2.3 Классификация современных средств защиты информации, используемых в системе фгуп «Ростехинвентаризация – Федеральное бти»

Средства защиты информации (СЗИ) — это совокупность инженерно-технических, электрических, электронных, оптических и других устройств и приспособлений, приборов и технических систем, а также иных вещных элементов, используемых для решения различных задач по защите информации, в том числе предупреждения утечки и обеспечения безопасности защищаемой информации/4/.

В целом средства защиты информации можно разделить на группы (рисунок 2.4).

Рисунок 2.4 – Группы средств защиты информации

К техническим СЗИ относятся различные по типу устройства (механические, электромеханические, электронные и др.), которые аппаратными средствами решают задачи защиты информации. Они либо препятствуют физическому проникновению, либо, если проникновение все же состоялось, доступу к информации, в том числе с помощью ее маскировки. Первую часть задачи решают замки, решетки на окнах, защитная сигнализация и др. Вторую –генераторы шума, сетевые фильтры, сканирующие радиоприемники и множество других устройств, "перекрывающих" потенциальные каналы утечки информации или позволяющих их обнаружить. Преимущества технических средств связаны с их надежностью, независимостью от субъективных факторов, высокой устойчивостью к модификации. Слабые стороны – недостаточная гибкость, относительно большие объем и масса, высокая стоимость.

Программные средства включают в себя программы для идентификации пользователей, контроля доступа, шифрования информации, удаления остаточной (рабочей) информации типа временных файлов, тестового контроля системы защиты и др. Преимущества программных средств – универсальность, гибкость, надежность, простота установки, способность к модификации и развитию. Недостатки – ограниченная функциональность сети, использование части ресурсов файл-сервера и рабочих станций, высокая чувствительность к случайным или преднамеренным изменениям, возможная зависимость от типов компьютеров (их аппаратных средств).

Смешанные аппаратно-программные средства реализуют те же функции, что аппаратные и программные средства в отдельности, и имеют промежуточные свойства.

Организационные средства складываются из организационно-технических (подготовка помещений с компьютерами, прокладка кабельной системы с учетом требований ограничения доступа к ней и др.) и организационно-правовых (национальные законодательства и правила работы, устанавливаемые руководством конкретного предприятия). Преимущества организационных средств состоят в том, что они позволяют решать множество разнородных проблем, просты в реализации, быстро реагируют на нежелательные действия в сети, имеют неограниченные возможности модификации и развития. Недостатки – высокая зависимость от субъективных факторов, в том числе от общей организации работы в конкретном подразделении. Так же к организационным средствам относятся законодательные средства защиты, это законодательные акты, которыми регламентируются правила использования и обработки информации ограниченного доступа и устанавливаются меры ответственности за нарушение этих правил/33/.

В ФГУП используются все группы СЗИ. В таблице 2.4 представлены СЗИ используемые на предприятии.

Таблица 2.4 – СЗИ в ФГУП

Группа СЗИ	СЗИ	Назначение СЗИ
1	2	3
Технические (аппаратные)	Сигнализация проникновения на предприятие	Контроль от НСД на предприятие
	Техническая охрана помещений
	Отдельная серверная комната
	Электронные ключи	Контроль от НСД к ПЭВМ

Продолжение таблицы 2.4

1	2	3
Программные	Развернута служба каталогов Active Directory	Программа для идентификации пользователей, контроля доступа
	Установлена антивирусная системы защиты на ПЭВМ	Защита от вредоносного ПО
	Брандмауэр	Контроль интернет трафика
	Средства ОС	Запрет записи информации на внешние носители
	Архивирование	Возможность восстановления потерянных данных в результате сбоев СВТ и ошибок сотрудников эксплуатации программных средств
	Установлена технология VPN	Защита и шифрования сетевого трафика во время соединения с другими филиалами
Смешанные (программно аппаратные)	VLAN	Логическое деление ЛВС на независимые сети, защита от ARP-spoofing1
Организационные	Физическая охрана помещений	Юридически оформленная система административных мер, позволяю щая применять взыскания или санкции к нарушителям внутренней политики безопасности, а также устанавливать достаточно четкие условия по обеспечению конфиденциальности сведений, используемых на предприятии.
	Пропускной режим
	Заключен договор об охране помещения и территории (действует пропускной режим)
	Разработан режим и правила противопожарной безопасности
	Описание технологического процесса обработки конфиденциальной информации
	Разработаны должностные инструкции служащих, разграничивающие их права и обязанности
	Положение о конфиденциальном документообороте
	Дополнительные соглашения к трудовым договорам сотрудников о неразглашении ими конфиденциальной информации, регламентирующие ответственность в области защиты информации
	Отдельная серверная комната под замком

