Адаптация политики маршрутизации сетевого трафика к требованиям по информационной безопасности тема диссертации и автореферата по ВАК РФ 05.13.19, кандидат технических наук Сереченко, Денис Владимирович

• Сереченко, Денис Владимирович
• кандидат технических наук
• 2004

Оглавление диссертации кандидат технических наук Сереченко, Денис Владимирович

ВВЕДЕНИЕ.

1. АНАЛИЗ СУЩЕСТВУЮЩИХ ПОДХОДОВ СОЗДАНИЯ ЗАЩИЩЕННЫХ ИНФОРМАЦИОННЫХ СЕТЕЙ.

1.1 Анализ современных угроз информационной безопасности в сетях передачи данных.

1.1.1 Общая модель потенциального нарушителя.

1.1.2 Схема реализации сетевой атаки.

1.1.3 Особенности построения внутренней и внешней систем сетевой безопасности.

1.2 Анализ современных архитектур системы защиты корпоративной сети.

1.2.1 Подходы к построению системы сетевой защиты.

1.2.2 Анализ недостатков существующих методов сетевой защиты.

1.3 Построение политики сетевой безопасности на основе управления потоками трафика.

Выводы по главе 1. 2 МЕТОДИКА АВТОМАТИЗИРОВАННОГО ПОСТРОЕНИЯ ПОЛИТИКИ

МАРШРУТИЗАЦИИ С ИСПОЛЬЗОВАНИЕМ МАТЕМАТИЧЕСКИХ МЕТОДОВ ОПТИМИЗАЦИИ НА ОСНОВЕ СТАНДАРТА ГОСТ Р ИСО/МЭК 15408.

2.1 Анализ положений стандарта ГОСТ Р ИСО/МЭК 15408.

2.1.1 Общий подход к обеспечению безопасности сети на основе стандарта ГОСТ Р ИСО/МЭК 15408.

2.1.2 Общая концепция безопасности сети.

2.1.3 Построение описания политики управления трафиком на основе стандарта ГОСТ Р ИСО/МЭК 15408.

2.2 Построение политики управления трафиком с учетом требований по сетевой безопасности на основе теории оптимизации на графах и сетях.

2.2.1 Использование математических методов оптимизации на графах и сетях для Ь решения задач управления потоками данных.

2.3 Математическая постановка задачи.

2.3.1 Параметры и граничные условия модели.

2.3.2 Метод расчета граничных значений коэффициентов безопасности и установки приоритетов маршрутизации.

2.3.3 Метод построения моделирующей сети.

2.3.4 Метод расчета коэффициентов безопасности.

2.3.5 Преобразование коэффициентов безопасности в приоритеты каналов доступа.

2.3.6 Адекватность реальным задачам и корректность модели.

2.4 Методика построения политики маршрутизации с учетом требований по сетевой безопасности.

Выводы по главе 2.

3 АЛГОРИТМИЧЕСКОЕ ОБЕСПЕЧЕНИЕ СИСТЕМЫ АВТОМАТИЗИРОВАННОГО ПОСТРОЕНИЯ ПОЛИТИКИ УПРАВЛЕНИЯ ТРАФИКОМ.

3.1 Алгоритмы построения политики сетевой безопасности распределенной информационной системы.

3.1.1 Построение описания сети на основе стандарта ГОСТ Р ИСО/МЭК 15408.

3.1.2 Построение моделирующей сети.

3.1.3 Построение политики управления трафиком на основе коэффициентов fc безопасности.

3.2 Оценка сложности разработанных алгоритмов.

3.2.1 Вычислительная сложность алгоритмов методики.

3.3 Методы адаптации политики управления потоками трафика на основе алгоритмов динамической маршрутизации к требованиям по информационной безопасности.

3.3.1 Управление потоками трафика на основе протоколов динамической маршрутизации.

3.3.2 Адаптация методов управления потоками трафика на основе динамической маршрутизации к требованиям политики сетевой безопасности.

