автореферат диссертации по информатике, вычислительной технике и управлению, 05.13.19, диссертация на тему:Адаптация политики маршрутизации сетевого трафика к требованиям по информационной безопасности

На правах рукописи

Сереченко Денис Владимирович

АДАПТАЦИЯ ПОЛИТИКИ МАРШРУТИЗАЦИИ СЕТЕВОГО ТРАФИКА К ТРЕБОВАНИЯМ ПО ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Специальность:

05.13.19- методы и системы защиты информации,

информационная безопасность

АВТОРЕФЕРАТ диссертации на соискание ученой степени кандидата технических наук

Работа выполнена в Московском инженерно-физическом институте (государственном университете)

Научный руководитель:

кандидат технических наук, доцент

Петров Вячеслав Александрович

Официальные оппоненты:

доктор технических наук, Щербаков Андрей Юрьевич кандидат технических наук, Правиков Дмитрий Игоревич

Ведущая организация: ФГУП ВНИИ ПВТИ

Защита состоится "_29_" сентября 2004 г. в /5~ часов

на заседании диссертационного совета ДМ 212.130.08 В Московском инженерно-физическом институте (государственном университете)

С диссертацией можно ознакомиться в библиотеке

Московского инженерно-физического института (государственного университета)

Автореферат разослан

" ию^ 2004 г.

Ученый секретарь Диссертационного совета

.(Горбатов В.С.)

ОБЩАЯ ХАРАКТЕРИСТИКА РАБОТЫ

Актуальность темы. С развитием современных телекоммуникационных технологий остро проявляются новые проблемы информационной безопасности. Постоянное усиление активности хакерских сообществ приводит к существенному росту экономических потерь. Удаленные атаки на информационные ресурсы через сети передачи данных несут в себе угрозу национальной безопасности Российской Федерации в информационной сфере и вьнгуждают правительство и президента РФ идти на дополнительные меры по защите конфиденциальной информации, вплоть до отключения государственных учреждений от международных сетей общего доступа: «...Субъектам международного информационного обмена в Российской Федерации запрещено осуществлять включение информационных систем, сетей связи и автономных персональных компьютеров, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, и служебная информация ограниченного распространения, а также для которых установлены особые правила доступа к информационным ресурсам, в состав средств международного информационного обмена, в том числе в международную ассоциацию сетей "Интернет".» (Указ Президента РФ от 12.05.2004 №611 «О мерах по обеспечению информационной безопасности Российской Федерации в сфере международного информационного обмена»).

Главной причиной, провоцирующей рост сетевой преступности, является несовершенство существующих средств и методов сетевой зашиты и неэффективность противодействия этих средств ряду информационных угроз. Подавляющее большинство нарушений в области информационной безопасности в сетях не могут контролироваться только средствами защиты на основе разграничения и контроля доступа (межсетевые экраны, фильтры, системы разграничения доступа и т.д.). Одним из перспективных подходов к построению сетевой защиты является адаптация политики динамической маршрутизации сетевого трафика к требованиям по информационной безопасности, который, в отличии от традиционных методов защиты, позволяет реализовать концепцию упреждающей защиты на основе управления потоками сетевого трафика. Сложность современных топологий распределенных сетей передачи данных не позволяет решать такие задачи методом простого перебора возможных вариантов решения. Поэтому, задача разработки методов и методик управления потоками сетевого трафика при помощи средств динамической маршрутизации является актуальной.

Данная работа базируется на исследованиях сетевой безопасности, проведенных в таких организациях, как CERT, Cisco Systems Inc., Juniper Networks, на международном стандарте в области сетевой безопасности ISO 17799, методах его практического применения, разработанных в компании «Digital Security» и «Domino Security», а также на работах таких известных специалистов в области сетей передачи данных и сетевой безопасности, как М. Коллона, Д. Доллей, Петер Дж. Мойера, Галины Пилдушь, Стивена

Норгхама, Марка Купера, Мэтта Ферноу, А. Лу:

ва,

библиотека

i, — --—лм»*^

Герасименко В.А., В. Галатенко. В области оптимизации сетевых маршрутов на основе протоколов динамической маршрутизации и DNS (службы доменной системы имен) работают такие известные компании, как F5 Networks, Radware и др.. Над решением проблем оптимизации маршрутов на основе протокола BGPv4 трудятся специалисты международных компаний RouteScience Technologies и Internap Network Service (INAP). Однако, указанные исследования направлены на построение и усовершенствование традиционных, «барьерных» методов обеспечения сетевой защиты, которые не могут эффективно справляться с рядом информационных угроз в сетях. Данная работа опирается на результаты этих исследований и предлагает новый метод построения упреждающей сетевой защиты на основе управления потоками трафика.

Объектом исследования является сеть передачи данных, построенная на основе маршрутизации третьего уровня модели взаимодействия открытых систем ISO/OSI.

Предметом исследования выступает безопасность каналов доступа к информации в сети передачи данных в зависимости от структурной схемы потоков трафика и характеристик маршрутов передачи данных.

Цели исследования:

- Разработка метода и методики построения адаптируемой политики. маршрутизации сетевого трафика на основе требований стандарта. ГОСТ Р ИСО/МЭК 15408.

- Разработка автоматизированной системы, реализующей предложенный метод при помощи современных средств управления потоками трафика и функционирующей в реальном времени.

Для достижения данных целей в работе решены следующие научные задачи:

- Выявлены основные недостатки существующих методов обеспечения сетевой безопасности и проанализированы причины их проявления при построении современных систем сетевой защиты.

- Разработана схема построения описания системы сетевой защиты на основе стандарта ГОСТ Р ИСО/МЭК 15408.

- Построена математическая модель системы сетевой безопасности на основе управления потоками трафика.

- Разработаны метод, методика и алгоритмическое обеспечение методики построения политики управления потоками сетевого трафика.

- Разработана автоматизированная система построения политики управления, трафиком на основе требований по информационной безопасности.

Степень обоснованности научных положений, выводов и рекомендаций, сформулированных в диссертации, обеспечиваются:

-корректным использованием математических методов оптимизации задач на ориентированных графах и сетях;

- сопоставлением результатов практического применения разработанной методики с результатами применения традиционных методов сетевой зашиты

Методы исследования. Данная работа базируется на методах теории множеств, комбинаторного анализа и методах математической оптимизации задач на сетях и ориентированных графах.

Научная новизна результатов, полученных в диссертации, состоит в следующем:

1. Предложен новый подход к обеспечению безопасности распределенных информационных систем, основанный на управлении информационными потоками в сети и оптимизации схемы маршрутов сетевого трафика на базе требований стандарта ГОСТ Р ИСО/МЭК 15408.

2. Впервые разработана математическая модель управления сетевым трафиком на основе требований по информационной безопасности в соответствии со стандартом ГОСТ Р ИСО/МЭК 15408.

3. На основе математической модели разработан метод и создана методика построения адаптивной политики сетевой маршрутизации на базе требований по информационной безопасности.

4. Разработаны рекомендации по реализации данной политики при помощи современных средств управления трафиком.

Практическая ценность полученных результатов состоит следующем:

1. Предложенные в диссертации метод и методика построения политики маршрутизации является основой для построения автоматизированных систем управления потоками сетевого трафика на базе требований по информационной безопасности.

2. Модель и метод управления потоками трафика, предложенные в работе, представляют собой теоретическую и методическую базу при проектировании топологии защищенных сетей передачи данных и разработке политики маршрутизации сетевого трафика.

3. Разработанные практические рекомендации по настройке и управлению потоками трафика предполагают использование существующих стандартных средств для динамического управления потоками сетевого трафика, что не требует создания специальных дополнительных средств построения политики маршрутизации защищенных сетей.