Теперь необходимо рассмотреть некоторые из представленных выше СЗИ, а именно:

• электронные ключи;

• служба каталогов Active Directory;

• антивирусная системы защиты на ПЭВМ;

• брандмауэр;

• средства ОС;

• архивирование ;

• технология VPN;

• VLAN.

Электронные ключи

Электронный ключ (так же аппаратный ключ, иногда от англ. dongle) – аппаратное средство, предназначенное для защиты программного обеспечения (ПО) и данных от копирования, нелегального использования и несанкционированного распространения.

Основой данной технологии является специализированная микросхема, либо защищённый от считывания микроконтроллер, имеющие уникальные для каждого ключа алгоритмы работы. Донглы также имеют защищённую энергонезависимую память небольшого объёма, более сложные устройства могут иметь встроенный криптопроцессор (для аппаратной реализации шифрующих алгоритмов), часы реального времени. Аппаратные ключи могут иметь различные форм-факторы, но чаще всего они подключаются к компьютеру через USB. Также встречаются с LPT- или PCMCIA-интерфейсами/35/.

Принцип действия электронных ключей. Ключ присоединяется к определённому интерфейсу компьютера. Далее защищённая программа через специальный драйвер отправляет ему информацию, которая обрабатывается в соответствии с заданным алгоритмом и возвращается обратно. Если ответ ключа правильный, то программа продолжает свою работу. В противном случае она может выполнять определенные разработчиками действия, например, переключаться в демонстрационный режим, блокируя доступ к определённым функциям/36/.

В ФГУП используется Электронный (ключ) идентификатор Rutoken — персональное устройство доступа к информационным ресурсам, полнофункциональный аналог смарт-карты, выполненный в виде usb-брелока. Идентификатор предназначен для безопасного хранения и использования паролей, цифровых сертификатов, ключей шифрования и ЭЦП.

Ключевой элемент защиты Rutoken служит для строгой двухфакторной аутентификации, защиты электронной переписки, установления защищенных соединений (VPN, SSL), проведения финансовых транзакций и криптографической защиты информации.

Служба каталогов Active Directory

Служба каталогов Active Directory (AD) — сервис, интегрированный с Windows NT Server. Она обеспечивает иерархический вид сети, наращиваемость и расширяемость, а также функции распределенной безопасности. Эта служба легко интегрируется с Интернетом, позволяет использовать простые и интуитивно понятные имена объектов, пригодна для использования в организациях любого размера и легко масштабируется. Доступ к ней возможен с помощью таких знакомых инструментов, как программа просмотра ресурсов Интернета. AD не только позволяет выполнять различные административные задачи, но и является поставщиком различных услуг в системе. На приведенном ниже рисунке 2.5 схематично изображены основные функции службы каталогов.

В Active Directory концепция пространства имен Интернета объединена с системными службами каталогов, что дает возможность единым образом управлять различными пространствами имен в гетерогенных средах корпоративных сетей. В качестве основного в AD используется легкий протокол доступа к каталогу LDAP (lightweight directory access protocol), позволяющий действовать за рамками операционной системы, объединяя различные пространства имен. Active Directory может включать в себя каталоги других приложений или сетевых операционных систем, а также управлять ими, что значительно снижает нагрузку на администраторов и накладные расходы/21/.

Рисунок 2.5 – Основные функции службы каталогов

Модель безопасности

Active Directory является частью достоверной вычислительной базы и полностью участвует в инфраструктуре безопасности Windows Server 2003 и Windows 2000. Распределенная мысль безопасности основывается на протоколе аутентификации MIT Kerberos версии 5. Аутентификация Kerberos основывается на использовании шифрования с открытым и личным ключами, используя ту же модель поддержки списка управления доступом (ACL), что и базовая операционная система Windows 2000. Списки ACL защищают все объекты в Active Directory. Они определяют, кто может видеть объект, какие атрибуты может видеть каждый пользователь и какие действия может выполнять с объектом каждый пользователь. Список ACL, в свою очередь, состоит из записей управления доступом (АСЕ), хранящихся вместе с объектом, защищаемым ACL и Windows NT, Windows 2000 и Windows Server 2003. ACL хранится как двоичное значение, которое называется дескриптором безопасности. Каждая запись АСЕ содержит идентификатор безопасности (SID – security identifier), идентифицирующий субъект доступа (пользователя или группу), к которому применяется эта АСЕ, и содержащий информацию о типе доступа, который разрешает или запрещает эта АСЕ.

Списки ACL в объектах каталога содержат записи АСЕ, которые применяются к объекту в целом, и записи АСЕ, которые применяются к отдельным атрибутам объекта. Это позволяет администратору не только указывать пользователей, которые могут видеть объект, но также указывать свойства, которые могут видеть эти пользователи. Например, всем пользователям может быть предоставлен доступ почтению к атрибутам, представляющим адреса электронной почты и номера телефонов остальных пользователей, но доступ к свойствам безопасности может быть предоставлен только членам специальной группы администраторов безопасности. Кроме того, отдельным пользователям может быть предоставлен доступ по записи в их собственных пользовательских объектах к личным атрибутам, таким как номер телефона и почтовые адреса.

Active Directory – хранилище для системы безопасности, включая учетные записи пользователей, группы и доменов. Это хранилище заменяет базу данных для учетных записей в реестре и является доверяемым компонентом в LSA.

Делегирование является одним из наиболее важных средств безопасности в Active Directory. Администратор может предоставить пользователю право на выполнение указанного набора действий в некотором указанном поддереве каталога. Это называется делегированным администрированием. Делегированное администрирование позволяет очень точно определять, кто и что может делать, без предоставления излишних привилегий. Это также позволяет обойтись без администраторов доменов с обширными полномочиями по отношению к большим группам пользователей.

Администраторы предоставляют права на выполнение определенных операций над определенными классами объектов, добавляя записи управления доступом (АСЕ) в список ACL соответствующего контейнера.

Например, чтобы разрешить пользователю «А. Кузнецов» быть администратором организационной единицы «Бухгалтерия», можно добавить элементы ACE в список ACL для «Бухгалтерии» следующим образом:

«А. Кузнецов»;Grant ;Create, Modify, Delete;Object-Class User

«А. Кузнецов»;Grant ;Create, Modify, Delete;Object-Class Group

«А. Кузнецов»;Grant ;Write;Object-Class User; Attribute Password

После этого пользователь А. Кузнецов может создавать новых пользователей и группы в контейнере «Бухгалтерия» и устанавливать пароли для существующих пользователей, но он не может создавать никакие объекты других классов и не может ничего сделать с пользователями в других контейнерах (если, конечно, элементы ACE не предоставляют ему таких прав доступа к этим контейнерам).

Наследование позволяет распространять действие элемента ACE с контейнера, к которому он относится, на все дочерние контейнеры. Наследование может сочетаться с делегированием для предоставления прав администрирования на целое поддерево каталога одной операцией/3/.

Антивирусная системы защиты на ПЭВМ

Вирусы могут проникать в машину различными путями (через глобальную сеть, через зараженную дискету или флешку). Последствия их проникновения весьма неприятны: от разрушения файла до нарушения работоспособности всей ПЭВМ. Достаточно всего лишь одного зараженного файла, чтобы заразить всю имеющуюся на компьютере информацию, а далее заразить всю корпоративную сеть.

При организации системы антивирусной защиты на предприятии учитывались следующие факторы риска.

Ограниченные возможности антивирусных программ.

Возможность создания новых вирусов с ориентацией на противодействие конкретным антивирусным пакетам и механизмам защиты, использование уязвимостей системного и прикладного ПО приводят к тому, что даже тотальное применение антивирусных средств с актуальными антивирусными базами не дает гарантированной защиты от угрозы вирусного заражения, поскольку возможно появление вируса, процедуры защиты от которого еще не добавлены в новейшие антивирусные базы.

Высокая интенсивность обнаружения критичных уязвимостей в системном ПО.

Наличие новых неустраненных критичных уязвимостей в системном ПО, создает каналы массового распространения новых вирусов по локальным и глобальным сетям. Включение в состав вирусов «троянских» модулей, обеспечивающих возможность удаленного управления компьютером с максимальными привилегиями, создает не только риски массового отказа в обслуживании, но и риски прямых хищений путем несанкционированного доступа в автоматизированные банковские системы.

