Инструментальные средства проектирования виртуальных защищенных сетей на базе протоколов IPSec и IKE

Общая характеристика работы.

Диссертационная работа посвящена разработке методов автоматизированного проектирования конфигураций узлов виртуальных защищенных сетей и средств поддержки процесса проектирования в целях сокращения сроков проектирования и устранения ошибок, связанных со сложностью конфигурирования сети вручную.

В работе показано, что проектирование защищенной сети является сложным трудоемким процессом, требующим от разработчика глубоких и детальных знаний об используемых протоколах защиты трафика, средствах защиты и администрировании локальных сетей. Для успешного решения задачи проектирования защищенной сети необходимо определить политику сетевой безопасности, в рамках которой руководство организации и администратор сети определяют объекты защиты, и требования к уровню их защиты. В работе предложена структурная модель описания политики сетевой безопасности и язык описания конфигурации (LSP-язык) [14], на основе которых осуществляется процесс автоматизированного проектирования конфигурации узла виртуальной защищенной сети (КУВЗС). Разработан компилятор LSP-языка в байт-код и устойчивый к ошибкам времени выполнения интерпретатор байт-кода [12]. Полученные в работе результаты были использованы в семействе средств защиты сетевого трафика «Trusted Agent».

Актуальность работы. Потребность в надежной передаче конфиденциальной информации по открытым сетям связи стала одной из насущных потребностей в современном деловом мире. Эта потребность постоянно стимулируется развитием Интернет, как дешевой глобальной среды передачи данных [20]. Использование средств защиты сетевого трафика совместно с публичными сервисами, предоставляемыми открытыми сетями и прежде всего Интернетом, позволяет: организовать защищенный доступ удаленных сотрудников к информационным ресурсам их организации.

48]- использовать дешевые Интернет-коммуникации для передачи данных между подразделениямииспользовать системы компьютерной телефонии [1, 20] и т. д.

Разработчик системы информационной безопасности прежде всего должен четко представлять себе эту систему на концептуальном уровне, чтобы правильно определить основные приоритеты ее построения и взаимосвязи между отдельными компонентами.

На первом этапе развития защищенной корпоративной сети устанавливаются рабочие станции и используются штатные средства защиты операционных систем (ОС), устройства аутентификации пользователя, ! средства защиты от несанкционированного доступа, средства шифрования прикладного уровня [34, 68] и т. п. На втором этапе развития отдельные рабочие станции объединяются в локальные сети, устанавливаются выделенные серверы и организуется выход из локальной сети в Интернет.

На этом этапе применяются средства защиты сетевых ОС, средства разграничения доступа к разделяемым ресурсам, серверы аутентификации пользователей, межсетевые экраны, ргоху-серверы и т. п. Средства защиты второго уровня значительно сложнее, что отражается на их стоимости и трудоемкости установки, настройки и сопровождения.

Третий этап развития корпоративной сети состоит в объединении локальных сетей нескольких подразделений организации в единую ! корпоративную сеть с использованием в качестве коммуникационной среды публичных сетей, включая и Интернет [1]. При этом безопасность обмена информацией обеспечивается применением технологий виртуальной защищенной сети (ВЗС, VPN, Virtual Private Network) [26], которые составляют основу подсистемы информационной безопасности корпоративной сети. Технологии ВЗС, как правило глубоко интегрированы в средства защиты первого и второго уровней, а защищенные ВЗС-каналы, которые связывают маршрутизаторы доступа, межсетевые экраны и рабочие станции, составляют скелет подсистемы информационной безопасности сети.

Построение системы безопасности корпоративной сети представляет собой организационно-техническую задачу, в которой от решения организационных вопросов зависит надежность функционирования, состав и сложность реализации технических средств. В результате решения организационных вопросов формируется политика безопасности сети [29], которая определяет состав защищаемых объектов и требования к уровню их защиты. На основе утвержденной политики сетевой безопасности определяются средства, применяемые для защиты объектов сети. Как было отмечено выше, набор этих средств достаточно широк и разнообразен, что предъявляет к квалификации разработчика системы безопасности очень высокие требования и, к сожалению, оставляет место для возможных ошибок в конфигурировании средств защиты.

Необходимость в автоматизации управления программным обеспечением и устройствами, обеспечивающими защиту сети, не оставляет сомнений. Однако, сравнительная новизна данного направления и отсутствие общепринятых стандартов на описание политики сетевой безопасности (в том числе, конфигурации отдельных устройств) не позволили еще создать каких-либо эталонов для разработчиков. Возможность автоматизации конфигурирования присутствует только в нескольких программных продуктах. К сожалению, последние не являются универсальными, каждое решение хорошо подходит только для определенной конфигурации сети.