Внедрение результатов работы. Результаты диссертационной работы внедрены в:

1. Московском инженерно-физическом институте (государственном университете). Результаты диссертационной работы используются в учебном процессе факультета «Информационная безопасность» МИФИ при изучении дисциплины «Безопасности вычислительных сетей».

2. Международноу телекоммуникационном холдинге «ION-IP group» и его российском отделении - операторе связи ООО «Связь ВСД» (LLC «WideXs»). Предложенные в работе модели, подходы и методы построения политики маршрутизации использованы как основа для создания программного обеспечения, реализующего разработанную методику управления трафиком в защищенной опорной сети оператора связи 0 0 0 «Связь ВСД».

Внедрение результатов подтверждается соответствующими актами.

Основные положения, выносимые на защиту:

1. Методика оценки защищенности каналов доступа в распределенной сети передачи данных на основе требований по информационной безопасности стандарта ГОСТ Р ИСО/МЭК 15408.

2. Метод определения приоритетов каналов доступа к данным на основе методов и алгоритмов оптимизации на графах и сетях.

3. Метод и алгоритмы построения адаптируемой политики сетевой безопасности на основе приоритетов каналов доступа, определенных на базе требований по сетевой безопасности.

4. Рекомендации по применению разработанной методики для построения политики маршрутизации на основе современных протоколов динамической маршрутизации и технологий коммутации меток.

5. Результаты применения разработанной методики для построения автоматизированной системы построения политики управления трафиком, позволяющей повысить эффективность противодействия сетевым атакам на 20-25% по сравнению с существующими методами сетевой защиты.

Апробация работы. Основные методические и практические результаты исследований докладывались на следующих конференциях:

1. Всероссийской конференции «Методы и технические средства обеспечения безопасности информации» - Санкт-Петербург, 2003 г.

2. Всероссийской научно-технической конференции "Проблемы информационной безопасности в системе высшей школы" - Москва, 2003г.

3. Всероссийской научно-технической конференции "Проблемы информационной безопасности в системе высшей школы" - Москва, 2004г.

4. Региональной научно-технической конференции «Информационная безопасность, Юг России» - Таганрог, 2002г.

5. Симпозиуме «Телекоммуникации - основа развития бизнеса современных предприятий» в рамках выставки Связь-Экспокомм' 2004 - Москва, 2004г.

Публикации. Основные результаты диссертации изложены в 1 печатных трудах.

Структура и объем работы. Диссертация состоит из введения, четырех глав, изложенных на 114 страницах машинописного текста, 27 рисунков, 17

таблиц, заключения, списка использованной литературы и приложений, изложенных на 15 страницах.

ОСНОВНОЕ СОДЕРЖАНИЕ РАБОТЫ

Во введении обоснована и сформулирована задача разработки автоматизированных средств и методов построения политики маршрутизации сетевого трафика с учетом требований по информационной безопасности.

В первой главе рассмотрены и проанализированы основные подходы к построению защищенных информационных сетей, проведен анализ основных этапов реализации информационных угроз в сетях, выявлены недостатки существующих методов и средств обеспечения сетевой безопасности. На основе проведенного анализа сформулирована задача автоматизированного построения политики маршрутизации с учетом требований по сетевой безопасности.

Анализ тенденций правонарушений с использованием компьютерных сетей как средства доступа к информации, позволяет сделать выводы о постоянном росте количества преступлений, совершаемых при помощи .сетей. По оценкам экспертов организации" CERT Coordination center, количество инцидентов по информационной безопасности выросло в 10000 раз начиная с 1988 года, а всего за период с 1988 по 2003 год в данном центре зарегистрировано 225 049 реализованных нарушений сетевой безопасности. В работе проанализированы причины такого большого количества успешных реализаций сетевых атак.

Подробно рассмотрены и описаны этапы развития сетевой атаки:

- Поиск точек входа в корпоративную сеть: на данном этапе злоумышленник определяет потенциально-уязвимые точки доступа к информационной сети.

- Поиск уязвимостей в системе безопасности найденных точек доступа: на этом этапе злоумышленник определяет, какие уязвимости в найденных точках могут быть использованы для проведения атаки.

- Использование найденных уязвимостей для взлома системы защиты точек доступа: на данном этапе злоумышленник взламывает систему защиты, используя найденные уязвимости.

- Сканирование внутренней корпоративной сети, поиск в ней нужной информации: На этом этапе злоумышленник определяет местоположение интересующей его информации во внутренней сети корпорации.

- Взлом внутренней системы защиты: на данной стадии нарушитель, используя уязвимости внутренней системы защиты, получает доступ к интересующей его информации.

- Работа с интересующей информацией: на данной ' стадии злоумышленник обрабатывает ценную информацию в зависимости от цели атаки (копирует ее на удаленный носитель, удаляет, искажает и т.п.).

- Сокрытие следов преступления: на этом этапе злоумышленник уничтожает следы своего присутствия в системе.

На основе документов Гостехкомиссии РФ разработана модель потенциального нарушителя сетевой безопасности распределенной корпоративной информационной системы, определяющая:

- Категория лиц, к которым может принадлежать нарушитель.

- Общая цель нарушителей сетевой безопасности.

- Вероятная квалификация нарушителя и его техническая оснащенность.

- Типы атак, которые может реализовать нарушитель.

Рассмотрены и проанализированы основные архитектуры построения

распределенных корпоративных сетей и систем сетевой безопасности, в том числе:

. - Системы защиты локальной сети корпорации.

- Системы защиты распределенной сети канального уровня.

- Системы защиты распределенной сети третьего уровня.

- Системы защиты распределенной сети на основе опорной сети общего назначения (Интернета).

На основе анализа выявлены принципиальные недостатки средств и методов сетевой защиты, не позволяющие эффективно противодействовать сетевым информационным угрозам. Показано, что современные системы защиты, построенные по принципу установки информационных «барьеров» разного типа на пути доступа к информации, не способны отразить атаки, эксплуатирующие уязвимости и ошибки в настройках программного обеспечения.

Как решение вышеозначенных проблем, предлагается упреждающая стратегия защиты сети на основе построения политики маршрутизации сетевого трафика с учетом требований по информационной безопасности. Методика построения политики управления трафиком позволяет предотвратить развитие сетевых атак, эксплуатирующих уязвимости открытых информационных сервисов. Схема потоков сетевого трафика строится таким образом, что потенциально уязвимые информационные сервисы становятся недоступны злоумышленникам через сеть.

Во второй главе рассмотрены возможности адаптации и применения требований стандарта ГОСТ Р ИСО/МЭК 15408 для оценки защищенности каналов доступа в сети передачи данных, разработаны методы использования структурных компонент стандарта для построения политики маршрутизации, разработана математическая модель задачи и общая методика применения модели для расчета политики управления трафиком.

Для автоматизированного построения политики сетевой безопасности необходима математическая модель системы, которая, в свою очередь, базируется на общепринятом стандарте по оценке защищенных информационных систем ГОСТ Р ИСО/МЭК 15408. На основе классов компонент, определенных в стандарте, формируются пакеты требований к сетевой информационной безопасности.

В работе определены и описаны этапы методики построения описания системы в терминах стандарта ГОСТ Р ИСО/МЭК 15408:

- Определение окружения системы сетевой безопасности (каналов доступа к информационным ресурсам

- Определение целей сетевой безопасности

- Формирование технических требований к системе сетевой защиты

- Построение пакетов и локального профиля сетевой защиты

Математическая постановка задачи.

Математическая модель данной задачи базируется на теории графов и сетей. Приведем характеристики объектов защиты и граничные условия разработанной математической модели.

