все лекции

ВО-ПЕРВЫХ, ликвидировать физическую связь между Internet (кото-

рая превратилась во всемирную информационную сеть общего пользования) И

корпоративными и ведомственными сетями, сохранив между ними лишь

информационную связь через систему сети World Wide Web, как через всемирную компьютерную сеть связи.

Установка ИНФОРМАЦИОННЫХ ФИЛЬТРОВ (fire-wall) между внутренней сетью и Internet, фактически, означает выход из единого адресного пространства.

Ещё БОЛЬШУЮ безопасность даст отход от протокола TCP/IP

и доступ в Internet через шлюзы.

ВО-ВТОРЫХ, заменить маршрутизаторы на коммутаторы, ис-

ключив обработку в узлах сети IP-протокола и заменив его на режим

трансляции кадров Ethernet, при котором процесс коммутации сво-

дится к просто операции сравнения MAC-адресов. (MAC реализует алго-

ритм доступа к среде и задаёт адресацию.)

В-ТРЕТЬИХ, перейти в новое единое адресное пространство на базе физических адресов доступа к среде передачи (MAC-уровень), привя-

занное к географическому расположению сети, и позволяющее в рамках 48-бит создать адреса для более чем 64 триллионов независимых узлов.

При разработке стандарта IEEE 802 за основу принята модель ISO/OSI. Однако выполнена декомпозиция 1-го и 2-го уровней (1 – физический: основные характеристики канала – пропускная способность и достоверность передачи данных (вероятность искажения передаваемого бита из-

меняется в пределах 10–4 – 10–8); (2 – канальный уровень: устанавливает порядок взаимодействия между соседними компьютерами (маршрутизаторами) по единственному каналу связи. Имеет собственный протокол обмена).

В стандарте IEEE 802 канальный уровень делится на два подуровня: управление логическим каналом LLC (Logical Link Control) и управление доступом к передающей среде MAC (Medium Access

Control). LLC обеспечивает передачу кадров, включая исправление ошибок; не зависит от алгоритмов доступа к среде. MAC реализует алгоритм доступа к среде и задаёт адресацию.

В-ЧЕТВЁРТЫХ, – обычно первая реакция на угрозу – стремление

спрятать ценные ресурсы в недоступное место и приставить к ним охрану.

ного уровня) среди традиционных являются УСТРОЙСТВА ЗАЩИТЫ

КАНАЛЬНОГО И ФИЗИЧЕСКОГО уровня: скремблеры (scrambler –

шифратор) и канальные шифраторы. Они «невидимы» с прикладного уров-

ня и поэтому совместимы со всеми приложениями.

Скремблер – устройство шифрования данных при их передаче по

цифровому каналу. Может использовать схему шифрования путём перестановки и инвертирования участков спектра сигнала или групп символов,

НО они имеют ограниченную совместимость с различным каналообразующим оборудованием и физическими средами передачи дан-

ных.

Скремблирование – это обратимое преобразование цифрового по-

тока без изменения скорости передачи с целью получения свойств

случайной последовательности. После скремблирования появление «1» и «0»

в выходной последовательности равновероятны. Это обратимый процесс: исходное сообщение можно восстановить, применив обратный алгоритм.

Принцип работы: генерируется псевдослучайная последовательность (одинаковая для скремблера и дескремблера) бит. Поступающий в скремблер бит суммируется «по модулю два» с битом псевдослучайной последовательности. После этого бит отправляется на выход, а скремблер берет следующий входной бит псевдослучайной и входной последовательности, и повторяет операцию. В простейшем случае скремблер может быть собран на двух тактируемых регистрах сдвига с обратными связями и двухвходового элемента «исключающее или». Обратное преобразование осуществляется в обратном порядке. Псевдослучайная последовательность используется циклически. Скремблирование применяется во многих современных системах цифровой связи.

С появлением блочных алгоритмов шифрования, значимость скремблирования

снижена. Ныне у скремблера основная задача – это придание последовательности бит псевдослучайного характера.

Канальные шифраторы предназначены для защиты трафика

между удалёнными офисами, дата-центрами и другими площадками, не требующими высокой пропускной способности. Малый размер и низкий уровень шума позволяют разместить их на рабочем столе.

Сеть шифраторов способна объединять большое число устройств,

обеспечивая защищённые коммуникации между любой парой шифра-

торов.

Сетевое шифрование с помощью шифраторов обычно происходит на втором уровне модели OSI (Ethernet-шифрование).

