5. Подсистема управления – некоторое управляющее звено, которое в специальных публикациях получило название «ядро сзи».
Ядро системы защиты информации предназначено для объединения всех подсистем СЗИ в единую целостную систему, для организации обеспечения управления ее функционированием.
Ядро может включать организационные и технические составляющие.
Организационная составляющая представляет собой совокупность специально выделенных для обеспечения ЗИ сотрудников, выполняющих свои функции в соответствии с разработанными правилами, а также нормативную базу, регламентирующую выполнение этих функций службой защиты информации. Ее назначение и основные функции будут рассмотрены ниже.
Техническая составляющая обеспечивает техническую поддержку организационной составляющей и представляет собой совокупность технических средств отображения состояния элементов СЗИ, контроля доступа к ним, управления их включением и т. д. Чаще всего эти средства объединены в соответствующий пульт управления СЗИ.
Организационное построение СЗИ организации.
Организационное построение СЗИ – это общая организация системы адекватно отражающая основные принципы построения ОИ. При этом основные элементы СЗИ территориально привязываются к основным организационным составляющим объекта.
Одно из перспективных решений решений при построении СЗИ – это семирубежная модель защиты. Суть такой модели заключается в том, что оптимальная защита может быть обеспечена лишь в том случае, если будут защищены все основные элементы, имеющие отношение к ОИ.
Таким образом, организационное построение СЗИ может быть представлено совокупностью следующих рубежей защиты:
Территория
Здания, расположенные на территории
Помещения внутри здания, в которых расположены ОИ
Ресурсы, используемые для обработки, хранения информации и сама информация
Линии связи,проходящие в пределах одного здания
Линии связи, проходящие между отдельными зданиями, находящимися на территории объекта
Линии связи, выходящие за пределы объекта.
Семи-рубежная модель СЗИ.
Существо подхода состоит в следующем. Очевидно, что защита информации в ОИ может быть обеспечена лишь в том случае, если будут защищены элементы, имеющие отношение к ОИ:
территория, в пределах которой расположены средства ОИ;
здания и помещения, в которых размещены средства ОИ;
ресурсы, используемые для обработки и хранения защищаемой информации;
линии (каналы) связи, используемые для сопряжения элементов ОИ и ОИ с другими (внешними) объектами.
Тогда организационное построение СЗИ в самом общем случае может быть представлено совокупностью следующих рубежей защиты:
территории, занимаемой ОИ;
зданий, расположенных на территории;
помещений внутри здания, в которых расположены ресурсы ОИ и защищаемая информация;
ресурсов, используемых для обработки и хранения информации и самой защищаемой информации: технических ресурсов (средств обработки информации, технических средств шифрования и т. д.), устройств хранения конфиденциальной информации (сейфов, электронных устройств), самой конфиденциальной информации ее носителей;
линий связи, проходящих в пределах одного и того же здания;
линий (каналов) связи, проходящих между различными зданиями, расположенными на одной и той же охраняемой территории;
линий (каналов) связи, выходящих за пределы объекта. При этом в зависимости от требований к уровню безопасности информации на каждом из рубежей защиты могут быть реализованы функции одной или нескольких подсистем защиты, указанных выше.
Функции межсетевых экранов.
Основной задачей сетевого экрана является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также сетевые экраны часто называют фильтрами, так как их основная задача — не пропускать (фильтровать) пакеты, не подходящие под критерии, определённые в конфигурации.
Некоторые сетевые экраны также позволяют осуществлять трансляцию адресов — динамическую замену внутрисетевых (серых) адресов или портов на внешние, используемые за пределами ЛВС.
фильтрация доступа к заведомо незащищенным службам;
препятствование получению закрытой информации из защищенной подсети, а также внедрению в защищенную подсеть ложных данных с помощью уязвимых служб;
контроль доступа к узлам сети;
может регистрировать все попытки доступа как извне, так и из внутренней сети, что позволяет вести учёт использования доступа в Интернет отдельными узлами сети;
регламентирование порядка доступа к сети;
уведомление о подозрительной деятельности, попытках зондирования или атаки на узлы сети или сам экран;
Вследствие защитных ограничений могут быть заблокированы некоторые необходимые пользователю службы, такие как Telnet, FTP, SMB, NFS, и так далее. Поэтому настройка файрвола требует участия специалиста по сетевой безопасности. В противном случае вред от неправильного конфигурирования может превысить пользу.
