Обеспечение безопасности компьютерных сетей
Давыдов Е.Б., Юраков Ю.Д.

Указаны особенности решения задач обеспечения сетевой безопасности в России, дана характеристика сетевой технологии, разработанной НИИ 'Масштаб'.

Одной из характерных особенностей нашего времени является проникновение во все сферы человеческой деятельности компьютерных технологий. Как и во всех, явлениях человеческой деятельности такого масштаба наряду с огромным числом положительных факторов возникают отрицательные явления, не учитывая которые можно практически свести к нулю весь положительный потенциал данной области. Одной из таких проблем компьютерных технологий является компьютерная преступность.

Рассматривая данную проблему можно выделить следующие виды компьютерной преступности: незаконное присвоение технических и программных средств, несанкционированное использование существующих программных продуктов, распространяемых фирмами — разработчиками на твердых носителях; сетевая компьютерная преступность. Генеральным направлением развития современных компьютерных технологий является объединение отдельных вычислительных устройств в компьютерные сети, а также построение на базе вычислительных средств сетей передачи данных различного назначения. Компьютерные сети применяются в настоящее время для решения самых различных задач, в частности, для построения распределенных баз данных, обмена информацией между отдельными пользователями, построения распределенных вычислительных систем для решения сложных научно-технических, производственных и хозяйственных задач. Естественно, что при таком мощном проникновении сетевых технологий во все сферы деятельности человека на первое место выдвигается задача обеспечения безопасности функционирования сетей и безопасности передаваемой по сетям информации. Как показывает опыт мирового развития, одновременно с появлением сетевых технологий возникла и сетевая компьютерная преступность, борьба с которой требует больших интеллектуальных и финансовых затрат. Необходимо отметить, что применение только законодательных мер в данной области практически не может решить данную проблему. Для того чтобы определить возможные меры выявления фактов компьютерных преступлений и разработки соответствующих противодействующих мер необходимо определить основные виды сетевой компьютерной преступности.

Компьютерные преступления в сетях можно условно разделить на две группы — несанкционированный доступ к информационным и программным ресурсам пользователей сетей и нарушение функционирования компьютерных сетей.

Несанкционированный доступ к информационным и программным ресурсам пользователей сетей. В данную группу входят следующие виды компьютерных преступлений:

• заимствование информации пользователей, находящихся в индивидуальных хранилищах и передаваемых по сети, нарушение целостности или модификация информационных ресурсов пользователей;
• заимствование программных продуктов пользователей в целях их несанкционированного использования;
• внедрение в программные продукты программ-вирусов, нарушающих нормальное функционирование пользовательских программ;
• уничтожение программных продуктов пользователя.

Нарушение функционирования компьютерных сетей. В данную группу входят следующие виды компьютерных преступлений:

• несанкционированное получение или модификация информационно-справочных материалов о пользователях сетей;
• внедрение в контур оперативного или административного управления сетью;
• несанкционированное изменение структур обеспечения безопасности функционирования, например, модификация доменов безопасности, преднамеренное или случайное создание мешающего трафика, внедрение программ-вирусов, формирование ложных сообщений пользователя. Анализ компьютерных преступлений, связанных с сетевыми технологиями, показывает, во-первых, их очень широкую номенклатуру, что в значительной степени затрудняет борьбу с ними, и, во-вторых, то, что совершенно реальная возможность их появления может в ряде случаев привести к последствиям общегосударственного масштаба.

В настоящее время в компьютерно развитых странах накоплен большой опыт выявления и борьбы с преступлениями этого типа. Как показывает данный опыт, основной метод борьбы — это соответствующая организация сетевых технологий.

В существующих сетевых технологиях до последнего времени использовались следующие методы обеспечения безопасности компьютерных сетей.

Использование средств, предусмотренных в стандартных протоколах построения сетей (модель OSI). Фактически обязательным является применение следующих методов: организация доменов безопасности как на уровне транспортной сети, так и на уровне сервиса электронной почты; регистрация попыток пользователей установления соединений вне заданных доменов безопасности; протокольная аутентификация устанавливаемых соединений; определение доступного сервиса для каждого конкретного абонента, а также ряд других.

Использование криптографических методов защиты передаваемой и хранящейся в сети пользовательской информации. В настоящее время криптографическая защита применяется на канальном, транспортном и прикладном уровнях модели OSI. В работе [1] отмечается высокая эффективность использования шифрования на транспортном уровне, применение которого позволяет даже без закрытия информации на прикладном уровне обеспечить необходимый уровень защиты информации пользователя на всех трактах транспортной сети вне зависимости от типа коммутационного оборудования. Реальным объектом, в котором решаются вопросы транспортного шифрования, как правило, является устройство удаленного доступа.

Использование специальных методов идентификации и аутентификации пользователей. Аутентификация и идентификация пользователей обеспечивает проверку санкционированности доступа пользователей к сети и регламентацию прав конкретного пользователя на получение прикладного и сетевого сервисов. В этих целях в состав сетей вводятся программные и аппаратные средства предотвращения и регистрации несанкционированных действий как пользователей, так и обслуживающего персонала сети. Например, в устройствах удаленного доступа, обеспечивающих доступ пользователей к транспортной сети, имеются специальные программно-технические средства — блокираторы. На абонентском уровне применяются специальные программы — брандмауэры, обеспечивающие защиту от несанкционированных действий как удаленных абонентов, так и обслуживающего персонала сети.

В настоящее время в США проводятся работы по комплексному решению вопросов обеспечения безопасности компьютерных сетей, в рамках которых разрабатывается архитектура компьютерной безопасности — проект OSA (Open Security Architecture) [1].

В рамках данной архитектуры создается среда, в которой возможно следующее:

• для важнейших данных будут применяться приемлемые и осуществимые процедуры управления;
• добавление управления и защиты не окажет отрицательного влияния на производительность пользователя;
• потоки данных и капиталовложения, которые ранее были внесены организациями, будут по-прежнему применяться для расширения обмена информацией между пользователями;
• с помощью данной архитектуры можно охватить все рабочие станции и абонентские устройства и легко управлять ими независимо от их размещения в глобальной или локальной сети.

В основу построения архитектуры безопасности положен принцип защиты любой информации в момент ее создания и раскрытия ее только в момент потребления у удаленного потребителя данной информации. Применение данной архитектуры, естественно, не отрицает и не налагает никаких ограничений на применение существующих в настоящее время средств обеспечения компьютерной безопасности (например, аппаратура линейного закрытия каналов).

Основная особенность применения сетевых компьютерных технологий в России — это повальное засилье зарубежных технологий как для построения государственных, так и частных сетей. Такое положение, в первую очередь, связано с практически полным отсутствием финансирования соответствующих отечественных разработок. Необходимо отметить, что опыт и соответствующие кадры, имеющие опыт создания сетевых технологий с комплексным решением вопросов гарантированной безопасности функционирования сетей и передаваемой по ним информации в России имеется, примером может служить сеть документального обмена ИСТОК. В рамках данной сети решен полный комплекс вопросов по обеспечению передачи грифованной информации с заданной степенью стойкости.

В ОТД ИСТОК безопасность достигается комплексом алгоритмических криптографических, программно-аппаратных и организационных мер.

Информация пользователя защищается в процессе ее обработки и хранения в элементах сети и на всех участках ее передачи между элементами сети.

Защита информации и параметров обмена в каналах связи осуществляется за счет применения аппаратуры линейного засекречивания.

Ряд типов абонентских пунктов оснащены аппаратурой абонентского засекречивания "Криптон 3", обеспечивающей защиту информации на всем пути следования от отправителя к получателю.

В абонентских пунктах установлены два уровня полномочий обслуживающего персонала оператора и администратора, реализуемых с помощью парольного доступа к информационным ресурсам.

Защита от несанкционированного доступа и ввода ложных сообщений со стороны обслуживающего персонала коммутационных узлов осуществляется системой защиты, также построенной на принципах разграничения и контроля доступа. С этой целью предусмотрена идентификация и регистрация рабочих мест операторов, регистрация попыток несанкционированных действий операторов элементов сети.

Сетевыми средствами предусмотрен контроль доступа абонента в сеть с помощью процедур идентификации.

Производится идентификация элементов сети на всем пути прохождения информации от отправителя до получателя.

Осуществляется регистрация и временная индексация передаваемой по сети информации. Пользователь имеет возможность запросить сведения о прохождении отправленного сообщения при возникновении конфликтной ситуации.

В узлах коммутации производится архивация передаваемой информации. Таким образом обеспечивается защита от некорректных отказов отправителя и получателя от факта передачи или приема сообщения, где в роли независимого эксперта выступает администрация сети.Существует возможность объединения абонентов в замкнутую группу с исключением обмена между различными группами. Связь между абонентами замкнутых групп возможна только при выполнении правил парольного доступа. При этом адрес получателя защищен контрольными разрядами, а адрес отправителя — контрольной суммой сообщения.

Эти и ряд других мер помимо криптографической защиты предотвращают некорректные обращения абонентов друг к другу, формирование ложных сообщений, засылку не по адресу, их модификацию в результате случайных Искажений, ошибочные и некорректные действия обслуживающего персонала и действий злоумышленников на сета

Преобладающее использование зарубежных сетевых технологий, по нашему мнению, не может на должном уровне решить проблему обеспечения безопасности и предотвращения сетевых компьютерных преступлений (особенно это касается общегосударственных и специальных ведомственных сетей), что связано со следующими причинами.

Как правило, в современных зарубежных сетевых технологиях на должном уровне решаются протокольные методы защиты. Однако все эти методы должны поддерживаться соответствующими реализациями систем управления, которые в рамках проблем обеспечения безопасности должны решать следующие задачи: организация доменов безопасности, регистрация и предотвращение фактов несанкционированного доступа, ведение информационных служб паролей и идентификаторов, контроль и регулирование трафика сети, а также ряд других важных функций.

В покупаемых системах данные службы как правило сдаются "под ключ", без передачи соответствующих исходных Модулей, что влечет за собой практически полное отсутствие контроля за функционированием системы управления, возможность введения программных закладок, отсутствие возможности модификации программного обеспечения с целью, введения в его состав специфических, необходимых для конкретной сети систем контроля и обеспечения безопасности.

В состав технологий зарубежных сетей практически невозможно введение отечественных средств криптозащиты как линейного, так и абонентского уровней.

При реализации сетевых технологий двойного назначения для обеспечения требуемых показателей безопасности, как правило, не достаточно соответствующих протокольных методов защиты. Введение в состав зарубежных средств специальных методов обеспечения безопасности практически невозможно.

Исходя из вышесказанного и учитывая важность решения задачи предотвращения компьютерных преступлений и обеспечения требуемой безопасности функционирования отечественных компьютерных сетей, авторы предлагают рассмотреть возможные научно-технические шаги по решению данной проблемы отечественных сетевых технологий.

Рассматриваемая ниже сетевая технология разработана в НИИ "Масштаб" исходя из следующих предпосылок:

• сетевая технология должна быть пригодной для построения как ведомственных, так и коммерческих сетей;
• сети, построенные на базе данной технологии, должны быть пригодны для передачи пользовательской информации различных типов — данные, факсимильные сообщения, речь как в интерактивном обмене, так и в виде кодограмм, командная и телеметрическая информация — по единой транспортной сети;
• сетевыми средствами должно обеспечиваться предоставление общепринятого для такого рода сетей прикладного сервиса;
• сетевая технология должна обеспечивать как количественное, так и качественное развитие сетей без изменения уже существующих реализаций;
• максимальное использование международных рекомендаций;
• меры обеспечения безопасности должны обеспечивать как безопасность передаваемой информации пользователя (в частности, возможность передачи грифованной информации), так и безопасность функционирования сети.

Логическая структура сетевой технологии изображена на рисунке.

Выполнение поставленных требований в сетевой технологии достигается следующими средствами.

Транспортная сеть, применяемая для передачи всех видов информации, использует метод пакетной коммутации. Такое решение основывается на следующих предпосылках:

• сравнительно хорошее использование первичных каналов связи;
• большой международный опыт построения такого рода сетей;
• характеристики большинства существующих в России каналов связи в наибольшей степени подходят для именно данного метода коммутации;
• вероятностно-временные характеристики, обеспечиваемые методом коммутации, в большинстве случаев удовлетворяют поставленным задачам;
• наличие сравнительно эффективных протокольных методов защиты.

Структурные и алгоритмические решения, принятые при построении транспортной сети, предполагают возможность в дальнейшем ее иерархического развития, чем обеспечивается плавное введение новых, более современных и производительных методов коммутации (FRAME RELAY, ATM). Для этого в коммутационных элементах транспортной сети обеспечена техническая возможность индивидуальной конфигурации каждого порта под требуемый тип протокола. Построение программного обеспечения по объектоориентированному принципу позволяет вводить новые реализации протоколов практически без изменения существующих программных модулей.

Для управления транспортной сетью разработана соответствующая архитектура управления, которая учитывает возможность иерархического наращивания транспортной сети, требования безопасности, возможность оперативных модификаций по требованию конкретных заказчиков для соответствующих ведомственных сетей. Архитектура управления построена на базе объектоориентированных принципов. Реализация архитектуры управления основывается на базе специально выделенных серверов управления и агентов управления, располагаемых в каждом из элементов транспортной сети, следовательно, метод выполнения процедур управления строится по модели взаимодействия client-server.