Таким образом, автоматизация процесса конфигурирования средств защиты корпоративной сети, в частности, виртуальных защищенных сетей является актуальной задачей. Для решения этой задачи необходима формализованная модель описания политики сетевой безопасности, язык или языки описания конфигураций для отдельных узлов сети и средства автоматического преобразования описания политики в правила защиты и конфигурацию применяемых средств защиты.

Целью диссертационной работы является разработка метода автоматизированного проектирования конфигураций для программного обеспечения, реализующего виртуальные защищенные сети, и средств поддержки процесса проектирования.

Основные задачи исследования:

1) провести общий анализ технологий защиты информации в корпоративных сетях;

2) на основании результатов общего анализа разработать структурную модель описания политики сетевой безопасности;

3) разработать язык описания конфигурации узла виртуальной защищенной сети, как основу для автоматизированного автоматизированного преобразования политики сетевой безопасности корпоративной сети в конфигурации узлов ВЗС;

4) разработать структуру (байт-код) внутреннего представления процедур фильтрации сетевого трафика и устойчивый к ошибкам интерпретатор байт-кода;

5) провести оценку быстродействия разработанного интерпретатора.

Методы исследования. Для решения поставленной задачи использовались математический аппарат теории множеств, теории графов, теории алгоритмов и теории формальных грамматик. Основные результаты проверены в результате промышленной эксплуатации программного комплекса.

Научная новизна работы.

1. Проведен общий анализ современных технологий, используемых для защиты корпоративных сетей.

2. Разработана структурная модель для описания политики сетевой безопасности, учитывающая специфику современных протоколов защиты информации в вычислительных сетях.

3. Разработан синтаксис языка описания конфигурации узла виртуальной защищенной сети, вошедший в систему защиты сетевого трафика «Trusted Agent» и используемый как основа для автоматизированного конфигурирования ПО защиты сетевого объекта.

4. На основе описания сетевой политики безопасности разработан алгоритм автоматизированного формирования конфигураций программного обеспечения защиты сетевого объекта.

Практическая значимость диссертационной работы заключается в том, что полученные в ней результаты позволяют упростить процесс конфигурирования виртуальной защищенной сети и создают основу для разработки полномасштабной системы автоматизированного проектирования системы защиты корпоративной сети.

Внедрение результатов.

Основные результаты получены автором на кафедре «Проектирование и конструирование интегральных микросхем» Московского государственного института электронной техники (МГИЭТ) и предприятии «ТВС Лимитед». На основании полученных автором результатов LSP-язык и подсистема расширенной фильтрации применяется в системах защиты сетевого трафика «Застава» («Trusted Agent»), распространяемой компанией «ЭЛВИС-ПЛЮС» .

Достоверность полученных результатов подтверждается:

1) экспериментальным тестированием разработанных подсистем;

2) коммерческой эксплуатацией разработанных подсистем в составе системы защиты сетевого трафика «Застава» на следующих предприятиях: Центральный Банк РФ, ОАО НК «Лукойл» и его дочерних предприятиях, РАО «ЕЭС России» и его дочерних предприятиях, Государственная Корпорация «АРКО», ОАО «Русский Алюминий», ГУП «АВПК Сухой», ЮНИКОРБанк и др.

3) актом о том, что результаты диссертационной работы использованы в проектно-конструкторской деятельности организации ОАО «ЭЛВИС-ПЛЮС» при разработке и установке систем сетевой защиты информации, от 2002 года.

Личный вклад автора.

Основными из полученных автором результатов, являются:

1) структурная модель описания политики сетевой безопасности;

2) синтаксис языка описания конфигурации узла виртуальной защищенной сети;

3) структура байт-кода для внутреннего представления процедур расширенной фильтрации сетевого трафика;

4) алгоритмы и реализация устойчивого к ошибкам интерпретатора процедур расширенной фильтрации;

5) экспериментальное исследование характеристик интерпретатора;

6) разработка подсистемы расширенной фильтрации в составе системы защиты сетевого трафика;

7) эвристические алгоритмы анализа структуры описания политики сетевой безопасности.

Положения, выносимые на защиту:

1) структурная модель описания политики сетевой безопасности;

2) алгоритм преобразования описания политики сетевой безопасности сети в конфигурацию ПО защиты сетевого объекта;

3) синтаксис языка описания конфигурации узла ВЗС;

4) устойчивый к ошибкам времени выполнения интерпретатор процедур расширенной фильтрации;

Апробация работы.

Основные научные положения и практические результаты диссертационной работы обсуждались на заседаниях кафедры «ПКИМС» МИЭТ, на научно-технических совещаниях компании «ТВС Лимитед», докладывались на 5 всероссийских конференциях. Некоторые ранее разработанные компоненты в составе системы защиты представлялись на международной выставке «International Internet Associate Symposium 1997» в Берлине и тестировались на рабочих семинарах серии «VPN Interproperability Workshop» .

Публикации.

Материалы, отражающие основное содержание работы, опубликованы в статье журнала «Известия Вузов» и 5 научных докладах всероссийских научно-технических конференций.

