Защита нескольких локальных сетей, связанных через Internet c Proxy-серверами

Размещено на http://www.allbest.ru/

МИНИСТЕРСТВО ОБРАЗОВАНИЯ РОССИЙСКОЙ ФЕДЕРАЦИИ ФЕДЕРАЛЬНОЕ АГЕНСТВО ПО ОБРАЗОВАНИЮ

ГОСУДАРСТВЕННОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ

«СЕВЕРОКАВКАЗСКИЙ ГОСУДАРСТВЕННЫЙ ТЕХНИЧЕСКИЙ УНИВЕРСИСТЕТ»

Кафедра защиты информации

КУРСОВАЯ РАБОТА

по дисциплине «Технология построения защищенных автоматизированных систем»

ТЕМА: “ Частичная защита нескольких локальных сетей, связанных через Internet c Proxy-серверами»”

Автор курсовой работы

Деренюк Владимир Александрович

Ставрополь, 2011.

Введение

В современное время компьютерные технологии стали неотъемлемой частью нашей жизни, они проникли практически во все сферы деятельности человека, начиная от домашнего использования персонального компьютера и заканчивая сложными распределенными компьютерными сетями, включающими сотни компьютеров крупных предприятий и корпораций. Компьютерные технологии развиваются экспоненциальными темпами, буквально каждый месяц появляются новые решения, разработки, перспективные направления. С каждым годом финансирование данной сферы росло и продолжает расти.

Компьютер предназначен для облегчения труда человека, он автоматизирует решения различного рода задач, является средством обработки, передачи, а также хранения огромных массивов информации и способом ведения бизнеса. Компьютер поистине является одним из величайших изобретений всего человечества!

После появления первых компьютеров, их одиночное использование стало неприемлемым при решении определенного ряда задач, появился вопрос об объединении группы персональных компьютеров и организации связи между ними для совмещенной работы, это привело к созданию в 1969 году в США первой компьютерной сети - ARPANET. Основной задачей, на первых этапах ее появления, являлось использование этой сети в военных задачах. Ее создание послужило толчком к развитию сетевых технологий и объединению компьютеров в сети. Это развитие приобрело колоссальный размах и привело к созданию глобальной телекоммуникационной сети информационных и вычислительных ресурсов - Интернет.

Развитие компьютерных технологий привело к появлению различных форм отчетностей для предприятий, а также созданию такого понятия как электронный документооборот, поэтому в настоящее время едва ли можно встретить даже небольшую организацию, которая способна обходиться без компьютерных технологий и компьютерных сетей.

Глава 1 Анализ системы распределенных локальных сетей и информационного обмена между ними через глобальную сеть Интернет

1.1 Цель проведения исследования в ходе курсовой работы

Применение повсеместно компьютерных технологий и сетей привнесло множество положительных преимуществ, но одновременно с этим образовало целых комплекс информационных угроз.

Информация является основополагающим элементом функционирования и работы предприятий, ее ценность является наиболее значимой для организаций, а ее потеря, несанкционированный доступ к ней или утечка наиболее ущербным. Проблемам обеспечения сохранности конфиденциальной информации уделяется очень большое внимание, так как в современное время имеются многочисленные угрозы информационной безопасности. Предприятие, которое в своей деятельности не применяет средства для защиты конфиденциальной информации, является потенциально уязвимым и ставит под удар свою нормальную деятельность, что является неприемлемым.

Ценность информации очень высока, лучшего всего это можно выразить в словах сказанных Уинстоном Черчиллем - «Кто владеет информацией, тот владеет миром», в современное время это является наиболее значимым, поэтому обеспечение сохранности конфиденциальности информации является необходимым и одним из самых важных требований.

Целью написания данной курсовой работы является: проведение анализа функционирования информационного обмена между удаленными локальными сетями использующими для соединения глобальную сеть Интернет, выявление проблемы информационной безопасности распределенных сетей, проведение анализа и описание этой проблемы, проведение анализа и формирование способов ее решения, получение выводов об эффективности использованных средств и методов.

1.2 Понятие и классификация компьютерных сетей. Понятие канала связи. Понятие корпоративной сети

Предметом рассмотрения данной курсовой работы является информационный обмен между несколькими распределенными локальными сетями, для соединения которых используется глобальная сеть Интернет.

В настоящее время большинство компьютеров подключено постоянно или периодически к локальным или глобальным компьютерным сетям.

Компьютерная сеть -- это информационная система, представляющая совокупность связанных между собой персональных компьютеров, серверов, сетевого оборудования, оргтехнику и другого телекоммуникационного оборудования.

Рисунок 1.1 - Компьютерная сеть

Компьютерная сеть дает возможность отдельным сотрудникам организации взаимодействовать между собой и обращаться к совместно используемым ресурсам; позволяет им получать доступ к данным, хранящимся на персональных компьютерах как в удаленных офисах, так и соседних ПК. С помощью современного оборудования можно передавать большие информационные потоки данных не только по проводным линиям, но и по радиоканалу, что увеличивает эффективность и гибкость создаваемых локальных и корпоративных сетей связи. Компьютерная сеть является ключевым элементом инфраструктуры предприятия и от того, насколько предсказуемо работает сеть, во многом зависит стабильность работы информационных систем, а следовательно, и стабильность бизнеса.

При объединение персональных компьютеров в сети, можно выделить ряд преимуществ:

1) Разделение ресурсов - позволяет экономно использовать ресурсы, например, управлять периферийными устройствами, такими как лазерные печатающие устройства, со всех присоединенных рабочих станций производственной ЛВС;

2) Разделение данных - предоставляет возможность доступа и управления базами данных с периферийных рабочих мест, нуждающихся в информации.

3) Разделение программных средств - предоставляет возможность одновременного использования централизованных, ранее установленных программных средств.