Программное обеспечение архитектуры управления позволяет выполнять следующие функции:

• постоянный контроль за качеством и правильностью функционирования как элементов сети, так и соответствующих каналов связи;
• оперативная реконфигурация структуры сети и изменение отдельных параметров элементов сети;
• автоматический и автоматизированный режимы управления функционированием сети, для режима автоматического управления введен журнал временного управления, а обработка возникающих ситуаций строится на понятиях обработки исключительных ситуаций;
• обработка, регистрация и устранение последствий несанкционированных действий пользователей и обслуживающего персонала сети.

Составной частью сетевой технологии являются элементы предоставления прикладного сервиса. В принципе транспортная сеть позволяет применять любой прикладной сервис, при наличии соответствующего программного обеспечения. Однако при разработке сетевой технологии было принято решение переложить выполнение ряда наиболее часто используемых услуг на сетевые компоненты. В частности, это относится к наиболее часто используемому сервису "электронная почта". Для реализации данного сервиса в состав сети при необходимости вводятся серверы обработки сообщений.

При разработке методов реализации сервиса электронной почты в качестве исходного было принято положение, что в настоящее время разработаны и эксплуатируются почты, работающие по различным протоколам, в частности, почта сети "Исток", почта MHS, почта Х400, а также ряд других. Учитывая это, при разработке сервиса электронной почты принято следующее решение. Основным протоколом передачи сообщений в сетевой архитектуре является протокол Х400, в котором наиболее полно из всех существующих протоколов представлен перечень требуемых услуг и на достаточном уровне проработаны вопросы обеспечения безопасности обрабатываемых сообщений. Для обеспечения полно доступности сети на уровне сообщений в сервере обработки сообщений предусмотрены меры по обеспечению в случае необходимости преобразования протоколов передачи сообщений. Объектоориентированная структура построения сервера позволяет оперативно вводить в его состав требуемые объекты по взаимному преобразованию специализированных протоколов и протокола Х400.

Как показывает опыт эксплуатации существующих компьютерных сетей, значительная доля в причинах нарушения безопасности функционирования сетей исходит от неправильных или преднамеренно несанкционированных действий пользователя. В рассматриваемой сетевой технологии для защиты от этой группы причин используются следующие методы.

Один из основных элементов сетевой технологии — сервер удаленного доступа, который является многовходовым, многофункциональным устройством, обеспечивающим точки доступа к транспортной сети. Любые абоненты могут быть подключены к транспортной сети только посредством данного устройства. Основные функции сервера удаленного доступа — это обеспечение полнодоступности сети для пользователей, работающих на транспортном или сетевом уровнях по различным протоколам и обеспечение санкционированное™ доступа абонентов к транспортной сети. Обьектоориентированная структура данного позволяет настраивать индивидуально каждый порт на конкретный протокол обмена с пользователем. В зависимости от конфигурации сети одни или несколько портов используются для взаимодействия с транспортной сетью. В настоящее время в сервере удаленного доступа обеспечивается возможность подключения пользователей, работающих по следующим протоколам: Х25, Х28, TCP/АР (РРР), Ethernet (TCP/АР), а также ряд специальных протоколов. Наличие в сервере специализированной базы данных позволяет сравнительно простыми средствами без изменения таблиц маршрутизации коммутационных элементов решить вопрос подключения мобильных пользователей.

Вторая функция сервера удаленного доступа — это проверка прав доступа к транспортной сети. Данное устройство реализует функции идентификации и аутентификации подключаемых к сети абонентов. К сожалению, из-за отсутствия аппаратуры или программных средств не решаются вопросы транспортной защиты передаваемой пользовательской информации, которая, по оценкам зарубежных специалистов, является одним из эффективных средств обеспечения безопасности передаваемой по сети информации.

При рассмотрении основных аспектов сетевой технологии видно, что при построении любого элемента сети наряду с решением процедур по передаче и обработке потоков пользовательской информации обязательно учитывались вопросы обеспечения безопасности. Для согласования процедур обеспечения безопасности на всех протокольных уровнях сети в рамках сетевой технологии была разработана архитектура безопасности. Необходимо отметить, что авторы разработки архитектуры безопасности четко понимают, что несмотря на ее определенную автономность она входит (должна входить) составной частью в архитектуру безопасности компьютерных сетей.

Архитектура безопасности строится по централизованно-децентрализованному принципу, согласно которому в каждом элементе сети имеется один или несколько специализированных объектов обеспечения безопасности (security agent), которые с одной стороны обеспечивают интерфейс с прикладными объектами элементов сети, а с другой — формируют информационно-функциональную архитектуру безопасности сети. Для решения вопросов ведения ключевой информации на сети в ее состав вводится сервер безопасности (server security). Такое решение позволит на основе существующих и реализованных технических решений в дальнейшем развить данную технологию до реализации, соответствующей общемировому уровню.

Протоколы и компоненты обеспечения безопасности. Основополагающий принцип построения транспортной сети — обязательная, криптографическая защита всех видов передаваемой информации на канальном уровне. Все разработанные в рамках данной технологии элементы сети рассчитаны на возможность использования аппаратуры линейного закрытия каналов.

В сетевой технологии реализованы все методы обеспечения безопасности, предусмотренные в стандартных протоколах передачи информации всех уровней модели OSI. Наиболее эффективным из них является организация доменов без7 опасности, позволяющая разграничить потоки информации между различными группами пользователей и выявить факты несанкционированного доступа пользователей в защищенные домены.

Одним из эффективных методов обеспечения безопасности компьютерных сетей является проверка прав доступа на входе сетей передачи данных. В сетевой технологии для этих целей используются серверы удаленного доступа и серверы прикладных служб.

В связи с бурным развитием компьютерных технологий в России и их повсеместным объединением в компьютерные сети важнейшей задачей становится обеспечение их безопасного функционирования, выявления и пресечения компьютерных преступлений. Особенно это важно в случае построения ведомственных и специализированных сетей.

Рассматривая состояние дел в существующих компьютерных сетях можно сделать вывод, что эффективное его решение возможно лишь в случае соответствующей алгоритмической и технической поддержки на уровне сети. Безопасность функционирования сетей — это один из важнейших аспектов выявления и пресечения компьютерных преступлений.

Большинство создаваемых в последнее время сетей основаны на применении зарубежных технологий, что в ракурсе вопросов обеспечения безопасности может привести к рассмотренным выше последствиям. Применение зарубежных технологий очень часто обосновывается отсутствием соответствующих отечественных технических решений и их реализаций. Выше была рассмотрена отечественная сетевая технология, в которой на достаточном техническом уровне решена значительная часть вопросов обеспечения безопасности функционирования сети. В настоящее время сеть, построенная по изложенным выше принципам, построена и прошла государственные испытания.

Необходимо учитывать, что не по всем аспектам, предложенным в данной сетевой технологии, имеются соответствующие технические решения, наиболее важными из которых являются следующие.

Не решен вопрос криптографической защиты информации пользователя на транспортном уровне, которая, по оценкам зарубежных специалистов, является эффективным средством обеспечения безопасности передаваемой информации. Решение данного вопроса связано с необходимостью проведения алгоритмических и технических разработок, которыми могут заниматься только соответствующие организации. По имеющимся в настоящее время у авторов сведениям таких разработок в настоящее время в России не проводится.

Учитывая тенденции развития компьютерной техники и каналообразующей аппаратуры (модемы) насущной проблемой становится вопрос криптографической защиты асинхронных каналов связи. Аппаратуры криптографической защиты, удовлетворяющей поставленным требованиям как по характеристикам каналов, так и по обеспечению заданной стойкости в настоящее время в России также не существует.

Для эффективного применения рассмотренной сетевой технологии при построении безопасных компьютерных сетей целесообразно включить решение этих вопросов в Федеральную программу обеспечения безопасности компьютерных сетей.

Применение соответствующей сетевой технологии является одним из аспектов решения проблемы обеспечения безопасности компьютерных сетей. Следующим аспектом является введение в контур обеспечения безопасности компьютеров пользователя, входящих в состав компьютерных сетей. Основной трудностью является практически полное засилье зарубежного программного обеспечения, особенно это относится к системным средствам.

Для комплексного решения данной проблемы необходимо разработать отечественную архитектуру безопасности, в которую должны входить две компоненты — сетевая технология безопасных сетей и набор программно-аппаратных средств, включаемых в состав компьютеров пользователей. Примером может служить OSA, разрабатываемая в настоящее время в США. Средства, разработанные а рамках данной архитектуры, должны стать обязательными для применения пользователями ведомственных сетей. Программные компоненты могут включаться в состав сертифицированных соответствующими организациями операционных систем. Разработка архитектуры должна быть включена в федеральную программу обеспечения компьютерной безопасности. Исполнителями данного проекта должны быть организации, отвечающие за безопасность компьютерных технологий, и предприятия, занимающиеся разработкой отечественных компьютерных сетей.

___________________________________________________

Давыдов Е.Б. - доктор технических наук, профессор, директор НИИ "Масштаб"
Юраков Ю.Д. - начальник Центральной научно-исследовательсткой лаборатории НИИ "Масштаб"

---

&copy Информационное общество, 1996, вып. 4, с. 38-47.