![](/stc/img/evkova.png)
Защита сетевой инфраструктуры предприяти
Содержание:
Введение
В современном обществе сложилась такая тенденция, что самым ценным ресурсом стала информация, и поэтому ее ценность постоянно возрастает. «Кто владеет информацией, тот владеет миром». Это выражение очень точно отражает нынешнюю ситуацию, которая сложилась в мире. Разглашение информации очень часто приводит к отрицательным последствиям для ее владельца, поэтому вопрос обеспечения информационной безопасности становится все острее.
Так как на каждую защиту информации появляется способ ее преодоления, то для обеспечения необходимой защищенности информации нужно постоянно совершенствовать методы защиты.
Объектом исследования является информационная система Торгового дома «Раскрас» (ТД «Раскрас»).
Предметом исследования является защита компьютерной сети.
Целью данной работы является разработка мероприятий по обеспечению безопасности компьютерной сети информационной системы.
К числу задач, решаемых в работе, необходимо отнести:
- анализ деятельности компании как объекта угроз;
- описание существующих угроз компьютерной сети;
- обоснование и выбор средств защиты компьютерной сети.
При выполнении работы были использованы следующие методы исследования: анализ литературных источников, обобщение материала, сравнение.
Проблема обеспечения информационной безопасности рассматривается в учебниках многих авторов, в частности Галатенко В.А., Бирюкова А.А., Герасименко В.А., Девянина Н.П., Жук А.П. , Мельникова В.П. Вопросам инженерно-технической защиты посвящен учебник Торокина А.А. и т.д.
Несмотря на разработанность и изученность проблемы, с каждым годом появляются все более новые проблемы в этой области, создаются новые вирусы, новые технические средства для прослушивания. Поэтому методы защиты должны совершенствоваться с каждым годом, непрестанно изучаться новые технологии и алгоритмы защиты.
Теоретические основы защиты информации
Основные понятия по информационной безопасности
Информация[1] - сведения (сообщения, данные) независимо от формы их представления. Информация может быть представлена как на материальном носителе в виде символов, знаков, рисунков с возможностью ее визуального просмотра (документированная информация), так и в электронном виде с возможностью ее просмотра только с использованием программно-технических средств. Отнесение информации к государственной тайне осуществляется в соответствии с Законом Российской Федерации «О государственной тайне».
Защита информации от несанкционированного доступа – деятельность (работа) должностных лиц, направленная на создание и поддержание условий, установленных требованиями нормативных документов, исключающих НСД к защищаемой (подлежащей защите) информации. Под защищаемой информацией понимаются информационные ресурсы и программное обеспечение, подлежащие защите.
Защите подлежит информация любого вида, доступ к которой ограничивается. Ограничение доступа к информации устанавливается федеральными законами и нормативными актами для защиты основ конституционного строя, здоровья, нравственности, прав и законных интересов других лиц [15, с.102].
Утечка защищаемой информации – ее неконтролируемое разглашение, несанкционированный доступ к ней, получение защищаемой информации разведками [12, с.89].
Хищение информации – несанкционированный доступ к информации, повлекший ознакомление с ней недопущенных субъектов. При этом возможно как полное хищение, когда похищаемая информация на машинном носителе информации полностью уничтожается, так и хищение, при котором производится только копирование защищаемой информации.
Несанкционированный доступ к информации – доступ к информации, нарушающий установленные (принятые) нормативными правовыми актами требования (правила, порядок) разграничения доступа с использованием штатных средств (механизмов, методов, способов, возможностей), предоставляемых средствами ВТ.
Законодательное регулирование защиты информации
Нормативно-правовую базу составляют следующие основные группы документов, которые должны учитываться при обеспечении информационной безопасности:
- Международное правовое обеспечение, которое составляют международные нормативные акты (Конвенции, Соглашения, Декларации) к которым присоединилась (подписала, ратифицировала) Российская Федерация, а также заключенные от лица Российской Федерации международные Договоры (Пакты).
- Международное нормативно-техническое обеспечение, которое составляют международные Стандарты, Рекомендации, Регламенты в информационной сфере и сфере информационной безопасности.
- Национальное правовое обеспечение, которое составляют нормативные акты Российской Федерации (Конституция РФ, Федеральные законы, Указы Президента РФ), подзаконные акты (Постановления и Распоряжения Правительства РФ, нормативные акты уполномоченных федеральных органов государственной власти), а также нормативные и подзаконные акты субъектов Российской Федерации.
- Национальное нормативно-техническое обеспечение, которое составляют действующие в Российской Федерации технические регламенты, стандарты (государственные, отраслевые), руководящие документы, а также подзаконные акты уполномоченных федеральных органов государственной власти в основном нормативно-технического характера.
Документы I группы (международное правовое обеспечение) имеют преимущественное право при обеспечении информационной безопасности в сетях связи третьего поколения, если иного не предусмотрено законодательством Российской Федерации. В эту группу входят:
- Всеобщая декларация прав человека, утвержденная и провозглашенная Генеральной Ассамблеей ООН (1948 г.);
- Европейская Конвенция о защите прав человека и основных свобод (1996 г.);
- Пакт о гражданских и политических правах (1976 г.);
- Европейская Конвенция от 28.01.1981 г. об охране личности в отношении автоматизированной обработки персональных данных;
- Директива Европейского Парламента и Совета Европейского Союза 95/46/ЕС об обработке персональных данных;
- Директива Европейского Парламента и Совета Европейского Союза 97/66/ЕС об обработке персональных данных;
и ряд других международных договоренностей, признаваемых Российской Федерацией.
В этих документах затрагивается ряд важных и характерных, также, для российского национального законодательства вопросов, таких, как:
- общие цели безопасности;
- требования к системе безопасности;
- требования, связанные с управлением доступом;
- требования управления безопасностью.
- идентификация ситуации и вовлеченных сторон;
- оценка угроз и рисков, связанных с каждой угрозой,
- определение механизмов обнаружения и противодействия потенциальным угрозам и восстановления нормального функционирования информационной системы;
- механизмы аутентификации: с симметричными ключом, с асимметричным ключом, с "нулевым знанием";
- механизмы анонимности: временные идентификаторы с симметричным ключом; секретность подлинности с использованием асимметричного ключа; анонимный доступ;
- механизмы конфиденциальности: блочное шифрование, потоковое шифрование;
- некриптографические механизмы безопасности: верификация пользователя, регистрация пользователя, подсчет вызовов;
- механизмы обеспечения целостности: шифрование с добавлением избыточности, симметричный ключ, асимметричный ключ;
- механизмы неотказуемости: цифровая подпись;
- механизмы управления безопасностью: распределение ключей, управление версиями;
- и многие другие.
