ПРИНЦИПЫ ПОСТРОЕНИЯ ЗАЩИЩЕННОЙ ИНФОКОММУНИКАЦИОННОЙ СЕТИ СПЕЦИАЛЬНОГО НАЗНАЧЕНИЯ НА БАЗЕ КАНАЛОВ ОБЩЕГО ДОСТУПА

12.11.2012 /Статьи

 

В данной статье изложены принципы построения защищенной инфокоммуникационной сети с территориально распределенными телекоммуникационными и информационными ресурсами.

The article sets the principles of building a secure infocommunication network with geographically-distributed telecommunication and information resources.

Ключевые слова: инфокоммуникационные сети, сети специального назначения, защищенные инфокоммуникационные сети, средства защиты.

Key words: dedicated network, secure infocommunication networks, security facilities.

 

В соответствии с Доктриной информационной безопасности Российской Федерации «современный этап развития общества характеризуется возрастающей ролью информационной сферы, представляющей собой совокупность информации, информационной инфраструктуры, субъектов, осуществляющих сбор, формирование, распространение и использование информации, а также системы регулирования возникающих при этом общественных отношений. Информационная сфера, являясь системообразующим фактором жизни общества, активно влияет на состояние политической, экономической, оборонной и других составляющих безопасности Российской Федерации. Национальная безопасность Российской Федерации существенным образом зависит от обеспечения информационной безопасности, и в ходе технического прогресса эта зависимость все возрастает».

В связи с этим в значительной степени возрастают угрозы безопасности информационным ресурсам и телекоммуникационным средствам и системам, как уже развернутых, так и создаваемых на территории России. Реализация задач обеспечения безопасности является сложной и поэтому требует значительных ресурсов, в том числе и финансовых. Для оптимизации временных, человеческих и финансовых затрат становится необходимым разработать принципы построения защищенной инфокоммуникационной сети специального назначения.

Создаваемая инфокоммуникационная сеть специального назначения должна строиться с использованием современных телекоммуникационных технологий – цифровых систем передачи и коммутации, отвечать предъявляемым со стороны заказчика и соответствующих спецслужб требованиям безопасности передачи информации. Инфокоммуникационная сеть должна обеспечивать:

- предоставление инфокоммуникационных услуг пользователям вне зависимости от их месторасположения;

- требуемую защищенность информации;

- требуемую эффективность функционирования (устойчивость и достоверность) системы при воздействии угроз.

Особенность предлагаемых принципов заключается в организации методов защиты, которые позволяют защитить передаваемый трафик единым образом для всех видов информации (данные, речевая, видео информация) и любого количества удаленных принимающих и передающих сторон.

Передаваемая информация может быть как общедоступной информацией, так и информацией доступ к которой ограничен (конфиденциальная, государственная тайна).

При построении инфокоммуникационной сети специального назначения положим, что с целью экономии значительных финансовых средств в качестве первичной сети будут использоваться арендованные у провайдера каналы связи или телекоммуникационные ресурсы уже существующих сетей связи (например, РОСТЕЛЕКОМ). Использование арендованных каналов связи автоматически означает наличие у системы точек сопряжения с сетями общего доступа, в связи с чем, появляются новые угрозы и ужесточаются требования к системе обеспечения информационной безопасности.

В соответствии с предъявляемыми к инфокоммуникационной сети специального назначения требованиями по качеству предоставляемых услуг, защищенности и эффективности функционирования и реализуемых направлениях атак (ГОСТ Р ИСО 7498) предложим следующие принципы построения защищенной инфокоммуникационной сети. Общий вид защищенной инфокоммуникационной сети специального назначения и направления атак изображены на риc. 1.

Инфокоммуникационные сети специального назначения представляют интерес для различного рода нарушителей, которые могут иметь самые различные цели: проверить свои силы (без корыстных целей и злых умыслов), нарушить работу телекоммуникационной и/или информационной составляющих. Всех нарушителей инфокоммуникационной сети специального назначения можно разделить на две категории: внутренние и внешние.

Рис. 1

Защищенная инфокоммуникационная сеть специального назначения

и воздействующие на нее направления атак

Внутренними нарушителями считаются лица, находящиеся в контролируемой зоне, включая легитимных пользователей сети, обслуживающий персонал, который имеет доступ к телекоммуникационному оборудованию и/или информационным ресурсам и т.д. В связи с тем, что инфокоммуникационная сеть является сетью специального назначения, все сотрудники и обслуживающий персонал, имеющий доступ к оборудованию и информации, считается доверенным. Доступ посторонних лиц (ремонтные бригады, проверочные комиссии и т.д.) в контролируемую зону осуществляется только в сопровождении доверенных сотрудников. Нарушения пользователей данной категории носят непреднамеренный характер: попытка соединения с абонентом другой рабочей группы, выход за границы временного регламента работы, попытка доступа к неразрешенным службам и услугам сети.

