В настоящий момент существует множество средств и методов защиты семантической (т.е. обрабатываемой) информации, таких как средства закрытия обрабатываемой информации с применением криптографии и средства разграничения доступа к ней (механизмы идентификации, аутентификации и средства МЭ), средства антивирусной защиты и системы обнаружения атак, средства закрытия информации, передаваемой по каналам связи, основанные на криптографическом закрытии трафика (виртуальные частные сети).

Задачи, выполняемые перечисленными средствами и методами защиты, известны и подробно раскрыты в многочисленных публикациях на тему защиты информации, поэтому не имеет смысла на них останавливаться.

При условии, что такие средства защиты действительно полноценно выполняют свои функции, а также не имеют уязвимостей и НДВ, можно сказать, что проблема защиты семантической информации, и в частности защиты от доступа к ней посредством проникновения в ВС или ее перехвата в процессе передачи по каналам связи, проработана на данный момент достаточно качественно.

Наиболее перспективными являются средства защиты, интегрирующие в себя большинство перечисленных механизмов, например виртуальные частные сети, основанные на межсетевых экранах, применяющие стойкие алгоритмы шифрования и протоколы идентификации/аутентификации.

Определенно нет методов и средств противодействия в направлении защиты синтаксической информации - информации о составе, структуре и алгоритмах функционирования ВС. Известны лишь попытки создания так называемых обманных систем или ложных информационных систем (ЛИС), представляющих собой средства для развертывания и подключения к ВС обособленных ПЭВМ или ЛВС (реальных или виртуальных) [4]. В основном целью разработки и применения таких систем является изучение и анализ поведения злоумышленников в реальных сетях для дальнейшей разработки методов и средств защиты.

1.4 Направления совершенствования технических решений, постановка задачи на поиск новых технических решений

Проведенный анализ условий функционирования современных ВС в совокупности с анализом возможностей злоумышленников по вскрытию информации о ВС и противостоящих им средств защиты, позволил сделать вывод, что наиболее актуальной задачей в защите информации на данный момент является задача скрытия синтаксической информации о ВС (информации функционирования и развития).

Необходимость скрытия и управления синтаксической информацией не вызывает сомнения, т.к. владея ей злоумышленник может добывать другую информацию (например семантическую), осуществлять удаленные деструктивные воздействия и вторжения в ВС, а также осуществить деструктивные воздействия на промежуточное телекоммуникационное оборудование ССОП, с целью нарушить нормальное функционирование распределенных ВС.

Анализ современной отечественной литературы [5, 6, 7, 8] показал, что существующие на сегодняшний день подходы к защите информации не решают сформулированной задачи.

Таким образом, перспективными в настоящий момент можно считать следующие задачи [9, 10]:

управление характерными признаками элементов ВС, и их информационного обмена (имитация служб, портов, баннеров, подмена характерных признаков в трафике (почта, ОС));

управление структурой ВС (введение ложных элементов, оживление и смешивание структуры, развязка структуры распределенной ВС и ее системы управления);

организация маскирующего обмена в ВС (выравнивание трафика, скрытие канала, смещение акцента на ложные элементы, смещение интенсивности по времени суток).

Для достижения наибольшего эффекта необходимо осуществлять деятельность по всем направлениям и задачам одновременно. Наиболее же перспективным и главным направлением следует считать управление структурой ВС (динамическое масштабирование ВС), т.к. информация о ней, прежде всего, необходима для осуществления сбора остальных сведений.

Таким образом, результаты анализа, проведенного в первом разделе работы, позволили сформулировать задачи на дипломное проектирование:

1. Разработать модель процесса вскрытия ВС злоумышленниками и показать взаимосвязь его основных этапов.

2. На основе выявленных в процессе разработки модели процесса вскрытия ВС существенных свойств детализировать модель ВС.

3. Разработать механизмы динамического масштабирования ВС и оценки их эффективности.

4. Разработать алгоритмы динамического масштабирования ВС.

Проанализированы структура типовой ВС и структурная модель угроз информации в ВС.

Описаны возможности злоумышленников по вскрытию информации о ВС.

Проанализированы существующие способы и методы защиты ВС и сделаны выводы об отсутствии средств защиты информации о ВС.

Определены перспективные задачи по защите ВС и направления совершенствования технических решений по защите распределенных ВС.

Сформулированы задачи на дипломное проектирование.

2. МОДЕЛИРОВАНИЕ МЕХАНИЗМОВ ДИНАМИЧЕСКОГО МАСШТАБИРОВАНИЯ ВЫЧИСЛИТЕЛЬНЫХ СЕТЕЙ

Рис. 2.1. Поэтапное формирование модели ВС злоумышленником

Такая информация необходима для определения типа узла (терминал, сервер, коммутационная платформа).

Множество программного обеспечения отображает виды и версии ПО (прикладное и сетевое ПО, ОС), установленного на узлах ВС (как на терминалах, так и на телекоммуникационном оборудовании). Множество ДМП, таких как баннеры и приглашения на вход, запущенные службы и открытые порты, отзывы на запросы и поля заголовков пакетов сообщений, позволяют с высокой достоверностью определять тип ОС и используемое ПО, идентифицировать конфигурационные настройки и уязвимости. Формирование множества ПО подразумевает под собой активные методы разведки (сканирование) и включает в себя информационные воздействия на объект, а также анализ трафика узла.

К инвариантам структуры ВС можно отнести схему информационных связей между узлами ВС, собственно структуру ВС и ее топологию.

