вращающими или существенно затрудняющими хищение средств вычислительной техники (СВТ), информационных носителей, а также НСД к СВТ и линиям связи;
*выбор класса защищенности ИТКС в соответствии с особенностями обработки информации (технология обработки, конкретные условия эксплуатации ИТКС) и уровнем ее конфиденциальности;
*организация службы безопасности информации (ответственные лица, администратор ИТКС), осуществляющей учет, хранение и выдачу информационных носителей, паролей, ключей, ведение служебной информации (генерацию паролей, ключей, сопровождение правил разграничения доступа), приемку включаемых в ИТКС новых программных средств, а также контроль за ходом технологического процесса обработки конфиденциальной информации и т.д.;
Если в ИТКС должна обрабатываться или храниться секретная информация необходимо ориентироваться на классы защищенности ИТКС не ниже (по группам) 3А, 2А, 1А, 1Б, 1В и использовать сертифицированные средства вычислительной техники (в соответствии с РД "Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности СВТ"): не ниже 4 класса для класса защищенности ИТКС 1В; не ниже 3 класса для класса защищенности ИТКС 1Б; не ниже 2 класса для класса защищенности ИТКС 1А.
265
14.МЕЖСЕТЕВОЕ ЭКРАНИРОВАНИЕ И ТРЕБОВАНИЯ
КМЕЖСЕТЕВЫМ ЭКРАНАМ
Впредыдущих разделах отмечалось, что работа межсетевых экранов основана на динамическом выполнении двух групп функций: 1) фильтрации проходящих через него информационных потоков; 2) посредничества при реализации межсетевых взаимодействий. В зависимости от типа экрана эти функции выполняются с различной полнотой. Простые экраны выполняют одну из указанных функций. Комплексные экраны обеспечивают совместное выполнение указанных функций.
Фильтрация трафика состоит в выборочном пропускании информационных потоков через экран, возможно, с выполнением некоторых преобразований и извещением отправителя о том, что его данным в пропуске отказано. Фильтрация осуществляется на основе набора правил, предварительно загруженных в экран и являющихся выражением сетевых аспектов принятой политики безопасности.
Вкачестве критериев анализа могут быть:
служебные поля пакетов сообщений, содержащие
сетевые адреса, идентификаторы, адреса интерфейсов,
номера портов и др.;
непосредственное содержимое пакетов сообщений, проверяемое, например, на наличие компьютерных вирусов;
266
внешние характеристики потока информации, например, временные, частотные характеристики, объем данных и т.п.
Функции посредничества межсетевой экран выпол-
няет с помощью специальных программ, называемых экранирующими агентами или просто программами – посредниками. Они являются резидентными и запрещают непосредственную передачу пакетов сообщений между внешней и внутренней сетью. При необходимости доступа из внутренней сети во внешнюю или наоборот вначале должно быть установлено логическое соединение с программой – посредником, функционирующей в компьютере экрана. Программам – посредник проверяет допустимость запрошенного межсетевого взаимодействия и при его разрешении сама устанавливает отдельное соединение с требуемым компьютером. Дальнейший обмен осуществляется через программу – посредника. При этом может осуществляться фильтрация потока сообщений и выполняться другие защитные функции (идентификация и аутентификация пользователей; проверка подлинности передаваемых данных; разграничение доступа к ресурсам внутренней сети;
разграничение доступа к ресурсам внешней сети; преобразование потока сообщений, например, динамический поиск вирусов и шифрование информации; трансляцию внутренних сетевых адресов для исходящих пакетов сообщений; регистрацию событий, реагирование на задаваемые события, а также анализ зарегистрированной информации и генерацию отчетов; кэширование данных, запрашиваемых из внешней сети и др.)
В зависимости от того, на каком уровне модели OSI поддерживается безопасность межсетевого взаимодействия, различают следующие виды (классы) экранов: экра-
267
нирующие маршрутизаторы; шлюзы сеансового уровня; прикладные шлюзы.
Экранирующий маршрутизатор, который называют еще пакетным фильтром, предназначен для фильтрации пакетов сообщений и обеспечивает прозрачное взаимодействие между внутренней и внешней сетями. Он функционирует на сетевом уровне модели OSI, но для выполнения своих отдельных функций может охватывать и транспортный уровень. Решение о том, пропустить и отбраковать данные, принимается для каждого пакета независимо на основе заданных правил фильтрации. Для принятия решения анализируются заголовки пакетов сетевого и транспортного уровня. В качестве анализируемых полей IP- и TCP-заголовков каждого пакета выступают: адрес отправителя; адрес получателя; тип пакета; флаг фрагментации пакета; номер порта источника; номер порта получателя. Первые 4 параметра относятся к IP, а остальные к TCPзаголовку.
При обработке пакета экранирующий маршрутизатор последовательно просматривает заданную таблицу правил, пока не найдет правило, с которым согласуется вся совокупность параметров пакета. Если таковых нет, то пакет отбраковывается.
Шлюз сеансового уровня, называемый еще экранирующим транспортом, предназначен для контроля виртуальных соединений и трансляции IP-адресов при взаимодействии с внешней сетью. Защитные функции относятся к функциям посредничества. Контроль виртуальных соединений заключается в контроле квитирования связи, а также контроле передачи информации по установленным виртуальным каналам. При контроле квитирования шлюз определяет, является запрашиваемый сеанс связи допустимым. Эта процедура состоит из обмена ТСР-пакетами, которые
268
помечаются флагами SYN (синхронизировать) и ACK (подтвердить). Сеанс считается допустимым только в том случае, когда флаги SYN и ACK, а также числа, содержащиеся в заголовках ТСР-пакетов, оказываются логически связанными друг с другом. После того как шлюз определил, что рабочая станция внутренней сети и компьютер внешней сети являются авторизованными участниками сеанса, и проверил допустимость данного сеанса, он устанавливает соединение. Начиная с этого момента шлюз копирует и перенаправляет пакеты туда и обратно, контролируя передачу информации по установленному виртуальному соединению. Он поддерживает таблицу установленных соединений. Когда сеанс завершается, из таблицы удаляется соответствующая запись. Шлюз сеансового уровня обеспечивает трансляцию внутренних адресов сетевого уровня (IP-адресов) при взаимодействии с внешней сетью. При этом IP-адреса пакетов, следующих из внутренней сети во внешнюю, автоматически преобразуются в один IPадрес, ассоциируемый с экранирующим транспортом. Это исключает прямой контакт между внутренней и внешней сетью. Недостатки у шлюза сеансового уровня такие же как и у экранирующего маршрутизатора: не обеспечивается контроль и защита содержимого пакетов, не поддерживается аутентификация пользователей и конечных узлов.
На практике большинство шлюзов сеансового уровня не являются самостоятельными продуктами, а поставляются в комплекте со шлюзами прикладного уровня.
Прикладной шлюз, называемый также экранирующим шлюзом, функционирует на прикладном уровне эталонной модели, и обеспечивает наиболее надежную защиту межсетевых взаимодействий. Защитные функции относятся к функциям посредничества, но при этом выполняет-
269