3.3.3 Адаптация методов управления потоками трафика на основе коммутации меток к требованиям политики сетевой безопасности.

Выводы по главе 3.

4 АВТОМАТИЗИРОВАННАЯ СИСТЕМА ПОСТРОЕНИЯ ПОЛИТИКИ УПРАВЛЕНИЯ ПОТОКАМИ СЕТЕВОГО ТРАФИКА.

4.1 Основные требования к автоматизированной системе.

4.1.1 Требования к структуре системы.

4.1.2 Требования к средствам разработки системы.

4.1.3 Требования к техническим характеристикам системы и параметрам сети.

4.2 Реализация системы.

4.2.1 Структура автоматизированной системы построения политики управления трафиком.

4.2.2 Анализ и обоснование средств разработки.

4.2.3 Реализация АС ПГГУТ с использованием высокоуровневых средств разработки.

4.2.4 Построения политики управления трафиком в АС ППУТ.

4.2.5 Технические характеристики системы.

4.3 Использование автоматизированной системы в распределенных сетях и системах связи

4.3.1 Пример применения АС ППУТ.

4.3.2 Преимущества использования АС ППУТ совместно с традиционными методами сетевой защиты.

4.4 Общие рекомендации и предложения.

Выводы по главе 4.

Введение диссертации (часть автореферата) на тему «Адаптация политики маршрутизации сетевого трафика к требованиям по информационной безопасности»

С развитием современных телекоммуникационных технологий остро проявляются новые проблемы информационной безопасности. Анализ тенденций совершения преступлений с использованием информационных сетей позволяет сделать выводы о постоянном росте количества преступлений, совершаемых при помощи сетей передачи данных. Несмотря на эшелонированные системы обеспечения сетевой безопасности, злоумышленники часто достигают своей цели [1, 2, 3,11]. Удаленные атаки на информационные ресурсы через сети передачи данных несут в себе угрозу национальной безопасности Российской Федерации в информационной сфере и вынуждают правительство и президента РФ идти на дополнительные меры по защите конфиденциальной информации, вплоть до отключения государственных учреждений от международных сетей общего доступа: «.Субъектам международного информационного обмена в Российской Федерации запрещено осуществлять включение информационных систем, сетей связи и автономных персональных компьютеров, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, и служебная информация ограниченного распространения, а также для которых установлены особые правила доступа к информационным ресурсам, в состав средств международного информационного обмена, в том числе в международную ассоциацию сетей "Интернет".» [95].

Начиная с 1988 года, с началом широкого использования международной сети общего доступа Интернет, наблюдается постоянное усиление активности хакерских сообществ. По данным британского консалтингового агентства MI2G, отслеживающего хакерскую активность в Интернете с 1995 года, в октябре 2002 года зафиксировано в общей сложности 16559 атак на информационные ресурсы [3]. При этом, темпы роста сетевой преступности увеличиваются с каждым годом в геометрической прогрессии. По оценкам экспертов Международного Центра Безопасности Интернет CERT Coordination center [1] количество инцидентов, зарегистрированных только в данном центре, выросло с 1988 года в 10000 раз, как показано в таблице 1.

Зарегистрированные инциденты по безопасности Таблица 1

Год ! 1988 1989 1990 1991 1993 1998 2000 2001 2002 2003

Имнидсшы 6 132 252 406 1334 3734 21756 52658 82094 137 529

Всего за период с 1988 по 2003 год центром зарегистрировано 319 922 инцидентов нарушения информационной безопасности. Следует отметить, что реальная статистика существенно отличается в большую сторону, так как не все инциденты обязательно регистрируются в данном центре.

Главной причиной, провоцирующей такой рост сетевой преступности, является несовершенство существующих средств и методов сетевой защиты и неэффективность противодействия этих средств ряду информационных угроз. По отчетам того же Международного Центра Безопасности Интернет CERT, количество уязвимостей, обнаруживаемых каждый год в системах сетевой защиты, с 1995 года возросло в 24 раза, а всего за период с 1995 года зарегистрировано 12 946 уязвимостей программного и аппаратного обеспечения к информационным угрозам различного вида [1], причем наблюдается устойчивая тенденция роста, как показано в таблице 2.

Обнаруженные уязвимости Таблица 2

J 'од 1 1998 1999 2000 2001 2002 2003

Ушнпмосги 262 417 1090 2437 4129 3784

При этом, согласно данным специализированного сайта по безопасности Zone-H [2], процентное соотношение причин успешной информационной атаки через сеть общего доступа составляет:

- 31.4% за счет незакрытых известных уязвимостей,

- 24.2% ошибки в настройках,

- 21.1% ранее неизвестные уязвимости, 16.3% атаки «грубой силой»,

- 4.7% остальные.

Как видно из статистики, 52.5 % преступлений в сетях совершается в результате ошибок в программном коде и 24.2% в результате ошибок администрирования (например, согласно исследованиям, проведенным ассоциацией ICSA, до 70% всех межсетевых экранов имеют различные ошибки в конфигурации [9]). От такого рода уязвимостей система сетевой защиты, построенная по принципу разграничения и контроля доступа, малоэффективна. Если некоторый информационный сервис открыт и доступен через сеть (по ошибке администратора или согласно установленной политике безопасности), то система защиты не сможет контролировать доступ к нему. В случае наличия уязвимостей в реализующем этот сервис ПО, атака может быть успешно проведена.

Отмеченные тенденции усиления хакерской активности, увеличения количества ошибок в программном коде и настройках сетевых систем защиты ведут к постоянному росту экономических потерь. Общие финансовые потери мировой экономики в результате нарушений сетевой безопасности, согласно оценкам компании Information Week и консалтингового агентства PricewaterhouseCoopers, приведены в таблице 3.

Финансовые потери от нарушений безопасности Таблица 3

Пропет1 мирхпкпин. % от oohilto числа нарушении 28 35 21 16

Финансовые потери, доллары До 0т1001$ до От 10001$ до Свыше 100000$

1000$ 10000$ 100000$

Таким образом, можно сделать следующий вывод: большинство нарушений в области информационной безопасности в сетях не могут контролироваться только средствами защиты на основе разграничения и контроля доступа (межсетевые экраны, фильтры, системы разграничения доступа и т.д.), независимо от того, происходят нарушения из-за наличия ошибок в сетевом программном обеспечении или ошибок в настройках системы защиты.

Использование информационной сети, подключенной к сети общего доступа, является типовым решением [9, 8, 11, 35, 37] и задача ее защиты - наиболее актуальной среди прочих задач сетевой безопасности [1, 2, 3, 4,11]. Одним из перспективных подходов к построению систем сетевой защиты является адаптация политики динамической маршрутизации сетевого трафика к требованиям по информационной безопасности, который, в отличии от традиционных методов сетевой защиты [5, 8, 9, 11, 12], позволяет реализовать концепцию упреждающей защиты на основе управления потоками трафика [5, 44, 53]. Сложность современных топологий распределенных сетей передачи данных не позволяет решать такие задачи методом простого перебора возможных вариантов решения. Поэтому необходимо создание специальных моделей, алгоритмов и методик для автоматизированного решения подобных задач, из чего можно сделать вывод, что разработка методов и методик управления потоками трафика в сети передачи данных при помощи средств динамической маршрутизации на основе требований по информационной безопасности является актуальной.

