Основы построения защищенных компьютерных сетей
Данная дисциплина относится к базовой части Профессионального цикла (Major), проводится на 5 курсе обучения и является обязательной. Для освоения учебной дисциплины студенты должны владеть базовыми знаниями и компетенциями, полученными при изучении следующих дисциплин: Языки программирования, Операционные системы, Сети и системы передачи информации, Основы информационной безопасности. Результаты освоения дисциплины используются в дальнейшем при прохождении производственной и преддипломной практик, при выполнении выпускной квалификационной работы.
Цель освоения дисциплины
Разработка проектов систем и подсистем защищенных компьютерных сетей в соответствии с техническим заданием
Поиск рациональных решений при разработке средств защиты информации с учетом требований качества, надежности и стоимости, а также сроков исполнения
Обеспечение эффективного функционирования средств защиты информации с учетом требований по обеспечению защищенности компьютерной системы
Планируемые результаты обучения
Уметь осуществлять меры противодействия нарушениям сетевой безопасности с использованием различных программных и аппаратных средств защиты
Уметь применять защищенные протоколы, межсетевые экраны и средства обнаружения вторжений для защиты информации в сетях
Уметь формулировать и настраивать политику безопасности основных операционных систем, а также локальных компьютерных сетей, построенных на их основе
Основы построения защищенных компьютерных сетей
Данная дисциплина относится к базовой части Профессионального цикла (Major), проводится на 5 курсе обучения и является обязательной. Для освоения учебной дисциплины студенты должны владеть базовыми знаниями и компетенциями, полученными при изучении следующих дисциплин: Языки программирования, Операционные системы, Сети и системы передачи информации, Основы информационной безопасности. Результаты освоения дисциплины используются в дальнейшем при прохождении производственной и преддипломной практик, при выполнении выпускной квалификационной работы.
Цель освоения дисциплины
Разработка проектов систем и подсистем защищенных компьютерных сетей в соответствии с техническим заданием
Поиск рациональных решений при разработке средств защиты информации с учетом требований качества, надежности и стоимости, а также сроков исполнения
Обеспечение эффективного функционирования средств защиты информации с учетом требований по обеспечению защищенности компьютерной системы
Планируемые результаты обучения
Уметь формулировать и настраивать политику безопасности основных операционных систем, а также локальных компьютерных сетей, построенных на их основе
Уметь применять защищенные протоколы, межсетевые экраны и средства обнаружения вторжений для защиты информации в сетях
Уметь осуществлять меры противодействия нарушениям сетевой безопасности с использованием различных программных и аппаратных средств защиты
Содержание учебной дисциплины
Стадии проведения сетевой атаки. Классификации сетевых угроз, уязвимостей и атак. Атаки на реализации сетевых протоколов, отдельные узлы и службы. Основные механизмы проведения сетевых атак на различных уровнях модели ISO/OSI. Проблемы обеспечения конфиденциальности, целостности и доступности информации на различных уровнях модели ISO/OSI
Удаленное определение версии ОС с использованием особенностей реализации стека протоколов TCP/IP. Методы сканирования портов. Методы обнаружения пакетных сниферов. Методы обхода МЭ
Принуждение к ускоренной передаче. Атаки, направленные на отказ в обслуживании. Изменение конфигурации и состояния хостов. Недостатки протоколов семейства TCP/IP с точки зрения обеспечения безопасности информации. Технические меры защиты от сетевых атак
Протоколы аутентификации на прикладном уровне. Протокол Kerberos. Протоколы аутентификации на транспортном уровне. Протокол SSL/TLS. Достоинства и недостатки аутентификации на различных уровнях модели ISO/OSI
Назначение, основные возможности, принципы функционирования и варианты реализации VPN. Организация туннелирования на различных уровнях модели ISO/OSI. Достоинства и недостатки применения VPN. Протокол IPSEC. Протоколы AH и ESP. Особенности работы протокола IPSEC в туннельном и транспортном режимах. Протокол управления ключами ISAKMP/Oakley. Использование протокола L2TP для организации виртуальных частных сетей
Аутентификация, шифрование, обеспечение целостности с использованием программного интерфейса SSPI. Программный интерфейс Open SSL
Межсетевые экраны (МЭ). Место и роль МЭ в обеспечении сетевой безопасности. Классификация МЭ. Требования к МЭ. Основные возможности и схемы развертывания МЭ. Достоинства и недостатки МЭ. Построение правил фильтрации. Методы сетевой трансляции адресов (NAT). Шлюзы уровня приложений. Реализация сетевой политики безопасности с использованием МЭ. Методы обхода межсетевых экранов
Системы обнаружения вторжений (СОВ). Назначение и возможности средств обнаружения вторжений на хосты, протоколы и сетевые службы. Место и роль средств обнаружения вторжений в общей системе обеспечения сетевой безопасности. Классификация СОВ. Выявление атак на основе сигнатур атак и выявления аномалий. Аудит прикладных служб. Средства обнаружения уязвимостей сетевых служб. Способы противодействия вторжениям. Системы виртуальных ловушек (Honey Pot и Padded Cell)
Принципы построения защищенных вычислительных сетей
В предыдущих темах были рассмотрены основные угрозы информационной безопасности в распределенных вычислительных сетях и причины, следствием которых они являются.
В данной теме рассмотрим принципы построения защищенных вычислительных сетей. Принципы построения защищенных вычислительных сетей по своей сути являются правилами построения защищенных систем, учитывающие, в том числе, действия субъектов вычислительной сети, направленные на обеспечение информационной безопасности.
Напомним, что одним из базовых принципов обеспечения информационной безопасности для любых объектов информационных отношений является борьба не с угрозами, являющимися следствием недостатков системы, а с причинами возможного успеха нарушений информационной безопасности.
