Введение

Информационная безопасность относится к числу дисциплин, развивающихся чрезвычайно быстрыми темпами. Этому способствуют как  общий прогресс информационных технологий, так и постоянное противоборство нападающих и защищающихся.

К сожалению, подобная динамичность объективно затрудняет обеспечение  надежной защиты. Причин тому несколько:

1. повышение быстродействия микросхем, развитие архитектур с высокой степенью параллелизма позволяет методом грубой силы преодолевать барьеры (прежде всего криптографические), ранее казавшиеся неприступными;
2. развитие сетей, увеличение числа связей между информационными системами, рост пропускной способности каналов расширяют число злоумышленников, имеющих техническую возможность осуществить нападение;
3. появление новых информационных сервисов ведет и к появлению новых угроз как "внутри" сервисов, так и на их стыках;
4. конкуренция среди производителей программного обеспечения заставляет сокращать сроки разработки, что ведет к снижению качества тестирования и выпуску продуктов с дефектами защиты;
5. навязываемая потребителям парадигма постоянного наращивания аппаратного и программного обеспечения вступает в конфликт с бюджетными ограничениями, из-за чего снижается доля ассигнований на безопасность.

Если ограничиться только программно-технической гранью информационной безопасности (что мы и делаем в  данной статье), то можно констатировать, что развитие затрагивает все ее уровни — от теоретических основ и международных стандартов до оперативного администрирования. Конечно, накладывать заплаты на программные системы приходится гораздо чаще, чем пересматривать стандарты, но сверять интерпретацию этих стандартов с реальным положением дел раз в 2 — 3 года необходимо.

В настоящей статье мы, отправляясь  от основополагающих стандартов в области  безопасности распределенных систем, попытаемся проинтерпретировать содержащиеся в них положения применительно  к современным конфигурациям  и коммерчески доступным защитным средствам. В заключительной части  статьи будет проанализирована применимость этой интерпретации к российским условиям.

1  Особенности современных информационных систем, существенные с точки зрения безопасности

Рассмотрим базовые компоненты информационной системы типичной современной  организации (см. Рис. 1 ). С точки зрения безопасности существенными представляются следующие моменты:

Рисунок 1. Базовые  компоненты информационной системы  типичной современной организации.

1. корпоративная сеть имеет несколько территориально разнесенных частей (поскольку организация располагается на нескольких производственных площадках), связи между которыми находятся в ведении внешнего поставщика сетевых услуг, выходя за пределы контролируемой зоны;
2. корпоративная сеть имеет одно или несколько подключений к Интернет;
3. на каждой из производственных площадок могут находиться критически важные серверы, в доступе к которым нуждаются работники, базирующиеся на других площадках, мобильные работники и, возможно, сотрудники сторонних организаций и другие внешние пользователи;
4. для доступа пользователей могут применяться не только компьютеры, но и потребительские устройства, использующие, в частности, беспроводную связь;
5. в течение сеанса работы пользователю приходится обращаться к нескольким информационным сервисам, опирающимся на разные аппаратно-программные платформы;
6. к доступности информационных сервисов предъявляются жесткие требования, обычно выражающиеся в необходимости круглосуточного функционирования с максимальным временем простоя порядка минут или десятков минут;
7. информационная система представляет собой сеть с активными агентами, то есть в процессе работы программные компоненты, такие как аплеты или сервлеты, передаются с одной машины на другую и выполняются в целевой среде, поддерживая связь с удаленными компонентами;
8. не все пользовательские системы контролируются администраторами организации;
9. программное обеспечение, особенно полученное по сети, не может считаться безопасным, в нем могут присутствовать зловредные элементы или ошибки, создающие слабости в защите;
10. конфигурация информационной системы постоянно изменяется на уровнях административных данных, программ и аппаратуры (меняется состав пользователей, их привилегии, версии программ, появляются новые сервисы, новая аппаратура и т.п.).

Следует учитывать также, что основная угроза информационной безопасности организаций по-прежнему исходит не от внешних хакеров, а  от собственных сотрудников, по той  или иной причине не являющихся лояльными.

В силу изложенных причин далее  будут рассматриваться распределенные, разнородные, многосервисные, эволюционирующие системы. Соответственно, нас будут  интересовать стандарты и решения, ориентированные на подобные конфигурации.

2  Стандарты в области безопасности распределенных систем

Стандартов в области безопасности распределенных систем много. Мы выделим  три основные группы:

1. интерпретация "Оранжевой книги" для сетевых конфигураций;
2. международные стандарты X.800 и X.509;
3. рекомендации IETF.

Стандарты будут интересовать нас  с конструктивной точки зрения, то есть как руководство к действию, способное помочь при разработке архитектуры и реализации современных  информационных систем.

