Содержание к диссертации
Введение
Глава 1. Актуальные проблемы защиты информации в компьютерных сетях на основе разграничения доступа и постановка задачи исследования 21
1.1. Современные подходы к обеспечению безопасности информации в компьютерных системах 21
1.2. Особенности защиты информации в компьютерных сетях с повышенной нагрузкой 31
1.3- подход к решению задачи разграничения доступа в компьютерных сетях на основе управления сетевыми процессами 45
1.4. Постановка задачи исследования 53
Глава 2. Метод формализации процессов межсетевого взаимодействия и алгоритм оперативной классификации пакетного трафика 55
2.1. Виртуальные соединения как метод формализации процессов межсетевого взаимодействия в компьютерных сетях 58
2.2. Разграничеттие доступа как задача управления сетевыми процессами, обладающими фрактальными свойствами 66
2.3. Алгоритм оперативной классификации виртуальных соединений, учитывающий специфику современных компьютерных сетей 79
2.4. Выводы 86
Глава 3. Разграничение доступа на основе приоритетной обработки пакетного трафика в компьютерных сетях с повышенной нагрузкой 87
3.1. Разграничение доступа с использованием приоритетной модели массового обслуживания 87
3.2. Решение задачи разграничения доступа, описанной приоритетной моделью смо 92
3.3. Сравнение алгоритмов приоритетного и неприоритетного обслуживания виртуальных транспортных соединений 105
3.4. Выводы 115
Глава 4. Исследование эффективности применения алгоритмов разграничения доступа с использованием межсетевых экранов 116
4.1. Назначение, область применения, режимы работы и основные функциональные возможности межсетевого экрана сспт-2 116
4.2. Применение механизма приоритетного управления в межсетевых экранах сспт-2, функционирующих в режиме скрытной фильтрации 120
4.3. Использование механизма приоритетного обработки пакетного трафика для решения задачи управления доступом виртуальных соединений различных классов 129
4.4. Выводы 133
Заключение ~ 134
Список используемой литературы 136
- Особенности защиты информации в компьютерных сетях с повышенной нагрузкой
- Разграничеттие доступа как задача управления сетевыми процессами, обладающими фрактальными свойствами
- Сравнение алгоритмов приоритетного и неприоритетного обслуживания виртуальных транспортных соединений
- Применение механизма приоритетного управления в межсетевых экранах сспт-2, функционирующих в режиме скрытной фильтрации
Введение к работе
Развитие сетевых технологий в направлении широкого использования ресурсоемких приложений и новых методов организации информационного взаимодействия предъявляет повышенные требования к характеристикам компьютерных сетей (КС) как защищенной среды доступа к информационным ресурсам. Таким образом, необходимо постоянное совершенствование моделей, средств и методов защиты информации в КС.
На протяжении длительного времени задачи информационной безопасности (ИБ) и КС были связаны с обеспечением конфиденциальности данных [1]. Однако по мере того как информация становится важным объектом нормативно-право во го регулирования, все большую актуальность приобретает задача не только надежной защиты корпоративной или персональной информации, но и обеспечение контролируемого доступа пользователей к открытым информационным ресурсам с использованием КС.
В настоящее время, наиболее распространенным объектом защиты являются информационно-вычислительные и коммуникационные ресурсы (далее именуемые сетевыми) распределённых автоматизированных систем (АС), построенных с использованием КС на базе стека протоколов ТСР/ГР [2]. Среди про грамм но-технических методов защиты информации в ЛС важное место занимают методы разграничения доступа (РД) к сетевым ресурсам [1], Современные методы РД позволяют обеспечить не только конфиденциальность, но и снизить угрозы нарушения целостности и доступности информации, поэтому рассматриваются как комплексный программно-технический метод защиты информации. Применение средств РД является необходимым условием обеспечения состояния защищенности распределенных информационно-сетевых ресурсов АС, что нашло отражение в руководящих документах и стандарте ГОСТ Р ИСО/МЭК 15408 [3]. В рамках требований этих документов современные методы РД реализуются с использованием средств идентификации, аутентификации и контроля доступа пользователей или процессов к сетевым ресурсам [1].
Используемые в настоящее время подходы к реализации РД в КС не в полной мерс учитывают специфику КС, как сложной, распределенной виртуальной среды передачи данных, функционирующей в условиях ограниченных ресурсов:
В последние годы бурное развитие получили новые интерактивные и мультимедиа приложения, требующие определенного качества доступа (предоставления заданного уровня полосы пропускания, задержек передачи пакетов, вероятности потери пакегов и т.п.), следовательно, при решении задач разграничения доступа в современных КС необходимо учитывать требования качества доступа современных сетевых приложений,
Информационные ресурсы современной КС постоянно изменяются, а их число неуклонно растет, в связи с чем возникает необходимость непрерывного контроля содержимого передаваемых данных.
Наиболее распространенной средой передачи данных, на сегодняшний день, является Интернет - глобальная КС организованная на базе стека протоколов TCP/IP.
С точки зрения задач РД модель современной КС может быть представлена как совокупность субъектов и объектов доступа, информационное взаимодействие между которыми организуется с помощью протоколов стека TCP/IP. Эти протоколы составляют основу коммуникационной инфраструктуры КС, логическая организация которой основана на описании процессов передачи данных между объектами и субъектами сетевого взаимодействия в форме так называемых виртуальных соединений (ВС) [4,5,6,7]. В рамках такой инфраструктуры попытки несанкционированного доступа могут быть блокированы, если соответствующим ВС не будет предоставлено необходимое для работы приложений качество доступа. При такой организации системы РД, решение о предоставлении определенного качества доступа принимается монитором безопасности, в роли которого в распределенных КС чаще всего выступают программные или программно-аппаратные средства межсетевого экранирования и фильтрации трафика [7,8, 9], устанавливаемые на границе локальной АС и открытой сетевой среды,
Развитие технологий организации межсетевого взаимодействия, включая широкое распространение транспортных протоколов с каналом обратной связи, одноранговых сетей и Р2Р приложений, требует расширения объема понятия доступа к информационным ресурсам с использованием КС. В компьютерной системе, доступ рассматривается как атомарная операция, не учитывающая временную протяженность процесса передачи информации от субъекта к объекту и влияние на этот процесс канала обратной связи. Поэтому в современных КС и распределенных АС доступ необходимо рассматривать как процесс, статистические и пара метричес кие характеристики которого требуют постоянного контроля передаваемой информации с точки зрения требований информационной безопасности. При этом следует учитывать возможность изменения характера информационных потоков, а также субъекта и объекта доступа, в процессе взаимодействия, что позволяет различать важные с точки зрения задачи РД понятия: «разрешение доступа», как права получить доступ к ресурсу, и «реализация доступа», как возможность осуществить имеющееся право с учетом состояния КС, как среды передачи. Таким образом, решение задач РД в КС может быть сведено к управлению процессами межсетевого взаимодействия с использованием ВС с определенными параметрами пропускной способности, значение которых может изменяться в широких пределах. Методы управления доступом к информационным ресурсам, учитывающие как аспекты потенциального разрешения доступа к информации, так и возможность реализации самого процесса доступа с учетом изменения во времени взаимодействующих субъекта и объекта, а также характеристик среды передачи, в настоящее время, рассматриваются как перспективные подходы к решению задач РД в современных КС [2,10,11].
Для формализации рассмотренных выше аспектов решения задачи РД и разделении требований политики безопасности и существующих технических реализаций, в диссертации вводятся два класса ВС: информационные виртуальные соединения (ИВС) и технологические виртуальные соединения (ТВ С), Модель ИВС включает в себя информационные модели субъекта взаимодействия, объекта взаимодействия, а также действия совершаемого первым над вторым. Модель ТВС описывает процесс информационного взаимодействия между субъектом и объектом доступа, с учетом современных технологий передачи данных, при помощи формирования одно- или двунаправленного (с обратной связью) потока пакетов, характеристики которого соответствуют требованиям качества сетевого приложения.
Поэтому с точки зрения задач РД любое ТВС может рассматриваться не только как разрешенное или запрещенное, но и как незаі (решенное ТВС, для которого в текущий момент не может быть выделено достаточно ресурсов, чтобы обеспечить заданное качественное функционирование информационного приложения. Таким образом, в рамках введенного формализма появляется новая возможность решения задач РД с помощью управления различными параметрами ТВС, среди которых в первую очередь пропускная способность незапрещенных ТВС оп редел я ел4 качество доступа сетевых приложений к информационным ресурсам КС.
Следует отметить, что в связи с развитием мультимедийных и интерактивных ресурсоемких приложений загруженность современных КС постоянно растет, поэтому важным аспектом задачи РД становится эффективная доступность сетевых ресурсов. Количественная оценка свойств эффективной доступности характеризуется такими параметрами ТВС как средняя пропускная способность, математическое ожидание и дисперсия задержки в передаче пакетов между субъектом и объектом доступа. Поэтому использование в задаче РД характеристик эффективной доступности требует дополнительного уровня параметризации ТВС через свойства приоритетной обработки пакетов, что особенно важно для режимов функционирования КС с повышенной нагрузкой. Предложенный в работе подход к приоритизации учитывает 3 класса трафика — приоритетный трафик, неприоритетный или фоновый трафик и запрещенный трафик. Приоритетный трафик — это совокупность ТВС, используемых протоколами управления и необходимых для функционирования различных информационных приложений, характеризуемых высокими требованиями к среднему значению и дисперсии времени задержки, но сравнительно низкой пропускной способностью ТВС, Фоновый чрафик — это пезапрещепный трафик, занимающий существенную часть разделяемых сетевых ресурсов, но не имеющий высоких требований к пропускной способности и/или задержкам передачи пакетов. Запрещенный трафик - это совокупность ТВС, нарушающих состояние защищенности информационных ресурсов в процессе передачи пакетного трафика. Общий объем введенных трех классов ТВС полностью характеризует все множество процессов информационного взаимодействия в современных КС, что позволяет, в рамках ьведенного формализма, доказать разрешимость задачи разграничения доступа.