Ethernet-шифрование практически не создаёт задержек при передаче пакетов и не приводит к снижению пропускной способности ка-

нала связи. Кроме того, начальный обмен и смена ключей является автоматизиро-

ванным процессом, что значительно упрощает администрирование шифраторов.

Возможности: полнодуплексное шифрование AES-256 на скоростях 10 Мбит/с и 100 Мбит/с; централизованное управление всеми устройствами из единого центра управления шифраторами; более эффективное использование пропускной способности канала связи, чем в IPsec/VPN; шифрование прозрачно для сетевой инфраструктуры; смена ключей не прерывает соединение; до 512 соединений и уникальная ключевая пара для каждого соединения; шифрование трафика - AES-256 в режиме CFB с самосинхронизацией и возможность поддержки других алгоритмов; опциональное аппаратное хранение закрытого ключа центра управления шифраторами в модуле безопасности; управление ключами – RSA-2048, главный/сессионый ключ, аутентификация с помощью цифровых сертификатов; сетевые протоколы – Ethernet 802.3, VLAN 802.1Q, Q-in-Q VLAN 802.1ad, поддержива-

ются размеры фрэймов от 64 до 1532 байтов.

Физическая безопасность: хранилище криптографических ключей и пользовательских паролей защищено от взлома; особо стойкий металлический корпус.

Аудит: аудиторский журнал и журнал событий; тревожное оповещение; ловушки SNMP.

Обычно ЭТО НЕ СЕТЕВЫЕ устройства (которые могли бы распозна-

вать топологию сети и обеспечить связь из конца в конец через промежуточные

узлы), а «ДВУХТОЧЕЧНЫЕ» системы, работающие на концах защи-

щаемой линии и вносящие значительную аппаратную избыточность.

И на них НЕВОЗМОЖНО построить систему защиты в рамках Internet из-за невозможности обеспечить всеобщую аппаратную совместимость

12.1Программно-аппаратные методы защиты от удалённых атак

вInternet

К программно-аппартным средствам обеспечения безопасности

каналов связи в вычислительных сетях относятся:

а) аппаратные шифраторы сетевого трафика;

б) аппаратно-программные средства Firewall (брэндмауэры, межсете-

вые экраны);

в) защищённые сетевые криптопротоколы; д) программно-аппаратные анализаторы сетевого трафика;

е) защищённые сетевые ОС.

Firewall – основное программно-аппаратное средство осуществления сетевой политики безопасности в выделенном сегменте IP-сети.

Эта методика реализует МНОГОУРОВНЕВУЮ

ИНФОРМАЦИОННУЮ ФИЛЬТРАЦИЮ СЕТЕВОГО ТРАФИКА.

Обычно фильтрация осуществляется на ТРЁХ УРОВНЯХ OSI:

–сетевом (протокол IP);

–транспортном (протоколы TCP, UDP);

–прикладном (протоколы FTP, TELNET, HTTP, SMTP и т. д.).

ЦЕНТРАЛИЗОВАННО ОСУЩЕСТВЛЯТЬ СЕТЕВУЮ ПОЛИТИКУ

БЕЗОПАСНОСТИ:

настроив Firewall, можно разрешить или запретить пользовате-

лям как доступ из внешней сети к соответствующим службам, находящим-

ся в защищаемом сегменте, так и доступ пользователей из внутренней сети

кресурсам внешней сети.

Вкачестве субъектов взаимодействия выступают IP-адреса хостов пользователей, а в качестве объектов, доступ к которым необходимо разграничить, – IP-адреса хостов, используемые транспортные протоколы и службы предо-

ставления удалённого доступа.

Также используется PROXY-схема с дополнительной идентификацией и аутентификацией пользователей на Firewall-хосте. Это позволяет:

а) при доступе к защищённому Firewall сегменту сети осуще-

ствить на нём дополнительную идентификацию и аутентификацию

удалённого пользователя;

б) быть основой для создания приватных (частный, не общественный, не

предназначенный для огласки, конфиденциальный) сетей с ВИРТУАЛЬНЫМИ

IP-адресами (сымитированные при помощи других адресов, для тех или иных целей).

Смысл proxy-схемы состоит в создании соединения с конечным адресатом через промежуточный proxy-сервер (proxy – полномочный) на хо-

сте Firewall.

На этом proxy и может осуществляться дополнительная иденти-

фикация абонента.

Для адресации во внешнюю сеть через FireWall нужно или ис-

пользовать на хосте FireWall proxy-сервер, или применить специальную систему маршрутизации (роуминга), через которые и возможна внешняя адресация.

(Хост – любое устройство, предоставляющее сервисы формата «клиент-сервер» в ре-

жиме сервера по каким-либо интерфейсам и уникально определённое на этих интерфейсах. В более частном случае под хостом могут понимать любой компьютер, сервер, подключённый к локальной или глобальной сети.

Слово «хост» само по себе является практически жаргонным термином, и не несёт никакой информации об устройстве или его функционировании. Употребление слова «хост» имеет смысл только вместе с пояснением, хостом какого сервиса предполагается называемое устройство. Зачастую название сервиса опускают, предполагая, что оно очевидно из контекста.)

(Роуминг – здесь, процедура предоставления связи вне зоны обслуживания «домашней»

сети (либо базовой станции) абонента, с использованием ресурсов другой (гостевой) сети.)

Внутренний виртуальный адрес не пригоден для внешней адре-

сации. Эта схема удобна и в том случае, если для создания IP-cети выделено не-

достаточное количество адресов.

FireWall не является гарантией абсолютной защиты от удалён-

ных атак, – в основном, это средство централизованного осуществле-

ния сетевой политики разграничения удалённого доступа к ресурсам се-

ти.

В основном, FireWall помогает от несанкционированного вида до-

ступа; от ложного ARP-сервера; от навязывания ложного маршрута

при помощи протокола ICMP.

(ICMP – Internet Control Message Protocol: протокол управляющих сообщений в интер-

нете (один из четырёх протоколов межсетевого уровня семейства TCP/IP, обеспечивающий восстановление связи при сбойных ситуациях в передаче пользовательских пакетов).

Также опасно "прослушивание" IP-пакетов. Соответствующие программы называются снифферы (sniffer – буквально "нюхач"). Технология вынюхивания все время совершенствуется. Яркий представитель поколения "слухачей" – это IP-Watcher. Отличительными чертами программы является наличие пользовательского интерфейса, позволяющего выборочно отслеживать любые потоки пакетов, и, главное, примененная в ней технология активного сниффинга, позволяющего взаимодействовать с сетевыми соединениями. Под взаимодействием подразумевается прерывание или даже захват активных соединений.

Захват законного соединения возможен даже при использовании в сети системы одноразовых или же зашифрованных паролей. Проникновение в систему при этом не только упрощается, но и становится практически незаметным: взломщик, по сути дела, лишь разбавляет поток пакетов (что избавляет его от необходимости подделывать свой IP-адрес в случае фильтрации системой входящих пакетов по этому признаку). Пользователь заметит только некоторое замедление сети, что свяжет с перегрузкой трафика или проблемами связи, а сервер, естественно, это никак не воспримет.

12.2 Приватные сети (Private Virtual Network – PVN или конфиден-

циальная сеть)

Если администратор безопасности сети считает ЦЕЛЕСООБРАЗНЫМ

СКРЫТЬ ТОПОЛОГИЮ ВНУТРЕННЕЙ IP-сети, рекомендуется использовать FireWall для создания приватной (PVN)-сети.

Приватные сети используются организациями для соединения с удалёнными сайтами и с другими организациями. Эти сети состоят из каналов связи, арендуемых

у различных телефонных компаний и поставщиков услуг интернета. Такие каналы

связи характеризуются тем, что они соединяют только два объекта,

будучи отделёнными от другого трафика, так как арендуемые каналы обес-

печивают двустороннюю связь между двумя сайтами.

Приватные сети обладают множеством преимуществ:

–информация сохраняется в секрете;

–удалённые сайты могут осуществлять обмен информацией незамедлительно;

–удалённые пользователи не ощущают себя изолированными от системы, к ко-

торой они осуществляют доступ.

Этот тип сетей обладает одним большим недостатком – высокой стои-

мостью.

Хостам в PVN-сети назначаются любые «виртуальные» адреса.

12.3 Сети с «виртуальными» IP-адресами (VPN) и сети с трансля-

цией адресов (NAT – Network Address Translation)

VPN (Virtual Private Network) – виртуальная приватная сеть; или подсеть корпоративной сети, обеспечивающая безопасное вхождение в неё удалённых пользователей.

VPN-подключение удалённого доступа дает пользователям возможность работать дома или в дороге, получая доступ к серверу частной сети с помощью инфраструктуры публичной сети, например Интернета.

Такая подсеть используются для безопасной пересылки через Ин-

тернет конфиденциальных данных за счёт инкапсуляции

(сокрытие некоторых своих данных и способов их обработки от окружающей цифровой сре-

ды и, оставляя «снаружи» только необходимые или требуемые свойства и функциональные возможности)

и туннелирования IP-пакетов внутрь других пакетов, которые затем

маршрутизируются wireless (беспроволочными)VPN.

