Содержание к диссертации
ВВЕДЕНИЕ » 4
1. АНАЛИЗ СУЩЕСТВУЮЩИХ ПОДХОДОВ СОЗДАНИЯ ЗАЩИЩЕННЫХ
ИНФОРМАЦИОННЫХ СЕТЕЙ 11
1.1 Анализ современных угроз информационной безопасности в сетях передачи
ДАННЫХ 11
1.1.1 Общая модель потенциального нарушителя 12
LL2 Схема реализации сетевой атаки 14
1. L3 Особенности построения внутренней и внешней систем сетевой безопасности.... IS
1.2 АНАЛИЗ СОВРЕМЕННЫХ АРХИТЕКТУР СИСТЕМЫ ЗАЩИТЫ КОРПОРАТИВНОЙ СЕТИ 20
Подходы к построению системы сетевой защиты 20
Анализ недостатков существующих методов сетевой защиты 27
1.3 Построение политики сетевой безопасности на основе управления потоками
трафика 29
Выводы ПО ГЛАВЕ 1 36
2 МЕТОДИКА АВТОМАТИЗИРОВАННОГО ПОСТРОЕНИЯ ПОЛИТИКИ
МАРШРУТИЗАЦИИ С ИСПОЛЬЗОВАНИЕМ МАТЕМАТИЧЕСКИХ МЕТОДОВ
ОПТИМИЗАЦИИ НА ОСНОВЕ СТАНДАРТА ГОСТ Р ИСО/МЭК 15408 37
2.1 Анализ положений стандарта ГОСТ Р ИСО/МЭК 15408 37
2. Л / Общий подход к обеспечению безопасности сети па основе стандарта ГОСТР
ИСО/МЭК 15408 39
Общая концепция безопасности сети 39
Построение описания политики управления трафиком на основе стандарта ГОСТ Р ИСО/МЭК 15408 46
2.2 Построение политики управления трафиком с учетом требований по сетевой
безопасности на основе теории оптимизации на графах и сетях 48
2.2.1 Использование математических методов оптимизации на графах и сетях для
решения задач управления потоками данных 49
2.3 Математическая постановка задачи 51
2.3. J Параметры и граничные условия модели 51
Метод расчета граничных значений коэффициентов безопасности и установки приоритетов маршрутизации. 53
Метод построения моделирующей сети 55
23.4 Метод расчета коэффициентов безопасности 56
Преобразование коэффициентов безопасности в приоритеты каналов доступа.... 58
Адекватность реальным задачам и корректность модели 59
2.4 Методика построения политики маршрутизации с учетом требований по сетевой
безопасности 62
Выводы ПО ГЛАВЕ 2 66
3 АЛГОРИТМИЧЕСКОЕ ОБЕСПЕЧЕНИЕ СИСТЕМЫ АВТОМАТИЗИРОВАННОГО
ПОСТРОЕНИЯ ПОЛИТИКИ УПРАВЛЕНИЯ ТРАФИКОМ ~ „ 67
3.1 Алгоритмы построения политики сетевой безопасности распределенной
информационной системы 67
Построение описания сети на основе стандарта ГОСТ Р ИСО/МЭК 15408 6?
Построение моделирующей сети.... 70
Построение политики управления трафиком на основе коэффициентов безопасности 73
3.2 Оценка сложности разработанных алгоритмов 75
3.2.1 Вычислительная сложность алгоритмов методики 75
33 Методы адаптации политики управления потоками трафика на основе алгоритмов
динамической маршрутизации к требованиям по информационной безопасности 78
33. 1 Управление потоками трафика на основе протоколов динамической
маршрутизации 79
Адаптация методов управления потоками трафика на основе динамической маршрутизации к требованиям политики сетевой безопасности 81
Адаптация методов управления потоками трафика на основе коммутации меток к требованиям политики сетевой безопасности 83
Выводы ПО ГЛАВЕ 3 87
4 АВТОМАТИЗИРОВАННАЯ СИСТЕМА ПОСТРОЕНИЯ ПОЛИТИКИ УПРАВЛЕНИЯ
ПОТОКАМИ СЕТЕВОГО ТРАФИКА „ _ 88
4.1 Основные требования к автоматизированной системе 88
4.L1 Требования к структуре системы 89
4.L2 Требования к средствам разработки системы 90
4.1.3 Требования к техническим характеристикам системы и параметрам сети 90
4.2 Реализация системы 92
Структура автоматизированной системы построения политики управления трафиком 92
Анализ и обоснование средств разработки 93
Реализация АС ППУТс использованием высокоуровневых средств разработки 96
Построения политики управления трафиком в АС ППУТ 100
4.2.5 Технические характеристики системы 101
A3 Использование автоматизированной системы в распределенных сетях и системах связи 104
4.3. J Пример применения АС ППУТ. 104
4.3.2 Преимущества использования АС ППУТ совместно с традиционными методами
сетевой защиты 110
4.4 Общие рекомендации и предложения 112
Выводы по главе 4 115
ЗАКЛЮЧЕНИЕ „ 116
Приложение 1. Настройки СУБД Oracle 124
Приложение 2. Структура базы данных 126
Приложение 3. Программы расчета коэффициентов безопасности и построения
спецификаций 127
Приложение 4. Реализация веб-доступа к автоматизированной системе расчетов 130
Приложение 5. Защита от НСД к АСППУТ 131
Приложение 6, Пример настроек, сгенерированных АС Ш1УТ 133
Приложение?. Подсистема преобразования и ввода данных 136
Приложение 8, Пример набора требований локального профиля сетевой безопасности... 137
Класс FIA: Идентификация и аутентификация 141
Приложение 9 144
Акты о внедрении результатов диссертационной работы 144
в производственный и учебный процесс 144
Введение к работе
С развитием современных телекоммуникационных технологий остро проявляются новые проблемы информационной безопасности. Анализ тенденций совершения преступлений с использованием информационных сетей позволяет сделать выводы о постоянном росте количества преступлений, совершаемых при помощи сетей передачи данных. Несмотря на эшелонированные системы обеспечения сетевой безопасности, злоумышленники часто достигают своей цели [1,2, 3,11]. Удаленные атаки на информационные ресурсы через сети передачи далных несут в себе угрозу национальной безопасности Российской Федерации в информационной сфере и вынуждают правительство и президента РФ идти на дополнительные меры по защите конфиденциальной информации, вплоть до отключения государственных учреждений от международных сетей общего доступа: «...Субъектам международного информационного обмена в Российской Федерации запрещено осуществлять включение информационных систем, сетей связи и автономных персональных компьютеров, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, и служебная информация ограниченного распространения, а также для которых установлены особые правила доступа к информационным ресурсам, в состав средств международного информационного обмена, в том числе в международную ассоциацию сетей "Интернет".» [95].
Начиная с 1988 года, с началом широкого использования международной сети общего доступа Интернет, наблюдается постоянное усиление активности хакерских сообществ. По данным британского консалтингового агентства MI2G, отслеживающего хакерскую активность в Интернете с 1995 года, в октябре 2002 года зафиксировано в общей сложности 16559 атак на информационные ресурсы [3]. При этом, темпы роста сетевой преступности увеличиваются с каждым годом в геометрической прогрессии. По оценкам экспертов Международного Центра Безопасности Интернет CERT Coordination center [1] количество инцидентов, зарегистрированных только в данном центре, выросло с 1988 года в 10000 раз, как показано в таблице 1.
Зарегистрированные инциденты но безопасности Таблица 1
Всего за период с 1988 по 2003 год центром зарегистрировано 319 922 инцидентов
нарушения информационной безопасности. Следует отметить, что реальная статистика
существеппо отличается в большую сторону, так как не все инциденты обязательно
регистрируются в данном центре.
Главной причиной, провоцирующей такой рост сетевой преступности, является несовершенство существующих средств и методов сетевой защиты и неэффективность противодействия этих средств ряду информационных угроз» По отчетам того же Международного Центра Безопасности Интернет CERT, количество уязвимостей, обнаруживаемых каждый год в системах сетевой защиты, с 1995 года возросло в 24 раза, а всего за период с 1995 года зарегистрировано 12 946 уязвимостей программного и аппаратного обеспечения к информациоищлм угрозам различного вида [1], причем наблюдается устойчивая тенденция роста, как показано в таблице 2.
Обнаруженные уязвимости Таблица 1
При этом, согласно данным специализированного сайта по безопасности Zone-H [2], процентное соотношение причин успешной информационной атаки через сеть общего доступа составляет;
31.4% за счет незакрытых известных уязвимостей,
24.2% ошибки в настройках,
21.1% ранее неизвестные уязвимости, 16.3% атаки «грубой силой»,
4.7% остальные.
Как видно из статистики, 52.5 % преступлений в сетях совершается в результате ошибок в программном коде и 24.2% в результате ошибок администрирования (например, согласно исследованиям, проведенным ассоциацией ICSA, до 70% всех межсетевых экранов имеют различные ошибки в конфигурации [9]). От такого рода уязвимостей система сетевой защиты, построенная по принципу разграничения и контроля доступа, малоэффективна. Если некоторый информационный сервис открыт и доступен через сеть (по ошибке администратора или согласно установленной политике безопасности), то система защиты не сможет контролировать доступ к нему. В случае наличия уязвимостей в реализующем этот сервис ПО, атака может быть успешно проведена.
Отмеченные тенденции усиления хакерской активности, увеличения количества ошибок в программном коде и настройках сетевых систем защиты ведут к постоянному pociy экономических потерь. Общие финансовые потери мировой экономики в результате нарушении сетевой безопасности, согласно оценкам компании Information Week и консалтингового агентства PricewaterhouseCoopers, приведены в таблице 3.
Финансовые потери от нарушений безопасности Таблица 3
Таким образом, можно сделать следующий вывод: большинство нарушений в области информационной безопасности в сетях не могут контролироваться только средствами защиты на основе разграничения и контроля доступа (межсетевые экраны, фильтры, системы разграничения доступа и т.д.), независимо от того, происходят нарушения из-за наличия ошибок в сетевом программном обеспечении или ошибок в настройках системы защиты.
Использование информационной сети, подключенной к сети общего доступа, является типовым решением [9, 8,11, 35, 37] и задача ее защиты - наиболее актуальной среди прочих задач сетевой безопасности [1, 2, 3, 4,11]. Одним из перспективных подходов к построению систем сетевой защиты является адаптация политики динамической маршрутизации сетевого трафика к требованиям по информационной безопасности, который, в отличии от традиционных методов сетевой защиты [5, 8, 9, 11, 12], позволяет реализовать концепцию упреждающей защиты на основе управления потоками трафика [5, 44, 53]. Сложность современных топологий распределенных сетей передачи данных не позволяет решать такие задачи методом простого перебора возможных вариантов решения. Поэтому необходимо создание специальных моделей, алгоритмов и методик для автоматизированного решения подобных задач, из чего можно сделать вывод, что разработка методов и методик управления потоками трафика в сети передачи дапных при помощи средств динамической маршрутизации на основе требований по информационной безопасности является актуальной.
Данная работа базируется на исследованиях сетевой безопасности, проведенных в таких организациях, как CERT, Cisco Systems Inc., Juniper Networks, на международном стандарте в области сетевой безопасности ISO 17799, методах его практического применения, описанных в курсе, разработанном в компании «Digital Security» и «Domino Security», а также на работах таких известных специалистов в области сетей передачи данных и сетевой безопасности, как М. Коллона, Д. Доллей, Петер Дж, Мойера, Галины Пнлдушь, Стивена Норгхама, Марка Купера, Мэтта Ферноу, А. Лукадкого, И. Трифаленкова, таких ученых, как В, Галатепко. В области оптимизации сетевых маршрутов на основе протоколов динамической маршрутизации и DNS (службы домешюй системы имен) работают такие известные компании, как F5 Networks [91], Radware [94] и др.. Над решением ііроблем оптимизации маршрутов на основе протокола BGPv4
трудятся специалисты таких международных компании, как RouteScience Technologies [92] Inlemap Network Service (INAP) [93]. Однако, указанные исследования направлены на построение и усовершенствование традиционных, «барьерных» методов обеспечения сетевой защиты, которые, как показывает приведенная выше статистика, не могут эффективно справляться с рядом информационных угроз в сетях передачи данных. Данная работа опирается на результаты этих исследований и предлагает новый метод построения упреждающей сетевой защиты на основе управления потоками трафика [44].
Объектом исследования является сеть передачи данных, построенная на основе маршрутизации третьего уровня модели взаимодействия открытых систем ISO/OSI.
Предметом исследования выступает безопасность каналов доступа к информации в сети в зависимости от структурной схемы потоков трафика и характеристик маршрутов передачи данных.
Цели исследования:
Разработка метода и методики построения адаптируемой политики маршрутизации сетевого трафика на основе требований стандарта ГОСТ Р ИСО/МЭК 15408. Разработка автоматизированной системы, реализующей предложенный метод при помощи современных средств управления потоками трафика и функционирующей в реальном времени. Для достижения данных целей в работе решены следующие научные задачи:
Выявлены основные недостатки существующих методов обеспечения сетевой безопасности и проанализированы причины их проявления при построении современных систем сетевой защиты.
- Разработана схема построения описания системы сетевой защиты на основе стандарта
ГОСТ Р ИСО/МЭК 15408.
Построена математическая модель системы сетевой безопасности на основе управления потоками трафика.