При решении задач приоритетной обработки трафика, в работе вводится два типа алгоритмов управления пропускной способностью, учитывающих специфику протоколов, входящих в стек TCP/IP, а именно ТВС, трафик которых обладает фрактальными свойствами (тип 1), и ТВС, трафик которых описывается с помощью моделей без последействия (тип 2). Такое разделение позволяет учесть влияние ограничений пропускной способности виртуальных каналов связи и аппаратных ресурсов ГйЗ*, в частности объема буферной памяти, па решение задачи РД, путем вычисления зависимости пропускной способности ТВС каждого из типов от вероятности потери пакета вследствие переполнения буфера сетевого устройства в момент перезрузки. Показано, что из-за фрактального характера процессов межсетевого взаимодействия типа 1, при определении пропускной способности ТВС на базе протокола TCP, необходимо учитывать не только среднее значение интервалов между потерями пакетов, но и их дисперсию [12,13,14], что, с одной стороны усложняет алгоритмы классификации, а с другой - позволяет обеспечивать заданное качество доступа для ТВС каждого типа, путем более точного вычисления его пропускной способности в режимах перегрузки.
Рассматриваемый подход также позволяет учитывать возможность возникновения условий, при которой в процессе организации ВС его параметры соответствует требованиям политики доступа, но во время обмена данными характеристики ВС меняются таким образом, что перестают отвечать этим требованиям [15], Такая ситуация носит существенно динамический характер, поэтому должна отвечать рекомендациям RFC 2475 [16] на всех этапах межсетевого взаимодействия,
На основании описанных выше результатов, в работе предложен алгоритм оперативной классификации, позволяющий ввести адаптивно конфигурируемый набор правил фильтрации трафика для каждого типа ТВС. Разработанный алгоритм формирования контролирующих правил позволяет для каждого из сетевых пакетов представить законченную последовательность операций, гарантированно приводящую к принятию решения в рамках введенных трех классов ТВС за ограниченпое время.
Особенностью реализации задачи РД в КС является то, что окончательная классификации ТВС возможна только после его завершения, поэтому при решении задачи РД приходится вычислять характеристическую функцию ТВС по неполным данным. Предложенный в работе алгоритм учитывает тот факт, что если в поступивших пакетах не содержится данных необходимых для вычисления характеристической функции, то инициируемое ими ТВС маркируется как фоновое, а решение по РД является отложенным, и для завершения вычисления характеристической функции ожидаются следующие пакеты. Таким образом, для каждого ТВС в соответствии моделью ИВС характеристическая функция вычисляется в форме полинома Жегалкина, количество членов которого может быть изменено для повышения точности классификации. Если данных для принятия решения достаточно, то по результатам работы классифицирующего правила ТВС относится к одному из классов ТВС, заданных в соответствии с политикой РД, Каждый класс ТВС контролируется определенным набором правил, что позволяет повысить производительность средстм разграничения доступа. Правила классификации и фильтрации представляются а аддитивной форме предикатного полинома, это позволяет адаптировать свойства характеристической функции к требованиям политики РД путем ее реконфигурации при добавлении новых ограничений. Если совокупность пакетов перестает удовлетворять контролирующим правилам своего класса, то все пакеты данного ТВС маркируются как запрещенные, что позволяет оперативно контролировать текущее состояние ТВС, в соответствии с требованиями политики доступа.
Учитывая вышеизложенное, в диссертационной работе сформулирована и решена задача РД в КС на основе классификации и приоритетной обработки трафика с учетом требований к аппаратным ресурсам монитора безопасности, реализованного в виде межсетевого экрана (МЭ) с приоритетной системой обработки пакетов в условиях ограниченного объема буферной памяти и применения вероятностного вытесняющего , механизма. Предложенная модель РД учитывает как динамические характеристики ВС, так и статистические характеристики потока пакетов, что позволят реализовать на ее основе системы разграничения доступа с архитектурой дифференцированного обслуживания (типа DiffServ).
Учитывая, что сетевые средства защиты информации сами могут оказаться объектом деструктивных воздействий, что влечёт за собой серьёзные нарушения политики ИБ при реализации модели монитора безопасности предложено использовать технологию фильтрации, обеспечивающую скрытный характер обработки трафика и повышенную надежность функционирования системы защиты в целом.
Сложность решения описанной аьшю научно-технической задачи отмечается как российскими, так и зарубежными учёными, в том числе П.Н. Деникиным, Н,А, Гайдамакиным, 11-Д. Зсгждой, Л.Дж. Хоффмшюм и многими другими 1^,2,10,11,17,18,19,20,21], что связано с необходимостью разработки эффективных алгоритмов классификации информационных ресурсов и приоритетной обработки данных в процессе коммутации пакетного трафика, отвечающих требованиям рекомендаций дифференцированного обслуживания RFC 2475.
Актуальность темы. Таким образом, одним из актуальных путей решения сформулированной выше задачи является формализация процессов межсетевого взаимодействия на основе описания пакетного трафика как совокупности различных классов ВС. Б этом случае попытки несанкционированного доступа могут блокироваться с помощью программно-аппаратных средств межсетевого экранирования, функционирующих на основе оперативной классификации ВС и последующей приоритетной обработки трафика с учетом требований к качеству функционирования различных информационных приложений,
Важным аспекгом, повышающим эффективность применения систем
РД, является необходимость решения задач классификации и приоритетной обработки в реальном масштабе времени, что в свою очередь делает актуальным разработку методов аналитического расчета пропускной способности каналов связи в условиях случайных возмущении" ооладающих свойствами статистического самоподобил из-за особенностей реализации современных транспортных протоколов.
С учётом всего вышеизложенного, актуальной научно-технической задачей РД является формализация процессов межсетевого взаимодействия, разработка принципов оперативной классификации сетевых ресурсов, а также создание моделей описания ВС и средств приоритетной обработки трафика, учитывающих динамические и статистические характеристики потоков данных, формируемых в процессе доступа к информационным ресурсам современных компьютерных сетей.
Целью исследования является разработка метода оперативной классификации и алгоритмов приоритетной обработки пакетного трафика для разграничения доступа в компьютерных сетях с учетом требований безопасности и особенностей реализации современных транспортных протоколов.
Для достижения поставленной цели в диссертационной работе были сформулированы и решены следующие задачи:
Разработать метод формализованного описания процессов межсетевого взаимодействия, учитывающих особенности информационных моделей объектов доступа и характеристики современных протоколов транспортного уровня.
Разработать алгоритм оперативной классификации информационных виртуальных соединений на основе полиномиального представления характеристической функции, описывающей требования политики разграничения доступа на основе оценки параметров технологических вирту ал ь ных со с д и і ієн и н.
Разработать алгоритм приоритетной обработки пакетного трафика, учитывающий ограничения на аппаратные ресурсы и пропускную способность сетевых каналов связи.
Объектом исследования являются классы разрешенных и запрещенных виртуальных соединении, построенных на базе современных транспортных протоколов для обмена пакетным трафиком между субъектами и объектами информационного доступа б компьютерных сетях.
Предметом исследования являются алгоритмы оперативной классификации и приоритетной обработки трафика, учитывающие ограниченность аппаратных и информационно-временных ресурсов доступных при решении задачи разграничения доступа.
Методы исследовании. Для решения сформулированных задач использовался аппарат теории алгоритмов, теории защиты информации, теории случайных процессов, теории массового обслуживания, а также методы имитационного моделирования в среде Network Simulator 2 (NS2), статистической обработки данных и программирования в среде Matiab.
Научные результаты и их новизна:
Представлен метод формализованного описания информационных потоков между субъектом и объектом доступа, учитывающий особенности моделей сетевых ресурсов и характеристики протоколов связи.
Предложен алгоритм оперативной классификации виртуальных соединений при помощи полиномиального представления характеристической функции, описывающей требования политики разграничения доступа на основе оценки параметров технологических виртуальных соединений.
Разработан алгоритм приоритетной обработки пакетного трафика, основанный на использовании вероятностного выталкивающего механизма управления очередью ограниченного размера.
Положення, выносимые на защиту:
1. Метод формализованного описания процессов межсетевого взаимодействия, учитывающий характеристики сетевых и транспортных протоколов и особенности информационных моделей объекта доступа. 2: Алгоритм классификации информационных виртуальных соединений, позволяющий оперативно контролировать их состояние, в соответствии с требованиями политики доступа. 3. Алгоритм приоритетной обработки пакетного трафика, учитывающий ограничения на аппаратные ресурсы средств разграничения доступа и пропускную способность сетевых каналов связи. Обоснованность и достоверность представленных в диссертационной работе научных положений подтверждается согласованностью теоретических результатов с результатами, полученными при реализации, а таюке апробацией основных теоретических положений в печатных трудах и докладах на всероссийских и международных научных конференциях.
Практическая ценность работы. Разработанные модели, метод и алгоритмы были использованы при создании межсетевых экранов, сертифицированных по требованиям руководящих документов ФСТЭК и ФСБ іі позволяющих производить многоуровневый скрытный контроль виртуальных соединений н управление качеством доступа. В основу диссертационной работы положены результаты, полученные автором в период с 2005 но 2010 годы на кафедре «Телематика» ГОУ ВПО «СПбГГТУ», а также при выполнении НИР в ГНЦ «ЦНИИ РТК».
Внедрение результатов» Результаты проведённых исі^пе дований нашли практическое применение в разработках, в которых автор принимал личное участие, в том числе:
I. При реализации алгоритмов защиты информации для управления роботом-манипулятором, находящимся на борту Международной космической станции, через сеть Интернет її рамках проведения НИОКР ЦНИИ РТК «Космический эксперимент Контур».
Использование предложенных в работе алгоритмов классификации и приоритетной обработки пакетного трафика позволило расширить функциональные возможности и повысить эффективность использования аппаратных ресурсов межсетевых экранов серии ССПТ, проектируемых производимых НПО «РТК»,
В рамках создания специализированной учебно-научной лаборатории и подготовке методических пособий по курсам «Методы и средства защиты компьютерной информации», «Сети ЭВМ и телекоммуникации» в ГОУ В1Ю «СПбГПУ» на кафедре «Телематика» ГОУ «СПбГПУ».
Апробация и публикация результатов работы Результаты, полученные в ходе работы над диссертацией, докладыватись на всероссийских и международных научно-технических конференциях. По теме диссертации опубликовано 8 статей, в том числе — 2 в изданиях, публикации в которых рекомендуются Высшей аттестационной комиссией Министерства образования и науки Российской Федерации.
Результаты диссертационной работы получены в ходе научно-исследовательских работ, выполненных при поддержке Комитета по науке и высшей школе Правительства Санкт-Петербурга па средства грантов в сфере научной и научно-технической деятельности за 2008, 2009 и 2010 годы*
Структура и объем диссертации. Диссертационная работа общим объемом 147 страниц состоит из введения, четырех глав, заключения, списка литературы из 99 наименования, включает 28 рисунков и 1 таблицу.
В первой главе представлен обзор методов и средств разі рани чения доступа в компьютерных системах, дан анализ основных требований, принципов и технологий, которые применяются для построения и обеспечения функционирования систем защиты информации в современных компьютерных сетях, поставлена задача исследован шт.
Во второй главе разработан подход к представлению требований политики РД в форме декомпозиции правил фильтрации для различных уровней описания потоков данных в форме информационного и технологического виртуальных соединений. Разработанные модели ИВС и ТВ С обеспечивают возможность оперативной классификации и приоритетной обработки пакетного трафика с учетом ограничений на процессы межсетевого взаимодействия, отвечающие политике РД, Предложено два типа алгоритмов управления пропускной способностью ТВС, первый -для тех соединений, ірафик которых обладает фрактальными свойствами, второй — для остальных, которые описываются с помощью моделей без последействия. В главе предложен алгоритм оперативной классификации, позволяющий ввести адаптивно конфигурируемый набор правил фильтрации трафика для каждого типа ТБС.
В третьей главе проведена математическая формализация алгоритма приоритетной обработки пакетного трафика для решения задачи разграничения доступа с учетом предложенных моделей. Предложен алгоритм обработки пакетного трафика на основе приоритетной модели массового обслуживания с очередью ограниченного размера и вероятностным выталкивающим механизмом. Проведено сравнение абсолютного и относительного механизмов обслуживания, а также исследование свойств сетевых процессов при различном уровне загруженности сети. Показано, что для задачи разграничения доступа использование абсолютного приоритета предпочтительнее,
В четвёртой главе рассмотрены вопросы реализации и практического внедрения полученных результатов в межсетевом экране ССПТ, производимом предприятием НПО «РТК», а также рамках международного космического эксперимента «Контур» при управлении удаленным робототехническим объектом на борту Международной космической станции с использованием сегментов сети Интернет и каналов спутниковой связи, проводимом ЦНИИ PTJC. Показано, что предложенные методы упрощения аналитического описания задач СМО при приоритетной обработке трафика позволяют решать задачи РД в реально масштабе времени и стабилизировать пропускную способность, а также уменьшить дисперсию задержки приоритетных ТВС.
В заключении сформулированы выводы и результаты проделанной работы.
Благодарности. Автор благодарит своего научного руководителя B.C. Заборовскош за помощь в диссертационных исследованиях, а также коллектив кафедры «Телематика» ГОУ НПО «СПбГГТУ» за помощь и поддержку при написании диссертации.
Особенности защиты информации в компьютерных сетях с повышенной нагрузкой
В настоящее время обязательным компонентом информационной сферы являются компьютерные сети, интенсивное развитие которых привело К появлению и быстрому росту Интернета — открытой телекоммуникационной сети, объединяющей множество автономных систем. Интернет состоит из территориально-распредеденных независимых сетей (автономных систем), объединенных через шлюзы, использующих единое адресное пространство и пространство имен и взаимодействующих между собой при помощи протоколов стека TCP/IP [35,36,37].
Хотя многие положения, излагаемые ниже, справедливы для широкого круга сетей, далее в качестве КС рассматриваются наиболее распространенные сети пакетной коммутации, использующие стек TCP/IP.
Важными с точки .зрения организации, использования ресурсов и защиты информации в КС, являются следующие модели и принципы [4]: эталонная модель и стек протоколов TCP/IP; принцип коммутации пакетов; принцип децентрализации управления. Принципы работы современных КС заложены в модели взаимодействия открытых систем (ВОС) [38], в которой не регламентируются вопросы ограничения доступа к информационным ресурсам. Устройства обеспечения безопасности должны самостоятельно осуществлять контроль потоков информации в КС, с целью предотвращения запрещенных действий с информацией, при этом функционируя в рамках модели ВОС. Отсутствие единых правил защиты информации влечет за собой необходимость разработки и реализации методов управления доступом, обеспечивающих безопасность информации и при этом оказывающих минимальное воздействие на незапрещекные информационные потоки.
Монитор безопасности, обеспечивающий защиту информации в КС, является составной частью сети и должен функционировать в соответствии с используемыми механизмами и протоколами. Основным стеком протоколов, используемым при передаче информации в сети Интернет, является набор протоколов, реализующий эталонную модель TCP/IP. Модель TCP/IP в соответствие с RFC-1122 [39] состоит из четырех уровней: J, Канальный уровень обеспечивает доставку кадра между любыми узлами в локальной сети (этот уровень выходит за рамки вопросов, рассматриваемых в данной работе). Подробную информацию о протоколах канального уровня можно получить в источниках [40,41] , 2. Межсетевой уровень предназначен для передачи ТР-пакетов от хоста-источника к хоезу-приемнику через составную сеть [35,39]. Продвижение пакета осуществляется на основе IP-адреса получателя и маршрутной информации промежуточных узлов сети. Протоколами сетевого уровня являются IP {версии 4 или 6), ICMP [42] (версии 4 или 6), IGMP, а также протоколы динамической маршрутизации, обеспечивающие распространение информации о маршрутах между маршрутизаторами. Передача данных без организации соединений лежит в основе протокола IP и является одной из основных характеристик архитектуры сети Интернет. Управляющий протокол 1СМР обеспечивает доставку сообщений об ошибках, насыщении в сети и перенаправлении для первого маршрутизатора. 1GMP представляет собой про юкол уровня Internet, используемый для организации динамических групп хостов для группового обмена информацией [40]. Транспортный уровень обеспечивает сквозную передачу данных (end-lo-end) между приложениями, выполняющимися на разных компьютерах, с той степенью надежности, которая для них требуется. Наиболее распространёнными протоколами транспортного уровня являются TCP и UDP [36,43]. Протокол TCP обеспечивает управление потоком, а также надежную передачу прикладных данных на основе установления логических соединений между сетевыми приложениями к использования механизма квитирования. Протокол UDP позволяет передавать данные между сетевыми узлами без установления логического соединения с максимальной скоростью, но при этом не обеспечивает надежной доставки прикладных данных "40]. Прикладной уровень предоставляет набор протоколов, с помощью которых пользователи получают доступ к разделяемым сетевым ресурсам и сервисам, а также организуют совместную работу [44Л45]. На этом уровне функционируют такие приложения, как электронная почта (протоколы SMTP, РОРЗ. 1МАР), передача файлов (протокол FTP), гипертекстовая система (протокол HTTP, HTTPS), удалённое управление (протоколы Telnet, SSH), а также другие приложения. Существуют также служебные протоколы для преобразования имен, загрузки и управления - к числу таких протоколов относятся SNMP, ВООТР, RARP и DNS,
Интернет, как частный случай КС, с точки зрения информационного взаимодействия обладает различными свойствами на различных уровнях детализации. Так на канальном и межсетевом уровне Интернет является сетью с коммутацией пакетов. Сообщение транспортного уровня, предназначенное для передачи через такую сеть? разбивается на блоки данных фиксированного размера, когорые инкапсулируются в снабжённые заголовками IP-пакеты и пересылаются через составную сель независимо друг от друї а [40], Вся информация, необходимая для корректной доставки отдельного блока данных адресату, находится в заголовке IP-пакета. Именно но этой причине все узлы компьютерной сети, в том числе и монитор безопасности, должны быть ориентированы на обработку пакетов, как минимальных информационных блоков, используемых для передачи данных между сетевыми приложениями.
С другой стороны КС можно рассматривать как совокупность потоков данных по транспортным соединениям от различных сетевых приложений. При таком рассмотрении в процессе передачи информации можно выделить 3 основные этапа: установление соединения, передача данных и остановка соединения. Некоторые типы атак используют особенности сетевых процессов, именно поэтому устройства защиты информации ориентированные на задачу управления доступом в КС должны обладать возможностями контроля состояния транспортных соединений.
Разграничеттие доступа как задача управления сетевыми процессами, обладающими фрактальными свойствами
Для решения задачи РД в КС необходимо обеспечить заданный уровень качества доступа для приоритетных ТВС в соответствии с сетевой архитектурой DH fServ и рекомендациями RFC 2475.
Согласно данной архитектуре, пакеты должны классифицироваться и маркироваться для обеспечения определенной обработки на всех сетевых узлах на пути доставки пакета. Классификация, маркировка, реализация политики безопасности осуществляется только на сетевом устройстве реализации политики раз Іран и чен и я доступа, а нее остальные сетевые устройства обеспечивают обработку маркиро ванных пакетов соответствующим образом, обеспечивая требуемый уровень качества доступа, ТВС описываются рядом характеристик, основной из которых, с точки зрения управления доступом, является пропускная способность. При отсутствии пропускной способности ТВС, реализация права доступа становится невозможной, возникает угроза доступности информационно -сетевого ресурса. Для обеспечения необходимого уровня качества доступа, необходимо учитывать такие сетевые характеристики как: пропускная способность, математическое ожидание и дисперсия задержки при передаче пакета, а также частота потери пакетов [60,61,62,63]. Пропускная способность приложения является одной из самых важных сетевых характеристик. При нехватке пропускной способности возникают потери пакетов вследствие переполнения буферной памяти промежуточных сетевых устройств, также помимо этого растет размер очереди для пакетов вследствие буферизации и увеличится математическое ожидание и дисперсия задержки передачи пакетов. Задержка складывается из суммы задержек различных типов на каждом сетевом участке. Можно выделить 2 основных типа сетевых задержек: 1. Задержка на обработку — время, которое тратится устройством на принятие пакета на входящем интерфейсе и размещение его в очередь на исходящем интерфейсе. Задержка на обработку зависит от производительности устройства, его загрузки, архитектуры, используемого способа коммутации пакетов и применяемых механизмов обработки пакеты на входящем и исходящем интерфейсе. 2. Задержка очерёдности - то время, в течение которого пакет находится в очереди промежуточного сетевого устройства. Этот тип задержки зависит от количества пакетои, уже находящихся в очереди, пропускной способности интерфейса и типа применяемой системы очерёдности, Некоторые приложения не способны нормально функционировать или же функционируют крайне неэффективно в случае потери пакетов. Подобные приложения требуют от сети гарантии надёжной доставки всех пакетов. Следует также отмстить, что отброшенные пакеты указывают на незффективнос использование ресурсов сети, часть которых была потрачена на доставку пакетов Б точку, где они были потеряны.
С учетом всего вышеизложенного, при решении задачи РД в КС необходимо учесть специфику сетевых приложений и протоколов, и вычислить их пропускную способность в зависимости от вероятности потерь.
Наиболее распространенным на данный момент является TCP (Transmission Control Protocol) -транспортный протокол, предоставляющий поток данных с предварительным установлением соединения, производящий повторную передачу потерянных пакетов и гарантирующий получение данных" сТез іюгерь а гой лислвдиянгаїБниігги", я шгирои" они" были отправлены. Надежность обеспечивается тем, что приемник подтверждает полученные данные.
Важным фактором, влияющим на динамику TCP - соединения являются реакции протокола на потери и задержки пакетов, связанные с изменяющимся состоянием сетевой среды, возникновением перегрузок и получением дублирующих подтверждений от приемника данных. Данный протокол обладает ел або затухаю щей автокорреляционной функцией и дробной размерностью,
Согласно сложившемуся подходу пропускная способность функций без последействия определяется в стационарном режиме как среднее число по всем реализациям дошедших безошибочно до приемника пакетов (битов, байтов) в единицу времени, а задержка — как разница времени отправки пакета источником и времени получения его приемником. Для компьютерных сетей в связи с фрактальными свойствами протекающих в них случайных процессов вышеуказанную формулировку необходимо пересмотреть,
Стоит отметить, что фрактальные процессы в режиме быстрой повторной передачи обладают протяженными или, как их еще называют, «тяжелыми» распределениями, аналитическая запись которых имеет вид (а - фрактальный параметр, 0 а \). В первом случае этим выражением аппроксимируются корреляционные функции стационарных приращений фрактального винеровского процесса (к = 1,2,.,. — параметр смещения приращений процессов на интервалах одинаковой длительности Т), во втором - корреляционную функцию стационарной фрактальной плотности (t — текущее время). В последнем случае корреляционная функция участвует в формировании статистических характеристик задержек тч0 [12,13,64].
Сравнение алгоритмов приоритетного и неприоритетного обслуживания виртуальных транспортных соединений
Межсетевой экран ССПТ-2 [91, 92] выполнен в виде локального (однокомпонентного) устройства, реализующего контроль за информацией, которая циркулирует между отдельными подсистемами обработки информации внугри автоматизированной системы и/или между АС. МЭ может использоваться для защиты АС, в которых обрабатывается информация одинакового предельно допустимого уровня конфиденциальности или секретности. Межсетевой экран ССПТ-2 применяется для разделения сегментов информационной сети внутри или между АС классов ЗА-1В (в соответствии с руководящим документом [93]), с целью обеспечения защиты информации от несанкционированного доступа посредством: фильтрации сетевых пакетов, передаваемых в локальных вычислительных сетях внутри АС или между АС. Фильтрация пакетов (передача пакета в защищаемую сеть или из неё, или запрет передачи - удаление пакета) осуществляется на основе анализа параметров заголовка и содержимого фильтрации для разных уровней модели взаимодействия открытых систем; управления ТВС между отдельными узлами локальной сети внутри или между АС. Управление технологическими виртуальными соединениями (разрешение или запрет соединения) осуществляется на основе результатов анализа параметров вектора состояния ТВС; контроля данных, передаваемых на прикладном уровне модели ВОС, путем управления информационными виртуальными соединениями и контроля состояния информационной модели субъекта, объекта доступа и действия совершаемого первым над вторым. Межсетевой экран может использоваться в компьютерных сетях, построенных на базе технологии Ethernet с пропускной способностью 10/100/1000 Мбит/с. ССПТ-2 имеет сертификаты соответствия требованиям 3-го класса в соответствии с руководящими документами ФСТЭК «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» [49] и ФСБ «Временные требования к устройствам типа межсетевые экраны». Типовая схема включения МЭ ССПГ-2 приведена на рис, 4,1. Межсетевой экран ССПТ-2 обеспечивает следующие возможности но фильтрации трафика. На канальном уровне: фильтрация всех типов Ethernet-фреймов (Ethernet IT, IEEE 802.3/LLC, ШЕЕ 802.3/SNAP, ШЕЕ 802.3 Raw) по МЛС-адресам отправителя и получателя, тто коду инкапсулированного протокола; фильтрация Ethernet-фреймов с заголовком IEEE 802,lp/Q (VLAN) по идентификатору/группе идентификаторов VLAN; фильтрация пакетов протоколов ARP/RARP по MAC- и IP-адресам отправителя и получателя и типу АКР-сообщения, На сетевом уровне: фильтрация протокола IPX по адресу и еокету сети/узла источника и приемника и типу ІРХ-пакета; фильтрация протокола IPv4 по IP-адресам источника и приемника и различным полям заголовка; фильтрация протокола ТСМР по типу и коду 1СМР-сообщения. На транспортном уровне: фильтрация протокола TCP по портам источника и приемника и флагам управления потоком; фильтрация протокола UDP по портам источника и приемника; 118 На прикладном уровне: фильтрация протокола HTTP по доменному имени (фрагменту) web-сервера, но HTTP-методу, по имени (фрагменту) запрашиваемого файла, по символьными байтовым последовательностям; фильтрация протокола FTP по управляю і цим командам, по имени (фрагменту) и паролю пользователя, по имени (фрагменту) запрашиваемого файла, по символьным и байтовым последовательностям; фильтрация протокола SMTP по почтовым адресам (фрагментам) отправителя и получателя, по символьным и байтовым последовательностям; фильтрация протоколов реляционных систем управления базами данных (СУБД) (Oracle no SQL-запросам (фрагментам), а также по символьным и байтовым последовательностям; фильтрация других прикладных протоколов, заданных в соответствии с RFC 1700. Обеспечивается возможность фильтрации пакетов С учетом даты/времени Фильтрация сетевых пакетов МЭ ССГТТ-2 может производиться в следующих трех режимах: 1. Пакетной фильтрации, в котором каждый пакет обрабатывается независимо друг от друга на канальном, сетевом, и транспортном уровнях. 2. Управления ВС, при котором осуществляется анализ состояния ИВС к контроль соответствия контекста пакета разрешенным ИМ С и ИМО. Для каждого ТВС, устанавливаемого через МЭ, формируется вектор состояния, после чего сетевые пакеты проходят дополнительную проверку на соответствие текущему состоянию виртуального соединения.
Применение механизма приоритетного управления в межсетевых экранах сспт-2, функционирующих в режиме скрытной фильтрации
Использование описанных алгоритмов в рамках космического эксперимента для управления ТВС данных и видео-потоком позволило стабилизировать характеристики управляющего TCP-соединения, снизив дисперсию пропускной способности и задержки сигнала, при этом практически не ухудшая качество видеоданных,
Предложенные модели важны для дальнейшего развития механизмов интерактивного управления удаленными динамическими объектами в случае, когда сетевая среда является составной частью контура обратной связи. Уровень потерь и задержек в рассматриваемом случае является важным параметром, характеризующим эффективность системы управления в целом.
Применение системы защиты, состоящей из МЭ ССПТ-2, позволяющих эффективно управлять пропускной способностью виртуальных соединений, а также функционирующих в режиме скрытной фильтрации позволяет не только гарантировать безопасность сетевых приложений, по и повышает простоту и надежность работы системы защиты в целом,
На основе разработанных алгоритмов были выполнены программные реализации подсистем классификации, контроля и приоритетной обработки пакетного трафика. В главе 4 были представлены следующие результаты данной разработки:
Приведено описание, область применения, режимы работы и функциональные возможности, межсетевого экрана ССПТ-2, в состав программного обеспечения которого вошли реализованные алгоритмы. Показано, что основным в работе межсетевого экрана является скрытный режим инспектора состояний виртуальных соединений. % Рассмотрены архитектура и состав подсистемы фильтрации, назначение и требования к модулям подсистемы. Основными модулями подсистемы являются таблица векторов состояний виртуальных соединений, политика доступа в виде набора правил фильтрации, а также модули контроля состояний технологического и информационного виртуальных соединений. 3. Описано использование разработанной модели разграничения доступа и управления пропускной способностью виртуального соединения в рамках космического эксперимента «Контур» при телематическом управлении роботом с использованием каналов спутниковой связи па борту МКС.
В диссертационной работе решалась задача разграничения доступа в компьютерных сетях на основе классификации и приоритетной обработки пакетного трафика, В ходе решения поставленной задачи бтлли получены следуюптие выводы и результаты
Операция доступа субъекта к объекгу в сетевой среде сопровождается в оз ни тагонением информационного потока в виде последовательности пакетов, которая именуется в работе технологическим виртуальным соединением Решение задач по обработке трафика в компьютерных сетях, в том числе и связанных с разграничением доступа, требуют формального описания виртуальных соединений. Предложен метод формализованного описания процессов межсетевого взаимодействия, учитывающих особенности информационных моделей объектов доступа и характеристики совремешшх протоколов. Предложенный .метод формализации позволяет существенно сократить временные затраты на решение задач классификации виртуальных соединений, а также осуществить автоматизацию процесса настройки правил фильтрации в соответствии с требованиями политики разграничения доступа и особенностями реализации транспортных протоколов. Разработан алгоритм оперативной классификации информационных виртуальных соединений на основе полиномиального представления характеристической функции, описывающей требование политики разграничения доступа на основе оценки параметров технологических виртуальных соединений и повышающий производительность средств разграничения доступа. 3. Основным фактором, осложняющим использование моделей сетевого трафика в реальном масштабе времени, служит громозд кость численного решения задач теории массового обслуживания. В диссертационной работе предложен алгоритм приоритетной обработки пакетного трафика, позволяющий решать задачу приоритетной обработки пакетного трафика в реальном масштабе времени в различных режимах функционирования компьютерной сети, в том числе в режимах перегрузки.