Также следует отметить, что использование файрвола увеличивает время отклика и снижает пропускную способность, поскольку фильтрация происходит не мгновенно.
Фильтрация информационных потоков.
Традиционно системы контроля информационных потоков позволяют контролировать информационные потоки в трех режимах:
Режим архива;
Режим сигнализации;
Режим активной защиты.
9.1. Режим архива. Этот режим предполагает минимум вмешательства в деятельность информационной системы. В этом режиме система контроля лишь протоколирует действия пользователей, архивируя журналы операций с конфиденциальной информации и содержимое информационных потоков. Архивы анализируются на предмет наличия в них фактов о нарушении политики информационной безопасности либо по регламенту (каждый вечер, каждую пятницу и т.д.), либо по запросу о расследовании инцидента. Преимуществом этого режима контроля является нетребовательность к вычислительным ресурсам и гибким управлением временем офицера информационной безопасности. Офицер безопасности сам определяет время для анализа архива. Его рабочее время, занятое анализом архива, не превышает нескольких часов в месяц. Недостатком этого режима является невозможность предотвращения утечки. 9.2. Режим сигнализации. Этот режим представляет собой расширенный режим архива, однако перед укладыванием информации в архив, действие или сообщение проверяется на предмет соответствия политике информационной безопасности. В случае выявления запрещенного действия/сообщения, офицер безопасности получает на свое рабочее место сообщение. В зависимости от уровня нарушения политики ИБ, офицер безопасности принимает решение реагировать немедленно, либо отложить реакцию. Преимуществом этого способа является возможность немедленно реагировать на события. Недостатком этого режима является также невозможность предотвращения утечек, а для офицера ИБ недостатком является необходимость постоянно находиться в режиме on-line. Этот режим нередко используется для тестовой эксплуатации системы перед переходом к режиму активной защиты. 9.3. Режим активной защиты Этот режим позволяет активно вмешиваться в информационные процессы, блокировать опасные операции безвозвратно или до их разрешения офицером безопасности. Преимуществом этого режима является возможность блокирования попыток нарушить политику информационной безопасности, предотвращение утечек. Недостатком этого режима является необходимость постоянного присутствия офицера информационной безопасности для разбора спорных случаев и ложных срабатываний. На сегодняшний день максимальная достоверность использующихся технологий не превышает 90%, поэтому в режиме активной защиты на офицера ИБ ложится ответственность за оперативное решение спорных вопросов. Также недостатком такого режима является высокая требовательность к ресурсам, особенно при обработке on-line потоков. Приходится резервировать каналы и наращивать вычислительную мощность, чтобы обеспечить минимальную задержку писем и сообщений в Интернет.
Функции посредничества МЭ.
Функции посредничества. Выполняются брандмауэром при помощи специальных программ-посредников, запрещающих прямую передачу пакетов между ресурсами внешней и внутренней сети. Таким образом, при выполнении файрволом функций посредничества, при необходимости доступа из одной части сети в другую, первоначально устанавливается соединение с программой-посредником, которая проверяет допустимость запрошенного взаимодействия и, при его допустимости, уже сама устанавливает соединение с нужным ресурсом. Далее, обмен информацией осуществляется только через эту программу-посредник. Создание такого механизма взаимодействия ресурсов позволяет решить целый ряд задач: проверка подлинности передаваемых данных, фильтрация потока информации – поиск вирусов, шпионов и т.д., кэширование данных.
Экранирующий маршрутизатор.
Экранирующие маршрутизаторы (и концентраторы) имеют дело с отдельными пакетами данных, поэтому иногда их называют пакетными фильтрами. Решения о том, пропустить или задержать данные, принимаются для каждого пакета независимо, на основании анализа адресов и других полей заголовков сетевого (канального) и, быть может, транспортного уровней. Еще один важный компонент анализируемой информации - порт, через который поступил пакет. Экранирующие концентраторы являются средством не столько разграничения доступа, сколько оптимизации работы локальной сети за счет организации так называемых виртуальных локальных сетей. Последние можно считать важным результатом применения внутреннего межсетевого экранирования. Современные маршрутизаторы позволяют связывать с каждым портом несколько десятков правил и фильтровать пакеты как на входе, так и на выходе. В принципе, в качестве пакетного фильтра может использоваться и универсальный компьютер, снабженный несколькими сетевыми картами. Основные достоинства экранирующих маршрутизаторов - доступная цена (на границе сетей маршрутизатор нужен практически всегда, вопрос лишь в том, как задействовать его экранирующие возможности) и прозрачность для более высоких уровней модели OSI. Основной недостаток - ограниченность анализируемой информации и, как следствие, относительная слабость обеспечиваемой защиты.
Шлюз сеансового уровня.
Шлюз сеансового уровня следит за подтверждением связи (квитирования ) между авторизованным клиентом и внешним хостом (и наоборот), определяя, является ли запрашиваемый сеанс связи допустимым. При фильтрации пакетов шлюз сеансового уровня основывается на информации, содержащейся в заголовках IP-пакетов сеансового уровня протокола TCP, т.е. функционирует на два уровня выше, чем брандмауэр с фильтрацией пакетов.
Шлюзы сеансового уровня не имеют «врожденных» уязвимых мест, однако после установления связи такие шлюзы фильтруют пакеты только на сеансовом уровне, т.е. не могут проверять содержимое пакетов, передаваемых между внутренней и внешней сетью на уровне прикладных программ, то есть эта передача осуществляется «вслепую». Таким образом хакер, находящийся во внешней сети, может «протащить» свои «зловредные» пакеты через шлюз и обратится напрямую к внутреннему Web-серверу, который сам по себе может не обеспечивать функции брандмауэра. Иными словами, если процедура квитирования связи успешно завершена, шлюз сеансового уровня установит соединение и будет «тупо» копировать и перенаправлять все последующие пакеты независимо от их содержимого.
Шлюз прикладного уровня.
компонент NAT-маршрутизатора, который понимает какой-либо прикладной протокол, и при прохождении через него пакетов этого протокола модифицирует их таким образом, что находящиеся за NAT пользователи могут пользоваться протоколом.
Практически все маршрутизаторы, имеющие NAT, умеют работать с PPTP, IPsec, RTSP, SIP, H.323, SMTP, DNS, TFTP.
NAT-маршрутизатор ретранслирует пакеты, поступающие изнутри сети, с внешнего IP-адреса. Также может подменяться порт. Но некоторые сетевые протоколы передают IP-адрес или порт отправителя. Конечно же, после прохождения NAT эти параметры становятся неверными — а значит, удалённая сторона не может наладить соединение.
ALG, идентифицировав пакет как относящийся к данному протоколу, подставляет в качестве IP-адреса и порта свои адрес и порт. Если, по протоколу, соединение по этому порту налаживает удалённый компьютер, автоматически включается ретрансляция.
ALG похож на прокси-сервер; обычно понятием «прокси-сервер» называют сервер, который выполняет дополнительные операции наподобие кэширования, в то время как задача ALG — обеспечить, чтобы клиенты могли пользоваться протоколом.
Протоколы требующие ALG
FTP без пассивного режима (PASV). Передает IP-адрес и номер порта на клиенте в команде PORT.
PPTP. Протокол основан на GRE (по сути PPTP есть PPP поверх GRE с дополнительным управляющим TCP-соединением, которое не используется для данных), а значит, на "сыром" IP. Так как "сырой" IP не имеет понятия "номер порта", возникают проблемы с NAT-отображением этого протокола во внешний мир. Без наличия PPTP ALG в NAT (например, natd в старых версиях FreeBSD) из всей внутренней сети возможно только одно PPTP-подключение к внешнему миру, попытка кого угодно во внутренней сети создать еще одно исходящее PPTP-подключение приводит к ошибке (ошибка 619 в Windows).
H.323
Протоколы передачи файлов в некоторых мессенджерах (например, MSN Messenger)
Создание сервера в некоторых играх
Некоторые файлообменные сети
Шлюз экспертного уровня.
Является одним из шлюзов Брандма́уэр(межсетевого экрана, фаервола)
Межсетево́й экра́н, сетево́й экра́н, файерво́л, брандма́уэр — комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами.
Основной задачей сетевого экрана является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также сетевые экраны часто называют фильтрами, так как их основная задача — не пропускать (фильтровать) пакеты, не подходящие под критерии, определённые в конфигурации.
Некоторые сетевые экраны также позволяют осуществлять трансляцию адресов — динамическую заменувнутрисетевых (серых) адресов или портов на внешние, используемые за пределами ЛВС.
Разновидности сетевых экранов:
Поддерживаемый уровень сетевой модели OSI является основной характеристикой при классификации межсетевых экранов. Различают следующие типы межсетевых экранов:
Управляемые коммутаторы (канальный уровень).