Интерпретация "Оранжевой  книги" для сетевых конфигураций

"Оранжевая книга" и близкие  ей по духу работы (такие, например, как первые Руководящие документы  Гостехкомиссии России) сейчас представляют  исключительно исторический интерес.  Дело не в том, что устарели  сформулированные в них идеи. Просто исчезли объекты и субъекты, на которые они были ориентированы,  — изолированные компьютеры с  надежным программным обеспечением  и злоумышленные пользователи, располагающие  только штатными средствами. Можно  продолжать сертификацию по классическим  образцам, но когда на выходе  оказывается Windows NT без НГМД и  сетевого интерфейса, становится  понятно, что такая сертификация  является формальной.

Существенно более интересной является интерпретация "Оранжевой книги" для сетевых конфигураций. В ней  содержатся две основные группы идей:

1. как получить сетевую надежную вычислительную базу;
2. какие сервисы безопасности должны присутствовать в сетевой среде.

Согласно "Интерпретации ...", сетевая  надежная вычислительная база формируется  из всех частей всех компонентов сети, обеспечивающих информационную безопасность. Надежная сетевая система должна обеспечивать такое распределение  защитных механизмов, чтобы общая  политика безопасности проводилась  в жизнь, несмотря на уязвимость коммуникационных путей и на параллельную, асинхронную  работу компонентов.

Основное назначение надежной вычислительной базы — выполнять функции монитора обращений. В "Интерпретации..." формулируется  следующее фундаментальное утверждение.

Пусть каждый субъект может осуществлять непосредственный доступ к объектам только в пределах одного компонента. Пусть, далее, каждый компонент содержит свой монитор обращений, отслеживающий  все локальные попытки доступа, и все мониторы проводят в жизнь  согласованную политику безопасности. Пусть, наконец, коммуникационные каналы, связывающие компоненты, сохраняют  конфиденциальность и целостность  передаваемой информации. Тогда совокупность всех мониторов образует единый монитор  обращений для всей сетевой конфигурации.

Мы обратим внимание на два момента, содержащиеся в приведенном утверждении:

1. необходимость выработки и проведения в жизнь единой политики безопасности;
2. необходимость обеспечения конфиденциальности и целостности при сетевых взаимодействиях.

Подчеркнем, что нужно не просто один раз выработать единую политику безопасности. Требуется контролировать сохранение согласованности при  всех административных действиях. Подобный контроль — одна из важнейших составляющих управления информационными системами.

Требование конфиденциальности и  целостности коммуникаций впрямую  обращается к такому понятию, как  виртуальная частная сеть. Прочие меры безопасности (например, использование  выделенных каналов, контролируемых организацией) представляются неэффективными.

"Интерпретация ...", благодаря  компонентному подходу, сделала  возможным анализ отдельных сервисов  безопасности и их комплексирование  для получения защищенных конфигураций. Кроме того, она, по сравнению  с "Оранжевой книгой", принципиальным  образом расширила спектр рассматриваемых  сервисов безопасности. Помимо традиционных:

1. идентификации/аутентификации;
2. управления доступом;
3. протоколирования/аудита

появились:

1. проверка подлинности и корректности функционирования компонентов перед их включением в сеть;
2. протокол оперативной взаимной проверки компонентами живучести и корректности функционирования друг друга;
3. криптография как основа обеспечения конфиденциальности и контроля целостности.

Рассмотрение вопросов доступности  — одно из важнейших досто "Интерпретации ...". Информационный сервис перестает быть доступным, когда пропускная способность коммуникационных каналов падает ниже минимально допустимого уровня или сервис не в состоянии обслуживать запросы. Удаленный ресурс может стать недоступным и вследствие нарушения равноправия в обслуживании пользователей. Надежная система должна быть в состоянии обнаруживать ситуации недоступности, уметь возвращаться к нормальной работе и противостоять атакам на доступность.

Для обеспечения доступности (непрерывности  функционирования) могут применяться  следующие защитные меры:

1. Внесение в конфигурацию той или иной формы избыточности (резервное оборудование, запасные каналы связи и т.п.). Это элемент архитектурной безопасности, рассматриваемой нами в следующем разделе.
2. Наличие средств обнаружения отказов. Если требуется постоянная высокая готовность, необходим специализированный сервис. В остальных случаях достаточно протоколирования/аудита в квазиреальном времени.
3. Наличие средств реконфигурирования для восстановления, изоляции и/или замены компонентов, отказавших или подвергшихся атаке на доступность. Это или специализированная функция, или одна из функций управления.
4. Рассредоточенность сетевого управления, отсутствие единой точки отказа. Это, как и следующий пункт, — элементы архитектурной безопасности.
5. Выделение подсетей и изоляция групп пользователей друг от друга. Данная мера ограничивает зону поражения при возможных нарушениях информационной безопасности.