Перечислим установленные ранее причины успеха удаленных угроз информационной безопасности:
1. Отсутствие выделенного канала связи между объектами вычислительной сети.
2. Недостаточная идентификация объектов и субъектов сети.
3. Взаимодействие объектов без установления виртуального канала.
4. Отсутствие контроля за виртуальными каналами связи между объектами сети.
5. Отсутствие в распределенных вычислительных сетях возможности контроля за маршрутом сообщений.
6. Отсутствие в распределенных вычислительных сетях полной информации о ее объектах.
7. Отсутствие в распределенных вычислительных сетях криптозащиты сообщений.
Для устранения первой причины («отсутствие выделенного канала. «) идеальным случаем было бы установление выделенных каналов связи между всеми объектами сети. Однако это практически невозможно и нерационально, в первую очередь, из-за высокой стоимости такой топологии вычислительной сети.
Существуют два возможных способа организации топологии распределенной вычислительной сети с выделенными каналами. В первом случае каждый объект связывается физическими линиями связи со всеми объектами системы. Во втором случае в системе может использоваться сетевой концентратор, через который осуществляется связь между объектами (топология «звезда»).
Преимущества сети с выделенным каналом связи между объектами заключаются:
· в передаче сообщений напрямую между источником и приемником, минуя остальные объекты системы;
· в возможности идентифицировать объекты распределенной системы на канальном уровне по их адресам без использования специальных криптоалгоритмов шифрования трафика;
· в отсутствии неопределенности информации о ее объектах, поскольку каждый объект в такой системе изначально однозначно идентифицируется и обладает полной информацией о других объектах системы.
Недостатки сети с выделенными каналами:
· сложность реализации и высокие затраты на создание;
· ограниченное число объектов системы (зависит от числа входов у концентратора).
Альтернативой сетям с выделенным каналом являются сети с широковещательной передачей данных, надежная идентификация объектов в которых может обеспечиваться использованием специальных криптокарт, осуществляющих шифрование на канальном уровне.
Отметим, что создание распределенных систем только с использованием широковещательной среды передачи или только с выделенными каналами неэффективно, поэтому представляется правильным при построении распределенных вычислительных сетей с разветвленной топологией и большим числом объектов использовать комбинированные варианты соединений объектов. Для обеспечения связи между объектами большой степени значимости можно использовать выделенный канал. Связь менее значимых объектов системы может осуществляться с использованием комбинации «общая шина» – выделенный канал.
Безопасная физическая топология сети (выделенный канал) является необходимым, но не достаточным условием устранения причин угроз информационной безопасности, поэтому необходимы дополнительные меры по повышению защищенности объектов вычислительных сетей. Дальнейшее повышение защищенности вычислительных сетей связано с использованием виртуальных каналов, обеспечивающих дополнительную идентификацию и аутентификацию объектов вычислительной сети.
Для повышения защищенности вычислительных сетей при установлении виртуального соединения необходимо использовать криптоалгоритмы с открытым ключом (рассмотрим далее). Одной из разновидностей шифрования с открытым ключом является цифровая подпись сообщений, надежно идентифицирующая объект распределенной вычислительной сети и виртуальный канал.
Отсутствие контроля за маршрутом сообщения в сети является одной из причин успеха удаленных угроз. Рассмотрим один из вариантов устранения этой причины.
Все сообщения, передаваемые в распределенных сетях, проходят по цепочке маршрутизаторов, задачей которых является анализ адреса назначения, выбор оптимального маршрута и передача по этому маршруту пакета или на другой маршрутизатор или непосредственно абоненту, если он напрямую подключен к данному узлу. Информация о маршруте передачи сообщения может быть использована для идентификации источника этого сообщения с точностью до подсети, т. е. от первого маршрутизатора.
Задачу проверки подлинности адреса сообщения можно частично решить на уровне маршрутизатора. Сравнивая адреса отправителя, указанные в сообщении с адресом подсети, из которой получено сообщение, маршрутизатор выявляет те сообщения, у которых эти параметры не совпадают, и соответственно, отфильтровывает такие сообщения.
Контроль за виртуальным соединением можно рассматривать как принцип построения защищенных систем, поскольку в этом случае определяются те правила, исходя из которых система могла бы либо поставить запрос в очередь, либо нет. Для предотвращения такой атаки как «отказ в обслуживании», вызванной «лавиной» направленных запросов на атакуемый узел целесообразно ввести ограничения на постановку в очередь запросов от одного объекта. Очевидно, что данная мера имеет смысл в тех случаях, когда надежно решена проблема идентификации объекта – отправителя запроса. В противном случае злоумышленник может отправлять запросы от чужого имени.
Для повышения защищенности распределенных вычислительных сетей целесообразно проектировать их с полностью определенной информацией о ее объектах, что позволит устранить шестую из указанных причин успешной реализации удаленных угроз.
Однако в вычислительных сетях с неопределенным и достаточно большим числом объектов (например, Интернет) спроектировать систему с отсутствием неопределенности практически невозможно, а отказаться от алгоритмов удаленного поиска не представляется возможным.
Из существующих двух типов алгоритмов удаленного поиска (с использованием информационно-поискового сервера и с использованием широковещательных запросов) более безопасным является алгоритм удаленного поиска с использованием информационно-поискового сервера. Однако для большей безопасности связь объекта, формирующего запрос с сервером, необходимо осуществлять с подключением по виртуальному каналу. Кроме этого, объекты, подключенные к данному серверу, и сам сервер должны содержать заранее определенную статическую ключевую информацию, используемую при создании виртуального канала (например, закрытый криптографический ключ).
Понравилась статья? Добавь ее в закладку (CTRL+D) и не забудь поделиться с друзьями: