Разграничение доступа в компьютерных сетях на основе классификации и приоритетной обработки пакетного трафика тема диссертации и автореферата по ВАК РФ 05.13.19, кандидат технических наук Мулюха, Владимир Александрович

• Мулюха, Владимир Александрович
• кандидат технических наук
• 2010

Оглавление диссертации кандидат технических наук Мулюха, Владимир Александрович

ОБОЗНАЧЕНИЯ И СОКРАЩЕНИЯ.

ВВЕДЕНИЕ.

ГЛАВА 1. АКТУАЛЬНЫЕ ПРОБЛЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ В

КОМПЬЮТЕРНЫХ СЕТЯХ НА ОСНОВЕ РАЗГРАНИЧЕНИЯ

ДОСТУПА И ПОСТАНОВКА ЗАДАЧИ ИССЛЕДОВАНИЯ.

1.1. СОВРЕМЕННЫЕ ПОДХОДЫ К ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ИНФОРМАЦИИ В КОМПЬЮТЕРНЫХ СИСТЕМАХ.

1.2. ОСОБЕННОСТИ ЗАЩИТЫ ИНФОРМАЦИИ В КОМПЬЮТЕРНЫХ СЕТЯХ С ПОВЫШЕННОЙ НАГРУЗКОЙ.

1.3. ПОДХОД К РЕШЕНИЮ ЗАДАЧИ РАЗГРАНИЧЕНИЯ ДОСТУПА В КОМПЬЮТЕРНЫХ СЕТЯХ НА ОСНОВЕ УПРАВЛЕНИЯ СЕТЕВЫМИ ПРОЦЕССАМИ.

1.4. ПОСТАНОВКА ЗАДАЧИ ИССЛЕДОВАНИЯ.

ГЛАВА 2. МЕТОД ФОРМАЛИЗАЦИИ ПРОЦЕССОВ МЕЖСЕТЕВОГО

ВЗАИМОДЕЙСТВИЯ И АЛГОРИТМ ОПЕРАТИВНОЙ

КЛАССИФИКАЦИИ ПАКЕТНОГО ТРАФИКА.

2.1. ВИРТУАЛЬНЫЕ СОЕДИНЕНИЯ КАК МЕТОД ФОРМАЛИЗАЦИИ ПРОЦЕССОВ МЕЖСЕТЕВОГО ВЗАИМОДЕЙСТВИЯ В КОМПЬЮТЕРНЫХ СЕТЯХ.

2.2. РАЗГРАНИЧЕНИЕ ДОСТУПА КАК ЗАДАЧА УПРАВЛЕНИЯ СЕТЕВЫМИ ПРОЦЕССАМИ, ОБЛАДАЮЩИМИ ФРАКТАЛЬНЫМИ СВОЙСТВАМИ.

2.3. АЛГОРИТМ ОПЕРАТИВНОЙ КЛАССИФИКАЦИИ ВИРТУАЛЬНЫХ СОЕДИНЕНИЙ, УЧИТЫВАЮЩИЙ СПЕЦИФИКУ СОВРЕМЕННЫХ КОМПЬЮТЕРНЫХ СЕТЕЙ.

2.4. ВЫВОДЫ.

ГЛАВА 3. РАЗГРАНИЧЕНИЕ ДОСТУПА НА ОСНОВЕ

ПРИОРИТЕТНОЙ ОБРАБОТКИ ПАКЕТНОГО ТРАФИКА В

КОМПЬЮТЕРНЫХ СЕТЯХ С ПОВЫШЕННОЙ НАГРУЗКОЙ.

3.1. РАЗГРАНИЧЕНИЕ ДОСТУПА С ИСПОЛЬЗОВАНИЕМ ПРИОРИТЕТНОЙ МОДЕЛИ МАССОВОГО ОБСЛУЖИВАНИЯ.

3.2. РЕШЕНИЕ ЗАДАЧИ РАЗГРАНИЧЕНИЯ ДОСТУПА, ОПИСАННОЙ ПРИОРИТЕТНОЙ МОДЕЛЬЮ СМО.

3.3. СРАВНЕНИЕ АЛГОРИТМОВ ПРИОРИТЕТНОГО И НЕПРИОРИТЕТНОГО ОБСЛУЖИВАНИЯ ВИРТУАЛЬНЫХ ТРАНСПОРТНЫХ СОЕДИНЕНИЙ.

3.4. ВЫВОДЫ.

ГЛАВА 4. ИССЛЕДОВАНИЕ ЭФФЕКТИВНОСТИ ПРИМЕНЕНИЯ

АЛГОРИТМОВ РАГРАНИЧЕНИЯ ДОСТУПА С

ИСПОЛЬЗОВАНИЕМ МЕЖСЕТЕВЫХ ЭКРАНОВ.

4.1. НАЗНАЧЕНИЕ, ОБЛАСТЬ ПРИМЕНЕНИЯ, РЕЖИМЫ РАБОТЫ И ОСНОВНЫЕ ФУНКЦИОНАЛЬНЫЕ ВОЗМОЖНОСТИ МЕЖСЕТЕВОГО ЭКРАНА ССПТ-2.

4.2. ПРИМЕНЕНИЕ МЕХАНИЗМА ПРИОРИТЕТНОГО УПРАВЛЕНИЯ В МЕЖСЕТЕВЫХ ЭКРАНАХ ССПТ-2, ФУНКЦИОНИРУЮЩИХ В РЕЖИМЕ СКРЫТНОЙ ФИЛЬТРАЦИИ.