Множество выборов

[С]=(С1,..., Сп) - сетевые каналы доступа к информационным ресурсам, потенциально уязвимые с точки зрения информационной безопасности.

[ЭД=(п1, ... ,пк) - множество сетевых узлов, через которые доступны защищаемые информационные ресурсы.

Множество характеристик

[Х]=(Х1,...,Хп) - переменные, обозначающие коэффициенты безопасности при заданных граничных условиях. Это дискретные значения, нормированные в некоторой шкале (например, могут принимать значения от 1 до 10). Они отображают текущий уровень защищенности по каждому из каналов доступа, выделенных экспертами для решения данной практической задачи.

[М]=(М1,...,Мп) - множества существенных информационных угроз, рассматриваемых для каждого канала доступа.

[КР]=(КР1,...,КРк) - множество приоритетов маршрутизации. Это приоритеты сетевых узлов, установленные экспертами на основе совокупности параметров сетевых маршрутов до защищаемых информационных ресурсов без учета требований по сетевой безопасности.

Множество ограничений [Ь]=(Ь1,..., Ьп) - переменные, обозначающие граничные значения коэффициентов безопасности. Они отображают максимальные значения коэффициентов безопасности для каждого из выделенных каналов доступа и нормированы в той же шкале, что и коэффициенты безопасности (например, также принимают дискретные значения от 1 до 10).

Метод расчета граничных значений коэффициентов безопасности

Метод расчета коэффициентов безопасности* базируется на описании системы, построенном на базе стандарта ГОСТ Р ИСО/МЭК 15408. Опишем процесс построения пакетов сетевой защиты и соответствующих граничных значений коэффициентов безопасности:

Введем несколько определений:

Обозначим как [К]=(К1,..., Кр) - множество требований по сетевой безопасности, построенное на основе каталога требований стандарта ГОСТ Р

ИСО/МЭК 15408. Для каждого канала Cie(Cl,...,Cn) построится матрица ограничений коэффициентов безопасности. В этой матрице по столбцам находятся ресурсы, доступные через этот канал Ci, а по строкам - требования по сетевой безопасности классов стандарта ГОСТ Р ИСО/МЭК 15408. Для каждого канала Ci строится пакет сетевой безопасности как сумма требований по безопасности, существенных для данного канала доступа. В зависимости от того, существенно ли некоторое требование по безопасности Kj для ресурса Rk на канале Ci, на пересечении строки Rk и столбца Kj стоит вес соответствующего требования. Вес требования определяется экспертами по информационной безопасности. Это дискретные значения, отражающие уровень значимости конкретного требования на канале доступа Ci для определенного ресурса Rk. Все веса нормированы в одной шкале, например, это могут быть дискретные значения от 0 до 10. Шкалу, в которой будут устанавливаться коэффициенты, определяют эксперты, исходя из особенностей практической задачи. Устанавливая для определенного канала доступа высокие коэффициенты значимости требований Ki, можно выделять канал доступа среди остальных и прикреплять к нему больший приоритет.

Граничное значение коэффициента безопасности Li определяется: как. следующая сумма:

- элемент матрицы ограничений коэффициентов безопасности для i-oro канала доступа.

Таким образом, множество ограничений коэффициентов определяется

как:

[L]= {L(Ci)}. где L(Ci)=Li Vie(l.....п).

Множество приоритетов маршрутизации сетевых узлов [NP] строится на основе оценок экспертов и описывается матрицей приоритетов маршрутизации, пример которой приведен в таблице 1.

Пример матрицы приоритетов маршрутизации _Таблица 1

Сетевой узел ni N2 nk-1 nk

Приоритет маршрутизации 1 5 10 7

Для каждого сетевого узла ше[М] эксперты устанавливают его приоритет с точки зрения доступа через данный сетевой узел к защищаемым ресурсам. Приоритет устанавливается в рамках всей сети без учета требований по сетевой безопасности, основываясь на совокупности различных параметров каналов доступа, проходящих через данный сетевой узел. Приоритет маршрутизации можно представить следующим образом:

МР(ги)—ИР1"М21, где М21 - элемент матрицы приоритетов маршрутизации.

Метод расчета коэффициентов безопасности

Приведем метод расчета коэффициентов безопасности. Для этого введем несколько терминов и определений:

Определим множество [К] как множество сетевых узлов, через которые доступны защищаемые информационные ресурсы (Ш,..., Кп) и множество [Б] как множество упорядоченных пар этих узлов. Упорядоченная пара de[D] для двух узлов из множества (п1,п2)е[М] возникает в том случае, если два этих узла связаны между собой некоторым каналом доступа При этом, порядок следования узлов в каждой паре определяется приоритетом маршрутизации участвующих в паре узлов: первым в паре следует узел, приоритет которого КР(ш)е[КР] выше. В результате, получим ориентированный граф, отображающий структуру реальной сети. Маршрутизирующие узлы сети обозначаются в виде вершин этого графа, а упорядоченные пары узлов - дуги графа.

Каждому каналу сети С1е(С1,...,Сп) припишем ограничения Ы, рассчитанное так, как показано выше. Будем считать, что изначально коэффициенты безопасности Ж для всех С1е(С1,...,Сп) равны нулю. Обозначим* какЛ А(х)' = {уе[И]: (х,у) е.: А}- — множество вершин,, непосредственно следующих за вершиной х. Обозначим как В(х) = (уе[К]г (х,у) е В} - множество вершин, непосредственно предшествующих вершине х. Тогда в качестве источника обозначим такую вершину 8, для которой А(х)=0, а в качестве стока такую вершину Т, для которой В(х)= 0. Если таких вершин в графе, описывающем сетевую структуру, нет, то введем фиктивный сток 8 и фиктивный источник Т и соединим их фиктивными дугами с реальными вершинами графа по приведенному выше правилу. В результате получаем ориентированный граф специального вида, который назовем моделирующей сетью.

Далее, для определения максимального потока по моделирующей сети используется модифицированный алгоритм Форда-Фалкерсона. В результате работы данного алгоритма мы получаем множество {1(х,у)} - потоки по всем Дугам (х,у) е [Б] моделирующей сети. Дуги (х,у) е [Б] взаимнооднозначно соответствуют реальным каналам доступа (С1,...,Сп). Потоки по дугам 1(х,у) взаимнооднозначно соответствуют коэффициентам безопасности (XI,..., Хп). Ограничения, наложенные на дуги при расчете потоков И(х,у), также соответствуют максимально-допустимым значениям коэффициентов безопасности (Ь1,...,Ьп). Таким образом, получаем набор коэффициентом безопасности (Х1,...,Хп) для каналов доступа (С1,...,Сп) при установленных ограничениях (Ь1,...,Ьп).

Функция выбора и оптимизации определяет оптимальный уровень безопасности сети передачи данных в модели как наибольшие возможные

значения коэффициентов безопасности (XI____Хп) на каналах доступа при

заданных граничных условиях. Обозначим как О(п) множество всех каналов доступа к узлу пеК Тогда функционал выбора решения можно определить как:

F(N,X)=max{Ei,,NXni}, где Xn¡=max{V Xi: Cíe 0(n)}, a XieX

коэффициенты безопасности, рассчитанные при некотором заданном, фиксированном наборе ограничений (LI,..., Ln).

То есть, для каждого узла сети определяется приоритетный с точки зрения информационной безопасности канал доступа как канал с наибольшим значением коэффициента безопасности.