4) Разделение ресурсов процессора - возможно использование вычислительных мощностей для обработки данных другими системами, входящими в сеть.

5) Многопользовательский режим - многопользовательские свойства системы позволяют одновременно использовать централизованные прикладные программные средства, ранее установленные и управляемые, например, если пользователь системы работает с другим заданием, то текущая выполняемая работа отодвигается на задний план.

Компьютерные сети по территориальному расположению классифицируются следующим образом:

- Глобальные сети (Wide Area Network - WAN) строятся на основе региональных сетей;

- Региональные сети (Metropolitan Area Network - MAN) - являются объединением локальных сетей в пределах территории, или корпоративные для крупной организации, имеющей удаленные друг от друга офисы;

- Локальные сети (Local Area Network - LAN) - ограничиваются размерами помещения, здания либо группы рядом стоящих зданий.

Глобальные сети

Глобальные вычислительные сети служат для объединения разрозненных сетей так, чтобы пользователи и компьютеры, где бы они ни находились, могли взаимодействовать со всеми остальными участниками глобальной сети. Некоторые глобальные сети построены исключительно для частных организаций, другие являются средством коммуникации корпоративных ЛВС с сетью Интернет или посредством Интернет с удалёнными сетями, входящими в состав корпоративных. Чаще всего глобальная сеть опирается на выделенные линии, на одном конце которых маршрутизатор подключается к локальной сети, а на другом коммутатор связывается с остальными частями глобальной сети.

Глобальные сети отличаются от локальных тем, что рассчитаны на неограниченное число абонентов и используют, как правило, не слишком качественные каналы связи и сравнительно низкую скорость передачи, а механизм управления обменом, у них в принципе не может быть гарантировано скорым.

В глобальных сетях намного более важное не качество связи, а сам факт ее существования. Правда, в настоящий момент уже нельзя провести четкий и однозначный предел между локальными и глобальными сетями. Большинство локальных сетей имеют выход в глобальную сеть, но характер переданной информации, принципы организации обмена, режимы доступа, к ресурсам внутри локальной сети, как правило, сильно отличаются от тех, что принято в глобальной сети. И хотя все компьютеры локальной сети в данном случае включены также и в глобальную сеть, специфику локальной сети это не отменяет. Возможность выхода в глобальную сеть остается всего лишь одним из ресурсов, поделенным пользователями локальной сети.

Локальные сети

Локальная сеть представляет собой коммуникационную сеть, соединяющую различные устройства и обеспечивающую обмен информации между этими устройствами. Область охвата локальной сети невелика, как правило, это отдельное здание или комплекс зданий. В большинстве случаев локальной сетью владеет та же организация, которой принадлежат присоединенные к сети устройства. При построении локальной сети нужно хорошо продумать ее структуру, так как от этого зависит эффективность ее работы, удобство администрирования, гибкость при необходимости расширения. Скорость передачи данных в локальных сетях обычно значительно выше, чем в глобальных.

Региональные сети

Региональные сети объединяют компьютеры в пределах города, представляет собой сеть по размерам меньшую чем WAN, но большую, чем LAN. Как правило, региональная сеть не принадлежит какой-либо отдельной организации, в большинстве случаев её соединительные элементы и прочее оборудование принадлежит группе пользователей или же провайдеру, который берёт плату за обслуживание. Региональная сеть часто действует как высокоскоростная сеть, чтобы позволить совместно использовать региональные ресурсы (подобно большой LAN). Это также часто используется, чтобы обеспечить общедоступное подключение к другим сетям, используя связь с глобальными сетями.

Для соединения компьютеров в сеть используются каналы связи.

Канал связи - система технических средств и среда распространения сигналов для передачи сообщений (не только данных) от источника к получателю (и наоборот). Канал связи, понимаемый в узком смысле, представляет только физическую среду распространения сигналов, например, физическую линию связи.

Характеристики каналов связи определяют возможности канала соответствовать определенным требованиям, которые предъявляются пользователем данного канала связи. Помимо основных характеристик канала, учитываются также стоимость, надежность и достоверность передачи информации, и другие характеристики.

Каналы связи различаются как по типу проводящей среды (проводная и беспроводная), так и по физической реализации (коаксиальный кабель, витая пара, оптическое волокно, спутниковый канал, радиосвязь, лазерный или инфракрасный сигнал и др.)

Современные компьютерные сети в зависимости от выбранной проводящей среды строятся по технологии Ethernet, в случаи проводной связи и Wi-Fi - беспроводная связь.

Совокупность всех локальных сетей мира образуются глобальную телекоммуникационную сеть информационных и вычислительных ресурсов - Интернет. Таким образом, локальная вычислительная сеть представляет с одной стороны сложную вычислительную систему, а с другой является подсистемой и элементом еще более сложной и глобальной системы в виде сети Интернет.

Локальные вычислительные сети разделяются по числу компьютеров объединенных в сеть и по размеру организации, так например, крупная организация, имеющая несколько филиалов, будет иметь корпоративную сеть.

Корпоративная сеть -- коммуникационная система, принадлежащая и/или управляемая единой организацией в соответствии с правилами этой организации. Корпоративная сеть отличается от сети, например, Интернет - провайдера тем, что правила распределения IP адресов, работы с интернет ресурсами и т. д. едины для всей корпоративной сети, в то время как провайдер контролирует только магистральный сегмент сети, позволяя своим клиентам самостоятельно управлять их сегментами сети, которые могут являться как частью адресного пространства провайдера, так и быть скрыты механизмом сетевой трансляции адресов за одним или несколькими адресами провайдера.