Данная работа базируется на исследованиях сетевой безопасности, проведенных в таких организациях, как CERT, Cisco Systems Inc., Juniper Networks, на международном стандарте в области сетевой безопасности ISO 17799, методах его практического применения, описанных в курсе, разработанном в компании «Digital Security» и «Domino Security», а также на работах таких известных специалистов в области сетей передачи данных и сетевой безопасности, как М. Коллона, Д. Доллей, Петер Дж. Мойера, Галины Пилдушь, Стивена Норгхама, Марка Купера, Мэтта Ферноу, А. Лукацкого, И. Трифаленкова, таких ученых, как В. Галатенко. В области оптимизации сетевых маршрутов на основе протоколов динамической маршрутизации и DNS (службы доменной системы имен) работают такие известные компании, как F5 Networks [91], Radware [94] и др. Над решением проблем оптимизации маршрутов на основе протокола BGPv4 трудятся специалисты таких международных компаний, как RouteScience Technologies [92] Internap Network Service (INAP) [93]. Однако, указанные исследования направлены на построение и усовершенствование традиционных, «барьерных» методов обеспечения сетевой защиты, которые, как показывает приведенная выше статистика, не могут эффективно справляться с рядом информационных угроз в сетях передачи данных. Данная работа опирается на результаты этих исследований и предлагает новый метод построения упреждающей сетевой защиты на основе управления потоками трафика [44].

Объектом исследования является сеть передачи данных, построенная на основе маршрутизации третьего уровня модели взаимодействия открытых систем ISO/OSI.

Предметом исследования выступает безопасность каналов доступа к информации в сети в зависимости от структурной схемы потоков трафика и характеристик маршрутов передачи данных.

Цели исследования:

Разработка метода и методики построения адаптируемой политики маршрутизации сетевого трафика на основе требований стандарта ГОСТ Р ИСО/МЭК 15408. Разработка автоматизированной системы, реализующей предложенный метод при помощи современных средств управления потоками трафика и функционирующей в реальном времени.

Для достижения данных целей в работе решены следующие научные задачи:

Выявлены основные недостатки существующих методов обеспечения сетевой безопасности и проанализированы причины их проявления при построении современных систем сетевой защиты.

Разработана схема построения описания системы сетевой защиты на основе стандарта ГОСТ Р ИСО/МЭК 15408.

Построена математическая модель системы сетевой безопасности на основе управления потоками трафика.

Разработаны метод, методика и алгоритмическое обеспечение методики построения политики управления потоками сетевого трафика.

- Разработана автоматизированная система построения политики управления трафиком на основе требований по информационной безопасности.

Степень обоснованности научных положений, выводов и рекомендаций, сформулированных в диссертации., обеспечиваются: корректным использованием математических методов оптимизации задач на ориентированных графах и сетях; сопоставлением результатов практического применения разработанной методики с результатами применения традиционных методов сетевой защиты.

Методы исследования. Данная работа базируется на методах теории множеств, комбинаторного анализа и методах математической оптимизации задач на сетях и ориентированных графах.

Научная новизна результатов, полученных в диссертации, состоит в следующем:

1. Предложен новый подход к обеспечению безопасности распределенных информационных систем, основанный на управлении информационными потоками в сети и оптимизации схемы маршрутов сетевого трафика на базе требований стандарта ГОСТ Р ИСО/МЭК 15408.

2. Впервые разработана математическая модель управления сетевым трафиком на основе требований по информационной безопасности в соответствии со стандартом ГОСТ Р ИСО/МЭК 15408.

3. На основе математической модели разработан метод и создана методика построения адаптивной политики сетевой маршрутизации на базе требований по информационной безопасности.

4. Разработаны рекомендации по реализации данной политики при помощи конкретных современных средств управления трафиком.

Практическая ценность полученных результатов состоит следующем:

1. Предложенная в диссертации методика построения политики маршрутизации является основой для построения автоматизированных систем управления потоками сетевого трафика на базе требований по информационной безопасности.

2. Модель и метод управления потоками трафика, предложенные в работе, представляют собой теоретическую и методическую базу при проектировании топологии защищенных сетей передачи данных и разработке политики маршрутизации сетевого трафика.

3. Разработанные практические рекомендации по настройке и управлению потоками трафика предполагают использование существующих стандартных средств для динамического управления потоками сетевого трафика, что не требует создания специальных дополнительных средств построения политики маршрутизации защищенных сетей.

Внедрение результатов работы. Результаты диссертационной работы внедрены в:

1. Московском инженерно-физическом институте (государственном университете). Результаты диссертационной работы используются в учебном процессе факультета «Информационная безопасность» МИФИ при изучении дисциплины «Безопасности вычислительных сетей».