Преобразование коэффициентов безопасности в приоритеты каналов доступа

Для каждого сетевого узла может быть несколько каналов доступа, через которые может пойти его трафик. Они образуют список альтернативных каналов доступа. Этот список упорядочивается согласно приоритетам каналов. Чем выше приоритет канала, тем ближе он находится к первому выбору. Рассчитанные коэффициенты безопасности (XI,..., Хп) преобразуются в приоритеты каналов доступа к ресурсам, согласно которым выбирается маршрут, оптимальный с точки зрения сетевой безопасности. Преобразование коэффициентов в приоритеты каналов доступа происходит согласно принципу: чем больше коэффициент безопасности Xi, рассчитанный в модели, тем выше приоритет соответствующего канала доступа С/.

Обозначим множество приоритетов каналов доступа как [PR]=(PRl,...,PRn). Обозначим как [Xo]=(Xol,...,Xon) - множество упорядоченных по возрастанию коэффициентов безопасности, рассчитанных в модели. Тогда приоритет Pi некоторого канала доступа Ci будет:

- индекс Xoj в упорядоченном списке коэффициентов безопасности, соответствующий Xi-му коэффициенту, рассчитанному в модели для Ci-ro канала доступа. Таким образом, приоритеты каналов будут выстроены в порядке возрастания рассчитанных коэффициентов безопасности.

Методика, построенная на основе описанной модели, позволяет автоматизировать процесс расчета показателей безопасности в системе и процесс создания на основе этих данных конкретных технических спецификаций.

В третьей главе изложены алгоритмы построения пакетов сетевой безопасности стандарта ГОСТ Р ИСО/МЭК 15408, алгоритмы формирования моделирующей сети и преобразования коэффициентов безопасности в приоритеты каналов доступа. Рассмотрены методы адаптации политики управления потоками трафика на основе протоколов динамической маршрутизации к требованиям по сетевой безопасности.

Для удобства описание алгоритмов введены следующие переменные и условные обозначения:

Множество [1]=(n,... ,In) - список защищаемых информационных ресурсов сети, доступных через каналы доступа рассматриваемой сети.

Множество [K]=(Kl,...,Kt) - наборы требований по безопасности, содержащиеся в стандарте ГОСТ Р ИСО/МЭК 15408.

Множество [С]=(С1,...,Сг) - все возможные каналы доступа к информационному ресурсу.

Множество [Р]=(Р 1,... ,Рг) - список пакетов сетевой безопасности.

Множество матриц [М]=(М1,...,Мг) - матрицы граничных значений коэффициентов безопасности.

Множество [И]=(И1,...,Иш) - множество узлов сети, через которые доступны информационные ресурсы,

({Ли1},...,(Лиш}) - множества дуг, исходящих из узлов сети (И1,...,Иш) и заканчивающихся в узлах сети (и 1,... ,Иш).

[8Р] - общий набор требований по информационной безопасности сети (локальный профиль сетевой безопасности).

Алгоритм формирования пакетов формализует процесс определения требований по безопасности к системе сетевой защиты на основе управления потоками трафика. Алгоритм может быть представлен блок-схемой, изображенной на рисунке 1. Данная схема описывает процесс выбора требований стандарта ГОСТ Р ИСО/МЭК 15408, существенных с точки зрения сетевой защиты информационных ресурсов на определенном канале доступа и построения на основе этих требований пакетов и профиля сетевой защиты.

Схему формирования моделирующей сети можно изобразить так, как показано на рисунке 2. По данному алгоритму строится моделирующая сеть, описывающая реальную сеть передачи данных. Далее рассчитываются коэффициенты безопасности.

Коэффициенты безопасности преобразуются в приоритеты каналов доступа согласно схеме, приведенной на рисунке 3.

Рисунок 3. Блок-схема алгоритма преобразования коэффициентов

На данной блок-схеме PRi - приоритет доступа i-ro канала, So - матрица соответствия коэффициентов безопасности каналам доступа, упорядоченная по убыванию коэффициентов.

Также в данной главе описаны общие методы реализации политики управления потоками трафика при гкшощи динамических протоколов маршрутизации третьего уровня модели 1SO/OSI. Реализация схемы управления трафиком основана на применении различных атрибутов маршрутов доступа (длины маршрута, веса маршрута и др.) Изменяя атрибуты маршрутов, можно добиться, чтобы трафик в сети проходил только по заданным каналам доступа. В предложенной методике различные атрибуты маршрутов используются для установки рассчитанных в модели приоритетов каналов доступа и продвижения трафика через приоритетные с точки зрения сетевой безопасности каналы доступа.

В четвертой главе рассмотрена автоматизированный программный комплекс построения политики управления потоками сетевого трафика (АС ППУТ), разработанная на основе описанной выше методики, определены основные требования к такой системе, рассмотрен пример применения АС ППУТ.

Одним, из основных требований к системе является требования к масштабируемости системы в рамках распределенной сети: Из этого вытекают требования к структуре системы в виде отдельных программных модулей и взаимосвязям между отдельными компонентами системы. Также важными требованиями являются-требозанияк скорости работы системы, откуда вытекают требования к техническим характеристикам и параметрам сети передачи данных (таким, как время реакции на изменение маршрутной информации и время распространения изменений схемы управления трафиком).

Общую структуру и взаимосвязи между модулями системы, реализующие требования к структуре АС ППУТ, можно изобразить в виде схемы, приведенной на рисунке 4.

Модуль предварительной обработки и преобразования данныхреализует подсистему ввода-вывода и хранения данных, необходимых для дальнейшей работы АС ППУТ. Реализуется модуль на основе сервера баз данных, хранящего вводимую информацию, и веб-сервера с веб-интерфейсом доступа к базе данных.

Модуль формирования моделирующей сети реализует подсистему преобразования сохраненных данных о системе в описание моделирующей сети в терминах математической модели. Эксперты формируют описание системы в терминах стандарта и задают взаимосвязи между различными компонентами системы. На основе этой информации строится моделирующая сеть. Расчетная часть модуля реализуется на языках С и PERL. Интерфейсная часть строится на основе веб-технологий.

1Г

Рисунок 4. Схема обработки информации в АС ППУТ

Модульрасчета пороговыхкоэффициентов безопасности рассчитывает коэффициенты безопасности в построенной на предыдущем этапе моделирующей сети. Данный модуль не имеет интерфейсов интерактивного взаимодействия с пользователями системы и все данные для расчета получает через интерфейсы взаимодействия с модулями предварительной обработки данных и формирования моделирующей сети. Для повышения эффективности расчетной части, модуль реализован на языке программирования PERL с последующей предкомпиляцией в С.

Модуль построения технических спецификаций реализует подсистему преобразования рассчитанных коэффициентов безопасности в технические спецификации оборудования, реализующего политику управления трафиком. Конфигурации оборудования генерируются в виде текстовых файлов. Поэтому модуль реализован на «скриптовых» языках программирования Shell и PERL, как наиболее удобных для работы с текстом.

Модуль мониторинга изменений отслеживает состояния параметров автоматизированной системы и при возникновении заданных изменений параметров АС ППУТ запускает процесс перерасчета коэффициентов безопасности и политики управления трафиком. Вся функциональность модуля также реализована с помощью языка PERL, Shell и веб-интерфейса для взаимодействия с пользователями системы.

Характеристики АС ППУТ оцениваются относительно периода распространения регулярных обновлений маршрутной информации ТперНОда. Время реакции АС ППУТ на изменения параметров сети должно быть меньше Триод» ДИ того, чтобы влияние изменений сетевой среды на уровень сетевой безопасности было сведено к минимуму. Методика определения характеристик АС ППУТ кратко может быть описана следующим образом: I. Определение времени реакции на изменение маршрутной информации: в схему маршрутизации добавляются несколько новых сетевых

префиксов с информацией о доступности через один из сетевых узлов сети так, что адресом следующего перехода в таблице маршрутизации для данных префиксов являлся один из маршрутизаторов этой же сети, где данный префикс маршрутизируется как адрес одного из Loopback интерфейсов. При помощи стандартной утилиты отладки сети ping и стандартной утилиты time (утилита определяет время работы приложения, входит в пакет стандартных программ ОС Sun Solaris 8) определяется время доступа на адреса данного сетевого префикса с момента внесения информации о нем в политику маршрутизации Треакции как время возврата пакета ICMP типа echo reply.

2. Время обработки таблицы маршрутизации оценивается при помощи

утилиты time, входящей в пакет стандартных программ ОС Solaris 8. Создается пакетный файл, в котором поочередно запускаются утилита расчета коэффициентов безопасности и утилита преобразования коэффициентов безопасности в технические спецификации. Пакетный файл запускается с интерфейса командной строки через утилиту time. Таким образом определяется время построения политики маршрутизации.

3. Время распространения изменений схемы управления трафиком измеряется при помощи встроенных команд маршрутизаторов Cisco System серии 7500 и маршрутизаторов Juniper Networks серии М20. Время внесения изменения определяется при помощи встроенной команды show time. Момент старта и окончания внесения изменения определяется по результатам выполнения команд show ip bgp <parameter> отраженным на консоли маршрутизатора и в лог-файлах.

4. Распараллеливание процессов загрузки политики было реализовано запуском параллельных процессов в ОС, на основе которой строится АС ПЛУТ. Поэтому оценка параллельности процесса загрузки проводится на основе отображений таблицы процессов, сделанных при помощи стандартной утилиты ps, входящей в состав ОС Sun Solaris 8. Строится пакетный файл, в котором сразу за запуском процесса загрузки политик запускается утилита ps с ключами е и/, которая показывает запуск параллельных процессов загрузки политики в ядре ОС.

Для оценки параметров АС ПЛУТ использовалась тестовая сеть передачи данных, построенная на основе маршрутизаторов Cisco System серии 7500 и Juniper M2. В качестве средства динамического управления трафиком был использован протокол маршрутизации BGP v4. В качестве аппаратной платформы для работы АС ППУТ был использован сервер компании Sun Microsystems Enterprise 220R в системной конфигурации платформы sun4u: оперативная память 1Гб, 2 процессора UltraSPARC II450, сетевая карта Ethernet 10/100Мб с операционной системой Sun Solaris 8.Основные характеристики АС ППУТ, оцененные согласно приведенной выше методике, можно представить как показано в таблице 2.

Характеристики АС ПГТУТ Таблица 2

Название характеристики Значение, с

Время реакции на изменение . маршрутной информации 11

Время обработки таблицы маршрутизации 26,5

Время распространения изменений схемы управления трафиком 14

На основе проведенного анализа сделан вывод, что данные характеристики удовлетворяют предъявленным к АС ППУТ требованиям (все временные оценки ЛС ППУТ меньше Тпериода устанавливаемого на тестовом оборудовании по умолчанию равным 30 сек.).

Использование АС ППУТ для построения политики маршрутизации распределенных сетей передачи данных на основе требований по информационной безопасности позволяет:

- Эффективно защищать ценные информационные ресурсы от атак типа

. DoS и DDoS

- Защитить сетевые приложения от атак, основанных на использовании уязвимостей в ПО открытых информационных сервисов.

- Избежать атак через сети общего доступа на защищаемые информационные ресурсы корпоративной сети.

ОСНОВНЫЕ РЕЗУЛЬТАТЫ РАБОТЫ

В работе получены следующие основные результаты;

1. Проведенный анализ современного уровня развития технологий обеспечения сетевой безопасности показал, что традиционные методы обеспечения сетевой безопасности не всегда эффективно справляются с поставленными задачами. Одним из перспективных направлений развития средств и методов сетевой защиты является разработка систем сетевой безопасности на основе управления потоками трафика. Поэтому задача создания методических, алгоритмических и программных средств для управления потоками сетевого трафика является актуальной.

2. В данной работе впервые определен и систематизирован в терминах стандарта ГОСТ Р ИСО/МЭК 15408 процесс оценки и построения схемы управления потоками трафика в распределенной сети и разработана схема построения описания сети передачи данных на основе, классов требований стандарта ГОСТ Р ИСО/МЭК 15408.

3. На базе требований стандарта ГОСТ Р ИСО/МЭК 15408 впервые предложена и обоснована математическая модель распределенной сети

передачи данных на основе теории графов и сетей, позволяющая оценить уровни безопасности каналов доступа к информационным ресурсам. Разработана схема использования этой математической модели для расчета уровней защищенности каналов доступа в сети передачи данных.

4. Предложены метод и общая методика применения математической модели и распределение этапов работы математической модели. Описаны общие принципы и структурная схема построения политики маршрутизации сетевого трафика в распределенной сети.

5. Впервые разработаны схемы построения моделирующей сети для оценки информационной безопасности сетевой среды на основе модифицированного алгоритма Форда-Фалкерсона построения максимального потока по сети. Описана общая модель управления, потоками трафика в сетевой среде на основе дистанционно-векторных протоколов, динамической маршрутизации и протоколов - состояния связей.

6. Впервые предложена схема и методика адаптации существующих технологий управления потоками сетевого трафика к разработанному методу построения политики маршрутизации на основе требований по безопасности.

7. Разработан набор требований к реализации автоматизированной системы, построения, политик сетевой: безопасности на основе управления потоками трафика. Определены структурные требования к такой системе, требования к программному обеспечению и средствам реализации данной системы.

8. Реализована система, АС ППУТ, которая позволяет автоматически адаптировать политику сетевой маршрутизации к требованиям по информационной безопасности и направлять сетевой трафик через наиболее безопасные маршруты.

9. Даны общие рекомендации по практической реализации схемы управления потоками трафика в информационной системе на основе требований по информационной безопасности, рассмотрены этапы реорганизации общей структуры системы сетевой безопасности при использовании автоматизированной системы управления потоками трафика.

Основные результаты диссертационной работы изложены в 7 печатных трудах:

1. Сереченко Д.В. Методы адаптации политики управления потоками трафика на основе алгоритмов динамической маршрутизации к требованиям по безопасности // Безопасность информационных технологий, №2,2004 г.

2. Сереченко Д.В. Методы адаптации политики управления потоками трафика на основе алгоритмов динамической маршрутизации к требованиям по безопасности // Безопасность информационных технологий, №2,2004 г.

»1 3 477

3. Сереченко Д.В. Методы управления потоками сетевого трафика с учетом требований по информационной безопасности // Сборник научных трудов конференции «Методы и технические средства обеспечения безопасности информации», СПб., 2003г.

4. Сереченко Д.В. Использование математических методов оптимизации для построения безопасных маршрутизируемых сетей на базе сетей общего пользования // Сборник научных трудов российской научно-технической конференции "Проблемы информационной безопасности в системе высшей школы", МИФИ, 2003 г.

5. Сереченко Д.В. Методы адаптации политики управления потоками трафика на основе алгоритмов динамической маршрутизации к требованиям по безопасности // Сборник научных трудов российской научно-технической конференции "Проблемы информационной безопасности в системе высшей школы", МИФИ, 2004г.

6. Сереченко Д. В. Использование методов оптимизации при проектировании защищенных автоматизированных систем обработки информации // Сборник научных трудов конференции «Информационная безопасность, Юг России», Таганрог, 2002г.

7. Сереченко Д.В. Построение схемы управления потоками трафика на основе стандарта КОДЕС 15408 // Сборник научных трудов международной научно-практической конференции «Информационная безопасность», Таганрог, 2004г.

Подписано в печать 14.07.04. Формат 60x84 1/16. Тираж 100 экз. Заказ № 618.

Московский инженерно-физический институт (государственный университет).