(Туннелирование – процесс, в ходе которого создается защищенное логическое соединение

между двумя конечными точками посредством инкапсуляции различных протоколов. Туннелирование представляет собой метод построения сетей, при котором один сетевой протокол инкапсулируется в другой. От обычных многоуровневых сетевых моделей (таких как OSI или TCP/IP) туннелирование отличается тем, что инкапсулируемый протокол относится к тому же или более низкому уровню, чем используемый в качестве тоннеля.

Суть туннелирования состоит в том, чтобы «упаковать» передаваемую порцию данных, вместе со служебными полями, в новый «конверт» для обеспечения конфиденциальности и целостности всей передаваемой порции, включая служебные поля. Туннелирование может применяться на сетевом и на прикладном уровнях. Комбинация туннелирования и шифрования позволяет реализовать закрытые виртуальные частные сети (VPN). Туннелирование обычно применяется для согласования транспортных протоколов либо для создания защищённого соединения между узлами сети.)

С увеличением числа пользователей интернета многие организации перешли на исполь-

зование виртуальных частных сетей (VPN). Виртуальные частные сети обеспечивают многие преимущества частных сетей за меньшую цену. Правильно построенная виртуальная частная сеть приносит пользу. Если же VPN реализована некорректно, вся информация, передаваемая через VPN, может быть доступна из интернета.

Для передачи через интернет секретных данных организации без

использования арендуемых каналов связи, для отделения своего тра-

фика от трафика остальных пользователей глобальной сети используют

шифрование.

В интернете можно встретить трафик любого типа. Значительная часть этого трафика передается в открытом виде, и любой пользователь, наблюдающий за этим трафиком, сможет его распознать. Это относится к большей части почтового и веб-трафика, а также сеансам связи через протоколы telnet и FTP. Трафик типа SSH и HTTPS не образует виртуальную частную сеть VPN.

Виртуальные частные сети обладают несколькими характерными

чертами:

–трафик шифруется для обеспечения защиты от прослушивания;

–осуществляется аутентификация удалённого сайта;

–виртуальные частные сети обеспечивают поддержку множества протоколов;

–соединение обеспечивает связь только между двумя конкретными абонентами.

VPN – это защищенное соединение – туннель – на одном конце

которого ваш компьютер, а на другом VPN-сервер (рисунок 12.1). Этот

туннель проходит «сквозь» вашего провайдера. Внутри этого туннеля шифру-

ются все данные, которые передаются в Интернет и приходят из Ин-

тернета, т. е. ваш провайдер никак не узнает, на какие сайты вы ходите и какие

файлы используете.

Кроме того, ваш компьютер получает Интернет-адрес VPNсервера – это означает, что на какие бы сайты вы ни заходили, ваш настоящий Интернет-адрес остается неизвестным.

Трафик VPN шифруется для защиты от прослушивания.

Шифрование должно гарантировать конфиденциальность передаваемой информации на тот период, пока она будет актуальна. Пароли имеют конкретный срок действия (подразумевается политика изменения пароля через конкретный срок), однако секретная информация может не утрачивать своей ценности на протяжении долгих лет. Алгоритм шифрования и применение

VPN должны предотвратить нелегальное дешифрование трафика на несколько лет.

Рисунок 12.1 – Сеть VPN: защищённое соединение – туннель – на одном конце

которого компьютер, а на другом VPN-сервер

Трафик Secure Shell (SSH) и Hypertext Transfer Protocol Secure (HTTPS) яв-

ляется шифруемым трафиком, и его не сможет просмотреть пользователь, отслеживающий пакеты.

(SSH – Secure SHell – «безопасная оболочка» – сетевой протокол сеансового уровня,

позволяющий производить удалённое управление операционной системой и туннелирование TCP-соединений (например, для передачи файлов). Шифрует весь трафик, включая и передаваемые пароли. SSH допускает выбор различных алгоритмов шифрования. SSH-клиенты и SSH-серверы доступны для большинства сетевых операционных систем.

SSH позволяет безопасно передавать в незащищенной среде практически любой другой сетевой протокол. Таким образом, можно не только удаленно работать на компьютере через командную оболочку, но и передавать по шифрованному каналу звуковой поток или видео (например, с веб-камеры). Также SSH может использовать сжатие передаваемых данных для последующего их шифрования).

VPN-пакеты смешиваются с потоком обычного трафика в ин-

тернете и существуют сами по себе по той причине, что данный трафик

может считываться только конечными точками соединения.