Корпоративная сеть, как правило, является территориально распределенной, т.е. объединяющей офисы, подразделения и другие структуры, находящиеся на значительном удалении друг от друга. Принципы, по которым строится корпоративная сеть, достаточно сильно отличаются от тех, что используются при создании локальной сети. Это ограничение является принципиальным, и при проектировании корпоративной сети следует предпринимать все меры для минимизации объемов передаваемых данных. В остальном же корпоративная сеть не должна вносить ограничений на то, какие именно приложения и каким образом обрабатывают переносимую по ней информацию. Характерной особенностью такой сети является то, что в ней функционируют оборудование самых разных производителей и поколений, а также неоднородное программное обеспечение, не ориентированное изначально на совместную обработку данных.

Структура корпоративной сети представлена на рисунке 1.2.

Рисунок 1.2 - Корпоративная сеть

Выделяют требования, предъявляемые к современным корпоративным сетям:

- Надежность - надежность сети является одним из факторов, определяющих непрерывность деятельности организации

- Производительность - рост числа узлов сети и объема обрабатываемых данных предъявляет постоянно возрастающие требования к пропускной способности используемых каналов связи и производительности устройств, образующих ИС

- Экономическая эффективность - рост масштаба и сложности корпоративных сетей заставляет заботиться об экономии средств как на их создание, так и на эксплуатацию и модернизацию

- Информационная безопасность - хранение и обработка в сети конфиденциальной информации выводит информационную безопасность в число основных аспектов стабильности и безопасности бизнеса в целом.

От правильно спроектированной и реализованной корпоративной сети, выбора надежного и производительного оборудования напрямую зависит работоспособность информационной системы в целом, возможность ее эффективной и длительной эксплуатации, модернизации и адаптации к меняющимся задачам.

Наиболее распространенными задачами, решаемыми при создании корпоративных сетей, является построение сетей масштаба здания (локальных) и группы близко расположенных зданий (кампусных), а также объединение территориально удаленных подразделений с использованием тех или иных каналов связи. Разновидностью последней задачи является подключение к Интернет, при котором Интернет выступает в роли одной из объединяемых сетей.

Этим группам задач можно приблизительно сопоставить основные классы современного сетевого оборудования: при построении локальных и кампусных сетей основную роль выполняют коммутаторы, а при построении территориально-распределенных сетей используются маршрутизаторы.

Коммутаторы локальных сетей обеспечивают высокоскоростной обмен в рамках локальной сети, обеспечивая попадание передаваемой информации только на те узлы, которые являются ее адресатами. Коммутаторы в своей работе оперируют адресами канального протокола, в роли которого, как правило, выступает Ethernet/Fast Ethernet/Gigabit Ethernet. Это приводит к тому, что коммутаторы обеспечивают «прозрачное» функционирование сети, и могут выполнять свои базовые функции без трудоемкого конфигурирования.

Маршрутизаторы в принятии решений о передаче информации оперируют логическими адресами - например, адресами протокола IP. Это позволяет при обработке маршрутизаторами информации использовать иерархическое представление об элементах сети, что существенно при создании сети, имеющей значительные размеры или состоящей из разрозненных участков.

локальная сеть интернет виртуальный

1.3 Определение проблем информационной безопасности в глобальной сети Интернет

На сегодняшний день Интернет является неотъемлемой частью ведения бизнеса, которая позволяет работать с большими информационными массивами и осуществлять мгновенную коммуникационную связь с географически распределенными областями. Всемирная сеть Интернет стала универсальным, довольно простым средством связи, общения и информационного обмена. Как было отмечено выше Интернет, являясь глобальной сетью, включает в себя огромное количество удаленных компьютерных сетей охватывающих весь земной шар, при такой глобальной распределенности осуществлять качественный и должный контроль за циркулирующими информационными потоками и за действиями происходящими в сети является очень трудноосуществимой проблемой и задачей. На текущее время средств эффективного контроля не существуют, поэтому Интернет является очень трудно контролируемым каналом распространения информации, что приводит к целому ряду информационных угроз: несанкционированный доступ к конфиденциальной и закрытой коммерческой информации, утечка информации, нарушение работы каналов связи и компьютерного оборудования и т.д.

Мировому бизнесу весьма известно понятие «конкуренция», поэтому в роле злоумышленника, который создает информационные угрозы воздействуя на систему, может выступать конкурирующее лицо. Интернет играет существенную роль в так называемой «конкурентной разведке» - сборе сведений о действиях и планах конкурирующих организаций с целью дальнейшего ослабления их рыночных позиций. Также злоумышленник может и не иметь прямой конкурирующей заинтересованности в предприятии, а в каких-то личных целях спланировать потенциальную атаку на информационный объект. Различного рода угрозы для деятельности предприятия могу создаваться единичными злоумышленниками, в роле которых могут быть как непрофессиональные лица, так и весьма квалифицированные. Последние являются наиболее опасными и создаваемые ими угрозы наиболее критичны. Кроме этого злоумышленниками могут быть выступать и мощные, высокопрофессиональные организации, задействованными в многоуровневых стратегиях конкурентной борьбы.

1.4 Вывод

Анализируя сложившееся положение, становится ясно, что проблема обеспечения информационной безопасности, исключение или уменьшение воздействий угроз как, рассматривая в общем какое-то конкретное предприятие или организацию, так к примеру непосредственно канал информационного обмена между распределенными сетями соединенными посредством глобальной сети Интернет является очень актуальной. С развитием компьютерных информационных технологий совершенствуются способы, методы и инструменты, с помощью которых может осуществляться и появляться все новые информационные угрозы.

Тем не менее, не все организации используют средства безопасного информационного обмена и защиты коммерческой информации, в основном это относится к небольшим организациям. Такое положение может складываться либо из-за незнания или нежелания руководителя заниматься проблемами защиты информации, которые могут стать очень острыми при первом происшествии, либо неимение материальных средств для построения защиты информации необходимого уровня.

Стоит отметить, что так называемые «происшествия» могут быть не всегда сразу обнаружены, так например, утечка информации или ее перехват может осуществляться довольно длительно время без каких-либо явных проявлений.

Глава 2. Анализ информационных угроз при информационном обмене через глобальную сеть Интернет

2.1 Анализ угроз информационной безопасности и их классификация

Угроза информационной безопасности - потенциально возможное событие, действие, процесс или явление, которое может привести к нанесению ущерба чьим-либо интересам.

Классификацию угроз информационной безопасности можно выполнить по нескольким критериям:

1) по аспекту информационной безопасности:

- доступность;

- целостность;

- конфиденциальность.

2) по компонентам ИС, на которые угрозы нацелены:

-данные;

- программное обеспечение;

- аппаратура;

- поддерживающая инфраструктура.

3) по способу осуществления:

случайные или преднамеренные действия природного или техногенного характера;

4) по расположению источника угроз:

- внутренние;

- внешние.

Вне зависимости от конкретных видов угроз, информационная система должна обеспечивать базовые свойства информации и систем ее обработки:

- доступность - возможность получения информации или информационной услуги за приемлемое время;

- целостность - свойство актуальности и непротиворечивости информации, ее защищенность от разрушения и несанкционированного изменения;

- конфиденциальность - защита от несанкционированного доступа к информации.

При подключении корпоративной локальной сети к открытой сети (Интернет) возникают угрозы безопасности передаваемой информации двух основных типов:

- НСД к внутренним ресурсам корпоративной локальной сети, получаемый злоумышленником в результате несанкционированного входа в эту сеть;

Рисунок 2.1 - НСД к внутренним ресурсам корпоративной сети

- НСД к корпоративным данным в процессе их передачи по открытой сети.

Рисунок 2.2 - НСД к данным при их передачи по открытой сети.

2.2 Исследование понятия атаки и разновидности сетевых атак

Реализация информационной угрозы или ее попытка называется атакой.

Классификация атак на информационную систему может быть выполнена по нескольким признакам:

1) по месту возникновения:

- локальные атаки (источником данного вида атак являются пользователи и/или программы локальной системы);

- удаленные атаки (источником атаки выступают удаленные пользователи, сервисы или приложения);

2) по воздействию на информационную систему

- активные атаки (результатом воздействия которых является нарушение деятельности информационной системы);

- пассивные атаки (ориентированные на получение информации из системы, не нарушая функционирование информационной системы);

Сетевая атака - некоторый неправомерный набор действий направленный на компьютерную систему, имеющий цель произвести, используя компьютерную сеть, попытку осуществления информационных угроз.

Сетевые атаки столь же разнообразны, как и системы, против которых они направлены. Одни атаки отличаются большой сложностью, другие может осуществить обычный оператор, даже не предполагающий, какие последствия будет иметь его деятельность.

Цели нарушителя, осуществляющего атаку:

- нарушение конфиденциальности передаваемой информации;

- нарушение целостности и достоверности передаваемой информации;

- нарушение работоспособности всей системы или отдельных ее частей.

Распределенные системы подвержены прежде всего удаленным (сетевым) атакам, поскольку компоненты распределенных систем обычно используют открытые каналы передачи данных, и нарушитель может не только проводить пассивное прослушивание передаваемой информации, но и модифицировать передаваемый трафик (активное воздействие). И если активное воздействие на трафик может быть зафиксировано, то пассивное воздействие практически не поддается обнаружению. Но поскольку в ходе функционирования распределенных систем обмен служебной информацией между компонентами системы осуществляется тоже по открытым каналам передачи данных, то служебная информация становится таким же объектом атаки, как и данные пользователей.

Трудность выявления факта проведения удаленной атаки выводит этот вид неправомерных действий на первое место по степени опасности и препятствует своевременному реагированию на осуществленную угрозу, в результате чего у нарушителя увеличиваются шансы успешной реализации атаки.

Рассмотрим некоторые наиболее распространенные сетевые атаки:

1) Сниффинг (прослушивание сети) - в основном данные по компьютерным сетям передаются в незащищенном формате (открытым текстом), что позволяет злоумышленнику, получившему доступ к линиям передачи данных в сети «подслушивать» или считывать трафик. Для «подслушивания» в компьютерных сетях используют сниффер. Сниффер пакетов представляет собой прикладную программу, которая перехватывает все сетевые пакеты, передаваемые через компьютерную сеть. Снифферы также используются и на вполне законных основании. Они используются для диагностики неисправностей и анализа трафика. Однако ввиду того, что некоторые сетевые приложения передают данные в текстовом формате (Telnet, FTP, SMTP, РОРЗ и т. д.), с помощью сниффера можно узнать полезную, а иногда и конфиденциальную информацию (имена пользователей и пароли).

Перехват пароля, передаваемого по сети в незашифрованной форме, путем «подслушивания» канала является разновидностью атаки подслушивания, которую называют password sniffing (сниффинг пароля). Перехват имен и паролей создает большую опасность, так как пользователи часто применяют один и тот же логин и пароль для множества приложений и систем. Многие пользователи вообще имеют один пароль для доступа ко всем ресурсам и приложениям. Если приложение работает в режиме клиент/сервер, а аутентификационные данные передаются по сети в читаемом текстовом формате, эту информацию с большой вероятностью можно использовать для доступа к другим корпоративным или внешним ресурсам.

Предотвратить угрозу сниффинга пакетов можно с помощью применения для аутентификации однократных паролей, установки аппаратных или программных средств, распознающих снифферы, применения криптографической защиты каналов связи.

2) Атака Man-in-the-middle («Человек посередине») - метод компрометации канала связи, при котором злоумышленник, подключившись к каналу между контрагентами, осуществляет активное вмешательство в протокол передачи, удаляя, искажая информацию или навязывая ложную, причём ни один из участников информационного обмена не может догадаться о его присутствии в канале.

Рисунок 2.3 - Атака Man-in-the-middle

Для проведения атаки Man-in-the-middle злоумышленнику нужен доступ к пакетам, передаваемым по сети. Такие атаки проводятся с целью кражи информации, перехвата текущей сессии и получения доступа к частным сетевым ресурсам, для анализа трафика и получения информации о сети и ее пользователях, для проведения атак типа DoS, искажения передаваемых данных и ввода несанкционированной информации в сетевые сессии.

Эффективно бороться с атаками типа Man-in-the-middle можно с помощью криптографических средств.

3) Отказ в обслуживании (Denial of Service - DoS) - эта атака отличается от атак других типов: она не нацелена на получение доступа к сети или на получение из этой сети какой-либо информации. DoS-атака делает сеть организации недоступной для обычного использования за счет превышения допустимых пределов функционирования сети, ОС или приложения. По существу, она лишает обычных пользователей доступа к ресурсам или компьютерам сети организации.

Большинство DoS-атак опирается на общие слабости системной архитектуры. В случае использования некоторых серверных приложений (таких как web-сервер или FTP-сервер) DoS-атаки могут заключаться в том, чтобы занять все соединения, доступные для этих приложений, и держать их в занятом состоянии, не допуская обслуживания обычных пользователей. Если атака этого типа проводится одновременно через множество сетевых узлов, то такая атака называется распределенной атакой отказа в обслуживании - DDoS (distributed DoS).



Рисунок 2.4 - Атака DDoS

Меры противодействия DoS-атакам:

- Предотвращение - профилактика причин, побуждающих тех или иных лиц организовывать DoS-атаки;

- Фильтрация - эффективность этого метода снижается по мере приближения к цели атаки и повышается по мере приближения к её источнику;

- Устранение уязвимостей - не работает против атак типа флуд (атака, связанная с большим количеством обычно бессмысленных или сформированных в неправильном формате запросов к компьютерной системе или сетевому оборудованию, имеющая своей целью или приведшая к отказу в работе системы из-за исчерпания ресурсов системы -- процессора, памяти либо каналов связи), для которых «уязвимостью» является конечность тех или иных ресурсов;

- Наращивание ресурсов - увеличение мощности оборудования;

- Рассредоточение - построение распределённых и продублированных систем, которые не прекратят обслуживать пользователей, даже если некоторые их элементы станут недоступны из-за атаки;

- Уклонение - увод непосредственной цели атаки (доменного имени или IP-адреса) подальше от других ресурсов, которые часто также подвергаются воздействию вместе с непосредственной целью.

- Активные ответные меры. - воздействие на источники, организатора или центр управления атакой, как технического, так и организационно-правового характера.

- Внедрение оборудования по отражению DoS-атак - применение аппаратных или аппаратно-программных средств предотвращения такого рода атак.

4) Вредоносное программного обеспечение (вирусы, сетевые «черви», «троянские кони») - вирусы представляют собой вредоносные программы, которые внедряются в другие программы для выполнения определенной нежелательной функции на рабочей станции конечного пользователя. Вирус обычно разрабатывается злоумышленниками таким образом, чтобы как можно дольше оставаться необнаруженным в компьютерной системе.

Разновидностью программы-вируса является сетевой «червь», который распространяется по глобальной сети и не оставляет своей копии на магнитном носителе. Этот термин используется для именования программ, которые подобно ленточным червям перемещаются по компьютерной сети от одной системы к другой. «Червь» использует механизмы поддержки сети для определения узла, который может быть поражен. Затем с помощью этих же механизмов передает свое тело в этот узел и либо активизируется, либо ждет подходящих условий для активизации. Сетевые «черви» являются опасным видом вредоносных программ, так как объектом их атаки может стать любой из миллионов компьютеров, подключенных к глобальной сети Интернет. Для защиты от «червя» необходимо принять меры предосторожности против несанкционированного доступа к компьютерной сети.

К компьютерным вирусам примыкают так называемые «троянские кони». «троянский конь» -- это программа, которая имеет вид полезного приложения, а на деле выполняет вредоносные функции (разрушение ПО, копирование и пересылка злоумышленнику файлов с конфиденциальными данными и т.д.). Опасность «троянского коня» заключается в дополнительном блоке команд, вставленном в исходную безвредную программу, которая затем предоставляется пользователям автоматизированной системы. Этот блок команд может срабатывать при наступлении какого-либо условия (даты, состояния системы) либо по команде извне. Пользователь, запустивший такую программу, подвергает опасности как свои файлы, так и всю автоматизированную систему в целом. Рабочие станции конечных пользователей очень уязвимы для вирусов, сетевых «червей» и «троянских коней».

Для защиты от указанных вредоносных программ необходимо:

- исключение несанкционированного доступа к исполняемым файлам;

- тестирование приобретаемых программных средств;

- контроль целостности исполняемых файлов и системных областей;

- создание замкнутой среды исполнения программ.

Борьба с вирусами, «червями» и «троянскими конями» ведется с помощью эффективного антивирусного программного обеспечения, работающего на пользовательском уровне и, возможно, на уровне сети. Антивирусные средства обнаруживают большинство вирусов, «червей» и «троянских коней» и пресекают их распространение. Получение самой свежей информации о вирусах помогает эффективнее бороться с ними. По мере появления новых вирусов, «червей» и «троянских коней» нужно обновлять базы данных антивирусных средств и приложений.

2.3 Вывод

На основании вышесказанного можно сделать вывод, что применение средств обеспечивающих информационную безопасность является обязательным пунктом в деятельность любой организации, так как ущерб, нанесенный в результате каких-либо неправомерных действий со стороны злоумышленника, может достигать колоссальных размеров. Разумным решением является предотвращение возможного ущерба и исключения или максимальное уменьшение воздействий информационных угроз.