Типография МИФИ. 115409, Москва, Каширское ш., 31

ВВЕДЕНИЕ.

1. АНАЛИЗ СУЩЕСТВУЮЩИХ ПОДХОДОВ СОЗДАНИЯ ЗАЩИЩЕННЫХ ИНФОРМАЦИОННЫХ СЕТЕЙ.

1.1 Анализ современных угроз информационной безопасности в сетях передачи данных.

1.1.1 Общая модель потенциального нарушителя.

1.1.2 Схема реализации сетевой атаки.

1.1.3 Особенности построения внутренней и внешней систем сетевой безопасности.

1.2 Анализ современных архитектур системы защиты корпоративной сети.

1.2.1 Подходы к построению системы сетевой защиты.

1.2.2 Анализ недостатков существующих методов сетевой защиты.

1.3 Построение политики сетевой безопасности на основе управления потоками трафика.

Выводы по главе 1. 2 МЕТОДИКА АВТОМАТИЗИРОВАННОГО ПОСТРОЕНИЯ ПОЛИТИКИ

МАРШРУТИЗАЦИИ С ИСПОЛЬЗОВАНИЕМ МАТЕМАТИЧЕСКИХ МЕТОДОВ ОПТИМИЗАЦИИ НА ОСНОВЕ СТАНДАРТА ГОСТ Р ИСО/МЭК 15408.

2.1 Анализ положений стандарта ГОСТ Р ИСО/МЭК 15408.

2.1.1 Общий подход к обеспечению безопасности сети на основе стандарта ГОСТ Р ИСО/МЭК 15408.

2.1.2 Общая концепция безопасности сети.

2.1.3 Построение описания политики управления трафиком на основе стандарта ГОСТ Р ИСО/МЭК 15408.

2.2 Построение политики управления трафиком с учетом требований по сетевой безопасности на основе теории оптимизации на графах и сетях.

2.2.1 Использование математических методов оптимизации на графах и сетях для Ь решения задач управления потоками данных.

2.3 Математическая постановка задачи.

2.3.1 Параметры и граничные условия модели.

2.3.2 Метод расчета граничных значений коэффициентов безопасности и установки приоритетов маршрутизации.

2.3.3 Метод построения моделирующей сети.

2.3.4 Метод расчета коэффициентов безопасности.

2.3.5 Преобразование коэффициентов безопасности в приоритеты каналов доступа.

2.3.6 Адекватность реальным задачам и корректность модели.

2.4 Методика построения политики маршрутизации с учетом требований по сетевой безопасности.

Выводы по главе 2.

3 АЛГОРИТМИЧЕСКОЕ ОБЕСПЕЧЕНИЕ СИСТЕМЫ АВТОМАТИЗИРОВАННОГО ПОСТРОЕНИЯ ПОЛИТИКИ УПРАВЛЕНИЯ ТРАФИКОМ.

3.1 Алгоритмы построения политики сетевой безопасности распределенной информационной системы.

3.1.1 Построение описания сети на основе стандарта ГОСТ Р ИСО/МЭК 15408.

3.1.2 Построение моделирующей сети.

3.1.3 Построение политики управления трафиком на основе коэффициентов fc безопасности.

3.2 Оценка сложности разработанных алгоритмов.

3.2.1 Вычислительная сложность алгоритмов методики.

3.3 Методы адаптации политики управления потоками трафика на основе алгоритмов динамической маршрутизации к требованиям по информационной безопасности.

3.3.1 Управление потоками трафика на основе протоколов динамической маршрутизации.

3.3.2 Адаптация методов управления потоками трафика на основе динамической маршрутизации к требованиям политики сетевой безопасности.

3.3.3 Адаптация методов управления потоками трафика на основе коммутации меток к требованиям политики сетевой безопасности.

Выводы по главе 3.

4 АВТОМАТИЗИРОВАННАЯ СИСТЕМА ПОСТРОЕНИЯ ПОЛИТИКИ УПРАВЛЕНИЯ ПОТОКАМИ СЕТЕВОГО ТРАФИКА.

4.1 Основные требования к автоматизированной системе.

4.1.1 Требования к структуре системы.

4.1.2 Требования к средствам разработки системы.

4.1.3 Требования к техническим характеристикам системы и параметрам сети.

4.2 Реализация системы.

4.2.1 Структура автоматизированной системы построения политики управления трафиком.

4.2.2 Анализ и обоснование средств разработки.

4.2.3 Реализация АС ПГГУТ с использованием высокоуровневых средств разработки.

4.2.4 Построения политики управления трафиком в АС ППУТ.

4.2.5 Технические характеристики системы.

4.3 Использование автоматизированной системы в распределенных сетях и системах связи

4.3.1 Пример применения АС ППУТ.

4.3.2 Преимущества использования АС ППУТ совместно с традиционными методами сетевой защиты.

4.4 Общие рекомендации и предложения.

Выводы по главе 4.

С развитием современных телекоммуникационных технологий остро проявляются новые проблемы информационной безопасности. Анализ тенденций совершения преступлений с использованием информационных сетей позволяет сделать выводы о постоянном росте количества преступлений, совершаемых при помощи сетей передачи данных. Несмотря на эшелонированные системы обеспечения сетевой безопасности, злоумышленники часто достигают своей цели [1, 2, 3,11]. Удаленные атаки на информационные ресурсы через сети передачи данных несут в себе угрозу национальной безопасности Российской Федерации в информационной сфере и вынуждают правительство и президента РФ идти на дополнительные меры по защите конфиденциальной информации, вплоть до отключения государственных учреждений от международных сетей общего доступа: «.Субъектам международного информационного обмена в Российской Федерации запрещено осуществлять включение информационных систем, сетей связи и автономных персональных компьютеров, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну, и служебная информация ограниченного распространения, а также для которых установлены особые правила доступа к информационным ресурсам, в состав средств международного информационного обмена, в том числе в международную ассоциацию сетей "Интернет".» [95].

Начиная с 1988 года, с началом широкого использования международной сети общего доступа Интернет, наблюдается постоянное усиление активности хакерских сообществ. По данным британского консалтингового агентства MI2G, отслеживающего хакерскую активность в Интернете с 1995 года, в октябре 2002 года зафиксировано в общей сложности 16559 атак на информационные ресурсы [3]. При этом, темпы роста сетевой преступности увеличиваются с каждым годом в геометрической прогрессии. По оценкам экспертов Международного Центра Безопасности Интернет CERT Coordination center [1] количество инцидентов, зарегистрированных только в данном центре, выросло с 1988 года в 10000 раз, как показано в таблице 1.

Зарегистрированные инциденты по безопасности Таблица 1

Год ! 1988 1989 1990 1991 1993 1998 2000 2001 2002 2003

Имнидсшы 6 132 252 406 1334 3734 21756 52658 82094 137 529

Всего за период с 1988 по 2003 год центром зарегистрировано 319 922 инцидентов нарушения информационной безопасности. Следует отметить, что реальная статистика существенно отличается в большую сторону, так как не все инциденты обязательно регистрируются в данном центре.

Главной причиной, провоцирующей такой рост сетевой преступности, является несовершенство существующих средств и методов сетевой защиты и неэффективность противодействия этих средств ряду информационных угроз. По отчетам того же Международного Центра Безопасности Интернет CERT, количество уязвимостей, обнаруживаемых каждый год в системах сетевой защиты, с 1995 года возросло в 24 раза, а всего за период с 1995 года зарегистрировано 12 946 уязвимостей программного и аппаратного обеспечения к информационным угрозам различного вида [1], причем наблюдается устойчивая тенденция роста, как показано в таблице 2.

Обнаруженные уязвимости Таблица 2

J 'од 1 1998 1999 2000 2001 2002 2003

Ушнпмосги 262 417 1090 2437 4129 3784

При этом, согласно данным специализированного сайта по безопасности Zone-H [2], процентное соотношение причин успешной информационной атаки через сеть общего доступа составляет:

- 31.4% за счет незакрытых известных уязвимостей,

- 24.2% ошибки в настройках,

- 21.1% ранее неизвестные уязвимости, 16.3% атаки «грубой силой»,

- 4.7% остальные.

Как видно из статистики, 52.5 % преступлений в сетях совершается в результате ошибок в программном коде и 24.2% в результате ошибок администрирования (например, согласно исследованиям, проведенным ассоциацией ICSA, до 70% всех межсетевых экранов имеют различные ошибки в конфигурации [9]). От такого рода уязвимостей система сетевой защиты, построенная по принципу разграничения и контроля доступа, малоэффективна. Если некоторый информационный сервис открыт и доступен через сеть (по ошибке администратора или согласно установленной политике безопасности), то система защиты не сможет контролировать доступ к нему. В случае наличия уязвимостей в реализующем этот сервис ПО, атака может быть успешно проведена.

Отмеченные тенденции усиления хакерской активности, увеличения количества ошибок в программном коде и настройках сетевых систем защиты ведут к постоянному росту экономических потерь. Общие финансовые потери мировой экономики в результате нарушений сетевой безопасности, согласно оценкам компании Information Week и консалтингового агентства PricewaterhouseCoopers, приведены в таблице 3.

Финансовые потери от нарушений безопасности Таблица 3

Пропет1 мирхпкпин. % от oohilto числа нарушении 28 35 21 16

Финансовые потери, доллары До 0т1001$ до От 10001$ до Свыше 100000$

1000$ 10000$ 100000$

Таким образом, можно сделать следующий вывод: большинство нарушений в области информационной безопасности в сетях не могут контролироваться только средствами защиты на основе разграничения и контроля доступа (межсетевые экраны, фильтры, системы разграничения доступа и т.д.), независимо от того, происходят нарушения из-за наличия ошибок в сетевом программном обеспечении или ошибок в настройках системы защиты.

Использование информационной сети, подключенной к сети общего доступа, является типовым решением [9, 8, 11, 35, 37] и задача ее защиты - наиболее актуальной среди прочих задач сетевой безопасности [1, 2, 3, 4,11]. Одним из перспективных подходов к построению систем сетевой защиты является адаптация политики динамической маршрутизации сетевого трафика к требованиям по информационной безопасности, который, в отличии от традиционных методов сетевой защиты [5, 8, 9, 11, 12], позволяет реализовать концепцию упреждающей защиты на основе управления потоками трафика [5, 44, 53]. Сложность современных топологий распределенных сетей передачи данных не позволяет решать такие задачи методом простого перебора возможных вариантов решения. Поэтому необходимо создание специальных моделей, алгоритмов и методик для автоматизированного решения подобных задач, из чего можно сделать вывод, что разработка методов и методик управления потоками трафика в сети передачи данных при помощи средств динамической маршрутизации на основе требований по информационной безопасности является актуальной.

Данная работа базируется на исследованиях сетевой безопасности, проведенных в таких организациях, как CERT, Cisco Systems Inc., Juniper Networks, на международном стандарте в области сетевой безопасности ISO 17799, методах его практического применения, описанных в курсе, разработанном в компании «Digital Security» и «Domino Security», а также на работах таких известных специалистов в области сетей передачи данных и сетевой безопасности, как М. Коллона, Д. Доллей, Петер Дж. Мойера, Галины Пилдушь, Стивена Норгхама, Марка Купера, Мэтта Ферноу, А. Лукацкого, И. Трифаленкова, таких ученых, как В. Галатенко. В области оптимизации сетевых маршрутов на основе протоколов динамической маршрутизации и DNS (службы доменной системы имен) работают такие известные компании, как F5 Networks [91], Radware [94] и др. Над решением проблем оптимизации маршрутов на основе протокола BGPv4 трудятся специалисты таких международных компаний, как RouteScience Technologies [92] Internap Network Service (INAP) [93]. Однако, указанные исследования направлены на построение и усовершенствование традиционных, «барьерных» методов обеспечения сетевой защиты, которые, как показывает приведенная выше статистика, не могут эффективно справляться с рядом информационных угроз в сетях передачи данных. Данная работа опирается на результаты этих исследований и предлагает новый метод построения упреждающей сетевой защиты на основе управления потоками трафика [44].

Объектом исследования является сеть передачи данных, построенная на основе маршрутизации третьего уровня модели взаимодействия открытых систем ISO/OSI.

Предметом исследования выступает безопасность каналов доступа к информации в сети в зависимости от структурной схемы потоков трафика и характеристик маршрутов передачи данных.

Цели исследования:

Разработка метода и методики построения адаптируемой политики маршрутизации сетевого трафика на основе требований стандарта ГОСТ Р ИСО/МЭК 15408. Разработка автоматизированной системы, реализующей предложенный метод при помощи современных средств управления потоками трафика и функционирующей в реальном времени.

Для достижения данных целей в работе решены следующие научные задачи:

Выявлены основные недостатки существующих методов обеспечения сетевой безопасности и проанализированы причины их проявления при построении современных систем сетевой защиты.

Разработана схема построения описания системы сетевой защиты на основе стандарта ГОСТ Р ИСО/МЭК 15408.

Построена математическая модель системы сетевой безопасности на основе управления потоками трафика.

Разработаны метод, методика и алгоритмическое обеспечение методики построения политики управления потоками сетевого трафика.

- Разработана автоматизированная система построения политики управления трафиком на основе требований по информационной безопасности.

Степень обоснованности научных положений, выводов и рекомендаций, сформулированных в диссертации., обеспечиваются: корректным использованием математических методов оптимизации задач на ориентированных графах и сетях; сопоставлением результатов практического применения разработанной методики с результатами применения традиционных методов сетевой защиты.

Методы исследования. Данная работа базируется на методах теории множеств, комбинаторного анализа и методах математической оптимизации задач на сетях и ориентированных графах.

Научная новизна результатов, полученных в диссертации, состоит в следующем:

1. Предложен новый подход к обеспечению безопасности распределенных информационных систем, основанный на управлении информационными потоками в сети и оптимизации схемы маршрутов сетевого трафика на базе требований стандарта ГОСТ Р ИСО/МЭК 15408.

2. Впервые разработана математическая модель управления сетевым трафиком на основе требований по информационной безопасности в соответствии со стандартом ГОСТ Р ИСО/МЭК 15408.

3. На основе математической модели разработан метод и создана методика построения адаптивной политики сетевой маршрутизации на базе требований по информационной безопасности.

4. Разработаны рекомендации по реализации данной политики при помощи конкретных современных средств управления трафиком.

Практическая ценность полученных результатов состоит следующем:

1. Предложенная в диссертации методика построения политики маршрутизации является основой для построения автоматизированных систем управления потоками сетевого трафика на базе требований по информационной безопасности.

2. Модель и метод управления потоками трафика, предложенные в работе, представляют собой теоретическую и методическую базу при проектировании топологии защищенных сетей передачи данных и разработке политики маршрутизации сетевого трафика.

3. Разработанные практические рекомендации по настройке и управлению потоками трафика предполагают использование существующих стандартных средств для динамического управления потоками сетевого трафика, что не требует создания специальных дополнительных средств построения политики маршрутизации защищенных сетей.

Внедрение результатов работы. Результаты диссертационной работы внедрены в:

1. Московском инженерно-физическом институте (государственном университете). Результаты диссертационной работы используются в учебном процессе факультета «Информационная безопасность» МИФИ при изучении дисциплины «Безопасности вычислительных сетей».