Национальное правовое обеспечение составляют конституционные и федеральные законы Российской Федерации, указы Президента Российской Федерации, Постановления и Распоряжения Правительства РФ, распоряжения и приказы федеральных министерств (Мининформсвязи России, Минпромэнерго России), служб (ФСТЭК России, ФСБ России, Россвязьнадзор) и агентств (Росинформтехнологии, Россвязь) по вопросам обеспечения безопасности информации, региональные нормативные акты субъектов Российской федерации в области формирования, использования и защиты информационных ресурсов. Документы этой группы носят обязательный характер для всех участников правоотношений на территории Российской Федерации, независимо от их национальной принадлежности и имеют наивысший приоритет при определении требований по обеспечению безопасности в них. Исключение составляют нормативные акты субъектов РФ, которые носят локальный характер и действуют в пределах границ субъекта Российской Федерации. Это наиболее многочисленная группа документов, в которую входят:
- Конституция Российской Федерации [3]
- Гражданский Кодекс Российской Федерации [4]
- Уголовный Кодекс Российской Федерации [5]
- Закон РФ «О государственной тайне», № 5485-1, 1993 г.
- Федеральный закон «Об информации, информатизации и защите информации», № 24-ФЗ, 1995 г. [6]
- Федеральный закон «Об электронной подписи» от 07 апреля 2011 г. [7]
- Федеральный закон 152-ФЗ «О персональных данных» от 25.07.2011г.[8]
- Федеральный закон «О коммерческой тайне», № 98-ФЗ, 2004 г. [9]
- Указ Президента РФ «Об основах государственной политики в сфере информатизации», № 170, 1994 г.
- Указ Президента РФ «О мерах по соблюдению законности в области разработки, производства, реализации и эксплуатации шифровальных средств, а также предоставления услуг в области шифрования информации», № 334, 1995 г.
- Указ Президента РФ «Об утверждении перечня сведений конфиденциального характера», № 188, 1997 г.
- Указ Президента РФ «Об утверждении концепции национальной безопасности РФ», № 1300, 1997 г.
- Доктрина информационной безопасности Российской Федерации, утверждена Президентом РФ № Пр-1835, 2000 г. [1]
а также законы субъектов Российской Федерации и постановления (распоряжения) их руководителей (глав) по тем или иным вопросам в области обеспечения безопасности информации. В настоящее время нет единой структуры региональных актов, законодательные собрания субъектов Российской федерации находятся на разных уровнях понимания проблемы, поэтому такие акты разнородны и с трудом поддаются обобщению и анализу.
Методы и средства защиты информации
Согласно ГОСТ Р 50922-2006 угроза (безопасности информации) – совокупность условий и факторов, создающих потенциальнуюили реально существующую опасность нарушения безопасности информации.) [6].
Под мерой защиты информации будем понимать действие или совокупность действий (в т.ч. применение средств) для осуществления защиты информации [13, с.56].
Под средством защиты информации будем понимать техническое, криптографическое, программное или другое средство, предназначенное для защиты информации, средства в которых они реализованы, а также средства контроля эффективности защиты информации.
Мероприятие по защите информации — совокупность действий по разработке и практическому применению мер и средств защиты информации. Общая классификация мер и средств защиты информации представлена на рис.1.
Рисунок 1 – Общая классификация мер и средств защиты информации [18, с.56]
Организационная защита – это регламентация производственной деятельности и взаимоотношений исполнителей на нормативно-правовой основе, исключающей или существенно затрудняющей неправомерное овладение конфиденциальной информацией и проявление внутренних и внешних угроз. Благодаря организационной защите [28, с.87]:
- обеспечивается организация охраны, режима, работа с документами, с кадрами;
- используются технические средства безопасности и информационно-аналитическая деятельность с целью выявления внешних и внутренних угроз коммерческой деятельности.
Организационные меры защиты должны быть прописаны в документах, определяющих порядок обеспечения информационной безопасности в компании. Основным таким документом является политика информационной безопасности.
Под инженерно-технической защитой понимается совокупность технических средств, специальных органов и мероприятий по использованию технических средства с целью защиты конфиденциальной информации.
Выделяются следующие группы средств инженерно-технической защиты по функциональному назначению [31, с.29]:
Физические средства;
Аппаратные средства;
Программные средства;
Криптографические средства.
Физические средства включают различные сооружения и средства, которые препятствуют физическому доступу (или проникновению) нарушителей на объекты защиты и к материальным носителям конфиденциальной информации и осуществляют защиту материальных средств, персонала, информации и финансов от противоправных воздействий. Физическими средствами являются механические, электронно-оптические, электромеханические электронные, радио- и радиотехнические и другие устройства для запрета несанкционированного доступа, проноса (выноса) материалов и средств и других возможных видов преступных действий.
Меры контроля физического доступа к элементам ИС сводятся к применению средств и систем контроля физического доступа, которые создают препятствия для нарушителей на путях к защищаемым данным, например, на территорию, на которой располагаются объекты информатизации, в помещения с аппаратурой, носителями данных и т.п., и обеспечивают контроль доступа.
Система обнаружения вторжений (СОВ) – программное или аппаратное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную систему или сеть либо несанкционированного управления ими в основном через Internet. Соответствующий английский термин – Intrusion Detection System (IDS) [14, с.59].
Общая классификация СОВ представлена на рис.2.
Рисунок 2 – Классификация систем обнаружения вторжений
Программные средства охватывают специальные программные комплексы, программы и системы защиты информации в ИС различного назначения и средствах обработки (накопления, сбора, хранения, передачи и обработки) данных.
Криптографические средства – это специальные алгоритмические и математические средства защиты информации, которая передается по сетям и системам связи, хранится и обрабатывается на ПК с применением различных методов шифрования.
В качестве методов криптографической защиты применяются протоколы TLS и SSH, также применяются VPN [17, с.111].
Технология виртуальных частных сетей (Virtual Private Network) — это технология эмуляции соединения «точка-точка» через сеть общего пользования. При этом между хостом пользователя и провайдером организуется так называемый туннель, по которому пакеты исходящей от пользователя информации достигают провайдера [34, с.59].
Виртуальные частные сети применяются для создания безопасных и надежных каналов, связывающих локальные сети и обеспечивающих доступ к ним пользователей, постоянно меняющих свое географическое местоположение. В основе этих сетей лежит использование открытой и общедоступной сети, такой как Internet.
Для защиты от наиболее распространенных компьютерных преступлений используются системы обнаружения вторжений и антивирусные комплексы.
Разработка мер по защите сетевой инфраструктуры предприятия
Торговый Дом «Раскрас» - молодая активно развивающаяся, но уже легко узнаваемая на калининградском рынке компания. Она является дистрибьютором нескольких заводов, занимающихся производством органических красок и декоративных материалов.
ТД «Раскрас» представляет в Калининграде такие марки, как Завод Красок «КВИЛ» г. Белгород, Предприятие ВГТ г. Москва, Предприятие Belinka Словения, краски Symphony компании Финкраска г. Москва.
Компания предлагает комплексный подход клиентам:
- широкий ассортимент ЛКМ (лакокрасочных материалов)
- консультации по вопросам применения ЛКМ и системам нанесения
- автоматическая колеровка красок
- доставка по городу и области
- индивидуальный подход к каждому.
Специально для клиентов в центре города открыт салон Галерея Декора Патибеллита. Салон, где есть практически все для декоративной отделки помещения, предлагает широкий ассортимент покрытий.
В компании представлены: торговые марки декоративных штукатурок и красок, таких как Боларс tm MascаradE(Москва), Accent, Magnifica (Италия), Paritet (Франция); обои известного итальянской дизайнера Andrea Rossi, фотопанно Divino Decor; архитектурный декор из полиуретана.
Для выявления угроз была применена Digital Security Office 2006. Это комплексное решение для управления информационной безопасностью компании.
С помощью данной программы были выявлены следующие угрозы.
1. Анализ сетевого трафика (рисунок 3).
Рисунок 3 – Схема реализации угрозы «Анализ сетевого трафика»
Рассмотрим пассивную атаку, которая, как правило, является подготовительным этапом при реализации многих активных сетевых атак. В том случае, если вместо коммутаторов в сети установлены концентраторы, полученные пакеты рассылаются всем компьютерам в сети, а затем компьютеры определяют для них этот пакет или нет.
Если злоумышленник получит доступ к компьютеру, который включен в такую сеть, или получит доступ к сети непосредственно, то вся информация, передаваемая в переделах сегмента сети, включая пароли, станет доступной ему. Злоумышленник может поставить сетевую карту в режим прослушивания и будет принимать все пакеты независимо от того, ему ли они предназначались.
Несанкционированное прослушивание сети и наблюдение за данными производится при помощи специальной программы — пакетного сниффера, который осуществляет перехват всех сетевых пакетов сегмента, за которым идет наблюдение. Перехваченные таким сниффером данные могут быть использованы злоумышленниками для получения доступа к сервисам системы на правах легального пользователя.
2. Сканирование сети.
Сущность процесса реализации угрозы заключается в передаче запросов сетевым службам хостов ИСПДн и анализе ответов от них. Цель – выявление используемых протоколов, доступных портов сетевых служб, законов формирования идентификаторов соединений, определение активных сетевых сервисов, подбор идентификаторов и паролей пользователей.
Для реализации данного действия злоумышленнику необходим компьютер, подключенный к сети и заранее приготовленное программное обеспечение для осуществления сбора информации. Некоторые программы данного типа обладают функциями автоматического определения IP-адреса компьютера, на котором они запущены (в рассматриваемом случае используется программный продукт именно такого типа). Затем происходит настройка параметров для сканирования. Это может быть осуществлено как вручную, так и автоматически. Далее осуществляется последовательный опрос, путем посылки ICMP-эхо-запросов, хостов в указанном диапазоне IP-адресов в многопоточном режиме.
Путем посылки недопустимых (нестандартных) ICMP- или TCP-пакетов нарушитель может идентифицировать тип ОС. Стандарты обычно устанавливают, каким образом компьютеры должны реагировать на легальные пакеты, поэтому машины имеют тенденцию быть единообразными в своей реакции на допустимые входные данные. Однако стандарты упускают (обычно намеренно) реакцию на недопустимые входные данные. Таким образом, уникальные реакции каждой ОС на недопустимые входные данные формируют сигнатуру, которую злоумышленник может использовать для того, чтобы понять под каким управлением функционирует выбранный компьютер.
Если хост определен как активный, то осуществляется определение наличия функционирующего сервиса, в рассматриваемом случае наличие запущенного telnet- или ftp-сервиса. Стандартными портами для этих сервисов являются 21 порт для ftp и 23 порт для telnet.
Результатом данной атаки будет определение из множества компьютеров, подключенных к сети, уязвимых для последующего проникновения.
3. Угроза выявления пароля.
Цель реализации угрозы состоит в получении НСД путем преодоления парольной защиты. Злоумышленник может реализовывать угрозу с помощью целого ряда методов, таких как простой перебор, перебор с использованием специальных словарей, установка вредоносной программы для перехвата пароля, подмена доверенного объекта сети (IP-spoofing) и перехват пакетов (sniffing). В основном для реализации угрозы используются специальные программы, которые пытаются получить доступ к хосту путем последовательного подбора паролей. В случае успеха, злоумышленник может создать для себя «проход» для будущего доступа, который будет действовать, даже если на хосте изменить пароль доступа.
Непосредственный доступ в ОС компьютера с подбором паролей разделяется на три этапа:
- хищение файлов SAM и SYSTEM с необходимого злоумышленнику компьютера,
- подбор паролей на компьютере злоумышленника,
- осуществление входа в ОС компьютера, используя подобранные пароли.
Рассмотрим первый этап доступа, то есть хищение файлов SAM и SYSTEM с необходимого злоумышленнику компьютера. Для прохождения этого этапа злоумышленнику необходимо наличие загрузочного сменного носителя с альтернативной операционной системой. Для жестких дисков системы FAT32 такой операционной системой служит MS DOS, для жестких дисков системы NTFS – NTFS DOS.
Рассмотрим второй этап непосредственного доступа в ОС компьютера, подбором паролей – подбор паролей на компьютере злоумышленника. В данном случае рассматриваются пароли, состоящие из четырех символов английского алфавита (A—Z). Для прохождения данного этапа злоумышленнику необходимо:
- наличие программы для подбора паролей установленной на его компьютере (такой программой может служить, например программа Sam Inside или LCP04);
- носитель с похищенными файлами SAM и SYSTEM, полученная в результате прохождения первого этапа.
Злоумышленник устанавливает носитель в компьютера, открывает программу подбора паролей, загружает из файлов SAM и SYSTEM информацию о пользователях и соответствующих им хэш-функциях паролей. Программа подбирает пароли, сравнивая хэш-функции перебираемых наборов символов с исходными хэш-функциями, загруженными из файла SAM. Найдя соответствие, программа информирует о том, что пароль подобран, и благодаря информации, хранящейся в файле System, сопоставляет подобранный пароль с именем учетной записи пользователя.
4. Подмена доверенного объекта сети и передача по каналам связи сообщений от его имени с присвоением его прав доступа.
Для реализации данной атаки злоумышленник должен иметь возможность формировать пакеты с произвольными обратными IP-адресами. Злоумышленник отправляет в сеть пакеты с ложным обратным адресом. С помощью этой атаки он может переключать на свой компьютер соединения, установленные между другими компьютерами. При этом права доступа становятся равными правам того пользователя, чье соединение с сервером было переключено на компьютер хакера.
Каждый пакет имеет в заголовке два поля-счетчика для идентификации сообщения. Данные числа увеличиваются при обмене данными и позволяют контролировать корректность передачи. Злоумышленник может предсказать, какое значение будет иметь счетчик в высланном сервером пакете. Это возможно сделать на основе знаний о конкретной реализации TCP/IP [13, с.140]. Таким образом, послав один пакет серверу, злоумышленник получит ответ и сможет (возможно, с нескольких попыток и с поправкой на скорость соединения) предсказать значение счетчиков для следующего соединения. Если реализация TCP/IP использует специальный алгоритм для определения этих значений, то он может быть выяснен с помощью посылки нескольких десятков пакетов серверу и анализа его ответов.
Предположим, что система A доверяет системе B, так, что пользователь системы B может авторизоваться, не вводя пароля. Злоумышленник расположен на системе C. Система A выступает в роли сервера, системы B и C — в роли клиентов. Первая задача злоумышленника — ввести систему B в состояние, когда она не сможет отвечать на сетевые запросы. Это может быть сделано несколькими способами, в простейшем случае нужно просто дождаться перезагрузки системы B. Далее злоумышленник может притвориться системой B, для того, что бы получить доступ к системе A (хотя бы кратковременный). Злоумышленник пытается подобрать значение счетчика, высылая корректные запросы на установление соединения. Затем он инициирует соединение от имени B, используя подобранное значение счетчика. Если оно оказывается подходящим, соединение считается установленным. Теперь злоумышленник может выслать очередной фальшивый IP-пакет, который уже будет содержать данные. И в случае, если B является доверенным хостом для A, сервер будет выполнять команды злоумышленника без всякой аутентификации [10, с.69].
Этапы реализации данной атаки и типы пересылаемых пакетов приведены на рис.4.
Рисунок 4 – Этапы реализации подмены доверенного объекта (IP-spoofing).
Такая угроза эффективно реализуется в системах, где применяются нестойкие алгоритмы идентификации и аутентификации хостов, пользователей и т.д. Под доверенным объектом понимается объект сети (компьютер, межсетевой экран, маршрутизатор и т.п.), легально подключенный к серверу.
Подмена доверенного объекта сети. Перехват TCP-сессии (IP-hijacking)
Для проведения данной атаки хакер должен иметь доступ к машине, находящейся на пути сетевого потока и обладать достаточными правами на ней для генерации и перехвата IP-пакетов. При передаче данных постоянно используются два 32-битных поля-счетчика (оба поля находятся в IP-заголовке). Исходя из их значения, сервер и клиент проверяют корректность передачи пакетов. Существует возможность ввести соединение в десинхронизированное состояние, когда присылаемые сервером значения счетчиков не будут совпадать с ожидаемым значением клиента, и наоборот. В данном случае злоумышленник, прослушивая линию, может взять на себя функции посредника, генерируя корректные пакеты отдельно для клиента и сервера и перехватывая их ответы. Метод позволяет полностью обойти такие системы защиты, как, например, одноразовые пароли, поскольку злоумышленник начинает работу уже после того, как произойдет авторизация пользователя.
Этапы реализации данной атаки и типы пересылаемых пакетов приведены на рис.5.
Рисунок 5 – Этапы реализации подмены доверенного объекта (IP-hijacking).
5. Навязывание ложного маршрута сети.
Данная угроза реализуется одним из двух способов: путем внутрисегментного или межсегментного навязывания. Возможность навязывания ложного маршрута обусловлена недостатками, присущими алгоритмам маршрутизации (в частности, из-за проблемы идентификации сетевых управляющих устройств), в результате чего можно попасть, например, на хост или в сеть злоумышленника, где можно войти в операционную среду технического средства в составе ИСПДн. Реализация угрозы основывается на несанкционированном использовании протоколов маршрутизации (RIP, OSPF, LSP) и управления сетью (ICMP, SNMP) для внесения изменений в маршрутно-адресные таблицы. При этом нарушителю необходимо послать от__ имени сетевого управляющего устройства (например, маршрутизатора) управляющее сообщение (рисунки 6 и 7).
Рисунок 6 – Схема реализации атаки «Навязывание ложного маршрута» (внутрисегментное) с использованием протокола ICMP с целью нарушения связи
Для осуществления этой удаленной атаки необходимо подготовить ложное ICMP Redirect Host сообщение, в котором указать конечный IP-адрес маршрута (адрес хоста, маршрут к которому будет изменен) и IP-адрес ложного маршрутизатора. Далее это сообщение передается на атакуемый хост от имени маршрутизатора. Для этого в IP-заголовке в поле адреса отправителя указывается IP-адрес маршрутизатора. Можно предложить два варианта данной удаленной атаки.
Рисунок 7 – Схема реализации угрозы «Навязывание ложного маршрута» (межсегментное) с целью перехвата трафика
В первом случае атакующий находится в том же сегменте сети, что и цель атаки. Тогда, послав ложное ICMP-сообщение, он в качестве IP-адреса нового маршрутизатора может указать либо свой IP-адрес, либо любой из адресов данной подсети. Это даст атакующему возможность изменить маршрут передачи сообщений, направляемых атакованным хостом на определенный IP-адрес, и получить контроль над трафиком между атакуемым хостом и интересующим атакующего сервером. После этого атака перейдет во вторую стадию, связанную с приемом, анализом и передачей пакетов, получаемых от атакованного хоста.
В случае осуществления второго варианта удаленной атаки атакующий находится в другом сегменте относительно цели атаки. Тогда, в случае передачи на атакуемый хост ложного ICMP Redirect сообщения, сам атакующий уже не сможет получить контроль над трафиком, так как адрес нового маршрутизатора должен находиться в пределах подсети атакуемого хоста. Однако в этом случае атака достигает другой цели: нарушается работоспособность хоста, поскольку связь между данным хостом и указанным в ложном ICMP-сообщении сервером будет нарушена. Это произойдет из-за того, что все пакеты, направляемые хостом на этот сервер, будут отправлены на IP-адрес несуществующего маршрутизатора.
6. Внедрение ложного объекта сети.
Эта угроза основана на использовании недостатков алгоритмов удаленного поиска. В случае, если объекты сети изначально не имеют адресной информации друг о друге, используются различные протоколы удаленного поиска (например, SAP в сетях Novell NetWare; ARP, DNS, WINS в сетях со стеком протоколов TCP/IP), заключающиеся в передаче по сети специальных запросов и получении на них ответов с искомой информацией. При этом существует возможность перехвата нарушителем поискового запроса и выдачи на него ложного ответа, использование которого приведет к требуемому изменению маршрутно-адресных данных. В дальнейшем весь поток информации, ассоциированный с объектом-жертвой, будет проходить через ложный объект сети (рисунки 8 – 10).
Для реализации данной атаки злоумышленнику необходимо наличие доступа к компьютеру, подключенному к сети к сети и заранее приготовленное программное обеспечение для осуществления атаки.
Происходит настройка приложения для осуществления сканирования сети для выявления соответствия MAC-адресов с IP-адресами хостов. После следует настройка параметров программы для проведения перехвата трафика между двумя или более хостами. Далее происходит подмена таблиц MAC-адресов и ожидание подключения к удаленному компьютеру, для перехвата имени и пароля.
Рисунок 8 – Схема реализации угрозы «Внедрение ложного ARP-сервера»
Основой данной атаки является то, что злоумышленник перехватывает запрос атакуемого хоста к настоящему DNS-серверу. Благодаря этому он решает задачу подбора номера порта, с которого отправлен запрос. Перед ним ставится задача определить идентификатор запроса, однако в большинстве систем этот идентификатор либо равен единице, либо имеет близкий порядок. Поэтому, отправив несколько ответов с разными идентификаторами, злоумышленник может рассчитывать на успех атаки.
Рисунок 9 – Схема реализации угрозы «Внедрение ложного DNS-сервера» путем перехвата DNS-запроса
Межсегментное внедрение ложного DNS-сервера
При реализации данной атаки злоумышленник не имеет возможности перехватить запрос атакуемого хоста к настоящему DNS-серверу. Перед ним ставится задача определить номер порта, с которого отправлен запрос и идентификатор запроса, однако в большинстве систем этот идентификатор либо равен единице, либо имеет близкий порядок. Поэтому, отправив несколько ответов с разными идентификаторами и номерами порта, злоумышленник может рассчитывать на успех атаки.
Рисунок 10 – Схема реализации угрозы «внедрение ложного DNS-сервера» путем шторма DNS-ответов на компьютер сети
Рисунок 11 – Схема реализации угрозы «Внедрение ложного DNS-сервера» путем шторма DNS-ответов на DNS-сервер
7. Отказ в обслуживании.
Эти угрозы основаны на недостатках сетевого программного обеспечения, его уязвимостях, позволяющих нарушителю создавать условия, когда операционная система оказывается не в состоянии обрабатывать поступающие пакеты.
SYN-flood атаки, известные также как TCP-flood атаки, обычно осуществляются против серверов. Основная задача таких атак — отказ в обслуживании (DoS). Злоумышленник посылает большое количество SYN-пакетов на целевой хост по порту сервиса, который он хочет приостановить, от имени произвольных IP-адресов [3]. Так как SYN-пакеты используются в тройном рукопожатии при установлении TCP-соединения, целевой хост отвечает на них пакетами SYN-ACK, резервирует место в буфере под каждое соединение и ждет ответного пакета ACK, который должен завершить соединение, в течение некоторого промежутка времени [12, с.108].
Пакет-подтверждение SYN-ACK передается на ложный адрес источника SYN-пакета, в произвольную точку сети и либо вовсе не найдет адресата, либо будет просто проигнорирован. В результате, при постоянном потоке SYN-запросов, целевой хост будет постоянно держать свой буфер заполненным ненужным ожиданием завершения полуоткрытых ложных соединений и не сможет обработать SYN-запросы от настоящих легальных пользователей.
Меры по защите сетевой инфраструктуры
Для защиты проникновения через демилитаризованную зону в корпоративную сеть используются межсетевые экраны.
Межсетевой экран – это система межсетевой защиты, позволяющая разделить каждую сеть на две и более части и реализовать набор правил, определяющих условия прохождения пакетов с данными через границу из одной части общей сети в другую. Как правило, эта граница проводится между корпоративной (локальной) сетью предприятия и глобальной сетью Интернет, хотя ее можно провести и внутри корпоративной сети предприятия. Использование межсетевых экранов позволяет организовать внутреннюю политику безопасности сети предприятия, разделив всю сеть на сегменты.
В качестве межсетевых экранов будут рассматриваться последние разработки следующих компаний-производителей аппаратных средств защиты периметра:
- IBM;
- D–link;
- Cisco.
В результате выбора среди продуктов от каждой фирмы можно выделить продукты D–linkDFL–260, IBMProventiaNetworkIPS и Cisco 1801/K9.
Условные обозначения:
– недостатки;
Без выделения – преимущества.
Таблица 1
Результаты сравнительного анализа средств межсетевого экранирования
Характеристика |
D–linkDFL–260 |
IBMProventiaNetworkIPS |
Cisco 1801/K9 |
Класс отказоустойчивости |
1 класс |
нет |
1 класс |
Контроль на прикладном уровне с учетом состояния |
Нет |
Да |
Да |
Прозрачная аутентификация Windows |
Да |
Да |
Да |
Пропускная способность |
80Mbps |
10Mbps |
100Mbps |
Wi–Fi |
Нет |
Нет |
Да |
Интерфейсы |
Ethernet 10/100BaseT (WAN) Ethernet |
2 x Ethernet 10/100BaseT (WAN) Ethernet |
ADSL (WAN)) 8 x Ethernet 10/100BaseT (LAN) ISDN BRI |
Протоколирование всех имен пользователей и приложений |
Да |
Да |
Нет |
Поддержка Exchange |
Да |
Да |
Да |
Поддержка Exchange |
Да |
Да |
Да |
Демилитаризованная зона |
Да |
Да |
Нет |
Характеристика |
D–linkDFL–260 |
IBMProventiaNetworkIPS |
Cisco 1801/K9 |
Контроль шлюзового и клиентского трафика VPN на прикладном уровне |
Нет |
Да |
Да |
100–Мбит/с порты ЛВС |
4 |
8 |
8 |
Число одновременных подключений |
12000 |
10000 |
18000 |
Передача функций отказавшего МЭ исправному устройству |
Нет |
Нет |
Да |
Web-кэширование и proxy |
Да |
Нет |
Да |
Цена |
28000 руб. |
150000 руб. |
36000 руб. |
Общее количество недостатков систем |
3 |
4 |
3 |
Как видно из таблицы 1, высокая цена продукта компании IBM обоснована высоким качеством, пропускной способностью, в данном случае рассматривается мало пропускаемая, т.е. самая дешёвая – 10Mbps, и функциональной полнотой их продуктов. Однако наилучшим продуктом в соотношении цена/качество является продукт компании D–link.
Таким образом, наиболее приемлемым средством защиты периметра является межсетевой экран D–linkDFL–260.
Также предлагается развертывание сети VPN, Составной частью решений для развертывания сетей VPN являются такие технологии, как IPSec VPN, Cisco Easy VPN, Cisco Dynamic Multipoint VPN, Cisco GRE VPN.
- прозрачный обмен данными между приложениями сетей территориально удаленных офисов
- защита данных от несанкционированного доступа и искажения злоумышленниками как из сети Интернет, так и из внутренней сети компании
- способность автоматической реконфигурации сети при отказах основных каналов связи с переходом на резервные каналы
- возможность предоставлять требуемые классы обслуживания для заданных типов трафика (данные, голос, видео)
- возможность гибкого централизованного управления сетью и политиками безопасности всех узлов
- учет событий в системе безопасности, их накопление и выдача статистических данных
IPSec VPN
Наиболее распространенная технология, основанная на открытых стандартах, поддерживаемая наибольшим числом производителей оборудования и программного обеспечения. Идеальна для построения гетерогенных сетей VPN.
Отработанная за годы развития технология IPSec VPN гарантирует стабильную работу и корректное взаимодействие оборудования различных производителей, различных платформ и программных сред в рамках одной сети VPN. Вместе с очевидными достоинствами имеет ряд существенных ограничений.
В основе решения лежит сеть VPN с предварительно настроенными в каждой точке входа в сеть туннелями для передачи защищаемого трафика. Таким образом все политики доступа и параметры взаимодействия конфигурируются отдельно для каждого устройства доступа и каждой удаленной подсети.
- Поддержка наибольшим числом производителей
- Поддерживается во всех моделях маршрутизаторов Cisco
- Открытый стандарт
- Недостатки
- Нет поддержки широковещательного трафика
- Нет поддержки трафика отличного от IP
- Нет поддержки политик качества обслуживания для каждого туннеля
- Нет механизма переключения основной/резервный каналы - только переключение с отказавшего на следующий доступный канал из списка.
Функциональность IPSec VPN реализована в маршрутизаторах Cisco ISR, Cisco ASA и концентраторах Cisco VPN 3000 которые могут работать как в сетях VPN для объединения локальных сетей удаленных офисов, так и в качестве устройств для удаленного доступа сотрудников к корпоративным бизнес-приложениям.
Таблица 2
Ключевые характеристики IPSec VPN
|
Технология Cisco Easy VPN в значительной степени упрощает процесс развертывания и сопровождения сети VPV для множества удаленных офисов. Технология централизует управление всеми параметрами и политиками безопасности на устройствах сети, сокращая сложность и повышая безопасность сети VPN.
Суть решения состоит в размещении всех параметров взаимодействия и политик безопасности на центральном сервере сети VPN (Easy VPN Server), к которому подключаются удаленные устройства VPN - аппаратные и программные клиенты (Easy VPN Remote). Перед тем как удаленный клиент сети Easy VPN сможет начать процедуру установления зашифрованного соединения с сетью VPN, он должен пройти процедуру проверки подлинности и загрузить все политики безопасности с сервера Easy VPN.
Благодаря тому, что все параметры взаимодействия и политики безопасности хранятся на центральном сервере, объем настроек оборудования в удаленных офисах сводиться к минимуму и состоит в подготовке универсального шаблона конфигурации. В дальнейшем этот шаблон может быть легко тиражирован на все устройства сети VPN без ущерба для уровня безопасноcти. Таким образом технология Easy VPN радикально минимизирует затраты на сопровождение ИТ в удаленных офисах.
В настоящее время функциональность Easy VPN Server реализована в маршрутизаторах Cisco ISR, Cisco ASA и концентраторах Cisco VPN 3000 которые могут работать как в сетях VPN для объединения локальных сетей удаленных офисов, так и в качестве устройств для удаленного доступа сотрудников к корпоративным бизнес-приложениям.
В качестве клиента Easy VPN Remote могут выступать маршрутизаторы Cisco ISR, UBR900 , Cisco PIX 501, 506E и аппаратный клиент сетей VPN - Cisco VPN 3002.
Таблица 3
Ключевые характеристики Easy VPN
Преимущества |
Сокращение затрат на администрирование и повышение безопасности благодаря автоматической загрузке конфигураций и политик с центрального узла Поддержка QoS |
Показания к применению |
Для сокращения затрат ресуров на настройку и управление сетью, при некоторых ограничениях в функциональности сети VPN При необходимости единой унифицированной системы управления разнообразными продуктами Cisco для построения VPN |
Совместимость оборудования |
Cisco ASA 5500, Cisco VPN 3000 и маршрутизаторы Cisco |
Масштабируемость |
Тысячи узлов в сети |
Управление и контроль |
Конфигурация узлов и политики доступа загружаются с центрального узла под управлением Cisco Security Manager, Cisco Router and Security Device Manager |
Топология |
Звезда |
Динамическая маршрутизация |
Ограниченно |
Качество обслуживания |
Только статические политики QoS для каждого узла |
Широковещательный трафик |
Нет |
Поддержка протоколов отличных от IP |
Нет |
Резервирование |
Возможность активизации резервного канала |
Технология Cisco Dynamic Multipoint VPN
Технология построения виртуальных частных сетей в основе которой лежит механизм динамического установления соединений между узлами сети
Cisco DMVPN может быть развернута как совместно с системами безопасности Cisco IOS Firewall и Cisco IOS IPS, так и вместе с такими необходимыми в современных сетях механизмами как QoS, IP Multicast, Split Tunneling и механизмами резервных маршрутов (routing-based failover). Используя возможности Cisco DMVPN можно создавать крупные VPN сети с десятками и сотнями узлов, с возможностью балансировки загрузки каналов и резервирования. При этом нет необходимости вручную конфигурировать каждое соединение между узлами сети - соединение будет установлено автоматически в соответствии c политиками доступа и безопасности.
Преимущества технологии Cisco DMVPN
Динамическая маршрутизация между узлами сети VPN
Протоколы динамической маршрутизации могут пересылать информацию об IP-сетях по зашифрованным тоннелям между подразделениями компании. Поддерживаются протоколы маршрутизации: Enhanced Interior Gateway Routing Protocol (EIGRP), Open Shortest Path First (OSPF), и Border Gateway Protocol (BGP).
Небольшой объем конфигурационных данных
Нет необходимости настраивать каждое соединение в отдельности. Добавление нового узла в сеть VPN не требует изменений в конфигурации как соседних узлов сети VPN, так и центрального узла такой сети. Например, типовой конфигурационный файл для сети из 1000 узлов в случае традиционных сетей IPsec буде содержать 3900 строк на каждом устройстве VPN, в то время как для технологии DMVPN необходимо только 13 строк на одно устройство.
Динамические туннели без участия центрального узла
В соответствии с политиками безопасности компании отдельные узлы смогу устанавливать соединения VPN между собой без участия центрального узла. Это снижает как нагрузку на оборудование и расходы на транзитный трафик для центрального узла, так и повышает скорость обработки таких данных как трафик систем IP-телефонии.
Поддержка NAT
Узлы сети VPN в удаленных подразделениях на оборудовании которых используется трансляция адресов NAT с успехом могут быть подключены к сети DMVPN.
Механизмы отказоустойчивости
Сеть VPN может быть построена как с использованием одного центрального узла, так и нескольких центральных узлов для обеспечения резервирования устройств и каналов связи. Удаленные узлы сети могут быть подключены к двум каналам связи от двух операторов связи одновременно для обеспечения отказоустойчивой схемы.
Поддержка качества обслуживания QoS
Как на центральном узле сети VPN, так и на удаленных узлах возможна реализация политик QoS с классификацией трафика, настройка шейпирования трафика, обслуживания трафика с различным приоритетом для разных узлов сети.
Масштабируемость сети
Сеть DMVPN может состоять как из нескольких узлов, так и вырасти до сети из тысяч узлов с использованием технологии server load balancing (SLB). Производительность центральных узлов может быть увеличена простым добавлением дополнительных устройств. При необходимости сеть VPN может иметь иерархическую структуру.
Данная технология построения сетей VPN поддерживается только на маршрутизаторах Cisco Systems.
Сравнение рассмотренных технологий приведено в таблице 4.
Таблица 4
Сравнение технологий
|
Cisco GRE VPN |
Cisco Easy VPN |
Традиционные IPSec VPN |
|
Преимущества |
|
|
|
|
Показания к применению |
|
|
|
|
Совместимость оборудования |
Только маршрутизаторы Cisco |
Только маршрутизаторы Cisco |
Cisco ASA 5500, Cisco VPN 3000 и маршрутизаторы Cisco |
Полное, в том числе разных производителей |
Масштабируемость |
Тысячи узлов для топологии с выделенным центром, сотни узлов для частично связанных сетей точка-точка |
Тысячи узлов в сети |
Тысячи узлов в сети |
Тысячи узлов в сети |
Управление и контроль |
Cisco Security Manager, Cisco Router and Security Device Manager |
Cisco Security Manager, Cisco Router and Security Device Manager |
Конфигурация узлов и политики доступа загружаются с центрального узла под управлением Cisco Security Manager, Cisco Router and Security Device Manager |
Cisco Security Manager, Cisco Router and Security Device Manager |
Топология |
Звезда, полносвязные сети VPN, динамические сети точка-точка с автоматическим удалением туннеля при отсутствии трафика |
Звезда, небольшие полносвязные сети VPN |
Звезда |
Звезда, небольшие полносвязные сети VPN |
Динамическая маршрутизация |
Поддерживается |
Поддерживается |
Ограниченно |
Поддерживается |
Качество обслуживания |
Поддерживается |
Поддерживается |
Только статические политики QoS для каждого узла |
Поддерживается |
Широковещательный трафик |
Через туннель VPN |
Через туннель VPN |
Нет |
Нет |
Поддержка протоколов отличных от IP |
Нет |
Да |
Нет |
Нет |
Резервирование |
Средствами протоколов маршрутизации |
Средствами протоколов маршрутизации |
Возможность активизации резервного канала |
Возможность активизации резервного канала |
Один из возможных вариантов такого решения реализуем на базе маршрутизаторов с интегрированными сервисами Cisco 1800 ISR (для головного офиса) и Cisco 871 (для филиалов). В качестве транспортной среды используется сеть Интернет.
Рисунок 12 – Схема VPN
В данном решении использованы технологии IPSec VPN для связи головного офиса с филиалами и технология Cisco DMVPN для обеспечения, при такой необходимости, передачи данных непосредственно между филиалами.