4.3. ИСПОЛЬЗОВАНИЕ МЕХАНИЗМА ПРИОРИТЕТНОГО ОБРАБОТКИ ПАКЕТНОГО ТРАФИКА ДЛЯ РЕШЕНИЯ ЗАДАЧИ УПРАВЛЕНИЯ ДОСТУПОМ ВИРТУАЛЬНЫХ СОЕДИНЕНИЙ РАЗЛИЧНЫХ КЛАССОВ.

4.4. ВЫВОДЫ.

Введение диссертации (часть автореферата) на тему «Разграничение доступа в компьютерных сетях на основе классификации и приоритетной обработки пакетного трафика»

Развитие сетевых технологий в направлении широкого использования ресурсоемких приложений и новых методов организации информационного взаимодействия предъявляет повышенные требования к характеристикам компьютерных сетей (КС) как защищенной среды доступа к информационным ресурсам. Таким образом, необходимо постоянное совершенствование моделей, средств и методов защиты информации в КС.

На протяжении длительного времени задачи информационной безопасности (ИБ) в КС были связаны с обеспечением конфиденциальности данных [1]. Однако по мере того как информация становится важным объектом нормативно-правового регулирования, все большую актуальность приобретает задача не только надежной защиты корпоративной или персональной информации, но и обеспечение контролируемого доступа пользователей к открытым информационным ресурсам с использованием КС.

В настоящее время, наиболее распространенным объектом защиты являются информационно-вычислительные и коммуникационные ресурсы (далее именуемые сетевыми) распределённых автоматизированных систем (АС), построенных с использованием КС на базе стека протоколов TCP/IP [2]. Среди программно-технических методов защиты информации в АС важное место занимают методы разграничения доступа (РД) к сетевым ресурсам [1]. Современные методы РД позволяют обеспечить не только конфиденциальность, но и снизить угрозы нарушения целостности и доступности информации, поэтому рассматриваются как комплексный программно-технический метод защиты информации. Применение средств РД является необходимым условием обеспечения состояния защищенности распределенных информационно-сетевых ресурсов АС, что нашло отражение в руководящих документах и стандарте ГОСТ Р ИСО/МЭК 15408 [3]. В рамках требований этих документов современные методы РД реализуются с использованием средств идентификации, аутентификации и контроля доступа пользователей или процессов к сетевым ресурсам [1].

Используемые в настоящее время подходы к реализации РД в КС не в полной мере учитывают специфику КС, как сложной, распределенной виртуальной среды передачи данных, функционирующей в условиях ограниченных ресурсов:

• В последние годы бурное развитие получили новые интерактивные и мультимедиа приложения, требующие определенного качества доступа (предоставления заданного уровня полосы пропускания, задержек передачи пакетов, вероятности потери пакетов и т.п.), следовательно, при решении задач разграничения доступа в современных КС необходимо учитывать требования качества доступа современных сетевых приложений.

• Информационные ресурсы современной КС постоянно изменяются, а их число неуклонно растет, в связи с чем возникает необходимость непрерывного контроля содержимого передаваемых данных.

• Наиболее распространенной средой передачи данных, на сегодняшний день, является Интернет — глобальная КС организованная на базе стека протоколов TCP/IP.

С точки зрения задач РД модель современной КС может быть представлена как совокупность субъектов и объектов доступа, информационное взаимодействие между которыми организуется с помощью протоколов стека TCP/IP. Эти протоколы составляют основу коммуникационной инфраструктуры КС, логическая организация которой основана на описании процессов передачи данных между объектами и субъектами сетевого взаимодействия в форме так называемых виртуальных соединений (ВС) [4,5,6,7]. В рамках такой инфраструктуры попытки несанкционированного доступа могут быть блокированы, если соответствующим ВС не будет предоставлено необходимое для работы приложений качество доступа. При такой организации системы РД, решение о предоставлении определенного качества доступа принимается монитором безопасности, в роли которого в распределенных КС чаще всего выступают программные или программно-аппаратные средства межсетевого экранирования и фильтрации трафика [7,8, 9], устанавливаемые на границе локальной АС и открытой сетевой среды.

Развитие технологий организации межсетевого взаимодействия, включая широкое распространение транспортных протоколов с каналом обратной связи, одноранговых сетей и Р2Р приложений, требует расширения объема понятия доступа к информационным ресурсам с использованием КС. В компьютерной системе, доступ рассматривается как атомарная операция, не учитывающая временную протяженность процесса передачи информации от субъекта к объекту и влияние на этот процесс канала обратной связи. Поэтому в современных КС и распределенных АС доступ необходимо рассматривать как процесс, статистические и параметрические характеристики которого требуют постоянного контроля передаваемой информации с точки зрения требований информационной безопасности. При этом следует учитывать возможность изменения характера информационных потоков, а также субъекта и объекта доступа, в процессе взаимодействия, что позволяет различать важные с точки зрения задачи РД понятия: «разрешение доступа», как права получить доступ к ресурсу, и «реализация доступа», как возможность осуществить имеющееся право с учетом состояния КС, как среды передачи. Таким образом, решение задач РД в КС может быть сведено к управлению процессами межсетевого взаимодействия с использованием ВС с определенными параметрами пропускной способности, значение которых может изменяться в широких пределах. Методы управления доступом к информационным ресурсам, учитывающие как аспекты потенциального разрешения доступа к информации, так и возможность реализации самого процесса доступа с учетом изменения во времени взаимодействующих субъекта и объекта, а также характеристик среды передачи, в настоящее время, рассматриваются как перспективные подходы к решению задач РД в современных КС [2,10,11].