2. Международной телекоммуникационном холдинге «ION-IP group» и его российском отделении - операторе связи ООО «Связь ВСД» (LLC «WideXs»). Предложенные в работе модели, подходы и методы построения политики маршрутизации использованы как основа для создания программного обеспечения, реализующего разработанную методику управления трафиком в защищенной опорной сети оператора связи ООО «Связь ВСД».

Внедрение результатов подтверждается соответствующими актами.

Основные положения, выносимые на защиту:

1. Методика оценки защищенности каналов доступа в распределенной сети передачи данных на основе требований по информационной безопасности стандарта ГОСТ Р ИСО/МЭК 15408.

2. Метод определения приоритетов каналов доступа к данным на основе методов и алгоритмов оптимизации на графах и сетях.

3. Метод и алгоритмы построения адаптируемой политики сетевой безопасности на основе приоритетов каналов доступа, определенных на базе требований по сетевой безопасности.

4. Рекомендации по применению разработанной методики для построения политики маршрутизации на основе современных протоколов динамической маршрутизации и технологий коммутации меток.

5. Результаты применения разработанной методики для построения автоматизированной системы построения политики управления трафиком, позволяющей повысить эффективность противодействия сетевым атакам на 20-25%.

Апробация работы. Основные методические и практические результаты исследований докладывались на следующих конференциях:

1. Всероссийской конференции «Методы и технические средства обеспечения безопасности информации» - Санкт-Петербург, 2003г.

2. Всероссийской научно-технической конференции "Проблемы информационной безопасности в системе высшей школы" - Москва, 2003г.

3. Всероссийской научно-технической конференции "Проблемы информационной безопасности в системе высшей школы" - Москва, 2004г.

4. Региональной научно-технической конференции «Информационная безопасность, Юг России» - Таганрог, 2002г.

5. Симпозиуме «Телекоммуникации - основа развития бизнеса современных предприятий» в рамках выставки Связь-Экспокомм' 2004 - Москва, 2004г.

Публикации. Основные результаты диссертации изложены в 7 печатных трудах -[7, 16, 24, 26, 44,61,88].

Структура и объем работы. Диссертация состоит из введения, четырех глав, изложенных на 114 страницах машинописного текста, 27 рисунков, 17 таблиц, заключения, списка использованной литературы и приложений, изложенных на 15 страницах.

Выводы по главе 4

1. Впервые разработан набор требований к реализации автоматизированной системы построения политик маршрутизации на основе требований по информационной безопасности. Определены структурные требования к такой системе, требования к программному обеспечению и средствам реализации данной системы.

2. Описана общая схема функционирования автоматизированной системы управления потоками трафика.

3. Впервые рассмотрены методы построения информационного обмена с использованием автоматизированной системы управления потоками трафика, методика применения системы управления трафиком.

4. Даны общие рекомендации по практической реализации политики управления потоками трафика в сети на основе требований по информационной безопасности, рассмотрены этапы реорганизации общей структуры системы сетевой безопасности при использовании автоматизированной системы управления потоками трафика

ЗАКЛЮЧЕНИЕ

1. Проведенный анализ современного уровня развития технологий обеспечения сетевой безопасности показал, что традиционные методы обеспечения сетевой безопасности не всегда эффективно справляются с поставленными задачами. Одним из перспективных направлений развития средств и методов сетевой защиты является разработка систем сетевой безопасности на основе управления потоками трафика. Поэтому задача создания методических, алгоритмических и программных средств для управления потоками сетевого трафика является актуальной.

2. В данной работе впервые определен и систематизирован в терминах стандарта ГОСТ Р ИСО/МЭК 15408 процесс оценки и построения схемы управления потоками трафика в распределенной сети и разработана схема построения описания сети передачи данных на основе классов требований стандарта ГОСТ Р ИСО/МЭК 15408.

3. На базе требований стандарта ГОСТ Р ИСО/МЭК 15408 впервые предложена и обоснована математическая модель распределенной сети передачи данных на основе теории графов и сетей, позволяющая оценить уровни безопасности каналов доступа к информационным ресурсам. Разработана схема использования этой математической модели для расчета уровней защищенности каналов доступа в сети передачи данных.

4. Предложена общая методика применения математической модели распределение этапов работы модели по схемам оценки. Описаны общие принципы и структурная схема

Ь построения политики маршрутизации сетевого трафика в распределенной сети.

5. Впервые разработаны схемы построения моделирующей сети для оценки информационной безопасности сетевой среды на основе модифицированного алгоритма Форда-Фалкерсона построения максимального потока по сети. Описана общая модель управления потоками трафика в сетевой среде на основе дистанционно-векторных протоколов динамической маршрутизации и протоколов состояния связей.

6. Впервые предложена схема и методика адаптации существующих технологий управления потоками сетевого трафика к разработанному методу построения политики маршрутизации на основе требований по безопасности.

7. Разработан набор требований к реализации автоматизированной системы построения политик сетевой безопасности на основе управления потоками трафика. Определены структурные требования к такой системе, требования к программному обеспечению и средствам реализации данной системы.

Реализована система АС ППУТ, которая позволяет автоматически адаптировать политику сетевой маршрутизации к требованиям по информационной безопасности и направлять сетевой трафик через наиболее безопасные маршруты.

Даны общие рекомендации по практической реализации схемы управления потоками трафика в информационной системе на основе требований по информационной безопасности, рассмотрены этапы реорганизации общей структуры системы сетевой безопасности при использовании автоматизированной системы управления потоками трафика.

1. CERT/CC Statistics 1988-2003, интернет-ресурс Центра Безопасности Интернет CERT http ://www.cert.org/

2. Zone-h Statistics & Graphs, специализированный интернет-ресурс http://www.zone-h.com/en/stat/

3. MI2G Reports & presentations, интернет-сайт британского консалтингового агентства MI2G http://www.mi2g.com

4. Интернет-ресурс http://www.ccc.ru/ magazine/depot/01 04/print.html?0502.htm

5. Стивен Норгхам, Марк Купер, Мэтт Ферноу, Карен Фредерик Анализ типовых нарушений безопасности в сетях: Пер. с англ М.'Издательский дом «Вильяме»

6. Joel Scambray, Stuart McCluze, George Kurtz Hacking Exposed: Network security, Secrets & Solutions, Second edition, «Osborne Publishing»

7. Сереченко Д.В. Использование методов оптимизации при проектировании защищенных автоматизированных систем обработки информации // Сборник научных трудов конференции «Информационная безопасность, Юг России», Таганрог, 2002г.

8. Лукацкий А.А. Информационная безопасность в фактах и цифрах, журнал «PCWeek», №1, 1999г.

9. Лукацкий А.А. Способы обхода межсетевых экранов, журнал «Системы безопасности, связи и телекоммуникации», №4, 2001г.

10. Магауенов Р.Г. Основные задачи и способы обеспечения безопасности автоматизированных систем обработки информации. М: «Мир безопасности».

11. Переводы и публикации сотрудников компании НИП «Информзащита», интернет-ресурс http://www.infosec.ru/press/pub main.html

12. Соколов А.В., Вихорев С.В. Как оценить угрозы безопасности информации?, интернет-ресурс http://www.elvis.ru/files/how secure.pdf

13. RFC 2401, Security Architecture for the Internet Protocol, интернет-ресурс http://www.faqs.org/rfcs/rfc-sidx25.html

14. RFC 2402 IP, Authentication Header, интернет-ресурс http://www.faqs.org/rfcs/rfc-sidx.html

15. RFC 2406, IP Encapsulating Security Payload (ESP), интернет-ресурс http://www.faqs.org/rfcs/rfc-sidx25.html