Необходимость предварительного тестирования обновлений системного и антивирусного ПО.

Установка обновлений без предварительного тестирования создает риски несовместимости системного, прикладного и антивирусного ПО и может приводить к нарушениям в работе. В то же время тестирование приводит к дополнительным задержкам в установке обновлений и соответственно увеличивает риски вирусного заражения.

Разнообразие и многоплатформенность используемых в автоматизированных системах технических средств и программного обеспечения.

Возможность работы отдельных типов вирусов на различных платформах, способность вирусов к размножению с использованием корпоративных почтовых систем или вычислительных сетей, отсутствие антивирусных продуктов для некоторых конкретных платформ делают в ряде случаев невозможным или неэффективным применение антивирусного ПО.

Широкая доступность современных мобильных средств связи, устройств хранения и носителей информации большой емкости.

Современные мобильные средства связи позволяют недобросовестным сотрудникам произвести несанкционированное подключение автоматизированного рабочего места к сети Интернет, создав тем самым брешь в периметре безопасности корпоративной сети и подвергнув ее информационные ресурсы риску массового заражения новым компьютерным вирусом. Наличие доступных компактных устройств хранения и переноса больших объемов информации создает условия для несанкционированного использования таких устройств и носителей в личных, не производственных целях. Несанкционированное копирование на компьютеры предприятия информации, полученной из непроверенных источников, существенно увеличивает риски вирусного заражения.

Необходимость квалифицированных действий по отражению вирусной атаки.

Неквалифицированные действия по отражению вирусной атаки могут приводить к усугублению последствий заражения, частичной или полной утрате критичной информации, неполной ликвидации вирусного заражения или даже расширению очага заражения.

Необходимость планирования мероприятий по выявлению последствий вирусной атаки и восстановлению пораженной информационной системы.

В случае непосредственного воздействия вируса на автоматизированную банковскую систему, либо при проведении неквалифицированных лечебных мероприятий может быть утрачена информация или искажено программное обеспечение.

В условиях действия указанных факторов только принятие жестких комплексных мер безопасности по всем возможным видам угроз позволит контролировать постоянно растущие риски полной или частичной остановки бизнес процессов в результате вирусных заражений/37/.

Решения ESET NOD32 прошли сертификацию и получили сертификат Федеральной службы по техническому и экспортному контролю (ФСТЭК России) класса «К1». Данный сертификат подтверждает, что программные продукты ESET соответствуют требованиям, предъявляемым к информационным системам защиты персональных данных первого класса, и могут использоваться на предприятиях, обрабатывающих персональные данные высшей категории конфиденциальности.

В ФГУП используется антивирусная программа ESET NOD32 Platinum Pack 4.0.

Согласно федеральному закону ФЗ № 152 «О персональных данных», к 1 января 2011 года все организации, обрабатывающие персональные данные физических лиц, обязаны привести свои информационные системы в соответствие с требованиями регулирующих органов и обязаны использовать средства информационной безопасности, которые прошли сертификацию ФСТЭК, в том числе, средства антивирусной защиты.

В случае нарушения закона деятельность организаций может быть приостановлена, а ее должностным лицам грозит административная, дисциплинарная или уголовная ответственность.

Комплект ESET NOD32 Platinum Pack 4.0 – это специальный медиапак с дистрибутивами программных продуктов ESET, которые прошли сертификацию ФСТЭК по высшему классу «К1» (сертификат соответствия ФСТЭК России № 1914 от 22 сентября 2009 года).

Сертификат ФСТЭК выдан на комплект программ под названием ESET NOD32 Platinum Pack 4.0, который включает в себя решения:

• защита рабочих станций и серверов Windows:

• ESET NOD32 Антивирус версия 4 (32- и 64-bit);

• ESET NOD32 Smart Security версия 4 (32- и 64-bit);

• удаленное администрирование:

  • ESET Remote Administrator;

• защита файловых серверов Linux, BSD:

  • ESET NOD32 for Linux File Server;

  • ESET NOD32 for BSD File Server.

Комплексная защита серверов и рабочих станций для всех типов организаций, включающая в себя антивирус, антишпион, антиспам, персональный файервол, а также приложение ESET Remote Administrator, которое обеспечивает централизованное администрирование антивирусного решения в корпоративных сетевых средах предприятия или глобальных сетях/36/.