Глава 3. Анализ средств обеспечения защищенного канала информационного обмена между несколькими локальными сетями через Интернет

3.1 Анализ технологии построения виртуальной защищенной сети - VPN

В современное время основной технологией обеспечения безопасного информационного обмена и создания защищенного канала между распределенными узлами сети является технология VPN.

Виртуальная защищенная (частная) сеть (Virtual Private Network -- VPN) -- обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети (например, Интернет). Несмотря на то, что коммуникации осуществляются по сетям с меньшим неизвестным уровнем доверия (например, по публичным сетям), уровень доверия к построенной логической сети не зависит от уровня доверия к базовым сетям благодаря использованию средств криптографии (шифрованию, аутентификация, инфраструктуры публичных ключей, средствам для защиты от повторов и изменения передаваемых по логической сети сообщений).

В настоящее время технологии построения виртуальных защищенных частных сетей (VPN) привлекают все больше внимания со стороны крупных компаний (банков, ведомств, крупных государственных структур и т. д.). Причина такого интереса заключается в том, что VPN-технологии действительно дают возможность не только существенно сократить расходы на содержание выделенных каналов связи с удаленными подразделениями (филиалами), но и повысить конфиденциальность обмена информацией.

VPN-технологии позволяют организовывать защищенные каналы как между офисами компании, так и к отдельным рабочим станциям и серверам. Потенциальным клиентам предлагается широкий спектр оборудования и программного обеспечения для создания виртуальных защищенных сетей -- от интегрированных многофункциональных и специализированных устройств до чисто программных продуктов.

При построении защищенной виртуальной сети VPN первостепенное значение имеет задача обеспечения информационной безопасности.

Под безопасностью данных понимают их конфиденциальность, целостность и доступность.

Применительно к задачам организации VPN, критерии безопасности данных могут быть определены следующим образом:

- конфиденциальность -- гарантия того, что в процессе передачи данных по защищенным каналам VPN эти данные могут быть известны только легальным отправителю и получателю;

- целостность -- гарантия сохранности передаваемых данных во время прохождения по защищенному каналу VPN. Любые попытки изменения, модифицикации, разрушения или создания новых данных будут обнаружены и станут известны легальным пользователям;

- доступность -- гарантия того, что средства, выполняющие функции VPN, постоянно доступны легальным пользователям. Доступность средств VPN является комплексным показателем, который зависит от надежности реализации, качества обслуживания и степени защищенности самого средства от внешних атак.

Конфиденциальность обеспечивается с помощью различных методов и алгоритмов симметричного и асимметричного шифрования. Целостность передаваемых данных обычно достигается с помощью различных вариантов технологии электронной подписи, основанных на асимметричных методах шифрования и односторонних функциях.

Аутентификация осуществляется на основе многоразовых и одноразовых паролей, цифровых сертификатов, смарт-карт, протоколов строгой аутентификации, обеспечивает установление VPN-соединения только между легальными пользователями и предотвращает доступ к средствам VPN нежелательных лиц.

Авторизация подразумевает предоставление абонентам, доказавшим свою легальность (аутентичность), разных видов обслуживания, в частности разных способов шифрования их трафика. Авторизация и управление доступом часто реализуются одними и теми же средствами.

3.2 Концепция построения виртуальных защищенных сетей

В основе концепции построения виртуальных сетей VPN лежит достаточно простая идея: если в глобальной сети имеются два узла, которым нужно обменяться информацией, то между этими двумя узлами необходимо построить виртуальный защищенный канал для обеспечения конфиденциальности и целостности информации, передаваемой через открытые сети; доступ к этому виртуальному каналу должен быть чрезвычайно затруднен всем возможным активным и пассивным внешним воздействиям.

Преимущества, получаемые компанией от создания таких виртуальных каналов, заключаются прежде всего в значительной экономии финансовых средств, поскольку в этом случае компания может отказаться от построения или аренды дорогих выделенных каналов связи для создания собственных Intranet/Extranet сетей и использовать для этого дешевые Интернет-каналы, надежность и скорость передачи которых в большинстве своем уже не уступает выделенным линиям. Очевидная экономическая эффективность от внедрения VPN-технологий стимулирует предприятия к активному их внедрению.

Как было отмечено выше, виртуальная защищенная сеть VPN формируется путем построения виртуальных защищенных каналов связи, создаваемых на базе открытых каналов связи общедоступной сети (Интернет). Эти виртуальные защищенные каналы связи называются туннелями VPN. Сеть VPN позволяет с помощью туннелей соединить центральный офис, офисы филиалов, офисы бизнес-партнеров и удаленных пользователей и безопасно передавать информацию через сеть Интернет.

Рисунок 3.1 - Структурная схема виртуальной защищенной сети

Туннель VPN представляет собой соединение, проведенное через открытую сеть, по которому передаются криптографически защищенные пакеты сообщений виртуальной сети.

Защита информации в процессе ее передачи по туннелю VPN основана:

- на аутентификации взаимодействующих сторон;

- криптографическом закрытии (шифровании) передаваемых данных;

- проверке подлинности и целостности доставляемой информации.

Для этих функций характерна взаимосвязь друг с другом. При их реализации используются криптографические методы защиты информации. Эффективность такой защиты обеспечивается за счет совместного использования симметричных и асимметричных криптографических систем. Туннель VPN, формируемый устройствами VPN, обладает свойствами защищенной выделенной линии, которая развертывается в рамках общедоступной сети - Интернет. Устройства VPN могут играть в виртуальных частных сетях роль VPN-клиента, VPN-сервера или шлюза безопасности VPN.