От внутренних нарушителей, которые становятся таковыми непреднамеренно, используются средства защиты, встроенные в телекоммуникационное оборудование сети специального назначения. К таким средствам защиты относятся:

- идентификация и аутентификация;

- фильтрация по адресам;

- фильтрация по времени;

- фильтрация по используемым протоколам и портам.

Все факты несанкционированных действий должны быть зафиксированы и переданы соответствующим подразделениям для выяснения всех подробностей произошедшего инцидента.

Защита от таких внутренних угроз как:

- разглашение защищаемой информации;

- обработка информации на незащищенных технических средствах;

- несанкционированный доступ, в т.ч. изменение и копирование;

- ошибки персонала при эксплуатации технических средств и систем защиты;

- предполагает неумышленное нанесение ущерба организации и поэтому должна в большей степени осуществляться организационными, а не техническими мерами.

Внешними нарушителями считаются лица находящиеся вне контролируемой зоны и не являющиеся пользователями или обслуживающим персоналом инфокоммуникационной сети специального назначения. К данной категории нарушителей относятся хакеры, конкуренты, разведподразделения иностранных спецслужб и др.

Эта категория нарушителей является наиболее опасной. У них могут быть сведения о топологии сети, используемом телекоммуникационном оборудовании, средствах обеспечения безопасности, адресном пространстве, имеющихся информационных ресурсах и т.д. Все эти сведения упрощают задачи нарушения конфиденциальности, целостности и доступности информации, а также нормального функционирования телекоммуникационной составляющей.

Внешние нарушители могут использовать различные методы достижения своих целей:

- подслушивание и визуальное наблюдение;

- побочные электромагнитные излучения и наводки;

- атаки из арендуемых каналов связи;

- перехват и изменение циркулирующего в сети трафика и т.д.

От различного рода наблюдений, излучений и наводок защита производится с помощью соответствующих мер противодействия: физическая охрана, аттестация помещений, проверка оборудования на наличие программно-аппаратных закладок, использование различного рода «глушилок» и т.д.

От всех внешних нарушителей, пытающихся установить соединение с легитимным пользователем или получить доступ к информационным ресурсам сети специального назначения, защита производится расположенным на границе с сетью общего доступа устройством защиты. Оно выполняет функции межсетевого экрана, криптозащиты и туннелирования. Все части распределенной инфокоммуникационной сети между собой объединены криптотуннелями. Данный комплекс мер защиты предотвращает возможность:

- анализа внутренней адресной структуры сети;

- нарушения конфиденциальности передаваемой информации;

- нарушения целостности передаваемой информации;

- анализа частоты взаимодействия различных пользователей и использования ими служб и услуг инфокоммуникационной сети;

- проникновения «вирусов» из внешней сети общего доступа и т.д.

От повторного ввода из открытых каналов связи уже переданных сообщений используется механизм имитовставки. Имитовставка формируется на передающей стороне упомянутым устройством защиты. На приемной стороне она проверяется и в случае повторной доставки данного сообщения оно просто удаляется, а факт самого события заносится в журнал.

Общая схема прохождения информации, содержащей конфиденциальные данные, через каналы связи общего доступа показана на рис. 2.

Рис. 2

Общая схема прохождения информации по открытым каналам связи

В связи тем, что дорогостоящие устройства защиты располагаются только на границе с внешней сетью, удается избежать избыточной защиты внутри одной контролируемой зоны и сэкономить значительные финансовые средства. Криптографически защищается только та информация, которая выходит за пределы контролируемой зоны.

Предложенные выше принципы позволяют избежать излишних затрат на обеспечение защиты между доверенными пользователями одной контролируемой зоны и в то же время обеспечить конфиденциальность, целостность и доступность информации при передаче между территориально распределенными частями единой инфокоммуникационной сети специального назначения.

 

Литература 

 

1. Вентцель Е.С. Теория вероятностей. М.: Издательство ФМЛ, 1962. – 564 с.

2. Гнеденко Б.В., Коваленко И.Н. Введение в теорию массового обслуживания. Изд. 4-е, испр. М.: Издательство ЛКИ, 2007. – 400 с.