2. Международной телекоммуникационном холдинге «ION-IP group» и его российском отделении - операторе связи ООО «Связь ВСД» (LLC «WideXs»). Предложенные в работе модели, подходы и методы построения политики маршрутизации использованы как основа для создания программного обеспечения, реализующего разработанную методику управления трафиком в защищенной опорной сети оператора связи ООО «Связь ВСД».

Внедрение результатов подтверждается соответствующими актами.

Основные положения, выносимые на защиту:

1. Методика оценки защищенности каналов доступа в распределенной сети передачи данных на основе требований по информационной безопасности стандарта ГОСТ Р ИСО/МЭК 15408.

2. Метод определения приоритетов каналов доступа к данным на основе методов и алгоритмов оптимизации на графах и сетях.

3. Метод и алгоритмы построения адаптируемой политики сетевой безопасности на основе приоритетов каналов доступа, определенных на базе требований по сетевой безопасности.

4. Рекомендации по применению разработанной методики для построения политики маршрутизации на основе современных протоколов динамической маршрутизации и технологий коммутации меток.

5. Результаты применения разработанной методики для построения автоматизированной системы построения политики управления трафиком, позволяющей повысить эффективность противодействия сетевым атакам на 20-25%.

Апробация работы. Основные методические и практические результаты исследований докладывались на следующих конференциях:

1. Всероссийской конференции «Методы и технические средства обеспечения безопасности информации» - Санкт-Петербург, 2003г.

2. Всероссийской научно-технической конференции "Проблемы информационной безопасности в системе высшей школы" - Москва, 2003г.

3. Всероссийской научно-технической конференции "Проблемы информационной безопасности в системе высшей школы" - Москва, 2004г.

4. Региональной научно-технической конференции «Информационная безопасность, Юг России» - Таганрог, 2002г.

5. Симпозиуме «Телекоммуникации - основа развития бизнеса современных предприятий» в рамках выставки Связь-Экспокомм' 2004 - Москва, 2004г.

Публикации. Основные результаты диссертации изложены в 7 печатных трудах -[7, 16, 24, 26, 44,61,88].

Структура и объем работы. Диссертация состоит из введения, четырех глав, изложенных на 114 страницах машинописного текста, 27 рисунков, 17 таблиц, заключения, списка использованной литературы и приложений, изложенных на 15 страницах.

Заключение диссертации по теме «Методы и системы защиты информации, информационная безопасность», Сереченко, Денис Владимирович

Выводы по главе 4

1. Впервые разработан набор требований к реализации автоматизированной системы построения политик маршрутизации на основе требований по информационной безопасности. Определены структурные требования к такой системе, требования к программному обеспечению и средствам реализации данной системы.

2. Описана общая схема функционирования автоматизированной системы управления потоками трафика.

3. Впервые рассмотрены методы построения информационного обмена с использованием автоматизированной системы управления потоками трафика, методика применения системы управления трафиком.

4. Даны общие рекомендации по практической реализации политики управления потоками трафика в сети на основе требований по информационной безопасности, рассмотрены этапы реорганизации общей структуры системы сетевой безопасности при использовании автоматизированной системы управления потоками трафика

ЗАКЛЮЧЕНИЕ

1. Проведенный анализ современного уровня развития технологий обеспечения сетевой безопасности показал, что традиционные методы обеспечения сетевой безопасности не всегда эффективно справляются с поставленными задачами. Одним из перспективных направлений развития средств и методов сетевой защиты является разработка систем сетевой безопасности на основе управления потоками трафика. Поэтому задача создания методических, алгоритмических и программных средств для управления потоками сетевого трафика является актуальной.

2. В данной работе впервые определен и систематизирован в терминах стандарта ГОСТ Р ИСО/МЭК 15408 процесс оценки и построения схемы управления потоками трафика в распределенной сети и разработана схема построения описания сети передачи данных на основе классов требований стандарта ГОСТ Р ИСО/МЭК 15408.