Разработаны метод, методика и алгоритмическое обеспечение методики построения политики управления потоками сетевого трафика.
Разработана автоматизированная система построения политики управления трафиком на основе требований по информационной безопасности.
Степень обоснованности научных положений, выводов и рекомендаций, сформулированных в диссертации, обеспечиваются:
корректным использованием математических методов оптимизации задач на
ориентированных графах и сетях;
сопоставлением результатов практического применения разработанной методики с результатами применения традиционных методов сетевой защиты.
Методы исследования. Данная работа базируется на методах теории множеств, комбинаторвого анализа и методах математической оптимизации задач на сетях и ориентированных графах.
Научная новизна результатов, полученных в диссертации, состоит в следующем:
Предложен новый подход к обеспечению безопасности распределенных информационных систем, основанный на управлении информационными потоками в сети и оптимизации схемы маршрутов сетевого трафика на базе требований стандарта ГОСТ Р ИСО/МЭК 15408.
Впервые разработана математическая модель управления сетевым трафиком на основе требований по информационной безопасности в соответствии со стандартом ГОСТ Р ИСО/МЭК 15408.
На основе математической модели разработан метод и создана методика построения адаптивной политики сетевой маршрутизации на базе требований по информационной безопасности.
Разработаны рекомендации по реализации данной политики при помощи конкретных современных средств управления трафиком.
Практическая ценность полученных результатов состоит следующем:
Предложенная в диссертации методика построения политики маршрутизации является основой для построения автоматизированных систем управления потоками сетевого трафика на базе требований по информационной безопасности.
Модель и метод управления потоками трафика, предложенные в работе, представляют собой теоретическую и методическую базу при проектировании топологии защищенных сетей передачи данных и разработке политики маршрутизации сетевого трафика.
Разработанные практические рекомендации по настройке и управлению потоками трафика предполагают использование существующих стандартных средств для динамического управления потоками сетевого трафика, что не требует создания
специальных дополнительных средств построения политики маршрутизации защищенных сетей.
Внедрение результатов работы. Результаты диссертационной работы внедрены в:
Московском инженерно-физическом институте (государственном университете). Результаты диссертационной работы используются в учебном процессе факультета «Информационная безопасность» МИФИ при изучении дисциплины «Безопасности вычислительных сетей».
Международной телекоммуникационном холдинге «ION-IP group» и его российском отделении - операторе связи 000 «Связь ВСД» (LLC «WideXs»). Предложенные в работе модели, подходы и методы построения политики маршрутизации использованы как основа для создания программного обеспечения, реализующего разработанную методику управления трафиком в защищенной опорной сети оператора связи 000 «Связь ВСД».
Внедрение результатов подтверждается соответствующими актами.
Основные положення, выносимые на зашиту:
L Методика оценки защищенности каналов доступа в распределенной сети передачи
данных на основе требований по информационной безопасности стандарта ГОСТ Р
ИСО/МЭК 15408.
2. Метод определения приоритетов каналов доступа к данным на основе методов и
алгоритмов оптимизации на графах и сетях.
3, Метод и алгоритмы построения адаптируемой политики сетевой безопасности на основе
приоритетов каналов доступа, определенных на базе требований по сетевой
безопасности.
4. Рекомендации по применению разработанной методики для построения политики
маршрутизации на основе современных протоколов динамической маршрутизации и
технологий коммутации меток.
5, Результаты применения разработанной методики для построения автоматизированной
системы построения политики управления трафиком, позволяющей повысить
эффективность противодействия сетевым атакам на 20-25%.
Апробация работы. Основные методические и практические результаты исследований докладывались на следующих конференциях:
L Всероссийской конференции «Методы и технические средства обеспечения безопасности информации» - Санкт-Петербург, 2003г.
Всероссийской научно-технической конференции "Проблемы информационной безопасности в системе высшей школы" - Москва, 2003г.
Всероссийской научно-технической конференции "Проблемы информационной безопасности в системе высшей школы" - Москва, 2004г.
Региональной научно-технической конференции «Информационная безопасность» Юг России» - Таганрог, 2002г.
Симпозиуме «Телекоммуникации - основа развития бизнеса современных предприятий» в рамках выставки Связъ-Экспокомм5 2004 - Москва, 2004г.
Публикации, Основные результаты диссертации изложены в 7 печатных трудах -[7,16,24,26,44,61,88].
Структура и объем работы. Диссертация состоит из введения, четырех глав, изложенных на 114 страницах машинописного текста, 27 рисунков, 17 таблиц, заключения, списка использованной литературы и приложений, изложенных на 15 страницах.
