах поставщиков сетевых
услуг (для разделения пространств
"своих" и "чужих" сетевых
адресов в духе виртуальных
локальных сетей)
позволяет реализовать такое важное в
современных условиях защитное средство,
как виртуальные
частные сети.
Подобные сети, наложенные обычно поверх
Internet, существенно дешевле и гораздо
безопаснее, чем собственные сети
организации, построенные на
выделенных каналах.
Коммуникации на
всем их протяжении физически
защититьневозможно,
поэтому лучше изначально исходить из
предположения об их уязвимости и
соответственно обеспечивать защиту. 
Межсетевые экраны как точки реализации сервиса виртуальных частных сетей.
Концами туннелей, реализующих виртуальные частные сети, целесообразно сделать межсетевые экраны, обслуживающие подключение организаций к внешним сетям (см. рис. 14.2). В таком случае туннелирование и шифрование станут дополнительными преобразованиями, выполняемыми в процессе фильтрации сетевого трафика наряду с трансляцией адресов.
Концами туннелей, помимо корпоративных межсетевых экранов, могут быть мобильные компьютеры сотрудников (точнее, их персональные МЭ).
Вопрос 16 Управление
Управление можно отнести к числу инфраструктурных сервисов, обеспечивающих нормальную работу компонентов и средств безопасности. Сложность современных систем такова, что без правильно организованного управления они постепенно деградируют как в плане эффективности, так и в плане защищенности.
Возможен и другой взгляд на управление – как на интегрирующую оболочкуинформационных сервисов и сервисов безопасности (в том числе средств обеспечения высокой доступности), обеспечивающую их нормальное, согласованное функционирование под контролем администратора ИС.
Согласно стандарту X.700, управление подразделяется на:
мониторинг компонентов;
контроль (то есть выдачу и реализацию управляющих воздействий);
координацию работы компонентов системы.
Системы управления должны:
позволять администраторам планировать, организовывать, контролировать и учитывать использование информационных сервисов;
давать возможность отвечать на изменение требований;
обеспечивать предсказуемое поведение информационных сервисов;
обеспечивать защиту информации.
выделяется пять функциональных областей управления:
управление конфигурацией (установка параметров для нормального функционирования, запуск и остановка компонентов,
управление отказами (выявление отказов, их изоляция и восстановление работоспособности системы);
управление производительностью (сбор и анализ статистической информации, определение производительности системы в штатных и нештатных условиях, изменение режима работы системы);
управление безопасностью (реализация политики безопасности путем создания, удаления и изменения сервисов и механизмов безопасности,
управление учетной информацией (т.е. взимание платы за пользование ресурсами).
Вводится понятие управляемого объекта как совокупности характеристик компонентов системы, важных с точки зрения управления. К таким характеристикам относятся:
атрибуты объекта ;
допустимые операции ;
извещения, которые объект может генерировать;
связи с другими управляемыми объектами.
Многоуровневая архитектура менеджер/агент – ключ к распределенному, масштабируемому управлению большими систе Обязательным элементом при любом числе архитектурных уровней является управляющая консоль Управление подразделяется на следующие аспекты:
информационный (атрибуты, операции и извещения управляемых объектов);
функциональный (управляющие действия и необходимая для них информация);
коммуникационный (обмен управляющей информацией);
организационный (разбиение на области управления).
Ключевую роль играет модель управляющей информации. Она описывается рекомендациями X.720. Модель является объектно-ориентированной с поддержкой инкапсуляции и наследования. Дополнительно вводится понятие пакета как совокупности атрибутов, операций, извещений и соответствующего поведения.
Класс объектов определяется позицией в дереве наследования, набором включенных пакетов и внешним интерфейсом, то есть видимыми снаружи атрибутами, операциями, извещениями и демонстрируемым поведением.