Для формализации рассмотренных выше аспектов решения задачи РД и разделения требований политики безопасности и существующих технических реализаций, в диссертации вводятся два класса ВС: информационные виртуальные соединения (ИВС) и технологические виртуальные соединения (TBC). Модель ИВС включает в себя информационные модели субъекта взаимодействия, объекта взаимодействия, а также действия совершаемого первым над вторым. Модель TBC описывает процесс информационного взаимодействия между субъектом и объектом доступа, с учетом современных технологий передачи данных, при помощи формирования одно- или двунаправленного (с обратной связью) потока пакетов, характеристики которого соответствуют требованиям качества сетевого приложения.

Поэтому с точки зрения задач РД любое TBC может рассматриваться не только как разрешенное или запрещенное, но и как незапрещенное TBC, для которого в текущий момент не может быть выделено достаточно ресурсов, чтобы обеспечить заданное качественное функционирование информационного приложения. Таким образом, в рамках введенного формализма появляется новая возможность решения задач РД с помощью управления различными параметрами TBC, среди которых в первую очередь пропускная способность незапрещенных TBC определяет качество доступа сетевых приложений к информационным ресурсам КС.

Следует отметить, что в связи с развитием мультимедийных и интерактивных ресурсоемких приложений загруженность современных КС постоянно растет, поэтому важным аспектом задачи РД становится эффективная доступность сетевых ресурсов. Количественная оценка свойств эффективной доступности характеризуется такими параметрами TBC как средняя пропускная способность, математическое ожидание и дисперсия задержки в передаче пакетов между субъектом и объектом доступа. Поэтому использование в задаче РД характеристик эффективной доступности требует дополнительного уровня параметризации TBC через свойства приоритетной обработки пакетов, что особенно важно для режимов функционирования КС с повышенной нагрузкой. Предложенный в работе подход к приоритизации учитывает 3 класса трафика - приоритетный трафик, неприоритетный или фоновый трафик и запрещенный трафик. Приоритетный трафик — это совокупность TBC, используемых протоколами управления и необходимых для функционирования различных информационных приложений, характеризуемых высокими требованиями к среднему значению и дисперсии времени задержки, но сравнительно низкой пропускной способностью TBC. Фоновый трафик — это незапрещенный трафик, занимающий существенную часть разделяемых сетевых ресурсов, но не имеющий высоких требований к пропускной способности и/или задержкам передачи пакетов. Запрещенный трафик - это совокупность TBC, нарушающих состояние защищенности информационных ресурсов в процессе передачи пакетного трафика. Общий объем введенных трех классов TBC полностью характеризует все множество процессов информационного взаимодействия в современных КС, что позволяет, в рамках введенного формализма, доказать разрешимость задачи разграничения доступа.

При решении задач приоритетной обработки трафика, в работе вводится два типа алгоритмов управления пропускной способностью, учитывающих специфику протоколов, входящих в стек TCP/IP, а именно TBC, трафик которых обладает фрактальными свойствами (тип 1), и TBC, трафик которых описывается с помощью моделей без последействия (тип 2). Такое разделение позволяет учесть влияние ограничений пропускной способности виртуальных каналов связи и аппаратных ресурсов МЭ, в частности объема буферной памяти, на решение задачи РД, путем вычисления зависимости пропускной способности TBC каждого из типов от вероятности потери пакета вследствие переполнения буфера сетевого устройства в момент перегрузки. Показано, что из-за фрактального характера процессов межсетевого взаимодействия типа 1, при определении пропускной способности TBC на базе протокола TCP, необходимо учитывать не только среднее значение интервалов между потерями пакетов, но и их дисперсию [12,13,14], что, с одной стороны усложняет алгоритмы классификации, а с другой - позволяет обеспечивать заданное качество доступа для TBC каждого типа, путем более точного вычисления его пропускной способности в режимах перегрузки.

Рассматриваемый подход также позволяет учитывать возможность возникновения условий, при которой в процессе организации ВС его параметры соответствует требованиям политики доступа, но во время обмена данными характеристики ВС меняются таким образом, что перестают отвечать этим требованиям [15]. Такая ситуация носит существенно динамический характер, поэтому должна отвечать рекомендациям RFC 2475 [16] на всех этапах межсетевого взаимодействия.

На основании описанных выше результатов, в работе предложен алгоритм оперативной классификации, позволяющий ввести адаптивно конфигурируемый набор правил фильтрации трафика для каждого типа TBC. Разработанный алгоритм формирования контролирующих правил позволяет для каждого из сетевых пакетов представить законченную последовательность операций, гарантированно приводящую к принятию решения в рамках введенных трех классов TBC за ограниченное время.

Особенностью реализации задачи РД в КС является то, что окончательная классификации TBC возможна только после его завершения, поэтому при решении задачи РД приходится вычислять характеристическую функцию TBC по неполным данным. Предложенный в работе алгоритм учитывает тот факт, что если в поступивших пакетах не содержится данных необходимых для вычисления характеристической функции, то инициируемое ими TBC маркируется как фоновое, а решение по РД является отложенным, и для завершения вычисления характеристической функции ожидаются следующие пакеты. Таким образом, для каждого TBC в соответствии моделью ИВС характеристическая функция вычисляется в форме полинома Жегалкина, количество членов которого может быть изменено для повышения точности классификации. Если данных для принятия решения достаточно, то по результатам работы классифицирующего правила TBC относится к одному из классов TBC, заданных в соответствии с политикой РД. Каждый класс TBC контролируется определенным набором правил, что позволяет повысить производительность средств разграничения доступа. Правила классификации и фильтрации представляются в аддитивной форме предикатного полинома, это позволяет адаптировать свойства характеристической функции к требованиям политики РД путем ее реконфигурации при добавлении новых ограничений. Если совокупность пакетов перестает удовлетворять контролирующим правилам своего класса, то все пакеты данного TBC маркируются как запрещенные, что позволяет оперативно контролировать текущее состояние TBC, в соответствии с требованиями политики доступа.

Учитывая вышеизложенное, в диссертационной работе сформулирована и решена задача РД в КС на основе классификации и приоритетной обработки трафика с учетом требований к аппаратным ресурсам монитора безопасности, реализованного в виде межсетевого экрана (МЭ) с приоритетной системой обработки пакетов в условиях ограниченного объема буферной памяти и применения вероятностного вытесняющего механизма. Предложенная модель РД учитывает как динамические характеристики ВС, так и статистические характеристики потока пакетов, что позволят реализовать на ее основе системы разграничения доступа с архитектурой дифференцированного обслуживания (типа DiffServ).

Учитывая, что сетевые средства защиты информации сами могут оказаться объектом деструктивных воздействий, что влечёт за собой серьёзные нарушения политики ИБ при реализации модели монитора безопасности предложено использовать технологию фильтрации, обеспечивающую скрытный характер обработки трафика и повышенную надежность функционирования системы защиты в целом.

Сложность решения описанной выше научно-технической задачи отмечается как российскими, так и зарубежными учёными, в том числе П.Н. Девяниным, Н.А. Гайдамакиным, П.Д. Зегждой, Л.Дж. Хоффманом и многими другими [1,2,10,11,17,18,19,20,21], что связано с необходимостью разработки эффективных алгоритмов классификации информационных ресурсов и приоритетной обработки данных в процессе коммутации пакетного трафика, отвечающих требованиям рекомендаций дифференцированного обслуживания RFC 2475.

Актуальность темы. Таким образом, одним из актуальных путей решения сформулированной выше задачи является формализация процессов межсетевого взаимодействия на основе описания пакетного трафика как совокупности различных классов ВС. В этом случае попытки несанкционированного доступа могут блокироваться с помощью программно-аппаратных средств межсетевого экранирования, функционирующих на основе оперативной классификации ВС и последующей приоритетной обработки трафика с учетом требований к качеству функционирования различных информационных приложений.

Важным аспектом, повышающим эффективность применения систем РД, является необходимость решения задач классификации и приоритетной обработки в реальном масштабе времени, что в свою очередь делает актуальным разработку методов аналитического расчета пропускной способности каналов связи в условиях случайных возмущений, обладающих свойствами статистического самоподобия из-за особенностей реализации современных транспортных протоколов.

С учётом всего вышеизложенного, актуальной научно-технической задачей РД является формализация процессов межсетевого взаимодействия, разработка принципов оперативной классификации сетевых ресурсов, а также создание моделей описания ВС и средств приоритетной обработки трафика, учитывающих динамические и статистические характеристики потоков данных, формируемых в процессе доступа к информационным ресурсам современных компьютерных сетей.

Целью исследования является разработка метода оперативной классификации и алгоритмов приоритетной обработки пакетного трафика для разграничения доступа в компьютерных сетях с учетом требований безопасности и особенностей реализации современных транспортных протоколов.

Для достижения поставленной цели в диссертационной работе были сформулированы и решены следующие задачи:

1. Разработать метод формализованного описания процессов межсетевого взаимодействия, учитывающих особенности информационных моделей объектов доступа и характеристики современных протоколов транспортного уровня.

2. Разработать алгоритм оперативной классификации информационных виртуальных соединений на основе полиномиального представления характеристической функции, описывающей требования политики разграничения доступа на основе оценки параметров технологических виртуальных соединений.

3. Разработать алгоритм приоритетной обработки пакетного трафика, учитывающий ограничения на аппаратные ресурсы и пропускную способность сетевых каналов связи.

Объектом исследования являются классы разрешенных и запрещенных виртуальных соединений, построенных на базе современных транспортных протоколов для обмена пакетным трафиком между субъектами и объектами информационного доступа в компьютерных сетях.

Предметом исследования являются алгоритмы оперативной классификации и приоритетной обработки трафика, учитывающие ограниченность аппаратных и информационно-временных ресурсов доступных при решении задачи разграничения доступа.

Методы исследований. Для решения сформулированных задач использовался аппарат теории алгоритмов, теории защиты информации, теории случайных процессов, теории массового обслуживания, а также методы имитационного моделирования в среде Network Simulator 2 (NS2), статистической обработки данных и программирования в среде Matlab.

Научные результаты и их новизна:

1. Представлен метод формализованного описания информационных потоков между субъектом и объектом доступа, учитывающий особенности моделей сетевых ресурсов и характеристики протоколов связи.

2. Предложен алгоритм оперативной классификации виртуальных соединений при помощи полиномиального представления характеристической функции, описывающей требования политики разграничения доступа на основе оценки параметров технологических виртуальных соединений.

3. Разработан алгоритм приоритетной обработки пакетного трафика, основанный на использовании вероятностного выталкивающего механизма управления очередью ограниченного размера.

Положения, выносимые на защиту:

1. Метод формализованного описания процессов межсетевого взаимодействия, учитывающий характеристики сетевых и транспортных протоколов и особенности информационных моделей объекта доступа.