Схема информационных связей отображает наличие ИП между узлами ВС или ее отдельной части. Прямыми ДМП информационных связей являются наличие ИП в канале связи и идентификаторы корреспондирующих узлов в заголовках пакетов сообщений. Формирование схемы осуществляется путем перехвата ИП в различных точках ВС (за счет подмены адреса, перенаправления информационных потоков или использования НДВ телекоммуникационного оборудования) и дальнейшего выделения идентификаторов корреспондирующих узлов из заголовков пакетов сообщений.

Структура ВС отражает собственно узлы ВС и связи между ними. Множество узлов ВС и схема информационных связей могут заимствоваться из соответствующих построенных ранее инвариантов. Помимо этого формирование структуры ВС возможно путем получения доступа (НСД к телекоммуникационному оборудованию или перехват ИП) к таблицам маршрутизации и путем ведения активной сетевой разведки. Активная разведка может вестись при помощи дополнительных возможностей утилиты ping (например, путем задания специальных параметров ping позволяет просмотреть маршрут - список узлов, по которому проходил пакет с запросом до указанного узла), при помощи специализированных утилит, а также при помощи других методов разведки (например, поиск информации о структуре в информационных ресурсах ССОП). Информация о пройденном маршруте от активной сетевой разведки может также сопоставляться с информацией об оборудовании, которым представлены узлы.

Топология ВС предоставляет информацию о топологическом расположении узлов ВС, т. е. отражение структуры ВС на местности (карте). Прямым демаскирующим признаком и в этом инварианте является идентификатор узла, по которому возможно отнести узел к тому или иному городу и даже определить его местоположение на карте города. Так, например, информационные ресурсы ССОП предоставляют полную информацию о принадлежности определенных диапазонов IP-адресов конкретным операторам связи и городам. При помощи сетевого сервиса whois можно по идентификатору узла получить информацию об адресе его расположения (почтовый адрес организации, где расположен узел) и другую информацию - такую, например, как телефон организации. Телефон организации также можно получить при помощи анализа почтовых заголовков электронной почты, отправляемой с данного узла. А по телефону опять же можно узнать адрес организации. Таким образом, рассматриваемый инвариант представляет собой отображение структуры ВС на местности (карте) (см. пример на рис. 2.2).

И, наконец, к инвариантам алгоритмов функционирования ВС можно отнести: интенсивность информационного обмена узлов СС и протоколы их взаимодействия, множество функций узлов СС и их иерархическую структуру.

Интенсивность информационного обмена узлов ВС отображает информацию о сетевой активности отдельных узлов и ВС в целом (в соответствии со временем суток).

вычислительный сеть информационный масштабирование

Рис. 2.2. Пример отображения структуры ВС на местности

Первичным демаскирующим признаком в этом случае также являются идентификаторы корреспондирующих субъектов. Этот инвариант позволяет на схеме информационных связей или на структуре ВС отметить направления наиболее интенсивного информационного обмена, выделяя тем самым наиболее важные и наиболее активные узлы. Также в данном инварианте учитывается интенсивность информационного обмена в соответствии с оперативным фоном. Формирование инварианта осуществляется путем перехвата и анализа ИП.

Протоколы взаимодействия узлов ВС - инвариант, отображающий информацию о применяемых узлами ВС протоколах информационного обмена (управляющий трафик, передача данных, голоса, видео). Прямыми ДМП применяемых протоколов взаимодействия являются содержание полей заголовков и поля данных пакетов сообщений, а формирование инварианта осуществляется путем перехвата и анализа ИП. Так, например, поля «Порт отправителя» и «Порт получателя» в TCP-заголовке пакета сообщений, или поле «Протокол верхнего уровня» в IP-заголовке сообщают об используемой сетевой службе или ПО, о применяемом протоколе прикладного уровня. А зашифрованная часть с данными в пакете говорит о применении шифрования для скрытия секретной информации.

Функции узлов ВС - инвариант, отображающий особенности узлов относительно выполняемых ими в ВС функций. Демаскирующими признаками функций узлов являются их сетевая активность, тип оборудования, количество сетевых служб и применяемые протоколы взаимодействия, трафик узла. Например, наличие информационных связей со многими узлами в ВС и большая сетевая активность, управляющий трафик и частые циркулярные вызовы, а также определенные протоколы взаимодействия отражают функциональное назначение узла. Чем важнее узел и чем больше функций на него возлагается, тем более «продвинутое» оборудование на нем установлено. О функциональном назначении узла много может сообщить установленное на нем ПО, активные сетевые службы и открытые порты. В случае, когда узел является промежуточным телекоммуникационным оборудованием это можно выяснить путем анализа его трафика (выделения из него идентификаторов отправителей пакетов). Если ИП, исходящие от узла имеют различные идентификаторы отправителей, значит, узел не является конечным.

Уровни иерархии (ранги) узлов ВС отражают иерархию отношений узлов в ВС. Демаскирующими признаками, по которым строится иерархическая структура узлов в ВС, являются функции узлов, наличие управляющего трафика и информационных связей один ко многим, частые циркулярные (широковещательные) вызовы и место в общей структуре ВС. Данный инвариант является результатом обобщения и интеллектуального анализа информации, получаемой при формировании других инвариантов. Также этот инвариант отражает структуру системы управления, в интересах которой существует ВС.

Помимо того, что формирование инвариантов имеет своей целью отразить отдельные свойства изучаемой системы, инварианты также дают возможность изучать ее по частям. Например, ВС по отдельным регионам (Москва и Санкт-Петербург на рис. 2.2). А сопоставление нескольких инвариантов в единую модель дает представление о свойствах и параметрах ВС в целом.

Необходимо отметить, что процесс формирования инвариантов ВС и ее моделей включает в себя не только прямое отображение параметров по ДМП, но также их обобщение и интеллектуальный анализ, причем такое обобщение происходит сверху вниз (см. рис. 2.1 и рис. 2.3).