Масштабируемое решение: ориентировано на предприятия от 5 до 100 000 ПК в рамках одной структуры, устанавливается как на сервер, так и на рабочие станции

Современные технологии:

• проактивная защита от неизвестных угроз;

• применение интеллектуальных технологий, сочетающих эвристический и сигнатурный методы детектирования;

• обновляемое эвристическое ядро ThreatSenseтм;

• регулярное автоматическое обновление сигнатурных баз.

Фильтрация почтового и веб-контента, антиспам:

• полное сканирование всей входящей корреспонденции через протокол POP3 и POP3s;

• сканирование входящей и исходящей электронной почты, подробный отчет по обнаруженным вредоносным программам и спам-фильтрации;

• антиспам надежно защищает пользователя от нежелательных сообщений;

• полная интеграция в популярные почтовые клиенты: Microsoft Outlook, Outlook Express, Windows Mail, Windows Live Mail и Mozilla Thunderbird, The Bat!.

Персональный файервол:

• защита от внешних вторжений;

• низкоуровневое сканирование трафика обеспечивает высокий уровень защиты от сетевых атак;

• пять режимов работы:

  • автоматический режим;

  • автоматический режим с исключениями;

  • интерактивный режим;

  • режим на основе политик.

Централизованное управление

С помощью решения ESET Remote Administrator можно удаленно осуществлять инсталляцию и деинсталляцию программных продуктов ESET, контролировать работу антивирусного ПО, создавать внутри сети серверы для локального обновления продуктов ESET («зеркала»), позволяющие существенно сокращать внешний интернет-трафик.

Удобные отчеты

ESET NOD32 Business Edition автоматически формирует отчет по обна­руженным инфицированным объектам, отправленным в карантин, по динамике угроз, событиям, проверкам, задачам, можно сформировать различные комбинированные отчеты и т.д. Возможна отправка предупреждений и сообщений через протокол SMTP или посредством менеджера сообщений.

Системные требования

Поддержка файловых серверов: Windows, Novell Netware и Linux/FreeBSD.

Поддерживаемые процессоры: 32-разрядный (x86) и 64-разрядный (x64) Intel®, AMD® .

Операционные системы:

• Microsoft Windows 7/Vista/XP/ 2000 (32-bit e 64-bit версии);

• Microsoft Windows Server 2000 / 2003 / 2008 (32-bit и 64-bit версии);

• Linux (RedHat, Mandrake, SuSE, Debian и др., FreeBSD 4.X, 5.X и 6.Х, NetBSD 4);

• Novell Netware 4.x, 5.x и 6.х.

Средства ОС

Windows 2003 Server имеет средства обеспечения безопасности, встроенные в операционную систему. Ниже рассмотрены наиболее значимые из них.

Слежение за деятельностью сети

Windows 2003 Server дает много инструментальных средств для слежения за сетевой деятельностью и использованием сети. ОС позволяет:

• просмотреть сервер и увидеть, какие ресурсы он использует;

• увидеть пользователей, подключенных в настоящее время к серверу и увидеть, какие файлы у них открыты;

• проверить данные в журнале безопасности;

• проверитьзаписи в журнале событий;

  • указать, о каких ошибках администратор должен быть предупрежден, если они произойдут.

Журнал событий безопасности

Windows 2003 Server позволяет определить, что войдет в ревизию и будет записано в журнал событий безопасности всякий раз, когда выполняются определенные действия или осуществляется доступ к файлам. Элемент ревизии показывает выполненное действие, пользователя, который выполнил его, а также дату и время действия. Это позволяет контролировать как успешные, так и неудачные попытки каких-либо действий.

Журнал событий безопасности для условий предприятия является обязательным, так как в случае попытки несанкционированного проникновения к АСОД можно будет отследить источник.

Начало сеанса на ПЭВМ

Всякий раз, когда пользователь начинает сеанс на рабочей станции, экран начала сеанса запрашивает имя пользователя, пароль и домен. Затем рабочая станция посылает имя пользователя и пароль в домен для идентификации. Сервер в домене проверяет имя пользователя и пароль в базе данных учетных карточек пользователей домена. Если имя пользователя и пароль идентичны данным в учетной карточки в АD, сервер уведомляет рабочую станцию о начале сеанса. Сервер также загружает другую информацию при начале сеанса пользователя, как например установки пользователя, свой каталог и переменные среды.