2. Алгоритм классификации информационных виртуальных соединений, позволяющий оперативно контролировать их состояние, в соответствии с требованиями политики доступа.

3. Алгоритм приоритетной обработки пакетного трафика, учитывающий ограничения на аппаратные ресурсы средств разграничения доступа и пропускную способность сетевых каналов связи.

Обоснованность и достоверность представленных в диссертационной работе научных положений подтверждается согласованностью теоретических результатов с результатами, полученными при реализации, а также апробацией основных теоретических положений в печатных трудах и докладах на всероссийских и международных научных конференциях.

Практическая ценность работы. Разработанные модели, метод и алгоритмы были использованы при создании межсетевых экранов, сертифицированных по требованиям руководящих документов ФСТЭК и ФСБ и позволяющих производить многоуровневый скрытный контроль виртуальных соединений и управление качеством доступа. В основу диссертационной работы положены результаты, полученные автором в период с 2005 по 2010 годы на кафедре «Телематика» ГОУ ВПО «СПбГПУ», а также при выполнении НИР в ГНЦ «ЦНИИ РТК».

Внедрение результатов. Результаты проведённых исследований нашли практическое применение в разработках, в которых автор принимал личное участие, в том числе:

1. При реализации алгоритмов защиты информации для управления роботом-манипулятором, находящимся на борту Международной космической станции, через сеть Интернет в рамках проведения НИОКР ЦНИИ РТК «Космический эксперимент Контур».

2. Использование предложенных в работе алгоритмов классификации и приоритетной обработки пакетного трафика позволило расширить функциональные возможности и повысить эффективность использования аппаратных ресурсов межсетевых экранов серии ССПТ, проектируемых производимых НПО «РТК».

3. В рамках создания специализированной учебно-научной лаборатории и подготовке методических пособий по курсам «Методы и средства защиты компьютерной информации», «Сети ЭВМ и телекоммуникации» в ГОУ ВПО «СПбГПУ» на кафедре «Телематика» ГОУ «СПбГПУ».

Апробация и публикация результатов работы. Результаты, полученные в ходе работы над диссертацией, докладывались на всероссийских и международных научно-технических конференциях. По теме диссертации опубликовано 8 статей, в том числе - 2 в изданиях, публикации в которых рекомендуются Высшей аттестационной комиссией Министерства образования и науки Российской Федерации.

Результаты диссертационной работы получены в ходе научно-исследовательских работ, выполненных при поддержке Комитета по науке и высшей школе Правительства Санкт-Петербурга на средства грантов в сфере научной и научно-технической деятельности за 2008, 2009 и 2010 годы.

Структура и объем диссертации. Диссертационная работа общим объемом 147 страниц состоит из введения, четырех глав, заключения, списка литературы из 99 наименования, включает 28 рисунков и 1 таблицу.

Заключение диссертации по теме «Методы и системы защиты информации, информационная безопасность», Мулюха, Владимир Александрович

4.4. Выводы

На основе разработанных алгоритмов были выполнены программные реализации подсистем классификации, контроля и приоритетной обработки пакетного трафика. В главе 4 были представлены следующие результаты данной разработки:

1. Приведено описание, область применения, режимы работы и функциональные возможности, межсетевого экрана ССПТ-2, в состав программного обеспечения которого вошли реализованные алгоритмы. Показано, что основным в работе межсетевого экрана является скрытный режим инспектора состояний виртуальных соединений.

2. Рассмотрены архитектура и состав подсистемы фильтрации, назначение и требования к модулям подсистемы. Основными модулями подсистемы являются таблица векторов состояний виртуальных соединений, политика доступа в виде набора правил фильтрации, а также модули контроля состояний технологического и информационного виртуальных соединений.

3. Описано использование разработанной модели разграничения доступа и управления пропускной способностью виртуального соединения в рамках космического эксперимента «Контур» при телематическом управлении роботом с использованием каналов спутниковой связи на борту МКС.

ЗАКЛЮЧЕНИЕ

В диссертационной работе решалась задача разграничения доступа в компьютерных сетях на основе классификации и приоритетной обработки пакетного трафика. В ходе решения поставленной задачи были получены следующие выводы и результаты

1. Операция доступа субъекта к объекту в сетевой среде сопровождается возникновением информационного потока в виде последовательности пакетов, которая именуется в работе технологическим виртуальным соединением. Решение задач по обработке трафика в компьютерных сетях, в том числе и связанных с разграничением доступа, требуют формального описания виртуальных соединений. Предложен метод формализованного описания процессов межсетевого взаимодействия, учитывающих особенности информационных моделей объектов доступа и характеристики современных протоколов.

2. Предложенный метод формализации позволяет существенно сократить временные затраты на решение задач классификации виртуальных соединений, а также осуществить автоматизацию процесса настройки правил фильтрации в соответствии с требованиями политики разграничения доступа и особенностями реализации транспортных протоколов. Разработан алгоритм оперативной классификации информационных виртуальных соединений на основе полиномиального представления характеристической функции, описывающей требования политики разграничения доступа на основе оценки параметров технологических виртуальных соединений и повышающий производительность средств разграничения доступа.

3. Основным фактором, осложняющим использование моделей сетевого трафика в реальном масштабе времени, служит громоздкость численного решения задач теории массового обслуживания. В диссертационной работе предложен алгоритм приоритетной обработки пакетного трафика, позволяющий решать задачу приоритетной обработки пакетного трафика в реальном масштабе времени в различных режимах функционирования компьютерной сети, в том числе в режимах перегрузки.

Список литературы диссертационного исследования кандидат технических наук Мулюха, Владимир Александрович, 2010 год

1. Гайдамакин Н.А. Разграничение доступа к информации в компьютерных системах. Екатеринбург: изд-во Урал. Ун-та, 2003. — 328 с.

2. Шаньгин, В.Ф. Информационная безопасность компьютерных систем и сетей: учеб. пособие / В.Ф. Шаньгин. М.: ИД «ФОРУМ»: ИНФРА-М, 2009.-416 с.

3. Силиненко А.В. Разграничение доступа в IP-сетях на основе моделей состояния виртуальных соединений: диссертация на соискание ученой степени кандидата технических наук: 05.13.19 : защищена 04.03.10 / Силиненко Александр Витальевич. СПб, 2010.- 145 с.

4. Stallings, W. Data and Computer Communications. Eight Edition / W. Stallings. New Jersey: Prentice Hall, 2006. - 896 pp.

5. Заборовский, B.C. Многофункциональные межсетевые экраны: методология разработки и технология применения / B.C. Заборовский,

6. A.П. Лубанец, C.B. Купреенко, A.B. Силиненко // IX Санкт-Петербургская международная конференция «Региональная информатика 2004 (РИ-2004)». Мат. конф. СПб., 2004. - С. 126.

7. Платонов, В.В. Программно-аппаратные средства обеспечения информационной безопасности вычислительных сетей /В.В. Платонов. М.: Академия, 2006. - 240 с.

8. Галатенко, В.А. Основы информационной безопасности: учебное пособие. 4-е изд. / В.А. Галатенко. Под ред. В.Б. Бетелина. М.: Интернет-Университет Информационных Технологий; БИНОМ. Лаборатория знаний, 2008. — 205 с.

9. Девянин П.Н., Модели безопасности компьютерных систем: учеб. пособие для студ. высш. учеб. заведений / П.Н. Девянин. — М.: Издательский центр «Академия», 2005. — 144 с.

10. Городецкий А .Я., Статистический анализ TCP-процессов в компьютерных сетях // Научно-технические ведомости СПбГТУ. 2005. № 4. С. 36-42

11. Городецкий А.Я., Заборовский B.C., Лапин A.A. Моделирование самоподобных процессов в компьютерных сетях // Научно-технические ведомости СПбГТУ. 2005. том 1. № 5. С. 103-107

12. Городецкий, А.Я. Пропускная способность компьютерных сетей с фрактальными свойствами / А.Я. Городецкий, B.C. Заборовский,

13. B.А. Мулюха // Научно-технические ведомости СПбГПУ. 2009. - №3. -С. 12-18.

14. RFC 2475. An Architecture for Differentiated Services Электронный ресурс. / Network Working Group, editor S. Blake. — Электрон, дан. -December, 1998. Режим доступа: http://www.ietf.org/rfc/rfc2475.txt, свободный. - Загл. с экрана.

15. Шаньгин, В.Ф. Информационная безопасность компьютерных систем и сетей: учеб. пособие / В.Ф. Шаньгин. М.: ИД «ФОРУМ»: ИНФРА-М, 2009.-416 с.

16. Хоффман Л. Дж. Современные методы защиты информации. М.: Советское радио. - 1980. - 264 с.

17. Лебедь, С.В. Межсетевое экранирование. Теория и практика защиты внешнего периметра / С.В. Лебедь. М.: Изд-во МВТУ им. Баумана, 2002.-301 с.

18. Доктрина информационной безопасности Российской Федерации / М.: Ось-89, 2004. 48 с.

19. Критически важные объекты и кибертерроризм. Часть 1. Системный подход к организации противодействия / О.О. Андреев и др.. Под ред. В.А. Васенина. -М.: МЦНМО, 2008. 398 с.

20. ГОСТ Р 51624-00. Защита информации. Автоматизированные системы взащищенном исполнении. Общие требования. — Введ. 30.06.00. Действ. — М.: Изд-во стандартов, 2000. 12 с.

21. Медведовский, И.Д. Атака через Internet. Под научной редакцией П.Д. Зегжды / И.Д. Медведовский, П.В. Семьянов, В.В. Платонов. — СПб.: НПО «Мир и семья-95», 1997. 296 с.

22. Гайдамакин H.A. Теоретические основы компьютерной безопасности. Учебное пособие. Екатеринбург: изд-во Урал. Ун-та, 2008. - 212 с.

23. Корт С.С., Теоретические основы защиты информации: учебное пособие / С.С. Корт. М.: Гелиос АРВ, 2004. - 240 с.

24. Мафтик С. Механизмы защиты в сетях ЭВМ. /Пер. с англ. — М.: Мир, 1993.-216с.

25. Зайцев А.П., Голубятников И.В., Программно-аппаратные средства обеспечения информационной безопасности. Учебное пособие. — Томск: Издательство ТУ СУР, 2001.-126 с.

26. Белим C.B., Построение ролевой политики безопасности на произвольном ориентированном графе/ C.B. Белим, Н.Ф. Богаченко// Проблемы информационной безопасности. Компьютерные системы, 2009, №3 с. 7-17

27. Хореев П.Б. Методы и средства защиты информации в компьютерных системах: Учеб. Пособие для студ. высш. учеб. заведений/П.Б. Хореев. -М.: Издательский центр «Академия», 2005. — 256 с.

28. Грушо A.A., Тимонина Е.Е. Теоретические основы защиты информации. М.: Яхтсмен, 1996. 192 с.

29. Bell L. Е., LaPadulaL.J. Secure Computer System: A Mathematical Model, MITRE Corp. Technical Report 2547, V.U. 31 May, 1973.

30. Щербаков А.Ю. Современная компьютерная безопасность. Теоретические основы. Практические аспекты. Учебное пособие. — М.: Книжный мир, 2009 352с.

31. Стивене У.Р., Протоколы TCP/IP. Практическое руководство / У.Р.

32. Стивене / Пер. с англ. и коммент. А.Ю. Глебовского. СПб.: «Невский Диалект» - «БХВ-Петербург», 2003. — 672 с.

33. Таненбаум Э. Компьютерные сети. 4-е изд. / Э. Таненбаум. СПб.: Питер, 2003.-992 с.

34. Чеппел JI. TCP/IP.Учебный курс / JI. Чеппел, Э. Титтел / Пер. с англ. -СПб.: БХВ-Петербург, 2003. 976 с.

35. Zimmermann Н., OSI Reference Model The ISO Model of Architecture for Open System Interconnection / H. Zimmermann. IEEE Transaction on Communications - April, 1980. - vol. 28. - pp. 425-432.

36. Олифер В.Г., Компьютерные сети. Принципы, технологии, протоколы: Учебник для вузов. 3-е изд. / В.Г. Олифер, Н.А. Олифер. СПб.: Питер, 2006.-958 с.

37. RFC 1009. Requirements for Internet Gateways Электронный ресурс. / R.Barden, J. Postel. Электрон, дан. - ISI, June, 1987. - Режим доступа: http://tools.ietf.org/html/rfcl009, свободный. - Загл. с экрана.

38. RFC 792. Internet Control Message Protocol Электронный ресурс. / Internet Engineering Task Force, Network Working Group. Электрон, дан. - IETF, September, 1981. - Режим доступа: http://tools.ietf.org/html/rfc792, свободный. - Загл. с экрана.

39. RFC 768. User Datagram Protocol Электронный ресурс. / Internet Engineering Task Force, Network Working Group. Электрон, дан. - IETF, August, 1980. - Режим доступа: http://tools.ietf.org/html/rfc768, свободный. - Загл. с экрана.

40. Филимонов А.Ю. Протоколы Интернета / А.Ю. Филимонов. СПб.: БХВ-Петербург, 2003. - 528 с.

41. Столингс В., Современные компьютерные сети. 2-е изд. СПб.: Питер, 2003. - 783с.: ил. — (Серия «Классика computer science»).

42. Уилсон Р., Введение в теорию графов / Р. Уилсон. М.: Мир, 1977. -208 с.

43. Гостехкомиссия России. Руководящий документ. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации. М.: Военное издательство - 1992.

44. Гостехкомиссия России. Руководящий документ. Концепция защиты средств вычислительной техники от несанкционированного доступа к информации. М.: Военное издательство - 1992.

45. Zero Day Exploits: The Holy Grail Электронный ресурс. / About.com: Internet / Network Security, 2010. Режим доступа: http://netsecurity.about.eom/od/newsandeditoriall/a/aazeroday.htm, свободный. - Загл. с экрана.

46. Andersson, S. Network-Based buffer overflow detection by exploit code analysis / S. Andersson, A. Clark, G. Mohay // Proceedings of the Information Technology Security Conference, 2007. Pp. 39-53.

47. Лапин, A.A. Обеспечение скрытной фильтрации трафика сетевыми средствами защиты информации: диссертация на соискание ученой степени кандидата технических наук: 05.13.19 : защищена 24.05.07 : утв. 12.12.07 / Лапин Андрей Анатольевич. СПб, 2007. - 153 с.

48. Силиненко, A.B. Системы защиты информации на базе контроля состояний транспортных соединений / A.B. Силиненко // БДИ. Российский журнал о безопасности бизнеса и личности. 2003. - №5. -С.39-43.

49. Силиненко, A.B. Модели и методы скрытной контентной фильтрации прикладных протоколов / A.B. Силиненко // Научно-технические ведомости СПбГПУ. -2007. -№4. С. 117-121.

50. Заборовский, B.C. Логико-динамические аспекты моделирования процессов контентной фильтрации прикладных протоколов / B.C.

51. Заборовский, А.В. Силиненко // Третья международная научная конференция по проблемам безопасности и противодействия терроризму: докл. конф., Московский государственный университет им. М.В. Ломоносова, 25-27 окт. 2007 г. М.: МЦНМО, 2008. С. 272-277.

52. On the self-similar nature of ethernet taffic (extended version), W.E.Leland, M.S.Taqqu, W.Willinger, and D.V.Wilson., IEEE/ACM Transactions of Networking, 2(1): p. 1-15, 1993.

53. Шредер M. Фракталы, хаос, степенные законы. Миниатюры из бесконечного рая. Ижевск: НИЦ «Регулярная и хаотическая динамика», 2005. — 528 с.

54. Шелухин И.О., Тенякшев A.M., Осин А.В. Фрактальные процессы в телекоммуникациях. Монография./ Под ред. И.О. Шелухина. М.: Радиотехника, 2003. — 480 е., ил.

55. Mandelbrot В.В., The fractal geometry of Nature. Freeman, New York, 1983.

56. Городецкий А.Я., Системные методы определения статистических характеристик сетевого трафика // Научно-технические ведомости СПбГТУ. 2005. № 1. С. 123-127

57. Закревский А.Д. Логические основы проектирования дискретных устройств / А.Д. Закревский, Ю.В. Поттосин, Л.Д. Черемисинова. — М.: ФИЗМАТЛИТ, 2007 592 с.