VPN-клиент представляет собой программный или программно-аппаратный комплекс, выполняемый обычно на базе персонального компьютера. Его сетевое программное обеспечение модифицируется для выполнения шифрования и аутентификации трафика, которым это устройство обменивается с другими VPN-клиентами, VPN-серверами или шлюзами безопасности VPN. Обычно реализация VPN-клиента представляет собой программное обеспечение, дополняющее операционную систему.

VPN-сервер представляет собой программный или программно-аппаратный комплекс, устанавливаемый на компьютере, выполняющем функции сервера. VPN-сервер обеспечивает защиту серверов от НСД из внешних сетей, а также организацию защищенных соединений с отдельными компьютерами и с компьютерами из сегментов локальных сетей, защищенных соответствующими VPN-продуктами. VPN-сервер является функциональным аналогом продукта VPN-клиент для серверных платформ. Он отличается прежде всего расширенными ресурсами для поддержания множественных соединений с VPN-клиентами. Также VPN-сервер может поддерживать защищенные соединения с мобильными пользователями.

Шлюз безопасности VPN -- это сетевое устройство, подключаемое к двум сетям и выполняющее функции шифрования и аутентификации для многочисленных хостов, расположенных за ним. Размещается шлюз безопасности VPN так, чтобы через него проходил весь трафик, предназначенный для внутренней корпоративной сети. Сетевое соединение шлюза VPN прозрачно для пользователей позади шлюза, и представляется им выделенной линией, хотя на самом деле прокладывается через открытую сеть с коммутацией пакетов. Адрес шлюза безопасности VPN указывается как внешний адрес входящего туннелируемого пакета, а внутренний адрес пакета является адресом конкретного хоста позади шлюза. Шлюз безопасности VPN может быть реализован в виде отдельного программного решения, отдельного аппаратного устройства, а также в виде маршрутизатора или межсетевого экрана, дополненных функциями VPN.

3.3 Характеристика и анализ технологии туннелирования

Для организации создания туннелей VPN используется технология туннелирования. Суть туннелирования состоит в том, чтобы инкапсулировать, т. е. «упаковать», передаваемую порцию данных, вместе со служебными полями, в новый «конверт». При этом пакет протокола более низкого уровня помещается в поле данных пакета протокола более высокого или такого же уровня. Следует отметить, что туннелирование само по себе не защищает данные от НСД или искажения, но благодаря туннелированию появляется возможность полной криптографической защиты инкапсулируемых исходных пакетов. Чтобы обеспечить конфиденциальность передаваемых данных, отправитель шифрует исходные пакеты, упаковывает их во внешний пакет с новым IP-заголовком и отправляет по открытой сети.

Рисунок 3.2 - Пример пакета, подготовленного для туннелирования

Особенность технологии туннелирования в том, что она позволяет зашифровывать исходный пакет целиком, вместе с заголовком, а не только его поле данных. Это важно, поскольку некоторые поля заголовка содержат информацию, которая может быть использована злоумышленником. В частности, из заголовка исходного пакета можно извлечь сведения о внутренней структуре сети -- данные о количестве подсетей и узлов и их IP-адресах. Злоумышленник может использовать такую информацию при организации атак на корпоративную сеть. Исходный пакет с зашифрованным заголовком не может быть использован для организации транспортировки по сети. Поэтому для защиты исходного пакета применяют его инкапсуляцию и туннелирование. Исходный пакет зашифровывают полностью, вместе с заголовком, и затем этот зашифрованный пакет помещают в другой внешний пакет с открытым заголовком. Для транспортировки данных по открытой сети используются открытые поля заголовка внешнего пакета.

По прибытии в конечную точку защищенного канала из внешнего пакета извлекают внутренний исходный пакет, расшифровывают его и используют его восстановленный заголовок для дальнейшей передачи по внутренней сети.

Рисунок 3.3 -Виртуальный защищенный туннель VPN

Защищенный туннель создается компонентами виртуальной сети, функционирующими на узлах, между которыми формируется туннель. Эти компоненты принято называть инициатором туннеля и терминатором туннеля.

Инициатор туннеля инкапсулирует (упаковывает) исходный пакет в новый пакет, содержащий новый заголовок с информацией об отправителе и получателе. Инкапсулируемые пакеты могут принадлежать к протоколу любого типа, включая пакеты немаршрутизируемых протоколов. Все передаваемые по туннелю пакеты являются пакетами IP. Маршрут между инициатором и терминатором туннеля определяет обычная маршрутизируемая сеть IP, которая может быть сетью, отличной от Интернета.

Инициировать и разрывать туннель могут различные сетевые устройства и программное обеспечение. Например, туннель может быть инициирован ноутбуком мобильного пользователя, оборудованным модемом и соответствующим ПО для установления соединений удаленного доступа. В качестве инициатора может выступить также маршрутизатор локальной сети, наделенный соответствующими функциональными возможностями. Туннель обычно завершается коммутатором сети или шлюзом провайдера услуг.

Терминатор туннеля выполняет процесс, обратный инкапсуляции. Терминатор удаляет новые заголовки и направляет каждый исходный пакет адресату в локальной сети.

Конфиденциальность инкапсулируемых пакетов обеспечивается путем их шифрования, а целостность и подлинность -- путем формирования электронной цифровой подписи. Существует множество методов и алгоритмов криптографической защиты данных, поэтому необходимо, чтобы инициатор и терминатор туннеля своевременно согласовали друг с другом и использовали одни и те же методы и алгоритмы защиты. Для обеспечения возможности расшифровывания данных и проверки цифровой подписи при приеме инициатор и терминатор туннеля должны также поддерживать функции безопасного обмена ключами. Кроме того, конечные стороны информационного взаимодействия должны пройти аутентификацию, чтобы гарантировать создание туннелей VPN только между уполномоченными пользователями.