Шифрованная файловая система EFS

Windows 2000 предоставляет возможность еще более надежнее защитить зашифрованные файлы и папки на томах NTFS, всё это благодаря использованию шифрованной файловой системы EFS (Encrypting File System). При работе в среде Windows 2000 можно работать только с теми томами, на которые есть права доступа.

При использовании шифрованной файловой системы EFS, можно использовать файлы и папки, данные которых, будут зашифрованы с помощью пары ключей. Любой пользователь, который необходимо получить доступ к определенному файлу, должен обладать личным ключом, с помощью которого данные файла будут расшифровываться. Система EFS так же обеспечивает схему защиты файлов в среде Windows 2003. Однако, на предприятии не используется эта возможность, так как при использовании шифрования производительность работы системы снижается/14/.

Архивирование

Организация надежной и эффективной системы архивации данных является одной из важнейших задач по обеспечению сохранности информации в сети. В небольших сетях, где установлены один - два сервера, чаще всего применяется установка системы архивации непосредственно в свободные слоты серверов. В крупных корпоративных сетях наиболее предпочтительно организовать выделенный специализированный архивационный сервер.

Такой сервер автоматически производит архивирование информации с жестких дисков серверов и рабочих станций в указанное администратором локальной вычислительной сети время, выдавая отчет о проведенном резервном копировании.

Хранение архивной информации, представляющей особую ценность, должно быть организовано в специальном охраняемом помещении. Специалисты рекомендуют хранить дубликаты архивов наиболее ценных данных в другом здании, на случай пожара или стихийного бедствия. Для обеспечения восстановления данных при сбоях магнитных дисков в последнее время чаще всего применяются системы дисковых массивов - группы дисков, работающих как единое устройство, соответствующих стандарту RAID (Redundant Arrays of Inexpensive Disks). Эти массивы обеспечивают наиболее высокую скорость записи/считывания данных, возможность полного восстановления данных и замены вышедших из строя дисков в "горячем" режиме (без отключения остальных дисков массива).

Организация дисковых массивов предусматривает различные технические решения, реализованные на нескольких уровнях:

RAID уровеня 0 предусматривает простое разделение потока данных между двумя или несколькими дисками. Преимущество подобного решения заключается в увеличении скорости ввода/вывода пропорционально количеству задействованных в массиве дисков.

RAID уровня 1 заключается в организации так называемых "зеркальных" дисков. Во время записи данных информация основного диска системы дублируется на зеркальном диске, а при выходе из строя основного диска в работу тут же включается "зеркальный".

RAID уровни 2 и 3 предусматривают создание параллельных дисковых массивов, при записи на которые данные распределяются по дискам на битовом уровне.

RAID уровни 4 и 5 представляют собой модификацию нулевого уровня, при котором поток данных распределяется по дискам массива. Отличие состоит в том, что на уровне 4 выделяется специальный диск для хранения избыточной информации, а на уровне 5 избыточная информация распределяется по всем дискам массива/20/.

Виртуальная частная сеть (VPN)

Аббревиатура VPN расшифровывается как Virtual Private Network – “виртуальная частная сеть”. Суть этой технологии в том, что при подключении к VPN серверу при помощи специального программного обеспечения поверх общедоступной сети в уже установленном соединении организуется зашифрованный канал, обеспечивающий высокую защиту передаваемой по этому каналу информации за счёт применения специальных алгоритмов шифрования.

В общем случае VPN - это объединение локальных сетей или отдельных машин, подключенных к сети общего пользования, в единую виртуальную (наложенную) сеть, обеспечивающую секретность и целостность передаваемой по ней информации (прозрачно для пользователей).

Использование технологии VPN необходимо там, где требуется защита корпоративной сети от воздействия вирусов, злоумышленников, просто любопытных, а также от других угроз, являющихся результатом ошибок в конфигурировании или администрировании сети.

Виртуальные частные сети (VPN), создаваемые на базе арендуемых и коммутируемых каналов связи сетей общего пользования (и, в первую очередь, Интернет), являются отличной альтернативой изолированным корпоративным сетям, причем, альтернативой, обладающей рядом несомненных преимуществ:

• низкая стоимость арендуемых каналов и коммуникационного оборудования развитая топология сети (широкий географический охват);

• высокая надежность;

• легкость масштабирования;

• легкость изменения конфигурации;

• контроль событий и действий пользователей. 

