2354
.pdfинформации – анализ настроек и оценка эффективности функционирования средств защиты информации (СЗИ) с предоставлением информации о сбоях в работе СЗИ и наличии узких мест, которые могут быть использованы злоумышленником для получения НСД к данным АС;
Система защиты удаленного доступа – защищенный обмен данными с удаленными АРМ за счет применения средств аутентификации и авторизации, средств контроля целостности, а также посредством обеспечения защиты информации при обмене с АРМ удаленных абонентских пунктов по открытым каналам связи;
Система аудита – регистрация критичных событий, связанных с безопасностью как в пределах локальных ресурсов, так и системы в целом;
Система управления конфигурацией средств защиты информации – централизованное управление конфигурацией всех служб и сервисов системы безопасности;
Система защиты серверов и АРМ – ограничение доступа к данным на локальных рабочих местах, а также к локальной консоли серверов, межсетевых экранов и активного серверного оборудования;
Система экстренного уничтожения информации – экстренное и полное уничтожение данных, представляющих стратегический интерес для злоумышленников в случае возникновения реальной угрозы захвата информационных ресурсов АС;
Система блокировки загрузки с отчуждаемых носителей
– защита серверов и АРМ от несанкционированного изменения конфигурации и режим функционирования путем загрузки с посторонних носителей информации.
61
2.2.2. Использование информационных технологий, повышающих защищенность
Технологическое направление защиты информации заключаются в использовании при построении АС информационных технологий (ИТ), повышающих защищенность системы в целом. Хотя основное назначение данных ИТ – обеспечивать эффективную работу АС, они также позволяют интегрировать различные организационные, технические и программные методы (средства) обработки и защиты информации в единую систему, эффективность которой (при правильном выборе базовых ИТ) значительно выше простой суммы эффективностей используемых СрЗИ. Технологии, о которых пойдет речь далее (рис. 2.1), направлены, как правило, на физическое разделение информационных ресурсов, сервисов и коммуникаций при одновременном росте их доступности, уровня интеграции и функциональности на логическом уровне. К ним можно отнести прежде всего технологии организации коммуникационной инфраструктуры, а также технологии хранения и доступа к информационным ресурсам АС. Следует отметить, что рассматриваемые ИТ являются, как правило, платформенно (аппаратно и программно) независимыми и могут базироваться на различных программно-технических решениях.
62
Рис. 2.1. Информационные технологии, повышающие защищенность автоматизированной системы
1) К технологиям организации коммуникационной инфраструктуры относятся:
технологии удаленного доступа к сетевым ресурсам;
технологии зонирования (сегментирования) сетей; технологии виртуальных частных сетей.
Технологии удаленного доступа к сетевым ресурсам Данная технология (как системный принцип) лежит в
основе создания сетей любого типа и масштаба и является основной технологией, применяемой в них. Ее главное функциональное преимущество перед локальным доступом к КС состоит в отсутствии необходимости со стороны пользователей присутствовать в точке хранения нужных данных или размещения сервисов обработки информации, а также в возможности многопользовательского доступа к ним. Кроме того, использование на практике технологий удаленного доступа к информационным и вычислительным ресурсам как средства ЗИ позволяет прежде всего обеспечить отсутствие
63
физического доступа пользователей как в помещения, в которых установлены ТС обработки защищаемой информации, так и к самим ТС. Необходимость взаимодействия пользователей с КС через созданные для этого коммуникационные каналы позволяет накладывать различные ограничения, не влияющие на эффективность КС, но затрудняющие их несанкционированное использование. Вариантами данной технологии являются системы удаленных терминалов, локальные, корпоративные и глобальные сети, различные сети связи.
Технологии зонирования (сегментирования) сетей При наличии необходимости физически разделить
некую корпоративную сетевую инфраструктуру по признаку структурной принадлежности или степени конфиденциальности циркулирующей информации без нарушения логической целостности сетей используют технологии их зонирования (сегментирования). Для реализации данных технологий используются различные технические средства (коммутаторы, маршрутизаторы, гальванические развязки...) и программные системы (брандмауэры, шлюзы, разделители протоколов).
Технологии виртуальных частных сетей.
Технологии VPN (virtual private network – виртуальная частная сеть) обеспечивает связь между сетями, а также между удаленным пользователем и корпоративной сетью с помощью защищенного канала (тоннеля), «проложенного» в общедоступной сети типа Интернет. Данные, передаваемые по виртуальной частной сети, упаковываются в зашифрованные IP-пакеты. Виртуальная частная сеть может быть развернута на базе Интернет или построена на инфраструктуре других транспортных сетей: IP, Frame Relay или ATM. Технология VPN позволяет эффективно решать задачи территориального расширения корпоративных сетей, подключения к ним
64
удаленных пользователей, объединения партнеров и т.п. Технологические решения различных производителей на базе VPN очень разнообразны: от интегрированных многофункциональных и специализированных устройств до чисто программных продуктов:
Интегрированные VPN-решения включают функции межсетевого экрана, маршрутизации и коммутации. Главное преимущество такого подхода состоит в централизации управления компонентами и снижении расходов на сетевое оборудование, когда все функции сосредоточены в одном устройстве. При этом следует отметить, что чем больше функций исполняется одним устройством, тем чаще становятся заметными потери в производительности.
Специализированные VPN-системы обеспечивают более высокую производительность, так как шифрование в них осуществляется специализированными микросхемами (объем вычислений, которые необходимо выполнить при обработке VPN-пакета, в 50-100 раз превышает тот, который требуется для обработки обычного пакета). Специализированные VPNустройства обеспечивают также более высокий уровень безопасности.
Программные VPN-решения уступают по производительности специализированным устройствам, однако обладают достаточной мощностью для реализации VPN-сетей. При создании модемного соединения даже у мобильного компьютера хватает вычислительной мощности.
Существует несколько типов физических реализации VPN-технологий, каждая из которых характиризуется определенным набором функциональных требований. Можно выделить три основных вида архитектуры применения VPNпродуктов:
а) Intranet VPN - создание VPN-ceтей между внутренними корпоративными отделами и удаленными филиалами, для нее характерны:
применение мощных криптографических протоколов
65
шифрования данных для защиты конфиденциальной информации;
надежность функционирования при выполнении критических приложений, таких, как системы автоматизированной продажи и системы управления базами данных;
гибкость управления для более эффективного размещения быстро возрастающего количества новых пользователей, новых офисов и новых программных приложений.
б) Remote Access VPN – создание VPN-сетей,
объединяющих корпоративную сеть и удаленных или мобильных служащих. Ее свойства:
мощная система установления подлинности удаленных и мобильных пользователей, которая должна с максимальной точностью и эффективностью провести процедуру аутентификации;
эффективная система централизованного управления для обеспечения высокой степени гибкости при увеличении количества пользователей, работающих с
VPN.
в) Extranet VPN – создание VPN-ceтей, объединяющих корпорацию с ее стратегическими партнерами, клиентами и поставщиками. Для нее используются стандартизированные VPN-продукты, гарантирующие способность к взаимодействию с различными VPN-решениями, которые деловые партнеры могли бы применять в своих сетях.
Преимуществами использования VPN-продуктов являются:
независимость от криптографии – возможность подключения модулей криптографии от третьих производителей что позволяет их использовать в любой стране мира в соответствии с принятыми национальными стандартами;
66
масштабируемость, позволяющая подбирать оптимальное по стоимости и надежности решение с возможностью постепенного наращивания мощности системы защиты; наличие открытых интерфейсов для интеграции с
другими программными системами и бизнесприложениями; гибкость установки и настройки позволяет внедрить
систему безопасности, не меняя сетевой конфигурации корпоративной сети;
экономичность – при использовании VPN-продуктов не требуются специальные каналы для передачи конфиденциальной информации; поддержка международных стандартов, совместимость с другими продуктами.
2) К технологиям хранения информационных ресурсов, повышающим защищенноть КС, относятся:
технологии распределенного хранения данных на физическом уровне (RAID-массивы и сети хранения данных (SAN))
технологии баз (хранилищ) данных, интегрирующих
иразделяющих информацию на логическом уровне.
Ктехнологиям доступа к информационным ресурсам, повышающим защищенноть КС, относятся:
веб-технологии;
технологии «клиент-сервер».
Технологии распределенного хранения данных Базовым решением в данной области является
технология RAID. При организации RAID в системах хранения данных (СХД) дополнительно к защите целостности данных имеется несколько функциональных преимуществ, одно из которых – скорость доступа к информации. Организация
67
дисков в RAID – это «нижнее звено», первый эшелон защиты информации и повышения скорости обработки. С точки зрения пользователя или ПО, скорость определяется не только пропускной способностью системы (Мбайт/с), но и числом транзакций – то есть числом операций ввода-вывода в единицу времени (IOPS). Увеличению IOPS способствует большее число дисков и методики повышения производительности, которые предоставляет контроллер RAID (к примеру, кэширование).
На следующем уровне находятся устройства NAS
(Network Attached Storage) – устройства хранения,
подключённые напрямую в сеть. NAS-устройства представляют из себя комбинацию системы хранения данных и сервера, к которому она подключена.
NAS-устройства могут быть простейшими – с одним портом Ethernet и двумя жёсткими дисками в RAID1, позволяющими доступ к файлам по лишь одному протоколу
CIFS (Common Internet File System) до огромных систем в которых могут быть установлены сотни жёстких дисков, а файловый доступ обеспечивается десятком специализированных серверов внутри NAS-системы. Число внешних Ethernet-портов может достигать многих десятков, а ёмкость хранимых данных – несколько сотен терабайт. NASустройства хороши в гетерогенной среде, где необходим быстрый файловый доступ к данным для многих клиентов одновременно. Также обеспечивается отличная надёжность хранения, гибкость управления системой и простота обслуживания. Доступ к файлам в рамках единой NAS-системы может быть получен по протоколам TCP/IP, CIFS, NFS, FTP, TFTP и другим, что обеспечивает функционирование с различным ОС, установленными на серверах. Лёгкость обслуживания и гибкость управления обеспечиваются специализированной ОС, которую трудно вывести из строя и не нужно обслуживать, а также простотой разграничения прав доступа к файлам.
68
Еще более высоким уровнем являются сети хранения данных (SAN – Storage Area Network), которые чаще всего основываются на стеке протоколов FibreChannel и в простейшем случае состоят из СХД, коммутаторов и серверов, объединённых оптическими каналами связи.
Серверы имеют резервированные пути доступа – в каждом установлено по два адаптера FibreChannel (HBA – Host Base Adapters), позволяющие подключить устройство к SAN. Устройство хранения имеет 4 порта, которыми оно подключено в 2 коммутатора. Предполагая, что внутри имеется два резервируемых процессорных модуля. Такая схема обеспечивает доступ к любым данным, находящимся на СХД, при выходе из строя любого процессорного модуля, коммутатора или пути доступа. Данное подключение серверов называется подключением с высокой доступностью (high availability). В SAN также имеется возможность загрузки серверов с СХД, чем с серверов окончательно снимается задача хранения каких-либо данных. Устройства, которые возможно подключить в SAN, не ограничены только дисковыми СХД – это могут быть дисковые библиотеки, ленточные библиотеки (стримеры), устройства для хранения данных на оптических дисках. Из минусов SAN можно отметить лишь высокую стоимость её компонентов, а основные плюсы следующие:
высокая надёжность и скорость доступа к данным;
независимость топологии SAN от используемых СХД и серверов;
централизованное хранение данных (надёжность, безопасность) и управление коммутацией и данными; перенос трафика ввода-вывода в отдельную сеть,
разгружая LAN;
масштабируемость и гибкость логической структуры
SAN;
возможность оперативно распределять ресурсы между серверами;
простая схема резервного копирования.
69
Технологии баз (хранилищ) данных Существуют две основные концепции организации
хранения информационных ресурсов КС на логическом уровне, повышающие их защищенность – централизация и распределенность. Концепция централизации реализуется, как правило, в форме некоего центрального узла, объединяющего информационные ресурсы КС. Принцип централизации хранения информации при условии удаленного доступа к ней со стороны пользователей является оптимальным с точки зрения ряда критериев. Конкретной реализацией этого принципа является интегрированный банк данных, представляющий собой на логическом уровне целостную систему взаимосвязанных баз данных, которые при этом могут быть физически расположены на разных серверах и сегментах сети. Именно структурированные базы данных обладают необходимыми свойствами для наиболее оптимального хранения информации: позволяют хранить данные различных типов и форматов наиболее органичным для них способом; раскладывать каждый элемент данных на свою "полку", что облегчает поиск и извлечение информации. Если с базами данных предполагается работа многих пользователей, то существенными с точки зрения ЗИ становятся такие элементы, как методы организации доступа к данным и их обработки, а также СрЗИ СУБД.
Важным направлением развития этой технологии является использование концепции «распределенных баз данных». Потребность в ее использовании обусловлена необходимостью хранения больших объемов разнообразной информации и организации доступа нескольких групп корпоративных пользователей к информационным ресурсам разной степени конфиденциальности по различным каналам связи. Использование концепции "распределенных баз данных" позволяет:
оптимизировать размещение информационных ресурсов по степени использования оборудования и
70