________________________________________
Е. Б. Давыдов, Ю.Д. Юраков
Указаны особенности решения задач обеспечения сетевой безопасности в России, дана характеристика сетевой технологии, разработанной НИИ 'Масштаб'.
Одной из характерных особенностей нашего времени является проникновение во все сферы человеческой деятельности компьютерных технологий. Как и во всех, явлениях человеческой деятельности такого масштаба наряду с огромным числом положительных факторов возникают отрицательные явления, не учитывая которые можно практически свести к нулю весь положительный потенциал данной области. Одной из таких проблем компьютерных технологий является компьютерная преступность.
Рассматривая данную проблему можно выделить следующие виды компьютерной преступности: незаконное присвоение технических и программных средств, несанкционированное использование существующих программных продуктов, распространяемых фирмами — разработчиками на твердых носителях; сетевая компьютерная преступность. Генеральным направлением развития современных компьютерных технологий является объединение отдельных вычислительных устройств в компьютерные сети, а также построение на базе вычислительных средств сетей передачи данных различного назначения. Компьютерные сети применяются в настоящее время для решения самых различных задач, в частности, для построения распределенных баз данных, обмена информацией между отдельными пользователями, построения распределенных вычислительных систем для решения сложных научно-технических, производственных и хозяйственных задач. Естественно, что при таком мощном проникновении сетевых технологий во все сферы деятельности человека на первое место выдвигается задача обеспечения безопасности функционирования сетей и безопасности передаваемой по сетям информации. Как показывает опыт мирового развития, одновременно с появлением сетевых технологий возникла и сетевая компьютерная преступность, борьба с которой требует больших интеллектуальных и финансовых затрат. Необходимо отметить, что применение только законодательных мер в данной области практически не может решить данную проблему. Для того чтобы определить возможные меры выявления фактов компьютерных преступлений и разработки соответствующих противодействующих мер необходимо определить основные виды сетевой компьютерной преступности.
Компьютерные преступления в сетях можно условно разделить на две группы — несанкционированный доступ к информационным и программным ресурсам пользователей сетей и нарушение функционирования компьютерных сетей.
Несанкционированный доступ к информационным и программным ресурсам пользователей сетей. В данную группу входят следующие виды компьютерных преступлений:
Использование средств, предусмотренных в стандартных протоколах построения сетей (модель OSI). Фактически обязательным является применение следующих методов: организация доменов безопасности как на уровне транспортной сети, так и на уровне сервиса электронной почты; регистрация попыток пользователей установления соединений вне заданных доменов безопасности; протокольная аутентификация устанавливаемых соединений; определение доступного сервиса для каждого конкретного абонента, а также ряд других.
Использование криптографических методов защиты передаваемой и хранящейся в сети пользовательской информации. В настоящее время криптографическая защита применяется на канальном, транспортном и прикладном уровнях модели OSI. В работе [1] отмечается высокая эффективность использования шифрования на транспортном уровне, применение которого позволяет даже без закрытия информации на прикладном уровне обеспечить необходимый уровень защиты информации пользователя на всех трактах транспортной сети вне зависимости от типа коммутационного оборудования. Реальным объектом, в котором решаются вопросы транспортного шифрования, как правило, является устройство удаленного доступа.
Использование специальных методов идентификации и аутентификации пользователей. Аутентификация и идентификация пользователей обеспечивает проверку санкционированности доступа пользователей к сети и регламентацию прав конкретного пользователя на получение прикладного и сетевого сервисов. В этих целях в состав сетей вводятся программные и аппаратные средства предотвращения и регистрации несанкционированных действий как пользователей, так и обслуживающего персонала сети. Например, в устройствах удаленного доступа, обеспечивающих доступ пользователей к транспортной сети, имеются специальные программно-технические средства — блокираторы. На абонентском уровне применяются специальные программы — брандмауэры, обеспечивающие защиту от несанкционированных действий как удаленных абонентов, так и обслуживающего персонала сети.
В настоящее время в США проводятся работы по комплексному решению вопросов обеспечения безопасности компьютерных сетей, в рамках которых разрабатывается архитектура компьютерной безопасности — проект OSA (Open Security Architecture) [1].
В рамках данной архитектуры создается среда, в которой возможно следующее:
В ОТД ИСТОК безопасность достигается комплексом алгоритмических криптографических, программно-аппаратных и организационных мер.
Информация пользователя защищается в процессе ее обработки и хранения в элементах сети и на всех участках ее передачи между элементами сети.
Защита информации и параметров обмена в каналах связи осуществляется за счет применения аппаратуры линейного засекречивания.
Ряд типов абонентских пунктов оснащены аппаратурой абонентского засекречивания "Криптон 3", обеспечивающей защиту информации на всем пути следования от отправителя к получателю.
В абонентских пунктах установлены два уровня полномочий обслуживающего персонала оператора и администратора, реализуемых с помощью парольного доступа к информационным ресурсам.
Защита от несанкционированного доступа и ввода ложных сообщений со стороны обслуживающего персонала коммутационных узлов осуществляется системой защиты, также построенной на принципах разграничения и контроля доступа. С этой целью предусмотрена идентификация и регистрация рабочих мест операторов, регистрация попыток несанкционированных действий операторов элементов сети.
Сетевыми средствами предусмотрен контроль доступа абонента в сеть с помощью процедур идентификации.
Производится идентификация элементов сети на всем пути прохождения информации от отправителя до получателя.
Осуществляется регистрация и временная индексация передаваемой по сети информации. Пользователь имеет возможность запросить сведения о прохождении отправленного сообщения при возникновении конфликтной ситуации.
В узлах коммутации производится архивация передаваемой информации. Таким образом обеспечивается защита от некорректных отказов отправителя и получателя от факта передачи или приема сообщения, где в роли независимого эксперта выступает администрация сети.Существует возможность объединения абонентов в замкнутую группу с исключением обмена между различными группами. Связь между абонентами замкнутых групп возможна только при выполнении правил парольного доступа. При этом адрес получателя защищен контрольными разрядами, а адрес отправителя — контрольной суммой сообщения.
Эти и ряд других мер помимо криптографической защиты предотвращают некорректные обращения абонентов друг к другу, формирование ложных сообщений, засылку не по адресу, их модификацию в результате случайных Искажений, ошибочные и некорректные действия обслуживающего персонала и действий злоумышленников на сета
Преобладающее использование зарубежных сетевых технологий, по нашему мнению, не может на должном уровне решить проблему обеспечения безопасности и предотвращения сетевых компьютерных преступлений (особенно это касается общегосударственных и специальных ведомственных сетей), что связано со следующими причинами.
Как правило, в современных зарубежных сетевых технологиях на должном уровне решаются протокольные методы защиты. Однако все эти методы должны поддерживаться соответствующими реализациями систем управления, которые в рамках проблем обеспечения безопасности должны решать следующие задачи: организация доменов безопасности, регистрация и предотвращение фактов несанкционированного доступа, ведение информационных служб паролей и идентификаторов, контроль и регулирование трафика сети, а также ряд других важных функций.
В покупаемых системах данные службы как правило сдаются "под ключ", без передачи соответствующих исходных Модулей, что влечет за собой практически полное отсутствие контроля за функционированием системы управления, возможность введения программных закладок, отсутствие возможности модификации программного обеспечения с целью, введения в его состав специфических, необходимых для конкретной сети систем контроля и обеспечения безопасности.
В состав технологий зарубежных сетей практически невозможно введение отечественных средств криптозащиты как линейного, так и абонентского уровней.
При реализации сетевых технологий двойного назначения для обеспечения требуемых показателей безопасности, как правило, не достаточно соответствующих протокольных методов защиты. Введение в состав зарубежных средств специальных методов обеспечения безопасности практически невозможно.
Исходя из вышесказанного и учитывая важность решения задачи предотвращения компьютерных преступлений и обеспечения требуемой безопасности функционирования отечественных компьютерных сетей, авторы предлагают рассмотреть возможные научно-технические шаги по решению данной проблемы отечественных сетевых технологий.
Выполнение поставленных требований в сетевой технологии достигается следующими средствами.
Транспортная сеть, применяемая для передачи всех видов информации, использует метод пакетной коммутации. Такое решение основывается на следующих предпосылках:
Для управления транспортной сетью разработана соответствующая архитектура управления, которая учитывает возможность иерархического наращивания транспортной сети, требования безопасности, возможность оперативных модификаций по требованию конкретных заказчиков для соответствующих ведомственных сетей. Архитектура управления построена на базе объектоориентированных принципов. Реализация архитектуры управления основывается на базе специально выделенных серверов управления и агентов управления, располагаемых в каждом из элементов транспортной сети, следовательно, метод выполнения процедур управления строится по модели взаимодействия client-server.
Программное обеспечение архитектуры управления позволяет выполнять следующие функции:
При разработке методов реализации сервиса электронной почты в качестве исходного было принято положение, что в настоящее время разработаны и эксплуатируются почты, работающие по различным протоколам, в частности, почта сети "Исток", почта MHS, почта Х400, а также ряд других. Учитывая это, при разработке сервиса электронной почты принято следующее решение. Основным протоколом передачи сообщений в сетевой архитектуре является протокол Х400, в котором наиболее полно из всех существующих протоколов представлен перечень требуемых услуг и на достаточном уровне проработаны вопросы обеспечения безопасности обрабатываемых сообщений. Для обеспечения полно доступности сети на уровне сообщений в сервере обработки сообщений предусмотрены меры по обеспечению в случае необходимости преобразования протоколов передачи сообщений. Объектоориентированная структура построения сервера позволяет оперативно вводить в его состав требуемые объекты по взаимному преобразованию специализированных протоколов и протокола Х400.
Как показывает опыт эксплуатации существующих компьютерных сетей, значительная доля в причинах нарушения безопасности функционирования сетей исходит от неправильных или преднамеренно несанкционированных действий пользователя. В рассматриваемой сетевой технологии для защиты от этой группы причин используются следующие методы.
Один из основных элементов сетевой технологии — сервер удаленного доступа, который является многовходовым, многофункциональным устройством, обеспечивающим точки доступа к транспортной сети. Любые абоненты могут быть подключены к транспортной сети только посредством данного устройства. Основные функции сервера удаленного доступа — это обеспечение полнодоступности сети для пользователей, работающих на транспортном или сетевом уровнях по различным протоколам и обеспечение санкционированное™ доступа абонентов к транспортной сети. Обьектоориентированная структура данного позволяет настраивать индивидуально каждый порт на конкретный протокол обмена с пользователем. В зависимости от конфигурации сети одни или несколько портов используются для взаимодействия с транспортной сетью. В настоящее время в сервере удаленного доступа обеспечивается возможность подключения пользователей, работающих по следующим протоколам: Х25, Х28, TCP/АР (РРР), Ethernet (TCP/АР), а также ряд специальных протоколов. Наличие в сервере специализированной базы данных позволяет сравнительно простыми средствами без изменения таблиц маршрутизации коммутационных элементов решить вопрос подключения мобильных пользователей.
Вторая функция сервера удаленного доступа — это проверка прав доступа к транспортной сети. Данное устройство реализует функции идентификации и аутентификации подключаемых к сети абонентов. К сожалению, из-за отсутствия аппаратуры или программных средств не решаются вопросы транспортной защиты передаваемой пользовательской информации, которая, по оценкам зарубежных специалистов, является одним из эффективных средств обеспечения безопасности передаваемой по сети информации.
При рассмотрении основных аспектов сетевой технологии видно, что при построении любого элемента сети наряду с решением процедур по передаче и обработке потоков пользовательской информации обязательно учитывались вопросы обеспечения безопасности. Для согласования процедур обеспечения безопасности на всех протокольных уровнях сети в рамках сетевой технологии была разработана архитектура безопасности. Необходимо отметить, что авторы разработки архитектуры безопасности четко понимают, что несмотря на ее определенную автономность она входит (должна входить) составной частью в архитектуру безопасности компьютерных сетей.
Архитектура безопасности строится по централизованно-децентрализованному принципу, согласно которому в каждом элементе сети имеется один или несколько специализированных объектов обеспечения безопасности (security agent), которые с одной стороны обеспечивают интерфейс с прикладными объектами элементов сети, а с другой — формируют информационно-функциональную архитектуру безопасности сети. Для решения вопросов ведения ключевой информации на сети в ее состав вводится сервер безопасности (server security). Такое решение позволит на основе существующих и реализованных технических решений в дальнейшем развить данную технологию до реализации, соответствующей общемировому уровню.
Протоколы и компоненты обеспечения безопасности. Основополагающий принцип построения транспортной сети — обязательная, криптографическая защита всех видов передаваемой информации на канальном уровне. Все разработанные в рамках данной технологии элементы сети рассчитаны на возможность использования аппаратуры линейного закрытия каналов.
В сетевой технологии реализованы все методы обеспечения безопасности, предусмотренные в стандартных протоколах передачи информации всех уровней модели OSI. Наиболее эффективным из них является организация доменов без7 опасности, позволяющая разграничить потоки информации между различными группами пользователей и выявить факты несанкционированного доступа пользователей в защищенные домены.
Одним из эффективных методов обеспечения безопасности компьютерных сетей является проверка прав доступа на входе сетей передачи данных. В сетевой технологии для этих целей используются серверы удаленного доступа и серверы прикладных служб.
Рассматривая состояние дел в существующих компьютерных сетях можно сделать вывод, что эффективное его решение возможно лишь в случае соответствующей алгоритмической и технической поддержки на уровне сети. Безопасность функционирования сетей — это один из важнейших аспектов выявления и пресечения компьютерных преступлений.
Большинство создаваемых в последнее время сетей основаны на применении зарубежных технологий, что в ракурсе вопросов обеспечения безопасности может привести к рассмотренным выше последствиям. Применение зарубежных технологий очень часто обосновывается отсутствием соответствующих отечественных технических решений и их реализаций. Выше была рассмотрена отечественная сетевая технология, в которой на достаточном техническом уровне решена значительная часть вопросов обеспечения безопасности функционирования сети. В настоящее время сеть, построенная по изложенным выше принципам, построена и прошла государственные испытания.
Необходимо учитывать, что не по всем аспектам, предложенным в данной сетевой технологии, имеются соответствующие технические решения, наиболее важными из которых являются следующие.
Не решен вопрос криптографической защиты информации пользователя на транспортном уровне, которая, по оценкам зарубежных специалистов, является эффективным средством обеспечения безопасности передаваемой информации. Решение данного вопроса связано с необходимостью проведения алгоритмических и технических разработок, которыми могут заниматься только соответствующие организации. По имеющимся в настоящее время у авторов сведениям таких разработок в настоящее время в России не проводится.
Учитывая тенденции развития компьютерной техники и каналообразующей аппаратуры (модемы) насущной проблемой становится вопрос криптографической защиты асинхронных каналов связи. Аппаратуры криптографической защиты, удовлетворяющей поставленным требованиям как по характеристикам каналов, так и по обеспечению заданной стойкости в настоящее время в России также не существует.
Для эффективного применения рассмотренной сетевой технологии при построении безопасных компьютерных сетей целесообразно включить решение этих вопросов в Федеральную программу обеспечения безопасности компьютерных сетей.
Применение соответствующей сетевой технологии является одним из аспектов решения проблемы обеспечения безопасности компьютерных сетей. Следующим аспектом является введение в контур обеспечения безопасности компьютеров пользователя, входящих в состав компьютерных сетей. Основной трудностью является практически полное засилье зарубежного программного обеспечения, особенно это относится к системным средствам.
Для комплексного решения данной проблемы необходимо разработать отечественную архитектуру безопасности, в которую должны входить две компоненты — сетевая технология безопасных сетей и набор программно-аппаратных средств, включаемых в состав компьютеров пользователей. Примером может служить OSA, разрабатываемая в настоящее время в США. Средства, разработанные а рамках данной архитектуры, должны стать обязательными для применения пользователями ведомственных сетей. Программные компоненты могут включаться в состав сертифицированных соответствующими организациями операционных систем. Разработка архитектуры должна быть включена в федеральную программу обеспечения компьютерной безопасности. Исполнителями данного проекта должны быть организации, отвечающие за безопасность компьютерных технологий, и предприятия, занимающиеся разработкой отечественных компьютерных сетей.