Каналы VPN защищены мощными алгоритмами шифрования, заложенными в стандарты протокола безопасности Internet Protocol Security (IPSec). Данный стандарт, выбранный международным сообществом, группой Internet Engineering Task Force (IETF), создает основы безопасности для интернет-протокола (IP), незащищенность которого долгое время являлась притчей во языцех. Протокол IPSec обеспечивает защиту на сетевом уровне и требует поддержки стандарта IPSec только от общающихся между собой устройств по обе стороны соединения. Все остальные устройства, расположенные между ними, просто обеспечивают трафик IP-пакетов.

Способ взаимодействия лиц, использующих технологию IPSec, принято определять термином «защищенная ассоциация» - Security Association (SA). Защищенная ассоциация функционирует на основе соглашения, заключенного сторонами, которые пользуются средствами IPSec для защиты передаваемой друг другу информации. Это соглашение регулирует несколько параметров: IP-адреса отправителя и получателя, криптографический алгоритм, порядок обмена ключами, размеры ключей, срок службы ключей, алгоритм аутентификации.  Другие стандарты включают протокол PPTP (Point to Point Tunneling Protocol), развиваемый Microsoft, L2F (Layer 2 Forwarding), развиваемый Cisco, - оба для удаленного доступа. Microsoft и Cisco работают совместно с IETF, чтобы соединить эти протоколы в единый стандарт L2P2 (Layer 2 Tunneling Protocol) с целью использования IPSec для туннельной аутентификации, защиты частной собственности и проверки целостности/16/.

Виртуальная локальная вычислительная сеть (VLAN)

Это группа подключенных к сети компьютеров, логически объединенных в домен рассылки широковещательных сообщений по какому- либо признаку. Например, группы компьютеров могут выделяться в соответствии с организационной структурой предприятия (по отделам и подразделениям) или по признаку работы над совместным проектом либо задачей/38/.

Использование VLAN дает три основных преимущества:

• значительно более эффективное использование пропускной способности, чем в традиционных ЛВС;

• повышенный уровень защиты передаваемой информации от несанкционированного доступа;

• упрощение сетевого администрирования.

Так как при использовании VLAN вся сеть логически разбивается на широковещательные домены, информация передается членами VLAN только другим членам той же VLAN, а не всем компьютерам физической сети. Таким образом, широковещательный трафик (обычно генерируемый серверами, сообщающими о своем присутствии и возможностях другим устройствам сети) ограничивается предопределенным доменом, а не передается всем станциям сети. Этим достигается оптимальное распределение пропускной способности сети между логическими группами компьютеров: рабочие станции и серверы из разных VLAN “не видят” друг друга и не мешают один одному.

Поскольку обмен данными ведется только внутри конкретной VLAN, компьютеры из разных виртуальных сетей не могут получать трафик, генерируемый в других VLAN. Применение анализаторов протоколов и средств сетевого мониторинга для сбора трафика в других VLAN, помимо той, к которой принадлежит желающий это сделать пользователь, представляет значительные трудности. Именно поэтому в среде VLAN передаваемая по сети информация гораздо лучше защищена от несанкционированного доступа.

Еще одно преимущество использования VLAN — это упрощение сетевого администрирования. Особенно это касается таких задач, как добавление к сети новых элементов, их перемещение и удаление. Например, при переезде какого-либо пользователя VLAN в другое помещение, пусть даже находящееся на другом этаже или в другом здании предприятия, сетевому администратору нет необходимости перекоммутировать кабели. Ему нужно всего лишь со своего рабочего места соответствующим образом настроить сетевое оборудование. Кроме того, в некоторых реализациях VLAN контроль над перемещениями членов VLAN может осуществляться автоматически, не требуя вмешательства администратора. Операции по созданию новых логических групп пользователей, добавлению новых членов в группы сетевой администратор также может осуществлять по сети, не сходя со своего рабочего места. Все это существенно экономит рабочее время администратора, которое может быть использовано на решение других не менее важных задач/39/.

Таким образом, все рассмотренные СЗИ, в комплексе, обеспечивают информационную безопасность АСОД ФГУП «Ростехинвентаризация – Федеральное БТИ».