Сетевые фильтры сетевого уровня (stateless). Фильтрация статическая, осуществляется путём анализа IP-адреса источника и приёмника, протокола, портов отправителя и получателя.
Шлюзы сеансового уровня (circuit-level proxy). В сетевой модели TCP/IP нет уровня, однозначно соответствующего сеансовому уровню OSI, поэтому к шлюзам сеансового уровня относят фильтры, которые невозможно отождествить ни с сетевым, ни с транспортным, ни с прикладным уровнем:
Шлюзы, транслирующие адреса (NAT, PAT) или сетевые протоколы (транслирующий мост);
Фильтры контроля состояния канала. К фильтрам контроля состояния канала связи нередко относят сетевые фильтры сетевого уровня с расширенными возможностями (stateful), которые дополнительно анализируют заголовки пакетов и умеют фильтровать фрагментированные пакеты);
Шлюзы сеансового уровня. Наиболее известным и популярным шлюзом сеансового уровня является посредник SOCKS;
Шлюз прикладного уровня (application-level proxy), часто называемые прокси-серверами. Делятся на прозрачные (transparent) и непрозрачные.
Брандмауэр SPI (Stateful Packet Inspection, SPI), или иначе брандмауэры с динамической фильтрацией пакетов (Dynamic Packet Filtering), являются по сути шлюзами сеансового уровня с расширенными возможностями. Инспекторы состояния оперируют на сеансовом уровне, но «понимают» протоколы прикладного и сетевого уровней. В отличие от шлюза прикладного уровня, открывающего два виртуальных канала TCP (один — для клиента, другой — для сервера) для каждого соединения, инспектор состояния не препятствует организации прямого соединения между клиентом и сервером.
Существует также понятие «межсетевой экран экспертного уровня». Сетевой экран данного типа базируются на посредниках прикладного уровня или инспекторах состояния, но обязательно комплектуются шлюзами сеансового уровня и сетевыми фильтрами, иногда понимая и сетевой уровень. Зачастую имеют систему протоколирования событий и оповещения администраторов, средства поддержки удаленных пользователей (например авторизация), средства построения виртуальных частных сетей и т. д. К нему относятся почти все имеющиеся на рынке брандмауэры.
Возможности.
фильтрация доступа к заведомо незащищенным службам;
препятствование получению закрытой информации из защищенной подсети, а также внедрению в защищенную подсеть ложных данных с помощью уязвимых служб;
контроль доступа к узлам сети;
может регистрировать все попытки доступа как извне, так и из внутренней сети, что позволяет вести учёт использования доступа в Интернет отдельными узлами сети;
регламентирование порядка доступа к сети;
уведомление о подозрительной деятельности, попытках зондирования или атаки на узлы сети или сам экран;
Вследствие защитных ограничений могут быть заблокированы некоторые необходимые пользователю службы, такие как Telnet, FTP, SMB, NFS, и так далее. Поэтому настройка файрвола требует участия специалиста по сетевой безопасности. В противном случае вред от неправильного конфигурирования может превысить пользу.
Также следует отметить, что использование файрвола увеличивает время отклика и снижает пропускную способность, поскольку фильтрация происходит не мгновенно.
Проблемы, не решаемые файрволом
Межсетевой экран сам по себе не панацея от всех угроз для сети. В частности, он:
не защищает узлы сети от проникновения через «люки» (англ. back doors) или уязвимости ПО;
не обеспечивает защиту от многих внутренних угроз, в первую очередь — утечки данных;
не защищает от загрузки пользователями вредоносных программ, в том числе вирусов;
Для решения последних двух проблем используются соответствующие дополнительные средства, в частности, антивирусы. Обычно они подключаются к файрволу и пропускают через себя соответствующую часть сетевого трафика, работая как прозрачный для прочих сетевых узлов прокси, или же получают с файрвола копию всех пересылаемых данных. Однако такой анализ требует значительных аппаратных ресурсов, поэтому обычно проводится на каждом узле сети самостоятельно.
(Позволяет отследить до Того как на Сервер Обрушится Дос Атака,И Будет загружен Вирус для замедления Трассировки и Создания ложных маршрутов)
(Нагрузив модуль Smtp, пингом увеличив время отклика программы)
Варианты исполнения межсетевых экранов.
Назначение и область применения: