безопасность сетей и каналов передачи данных. Тема Проблемы информационной безопасности сетей Содержание темы

• Название: Тема Проблемы информационной безопасности сетей Содержание темы
• Дата: 09.10.2022
• Размер: 1.46 Mb.
• Имя файла: безопасность сетей и каналов передачи данных.docx
• Тип: Реферат; #723057
• страница: 13 из 14

Тема 9. Методы управления средствами сетевой безопасности

 

Содержание темы:

1.   Задачи управления системой сетевой безопасности.

2.   Архитектура управления средствами сетевой безопасности.

3.   Функционирование системы управления средствами безопасности.

4.   Аудит и мониторинг безопасности.

 

Важнейшим компонентом системы управления корпоративной сетью является система информационной безопасности. Эта система должна:

     централизованно и оперативно осуществлять управляющие воздействия на средства сетевой безопасности;

     проводить регулярный аудит и мониторинг, дающие объективную информацию о состоянии информационной безопасности для принятия оперативных решений.

 

Вопрос 1. Задачи управления системой сетевой безопасности.

 

Сформулируем основные задачи управления системой сетевой безопасности масштаба предприятия. Функционально система управления средствами защиты информации в распределенной сети масштаба предприятия должна решать следующие задачи:

     управление глобальной политикой безопасности (ГПБ) в рамках сети предприятия, формирование локальных политик безопасности (ЛПБ) отдельных устройств и доведения ЛПБ до всех устройств защиты информации;

     управление конфигурацией объектов и субъектов доступа; включает управление составом, версиями, компонентами устройств и ПО защиты, а также управление патчами (patch), которые служат для закрытия дыр, обнаруженных в поставленных продуктах обеспечения безопасности;

     предоставление сервисов защиты распределенным прикладным системам, а также регистрацию защищенных приложений и их ресурсов. Приложения этой группы должны обеспечивать, прежде всего, интерфейс (API) для обеспечения управления сервисами защиты со стороны прикладных систем;

     управление криптосредствами, в частности ключевое управление (ключевая инфраструктура). Ключевая инфраструктура должна функционировать в составе инфраструктурных (системообразующих) служб;

     событийное протоколирование; включает настройку выдачи логов на разные устройства, управление уровнем детализации логов, управление составом событий, по которым ведется протоколирование;

     аудит безопасности ИС; обеспечивает получение и оценку объективных данных о текущем состоянии защищенности ИС, иногда под аудитом безопасности понимают анализ логов, поиск нарушителей и дыр в существующей системе, однако эти функции покрываются, скорее, задачами управления логами;

     мониторинг безопасности системы; обеспечивает получение информации в реальном времени о состоянии, активности устройств и о событиях с контекстом безопасности, происходящих в устройствах, например о потенциальных атаках;

     обеспечение работы специальных защищенных приложений, например нотариального надзора за операциями, поддержка регламентных мероприятий (смена ключей, паролей, устройств защиты, выпуск смарткарт и др.);

     обеспечение работы проектно-инвентаризационной группы приложений; эта группа приложений должна осуществлять:

     определение точек установки средств защиты в сети предприятия;

     S учет применяемых средств защиты;

     S контроль модульного состава средств защиты;

     контроль состояния средств защиты и др.

 

Существует проблема комплексирования и организации взаимодействия традиционных систем управления сетями и систем управления средствами защиты информации в сети. Для решения этой проблемы применяются два основных подхода.

Первый подход заключается в интеграции средств сетевого или системного управления с механизмами управления средств зашиты. Средства сетевого и системного управления ориентированы, в первую очередь, на управление сетью или ИС, т. е. поддерживают традиционные действия и услуги: управление учетными записями пользователей, управление ресурсами и событиями, маршрутизацию, производительность и т. п. Ряд компаний Cisco Systems, Computer Associates, Hewlett Packard, Tivoli Systems пошли по пути интеграции механизмов управления средств защиты в традиционные системы управления сетями. Однако такие комплексные системы управления часто отличаются высокой стоимостью и, кроме того, некоторые аспекты управления безопасностью остаются за пределами внимания этих систем.

Второй подход заключается в использовании средств, предназначенных для решения только задачи управления безопасностью. Например, Open Security Manager (OSM) от Check Point Software Technologies дает возможность централизованно управлять корпоративной политикой безопасности и инсталлировать ее на сетевые устройства по всей компании. Продукт OSM является одним из основных компонентов технологии OPSEC (Open Platform for Secure Enterprise Connectivity), разработанной компанией Checkpoint, он создает интерфейс для управления устройствами сетевой безопасности различных производителей (например, Cisco, Bay, 3Com).

 

Вопрос 2. Архитектура управления средствами сетевой безопасности.

 

Для обеспечения безопасности информационных ресурсов предприятия средства защиты информации обычно размещаются непосредственно в корпоративной сети. МЭ контролируют доступ к корпоративным ресурсам, отражая атаки злоумышленников извне, а шлюзы виртуальных частных сетей (VPN) обеспечивают конфиденциальную передачу информации через открытые глобальные сети, в частности Интернет. Для создания надежной эшелонированной защиты в настоящее время применяются также такие средства безопасности, как системы обнаружения вторжений IDS (Intrusion Detection Systems), средства контроля доступа по содержанию информации, антивирусные системы и др.

Большинство КИС построены на основе программных и аппаратных средств, поставляемых различными производителями.

Каждое из этих средств требует тщательного и специфического конфигурирования, отражающего взаимосвязи между пользователями и доступными им ресурсами. Чтобы обеспечить в гетерогенной КИС надежную защиту информации, нужна рационально организованная система управления безопасностью КИС, которая обеспечила бы безопасность и правильную настройку каждого компонента КИС, постоянно отслеживала происходящие изменения, устанавливала «заплатки» на найденные в системе бреши, контролировала работу пользователей. Очевидно, что чем разнороднее ИС, тем сложнее обеспечить управление ее безопасностью.

 

Основные понятия.

Опыт ведущих предприятий производителей средств сетевой безопасности показывает, что компания сможет успешно реализовать свою политику безопасности в распределенной КИС, если управление безопасностью будет централизованным и не будет зависеть от используемых ОС и прикладных систем. Кроме того, система регистрации событий, происходящих в КИС (события НСД, изменение привилегий пользователей и т. д.), должна быть единой, чтобы администратор смог составить полную картину происходящих в КИС изменений.

Для решения ряда задач управления безопасностью требуется применение единых вертикальных инфраструктур типа каталога Х.500. Например, политика сетевого доступа требует знания идентификаторов пользователей. Эта информация нужна и другим приложениям, например, в системе кадрового учета, в системе однократного доступа к приложениям (Single SignOn) и т. д. Дублирование одних и тех же данных приводит к необходимости синхронизации, увеличению трудоемкости и возможной путанице. Поэтому, чтобы избежать такого дублирования, часто используют единые вертикальные инфраструктуры.

К таким вертикальным структурам, используемым различными пользовательскими подсистемами, работающими на разных уровнях OSI/ISO, относятся:

     инфраструктуры управления открытыми ключами PKI. Следует отметить интересный аспект, пока не получивший широкого распространения, но важный для управления. Сейчас в основном используются цифровые сертификаты в виде так называемых «удостоверений личности» (identity certificates), но уже развиваются и коегде применяются цифровые сертификаты в виде так называемых «верительных грамот» (credential certificates); выдавая и отзывая такие «верительные грамоты», можно более гибко управлять доступом;

     каталоги (например, идентификаторов пользователей и других сведений о пользователях, необходимых в системах управления доступом); примечательно, что каталоги часто используются не только как хранилища данных в них также часто располагаются политики доступа, сертификаты, списки доступа и др.;

     системы аутентификации (обычно RADIUS, серверы TACACS, TACACS+);

     системы событийного протоколирования, мониторинга и аудита. Следует отметить, что эти системы не всегда вертикальны, часто специализируются и работают автономно в интересах конкретных подсистем.

 

Концепция глобального управления безопасностью, позволяющая построить эффективную систему иерархического управления безопасностью гетерогенной сети компании, разработана компанией TrustWorks Systems. Организация централизованного управления безопасностью КИС основана на следующих принципах:

     управление безопасностью корпоративной сети должно осуществляться на уровне ГПБ набора правил безопасности для множества взаимодействий между объектами корпоративной сети, а также между объектами корпоративной сети и внешними объектами;

     ГПБ должна соответствовать бизнес-процессам компании. Для этого свойства безопасности объектов и требуемые сервисы безопасности должны быть описаны с учетом их бизнес-ролей в структуре компании.

     для отдельных средств защиты формируются ЛПБ. Трансляция ЛПБ должна осуществляться автоматически на основе анализа правил ГПБ и топологии защищаемой сети.

 

Учитывая, что методология централизованного управления сетевой безопасностью достаточно полно отражает современные тенденции развития технологий безопасности, рассмотрим подробнее эту методологию и некоторые аспекты ее реализации.

 

Концепция глобального управления безопасностью.

В основе централизованного управления безопасностью КИС лежит концепция глобального управления безопасностью GSM (Global Security Management). Концепция GSM позволяет построить комплексную систему управления и защиты информационных ресурсов предприятия со следующими свойствами:

     управление всеми существующими средствами защиты на базе политики безопасности предприятия, обеспечивающее целостность, непротиворечивость и полноту набора правил защиты для всех ресурсов предприятия (объектов политики безопасности) и согласованное исполнение политики безопасности средствами защиты, поставляемыми разными производителями;

     определение всех информационных ресурсов предприятия через единый (распределенный) каталог среды предприятия, который может актуализироваться как за счет собственных средств описания ресурсов, так и посредством связи с другими каталогами предприятия (в том числе по протоколу LDAP);

     централизованное, основанное на политике безопасности (policy based) управление локальными средствами защиты информации;

     строгая аутентификация объектов политики в среде предприятия с использованием PKCS#11 токенов и инфраструктуры открытых ключей РК1, включая возможность применения дополнительных локальных средств аутентификации LAS (по выбору потребителя);

     расширенные возможности администрирования доступа к определенным в каталоге ресурсам предприятия или частям всего каталога (с поддержкой понятий групп пользователей, доменов, департаментов предприятия), управление ролями как набором прав доступа к ресурсам предприятия, введение в политику безопасности элементов косвенного определения прав через атрибуты прав доступа (credentials);

     обеспечение подотчетности (регистрации всех операций взаимодействий распределенных объектов системы в масштабах корпоративной сети) и аудита, мониторинга безопасности, тревожной сигнализации;

     интеграция с системами общего управления, инфраструктурными системами безопасности (PKI, LAS, IDS).

 

В рамках данной концепции управление, основанное на политике безопасности РВМ (Policy based management) определяется как реализация набора правил управления, сформулированных для бизнес-объектов предприятия, которая гарантирует полноту охвата бизнес-области объектами и непротиворечивость используемых правил управления.

Система управления GSM, ориентированная на управление безопасностью предприятия на принципах РВМ, удовлетворяет следующим требованиям:

     политика безопасности предприятия представляет собой логически и семантически связанную, формируемую, редактируемую и анализируемую как единое целое структуру данных;

     политика безопасности предприятия определяется в едином контексте для всех уровней защиты как единое целое сетевой политики безопасности и политики безопасности информационных ресурсов предприятия;

     для облегчения администрирования ресурсов и политики безопасности предприятия число параметров политики минимизируется.

 

Для того чтобы минимизировать число параметров политики, используются следующие приемы:

1)    групповые определения объектов безопасности;

2)    косвенные определения, например определения на основе верительных (credential) атрибутов;

3)    мандатное управление доступом (в дополнение к фиксированному доступу), когда решение о доступе определяется на основе сопоставления уровня доступа, которым обладает субъект, и уровня конфиденциальности (критичности) ресурса, к которому осуществляется доступ.

 

Система управления GSM обеспечивает разнообразные механизмы анализа политики безопасности за счет средств многокритериальной проверки соответствия политики безопасности формальным моделям концепции безопасности предприятия.

Ниже приводится концепция определения ГИБ (GSP Global Security Policy) сети предприятия и описание построенной на базе ГИБ системы управления безопасностью (policy based security management).

 

Глобальная и локальная политики безопасности.

Глобальная политика безопасности корпоративной сети представляет собой конечное множество правил безопасности (security rules) (Рис. 59.), которые описывают параметры взаимодействия объектов корпоративной сети в контексте информационной безопасности:

     необходимый для соединения сервис безопасности (правила обработки, защиты и фильтрации трафика);

     направление предоставления сервиса безопасности;

     правила аутентификации объектов;

     правила обмена ключами;

     правила записи результатов событий безопасности в системный журнал;

     правила сигнализации о тревожных событиях и др.

 



 

Рис. 59. Структура правила глобальной политики безопасности

 

При этом объектами ГПБ могут быть как отдельные рабочие станции и подсети, так и группы объектов, которые могут включать в себя целые структурные подразделения компании (например, отдел маркетинга или финансовый департамент) или даже отдельные компании (входящие, например, в холдинг). Политика безопасности для каждого объекта в группе автоматически реплицируется всем объектам группы.

Задачи защиты бизнес-объектов распределенной корпоративной системы можно сформулировать в терминах правил, поскольку сетевое взаимодействие можно представить как простую передачу информации между субъектом Subj и объектом Obj доступа на основе некоторого сетевого сервиса защиты SecSrv, настроенного при помощи параметров Р. В результате глобальная политика безопасности предприятия представляется как набор правил вида

При этом отсутствие правила для объекта Obj означает запрет любого доступа к данному Obj.

Для простоты определения целей безопасности предприятия в GSM предусмотрено два типа объектов, выступающих в качестве Subj и Obj. Это пользователь (U) и ресурс (R).

Ресурс R может быть информационным (IR) или сетевым (NR). Пользователь и ресурс могут выступать в любой из форм агрегации, поддерживаемых в системе: группы, домены, роли, департаменты, разделы каталога.

Пример: правило (U, IR, S1) представляет собой правило защиты S1, обеспечиваемое при доступе пользователя U к информационному ресурсу IR. Правило (FRl, IR2, S2) означает разрешение сетевого взаимодействия двух информационных модулей (программ) с необходимостью обеспечения свойств защиты S2.

Политика по умолчанию для доступа к любому защищаемому объекту корпоративной системы представляет собой запретительное правило: все, что не разрешено явно, запрещено. Такое правило обеспечивает полноту защиты информации в сети предприятия и априорное отсутствие «дыр» в безопасности.

Чтобы обеспечить взаимодействие устройств в сети, для них создается и доставляется (в общем случае не по каналам сети) стартовая конфигурация, содержащая необходимые правила настройки устройств только для их централизованного управления стартовая политика безопасности устройства.

Правила ГИБ могут быть распространены как на сетевые взаимодействия, так и на функции контроля и управления самой системы. Функционально правила ГИБ разбиты по группам:

     правила VPN. Правила данного тира реализуются при помощи протоколов IPSec; агентом исполнения правила является драйвер VPN в стеке клиентского устройства или шлюза безопасности (IPX, IP2, VPNRule);

     правила пакетной фильтрации. Они обеспечивают пакетную фильтрацию типа stateful и stateless; исполнение этих правил обеспечивают те же агенты, что исполняют \^/Р№1равила (IP1, IP2, PacketRule);

     ргоху-правила, включая антивирусную защиту «на лету». Эти правила отвечают за фильтрацию трафика, передаваемого под управлением заданных прикладных протоколов; их исполнительным агентом является ргоху-агент, например (User, Protocol, ProxyRule) или (Application, Protocol, ProxyRule);

     правила ayтентифицированного/авторизованного доступа, включая правила Single SignOn. Управление доступом Single SignOn обеспечивает данному пользователю работу на едином пароле или другой аутентификационной информации со многими информационными ресурсами; понятно, что символическая запись правила сетевого доступа легко распространяется на Single SignOn (User, Application, Authentication Scheme). Правила этой группы могут комбинированно исполняться агентами различного уровня, от "УТ^драйвера до proxyагентов; кроме того, агентами исполнения таких правил могут быть системы аутентификации запрос/отклик и продукты третьих разработчиков;

     правила, отвечающие за сигнализацию и событийное протоколирование. Политика протоколирования может оперативно и централизованно управляться агентом протоколирования; исполнителями правил являются все компоненты системы.

 

Набор правил ГИБ является логически целостным и семантически полным описанием политики безопасности в масштабах сети, на основе которой может строиться локальная политика безопасности отдельных устройств.

Локальная политика безопасности. Любому средству защиты, реализующему какой-либо сервис информационной безопасности, необходима для выполнения его работы ЛИБ точное описание настроек для корректной реализации правил аутентификации пользователей, управления доступом, защиты трафика и др. При традиционном подходе администратору приходится отдельно настраивать каждое средство защиты или реплицировать какие-то простейшие настройки на большое число узлов с последующей их корректировкой. Очевидно, что это неизбежно приводит к большому числу ошибок администрирования и, как следствие, существенному снижению уровня защищенности корпоративной сети.

После формирования администратором ГПБ Центр управления на основе интерпретации ГПБ автоматически вычисляет и, если это необходимо, корректирует отдельные ЛПБ для каждого средства защиты и автоматически загружает нужные настройки в управляющие модули соответствующих средств защиты.

В целом, ЛПБ сетевого устройства включает в себя полный набор правил разрешенных соединений данного устройства, исполняемых для обеспечения какой-либо информационной услуги с требуемыми свойствами защиты информации.

Различие между правилами, реализующими ГПБ в сети, и правилами, реализующими ЛПБ конкретного устройства, заключается в том, что в правилах группы ГПБ объекты и субъекты доступа могут быть распределены произвольным образом в пределах сети, а правила группы ЛПБ, включая субъекты и объекты ЛПБ, предназначены и доступны только в пределах пространства одного из сетевых устройств.