Каждый компонент, вообще говоря, не обязан поддерживать все перечисленные  выше сервисы безопасности. Важно, чтобы  он обладал программными и/или протокольными  интерфейсами для получения недостающих  сервисов от других компонентов и  чтобы не существовало возможности  обхода основных и дополнительных защитных средств.

Интерпретация "Оранжевой книги" для сетевых конфигураций увидела  свет в 1987 году. Нашла ли она отражение  в отечественных нормативных  документах по информационной безопасности? Во многих ли информационных системах реализованы изложенные в ней  архитектурные принципы, задействованы  описанные сервисы безопасности? Увы, на все эти вопросы приходится ответить отрицательно.

Международные стандарты X.800 и X.509

Стандарт X.800, появившийся приблизительно в то же время, "Интерпретация ...", описывает основы безопасности в  привязке к эталонной семиуровневой  модели. Это довольно обширный документ. Мы совсем коротко остановимся на предлагаемых в нем сервисах (функциях) безопасности и на администрировании  средств безопасности.

Стандарт  предусматривает следующие сервисы  безопасности:

1. Аутентификация. Имеются в виду две разные вещи: аутентификация партнеров по общению и аутентификация источника данных.
2. Управление доступом. Оно обеспечивает защиту от несанкционированного использования ресурсов, доступных по сети.
3. Конфиденциальность данных. В X.800 под этим названием объединены существенно разные вещи — от защиты отдельной порции данных до конфиденциальности трафика. На наш взгляд, подобное объединение носит формальный характер, от него нет ни теоретической, ни практической пользы.
4. Целостность данных. Данный сервис подразделяется на подвиды в зависимости от того, что контролируется — целостность сообщений или потока данных, обеспечивается ли восстановление в случае нарушения целостности.
5. Неотказуемость. Данный сервис относится к прикладному уровню, то есть имеется в виду невозможность отказаться от содержательных действий, таких, например, как отправка или прочтение письма. Трудно сказать, насколько целесообразно выделение этого сервиса, поскольку на практике его покрывают протоколирование и аутентификация источника данных с контролем целостности.

Администрирование средств безопасности включает в себя распространение  информации, необходимой для работы сервисов безопасности, а также сбор и анализ информации об их функционировании. Примерами могут служить распространение  криптографических ключей, установка  прав доступа, анализ регистрационного журнала и т.п.

Концептуальной основой администрирования  является информационная база управления безопасностью. Эта база может не существовать как единое (распределенное) хранилище, но каждый компонент системы  должен располагать информацией, достаточной  для проведения в жизнь избранной  политики безопасности.

Отметим, что в условиях глобальной связности администрирование перестает  быть внутренним делом организации. Во-первых, плохо защищенная система  может стать плацдармом для подготовки и проведения злоумышленных действий. Во-вторых, прослеживание нарушителя эффективно лишь при согласованных действиях многих администраторов. К последнему замечанию мы вернемся в разделе "Протоколирование/аудит".

Стандарт X.509 описывает процедуру  аутентификации с использованием службы каталогов. Впрочем, наиболее ценной в  стандарте оказалась не сама процедура, а ее служебный элемент — структура  сертификатов, хранящих имя пользователя, криптографические ключи и сопутствующую  информацию. Подобные сертификаты —  важнейший элемент современных  схем аутентификации и контроля целостности.

Рекомендации IETF

Сообществом Интернет под эгидой Тематической группы по технологии Интернет (Internet Engineering Task Force, IETF) разработано много рекомендаций по отдельным аспектам сетевой безопасности. Тем не менее, какой-либо целостной  концепции или архитектуры безопасности пока предложено не было ("Руководство  по информационной безопасности предприятия", Site Security Handbook, RFC 2196 , разумеется, не в счет).

Рекомендации периодически организуемых конференций по архитектуре безопасности Интернет (последняя из которых состоялась в марте 1997 года) носят весьма общий, а порой и формальный характер. Основная идея состоит в том, чтобы  средствами оконечных систем обеспечивать сквозную безопасность. От сетевой  инфраструктуры в лучшем случае ожидается  устойчивость по отношению к атакам на доступность. На наш взгляд, подход, при котором сеть трактуется как  пассивная сущность, предназначенная  исключительно для транспортировки  данных, является устаревшим. Эту мысль  подтверждают и многочисленные публикации об интеллектуальности Интернет нового поколения (Интернет-2).