Для реализации функций шифрования и обеспечения безопасности на маршрутизатор головного офиса загружено программное обеспечение Cisco IOS VPN, являющееся неотъемлемой частью операционной системы маршрутизаторов и позволяющее быстро и эффективно построить виртуальную частную сеть VPN для компании любого масштаба и сети любой топологии.
Причины выбора Cisco IOS VPN:
- Организация высокопроизводительной сети VPN с расширенными возможностями
- Снижение стоимости внедрения в существующую инфраструктуру
- VPN непосредственно для WAN-интерфейсов
- Организация VPN без приобретения дополнительных средств защиты
- Интеграция IPSec и MPLS VPN
Заключение
В работе был проведен анализ деятельности компании, выявлены существующие угрозы.
В результате анализа выявлено, что система информационной безопасности нуждается в модернизации, а особенно плохо выполняются мероприятия по защите телекоммуникационных линий и контроль подключения оборудования к линиям.
Применительно к оценке эффективности защиты информации в компьютерной системе для частичного парирования такой условности могут быть выбраны несколько путей, основанных на унификации целей и задач защиты информации. При этом следует подчеркнуть, что полностью парировать указанную условность невозможно, что обусловлено относительностью, присущей самому понятию эффективности.
Список использованной литературы
- Доктрина информационной безопасности
- ГОСТ Р ИСО/МЭК 15408-2002. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий
- Конституция Российской Федерации от 25 декабря 1993 года, с изменениями от 30 декабря 2008 года
- Гражданский кодекс РФ от 30.11.1994 N 51-ФЗ
- Уголовный кодекс РФ (УК РФ) от 13.06.1996 N 63-ФЗ
- Федеральный закон от 27 июля 2006 г. N 149-ФЗ «Об информации, информационных технологиях и о защите информации»
- Федеральный закон «Об электронной подписи» от 07 апреля 2011 г.
- Федеральный закон 152-ФЗ «О персональных данных» от 25.07.2011г.
- Федеральный закон №98-ФЗ «О коммерческой тайне» от 14 марта 2014г.
Бабаш А.В., Мельников Ю.Н., Баранова Е.К. Информационная безопасность. Лабораторный практикум: Учебное пособие. - М.: КноРус, 2013. – 136с.
- Бартон Т., Шенкир У., Уокер П. Комплексный подход к безопасности сетей. — М.: Издательский дом «Вильямс», 2013. –208 с.
- Бил Джей. Обнаружение вторжений. Snort 2.1. — М.: Бином, 2012, -656 с.
Бирюков А.А. Информационная безопасность: защита и нападение. – М.: ДМК Пресс, 2012. – 474с.
- Галатенко В.А. Стандарты информационной безопасности: курс лекций. – М.: Интернет-Университет Информационных технологий, 2012.
- Герасименко В. А., Медатунян М. В. Организация комплексной защиты информации на современных объектах // Вопросы защиты информации, №1, 2014.
- Грушо А.А., Тимонина Е.Е. Теоретические основы защиты информации. – М.: Яхтсмен, 2011. – 320с.
- Девянин Н.П., Михальский О.О., Правиков О.О., Щербаков А.Ю. Теоретические основы компьютерной безопасности.- М.: Радио и связь, 2012. – 278с.
- Домарев В.В. Защита информации и безопасность компьютерных систем. – К.: изд-во «Диа-Софт», 2011. – 480 с.
- Жук А.П. Защита информации: Учебное пособие / А.П. Жук, Е.П. Жук, О.М. Лепешкин, А.И. Тимошкин. - 2-e изд. - М.: ИЦ РИОР: НИЦ ИНФРА-М, 2015. - 392 с.
- Зима В.М., Молдвян А.А., Молдовян Н.А. Безопасность глобальных сетевых технологий. 2-е изд. — С.-Пб.: БХВ-Петербург, 2013. –368 с.
Информационная безопасность и защита информации: Учебное пособие / Е.К. Баранова, А.В. Бабаш. - 2-e изд. – М.: НИЦ Инфра-М., 2014. – 256с.
- Корт С.С. Теоретические основы защиты информации. – М.: Гелиос АРВ, 2012.
- Лукацкий А.В. Обнаружение атак. — С.-Пб.: БХВ–Петербург, 2014. –624 с.
- Мак-Клар С., Скембрей Д., Курц Д. Секреты хакеров. Безопасность сетей — готовые решения. 2-е изд. — М.: Издательский дом «Вильямс», 2012. –656 с.
Мельников В.П., Петраков А.М. Информационная безопасность и защита информации: Учебное пособие для студентов учреждений высш. проф. образования / С.А. Клейменов, В.П. Мельников, А.М. Петраков; Под ред. С.А. Клейменов. - 6-e изд., стер.- М.: ИЦ Академия, 2012. – 336с.
- Михайлов С.Ф., Петров В.А., Тимофеев Ю. А. Информационная безопасность. Защита информации в автоматизированных системах. Основные концепции. Учебное пособие. — М.: МИФИ, 2013. –112 с.
- Халяпин Д.Б., Ярочкин В.И. Основы защиты информации. (Учебное пособие). - М.: ИПКИР, 2013. – 365с.
- Хаусманн Л. Знать, что происходит в сети.// LAN: журнал сетевых решений, 2011, №10, сс.104-106.
- Хубер З. Безопасность как процесс.// LAN: журнал сетевых решений, 2012, №2, сс.78-81.
-
Далее под информацией или секретной информацией понимается информация, содержащая сведения, составляющие государственную тайну, если степень ее секретности особо не оговаривается. ↑
- Ресурсы сетевой экономики и их движение
- Коммерческие банки, их виды и основные направления деятельности
- Финансовый менеджмент в банке
- Финансы акционерных обществ
- Роль мотивации в поведении организации (Теоретические основы мотивации персонала )
- Процессы принятия решений в организации (Сущность и виды управленческих решений )
- Человеческий фактор в управлении организацией
- Применение проектных технологий в качестве инструмента развития бизнеса
- Применение процессного подхода для оптимизации бизнес-процессов ( Понятие процессного подхода в управлении)
- «Кадровая стратегия в системе стратегического управления организацией»
- Оценка персонала на примере компании ОАО «Храпуновский инструментальный завод», г. Москвы
- Информационная безопасность