58. Самофалов К.Г. Прикладная теория цифровых автоматов / К.Г. Самофалов, A.M. Романкевич, В.Н. Валуйский, Ю.С. Каневский, М.М. Пиневич. Киев: "Высшая Школа", 1987. - 375 с.

59. Горбатов В.А. Фундаментальные основы дискретной математики. Информационная математика М.: Наука, Физматлит, 2000.- 544 с

60. Закревский А.Д. Полиномиальная реализация частичных булевых функций и систем. Изд.2-е / А.Д. Закревский, Н.Р. Торопов. М.: УРСС, 2003.-200 с.

61. Белоусов А.И. Дискретная математика / А.И. Белоусов, С.Б. Ткачев. -М., Издательство МГТУ имени Н.Э. Баумана, 2003. 631 с.

62. Галкина В.А. Дискретная математика: комбинаторные методы оптимизации. М.: Наука, 2003. - 232 с.

63. Забалуев Р.Н. О сложности реализации полиномов Жегалкина // Дискретная математика. Том 16. Вып. 1. 2004. С 79-94.

64. Чагыкин А.В. Средняя сложность булевых функций // Дискретная математика и ее приложения — М.: Изд-во Центра прикладных исследований при механико-математическом факультете МГУ, 2001 -С. 145-170.

65. Рыжиков Ю.И. Теория очередей и управление запасами. СПб.: Питер -2001.-384 с.

66. Тихонов, В.И. Марковские процессы / В.И. Тихонов, М.А. Миронов. -М.: «Сов. радио», 1977. 488 с.

67. Городецкий А.Я., Заборовский B.C., Завалей И.А., Мулюха В.А. Экспериментальное исследование статистических свойств сетевой среды на основе анализа ансамбля TCP-соединений // Научно-технические ведомости СПбГТУ. 2008. № 2. С. 26-31

68. Zaborovsky V., Lapin A., Mulukha V., Network Traffic Invariant Characteristics: Dynamics and Statistics aspects //The Third International Conference on Wireless and Mobile Communications. ICWMC 2007. March 4-9, 2007 Guadeloupe, French Caribbean.

69. Гнеденко Б.В., Даниелян Э.А., Димитров Б.Н., Климов Г.П., Матвеев В.Ф. Приоритетные системы обслуживания. М.:МГУ, 1973. - 448 с.

70. Башарин Г.П. Некоторые результаты для систем с приоритетом // Массовое обслуживание с системах передачи информации. — М.:Наука, 1969.-С. 39-53.

71. Башарин Г.П. Обслуживание двух потоков на однолинейной системе с ограниченным числом мест для ожидания и абсолютным приоритетом // Известия ДН СССР. Техническая кибернетика, 1967, №5, с. 106-116.

72. Башарин Г.П. О пуассоновских обслуживающих системах с абсолютным приоритетом // Массовое обслуживание в системах передачи информации. М.: Наука, 1969, с. 3-20.

73. Bondi A. An analysis of finite capacity queues with priority scheduling and common or reserved waiting areas // Computers and operations research, 1989, vol. 16, no. 3, p. 217-233.

74. Hegde N., Avrachenkov K.E. Service differentiation and garantees for TCP elastic traffic // Lecture notes in computer science, 2002, vol. 2511, p. 159168.

75. Рыжиков Ю.И. Опыт расчета сложных систем массового обслуживания / Ю.И. Рыжиков, А.В. Уланов // Информационно-управляющие системы, 2009, №3(39). С. 56-59

76. Тихонов, В.И. Марковские процессы / В.И. Тихонов, М.А. Миронов. — М.: «Сов. радио», 1977. 488 с.

77. Клейнрок JI. Теория массового обслуживания. Перевод с англ. /Пер. И. И. Грушко; ред. В. И. Нейман М.: Машиностроение, 1979. - 432с.

78. Бейтмен Г., Эрдейн А. Высшие трансцендентные функции. Функции Бесселя, функции параболического цилиндра, ортогональные многочлены. М.:Наука, 1974. - 296 с.

79. Бронштейн О.И., Духовный И.М. Модели приоритетного обслуживания в информационно-вычислительных системах. — М.: Наука, 1976. — 220 с.

80. Межсетевой экран ССПТ-2. Руководство администратора. СПб.: ЗАО «НПО РТК». 2008. - 348 с.

81. Межсетевой экран ССПТ-2. Утилиты. Руководство пользователя. СПб., ЗАО «НПО РТК». 2008. - 34 с.

82. Руководящий документ ГТК РФ «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации». М.: Военное издательство, 1992 г.

83. RFC 959. File Transfer Protocol Электронный ресурс. / Internet Engineering Task Force, Network Working Group. Электрон, дан. — IETF, October, 1985. - Режим доступа: http://tools.ietf.org/html/rfc959, свободный. - Загл. с экрана.

84. RFC 793. Transmission Control Protocol Электронный ресурс. / Internet Engineering Task Force, Network Working Group. Электрон, дан. - IETF, September, 1981. - Режим доступа: http://tools.ietf.org/html/rfc793, свободный. - Загл. с экрана.

85. Кнут Д. Искусство программирования. Том 3. Сортировка и поиск. Второе издание / Д. Кнут. М.: Издательский дом «Вильяме». 2003. -832 с.