Туннелирование может быть использовано для защиты не только конфиденциальности содержимого пакета, но и его целостности и аутентичности, при этом электронную цифровую подпись можно распространить на все поля пакета.

Механизм туннелирования широко применяется в различных протоколах формирования защищенного канала. Обычно туннель создается только на участке открытой сети, где существует угроза нарушения конфиденциальности и целостности данных, например между точкой входа в открытый Интернет и точкой входа в корпоративную сеть. При этом для внешних пакетов используются адреса пограничных маршрутизаторов, установленных в этих двух точках, а внутренние адреса конечных узлов содержатся во внутренних исходных пакетах в защищенном виде. Следует отметить, что сам механизм туннелирования не зависит от того, с какой целью применяется туннелирование. Туннелирование может применяться не только для обеспечения конфиденциальности и целостности всей передаваемой порции данных, но и для организации перехода между сетями с разными протоколами (например, IPv4 и IPv6). Туннелирование позволяет организовать передачу пакетов одного протокола в логической среде, использующей другой протокол. В результате появляется возможность решить проблемы взаимодействия нескольких разнотипных сетей, начиная с необходимости обеспечения целостности и конфиденциальности передаваемых данных и заканчивая преодолением несоответствий внешних протоколов или схем адресации.

Реализацию механизма туннелирования можно представить как результат работы протоколов трех типов: протокола-«пассажира», несущего протокола и протокола туннелирования. Наиболее распространенным вариантом несущего протокола является протокол IP сети Интернет. В качестве протоколов туннелирования могут быть использованы протоколы канального уровня РРТР и L2TP, а также протокол сетевого уровня IPSec. Благодаря туннелированию становится возможным сокрытие инфраструктуры Интернет от VPN-приложений.

3.4 Классификация VPN сетей

Существуют разные признаки классификации VPN. Наиболее часто используются следующие признаки:

- используемый уровень модели OSI;

- архитектура технического решения VPN;

- способ технической реализации VPN.

1) Для технологий безопасной передачи данных по публичной (незащищенной) сети применяют обобщенное название -- защищенный канал. Защищенный канал можно построить с помощью системных средств, реализованных на разных уровнях модели взаимодействия открытых систем OSI.

Рисунок 3.4 - Уровни протоколов защищенного канала

Классификация VPN по используемому уровню модели OSI представляет значительный интерес, поскольку от выбранного уровня OSI во многом зависит функциональность реализуемой VPN и ее совместимость с приложениями корпоративной информационной сети, а также с другими средствами защиты.

По признаку используемого уровня модели OSI различают следующие группы VPN:

- VPN канального уровня;

- VPN сетевого уровня;

- VPN сеансового уровня.

VPN канального уровня. - средства VPN, используемые на канальном уровне модели OSI, позволяют обеспечить инкапсуляцию различных видов трафика и построение виртуальных туннелей типа «точка--точка» (от маршрутизатора к маршрутизатору или от персонального компьютера к шлюзу ЛВС). К этой группе относятся VPN-продукты, которые используют протоколы L2F (Layer 2 Forwarding) и РРТР (Point-to-Point Tunneling Protocol), а также стандарт L2TP (Layer 2 Tunneling Protocol), разработанный совместно фирмами Cisco Systems и Microsoft.

VPN сетевого уровня - одним из широко известных протоколов на этом уровне является протокол IPSec (IP Security), предназначенным для аутентификации, туннелирования и шифрования IP-пакетов. Стандартизованный консорциумом InternetEngineering Task Force (IETF) протокол IPSec вобрал в себя все лучшие решения по шифрованию пакетов и должен войти в качестве обязательного компонента в протокол IPv6.

С протоколом IPSec связан протокол IKE (Internet Key Exchange), решающий задачи безопасного управления и обмена криптографическими ключами между удаленными устройствами. Протокол IKE автоматизирует обмен ключами и устанавливает защищенное соединение, тогда как IPSec кодирует и «подписывает» пакеты. Кроме того, IKE позволяет изменять ключ для уже установленного соединения, что повышает конфиденциальность передаваемой информации.

VPN сеансового уровня - некоторые VPN используют другой подход под названием «посредники каналов». Этот метод функционирует над транспортным уровнем и ретранслирует трафик из защищенной сети в общедоступную сеть Интернет для каждого соединения в отдельности.

2) По архитектуре технического решения принято выделять три основных вида виртуальных частных сетей:

- внутрикорпоративные VPN (Intranet VPN);

- VPN с удаленным доступом (Remote Access VPN);

- межкорпоративные VPN (Extranet VPN).

Внутрикорпоративные сети VPN предназначены для обеспечения защищенного взаимодействия между подразделениями внутри предприятия или между группой предприятий, объединенных корпоративными сетями связи, включая выделенные линии.

Рисунок 3.5 - Соединение узлов сети с помощью технологии Intranet VPN

Достоинства внутрикорпоративных VPN:

- применение мощных криптографических протоколов шифрования данных для защиты конфиденциальной информации;

- надежность функционирования при выполнении таких критических приложений, как системы автоматизированной продажи и системы управления базами данных;

- гибкость управления эффективным размещением быстро возрастающего числа новых пользователей, новых офисов и новых программных приложений.

VPN с удаленным доступом предназначены для обеспечения защищенного удаленного доступа к корпоративным информационным ресурсам мобильным и/или удаленным (home-office) сотрудникам компании.



Рисунок 3.6 - Виртуальная защищенная сеть с удаленным доступом

Преимущества VPN с удаленным доступом:

- возможность использования местных номеров вместо междугородних позволяет значительно снизить затраты на междугородние телекоммуникации;

- эффективная система установления подлинности удаленных и мобильных пользователей обеспечивает надежное проведение процедуры аутентификации;