Структура диссертации и взаимосвязь отдельных глав.

Диссертация изложена на 137 страницах основного текста, состоит из введения, 4 глав, заключения, списка литературы из 68 наименований и 4 приложений, содержит 17 рисунков и 17 таблиц.

Основные результаты, полученные в диссертационной работе, следующие:

1. Проведен анализ подходов к построению корпоративных защищенных сетей. При этом учтены особенности современных протоколов криптографической защиты сетевого трафика, протоколов обмена ключами и архитектурные решения, применяемые при построении защищенных сетей. В результате обосновано, что сложная задача построения корпоративной защищенной сети должна решаться с применением методов автоматизации проектирования, опирающихся на модель корпоративной политики сетевой безопасности и язык описания конфигураций узлов виртуальной защищенной сети.

2. Разработана формальная модель описания политики безопасности виртуальной защищенной сети, состоящая из центрального описания политики сети и множества конфигураций для отдельных узлов сети. Предложенный подход к описанию политики сетевой безопасности позволяет применять на верхнем уровне типовые сценарии защиты, освобождая разработчика системы безопасности от необходимости определять множество параметров используемых протоколов защиты, и автоматически преобразовывать описание верхнего уровня в конфигурации для конкретных сетевых объектов. На основе разработанной модели предложен обобщенный алгоритм преобразования описания политики сетевой безопасности в конфигурацию для узла сети.

3. Сформулированы требования к языку описания конфигурации узла виртуальной защищенной сети, на основе которых предложена двухуровневая структура и формализован синтаксис LSP-языка, являющегося основой для автоматизированного формирования КУВЗС. Предложенный подход позволяет использовать разные грамматики контекстно-свободного класса для двух частей КУВЗС, наиболее подходящие для своей задачи (описания конфигурации защищенных соединений и описания алгоритмов фильтрации). При этом обеспечивается возможность разработки подпрограмм фильтрации на LSP-языке и использование их независимо от локальных настроек и адресов конкретного компьютера в сети.

4. Разработана подсистема расширенной фильтрации, составляющая ядро системы защиты сетевого трафика. Разработан интерпретируемый байт-код для представления модулей расширенной фильтрации и реализован устойчивый к ошибкам интерпретатор модулей фильтрации. Проведена оптимизация интерпретатора, которая привела к увеличению его производительности на 30−40%, что подтверждается результатами тестирования.

5. Предложены алгоритмы для объединения одинаковых структур и устранения лишних правил в описании КУВЗС, применение которых позволяет сократить объем конфигурации, ускорить поиск правил фильграции и выявить потенциальные ошибки в описании КУВЗС.

Полученные результаты, в частности, язык описания конфигурации узла виртуальной защищенной сети применяется в серии пакетов «Застава 3» («Trusted Agent») — компилятор и интерпретатор подпрограмм расширенной фильтрации вошли в состав пакетов «Застава 2» и «Застава 3» .

В качестве направления для дальнейшего исследования может быть предложены разработка языка для описания политики безопасности сети и усовершенствование алгоритмов преобразования ОСПБ в конфигурации программного обеспечения защиты сети, учитывающих особенности конкретных реализаций протоколов и современные расширения стандартов. В частности, распространение протоколов IPv6 [38] в сети Интернет потребует существенных доработок многих существующих систем защиты сетей и, как следствие, средств для их конфигурирования.

СПИСОК ОСНОВНЫХ СОКРАЩЕНИЙ.

ВЗС Виртуальная Защищенная Сеть.

КУВЗС Конфигурация Узла Виртуальной Защищенной Сети ОС Операционная Система.

ОСПБ Описание Сетевой Политики Безопасности АН Authentication Header, протокол IPsec для проверки целостности данных.

ESP Encapsulating Security Payload, протокол IPsec для проверки целостности и шифрации данных ICMP Internet Control Message Protocol, протокол обмена служебными сообщениями для IP IKE Internet Key Exchange, протокол обмена ключами для IPsec.

IP Internet Protocol, стандартный протокол Интернет версии 4.

IPsec Internet Protocol security, стандартные протоколы криптографической защиты Интернет (ESP, АН) IPv6 Internet Protocol version 6, протокол Интернет версии 6.

LAN Local Area Network, локальная сеть.

LSP Local Security Policy, локальная политика безопасности.

PKI Public Key Infrastructure, структура обеспечивающая управление криптографическими ключами и цифровыми сертификатами SIM Security Information Management, управление сетевой безопасностью.

SNMP Simple Network Management Protocol, протокол управления сетевыми устройствами TCP Transmission Control Protocol, протокол, обеспечивающий надежную передачу данных по IP TLS Transport Layer Security, сетевой протокол криптографической защиты, работающий на уровне приложений UDP User Datagram Protocol, простейший протокол обмена пакетами.

ЗАКЛЮЧЕНИЕ

.