3. На базе требований стандарта ГОСТ Р ИСО/МЭК 15408 впервые предложена и обоснована математическая модель распределенной сети передачи данных на основе теории графов и сетей, позволяющая оценить уровни безопасности каналов доступа к информационным ресурсам. Разработана схема использования этой математической модели для расчета уровней защищенности каналов доступа в сети передачи данных.

4. Предложена общая методика применения математической модели распределение этапов работы модели по схемам оценки. Описаны общие принципы и структурная схема

Ь построения политики маршрутизации сетевого трафика в распределенной сети.

5. Впервые разработаны схемы построения моделирующей сети для оценки информационной безопасности сетевой среды на основе модифицированного алгоритма Форда-Фалкерсона построения максимального потока по сети. Описана общая модель управления потоками трафика в сетевой среде на основе дистанционно-векторных протоколов динамической маршрутизации и протоколов состояния связей.

6. Впервые предложена схема и методика адаптации существующих технологий управления потоками сетевого трафика к разработанному методу построения политики маршрутизации на основе требований по безопасности.

7. Разработан набор требований к реализации автоматизированной системы построения политик сетевой безопасности на основе управления потоками трафика. Определены структурные требования к такой системе, требования к программному обеспечению и средствам реализации данной системы.

Реализована система АС ППУТ, которая позволяет автоматически адаптировать политику сетевой маршрутизации к требованиям по информационной безопасности и направлять сетевой трафик через наиболее безопасные маршруты.

Даны общие рекомендации по практической реализации схемы управления потоками трафика в информационной системе на основе требований по информационной безопасности, рассмотрены этапы реорганизации общей структуры системы сетевой безопасности при использовании автоматизированной системы управления потоками трафика.

Список литературы диссертационного исследования кандидат технических наук Сереченко, Денис Владимирович, 2004 год

1. CERT/CC Statistics 1988-2003, интернет-ресурс Центра Безопасности Интернет CERT http ://www.cert.org/

2. Zone-h Statistics & Graphs, специализированный интернет-ресурс http://www.zone-h.com/en/stat/

3. MI2G Reports & presentations, интернет-сайт британского консалтингового агентства MI2G http://www.mi2g.com

4. Интернет-ресурс http://www.ccc.ru/ magazine/depot/01 04/print.html?0502.htm

5. Стивен Норгхам, Марк Купер, Мэтт Ферноу, Карен Фредерик Анализ типовых нарушений безопасности в сетях: Пер. с англ М.'Издательский дом «Вильяме»

6. Joel Scambray, Stuart McCluze, George Kurtz Hacking Exposed: Network security, Secrets & Solutions, Second edition, «Osborne Publishing»

7. Сереченко Д.В. Использование методов оптимизации при проектировании защищенных автоматизированных систем обработки информации // Сборник научных трудов конференции «Информационная безопасность, Юг России», Таганрог, 2002г.

8. Лукацкий А.А. Информационная безопасность в фактах и цифрах, журнал «PCWeek», №1, 1999г.

9. Лукацкий А.А. Способы обхода межсетевых экранов, журнал «Системы безопасности, связи и телекоммуникации», №4, 2001г.

10. Магауенов Р.Г. Основные задачи и способы обеспечения безопасности автоматизированных систем обработки информации. М: «Мир безопасности».

11. Переводы и публикации сотрудников компании НИП «Информзащита», интернет-ресурс http://www.infosec.ru/press/pub main.html

12. Соколов А.В., Вихорев С.В. Как оценить угрозы безопасности информации?, интернет-ресурс http://www.elvis.ru/files/how secure.pdf

13. RFC 2401, Security Architecture for the Internet Protocol, интернет-ресурс http://www.faqs.org/rfcs/rfc-sidx25.html

14. RFC 2402 IP, Authentication Header, интернет-ресурс http://www.faqs.org/rfcs/rfc-sidx.html

15. RFC 2406, IP Encapsulating Security Payload (ESP), интернет-ресурс http://www.faqs.org/rfcs/rfc-sidx25.html