Дайте мені точку опори або безпечний Інтернет — це реальність

Основна проблема доступу до інформаційних ресурсів мережі Інтернет полягає в тому, що точка підключення до неї стає частиною цієї мережі і, як наслідок, стає загальнодоступною, взаємодіє з нею за загальноприйнятими мережевим протоколам і по цим протоколам взаємодіє з захищається мережею. Ніякими методами тестування неможливо довести відсутність помилок в програмному забезпеченні (постулат Дейкстри). Маючи необмежений час доступу до точки підключення до мережі Інтернет, зловмисник може, використовуючи стандартні мережеві протоколи, стандартне програмне забезпечення і знайдені в ньому помилки або помилки в його налаштуваннях здійснити несанкціонований доступ через точку підключення внутрішньо корпоративної мережі з усіма витікаючими наслідками.

В рамках обговорюваної проблеми можна виділити два найбільш вірогідних способу порушення конфіденційності інформації:

  • Прослуховування і реконструкція трафіку переданих даних між корпоративними мережами у деякій точці публічної мережі;

    image
  • Проникнення в корпоративну мережу в точці підключення до публічної мережі та/або порушення її нормального функціонування.
imageПерефразовуючи Архімеда, який говорив: «дайте мені точку опори і я переверну Землю», можна сказати «дайте мені точку підключення мережі до мережі Інтернет і я зламати вашу мережу».

Оскільки публічна мережа (в даному випадку Інтернет) знаходиться поза сферою контролю адміністраторів безпеки автоматизованих систем органів державного управління і організацій РФ, то єдиним способом управління ризиком прослуховування трафіку при проходженні його через публічну мережу є застосування криптографічних засобів. В якості таких засобів можуть виступати VPN, зашифровані тунелі, а при доступі на портали застосовуватися протокол tls/https.

Більш серйозною загрозою є проникнення в обчислювальні мережі органів державного управління і організацій РФ через точки підключення до публічної мережі, коли з'являється можливість не тільки доступу до конфіденційної інформації, але і можливість її руйнування, коли ніяка криптозахист не врятує від заподіяної шкоди.

Управління ризиком проникнення в ЛОМ через точку підключення до публічної мережі включає вирішення двох основних технічних питань:

— приховування структури внутрішньої корпоративної мережі;
— захист точки підключення до корпоративної мережі від НСД.

Разом з тим, якщо розглядати мережу Інтернет (або будь-яку іншу публічну мережу) не як IP-мережу, а як деяку субстанцію, що надає набір послуг (електронна пошта, транспортна середа, ftp-сервер, Web-сервера, портал Держпослуг тощо), то виявляється, що можна знайти технічні рішення, які дозволяють використовувати ці послуги, не надаючи точки доступу зловмисникові.

І так, щоб запобігти несанкціонований доступ з мережі Інтернет на комп'ютер користувача або в корпоративну мережу, слідуючи постулату Архімеда, треба позбавити доступу зловмисника до точки входу в ЛВС або захищеного комп'ютера. Як це зробити?

imageСьогодні, напевно, кожен знає, що в атомних бомбах використовують дві півкулі . І до тих пір, поки вони не з'єдналися в один смертоносний куля, ця бомба у вигляді двох півкуль не надає загрози.
За аналогією з атомною бомбою точку підключення до мережі Інтернет, також можна зробити складається з двох півкуль» — двох серверів, які обмінюються між собою даними по високошвидкісному інтерфейсу, наприклад, IEE1394:

image
Як видно з малюнка, поділяє локальні та публічну мережі і не призводить до появи будь-яких можливостей для доступу з будь-яким мережевим протоколам з мережі Інтернет ЛВС, а також не допускає доступ користувачів локальної мережі в Інтернет.

Для простоти в подальшому реалізацію такого підключення будемо називати бінарної точкою підключення до Інтернет або точкою Shield – безпечної/захищеної точкою підключення:

image

На внутрішньому сервері Si немає ніякої інформації про публічної мережі. Так само і на зовнішньому сервері Se немає ніякої інформації про внутрішню ЛОМ. Це є однією з причин неможливості прориву з Інтернету у внутрішню ЛОМ, і, навпаки, з внутрішньої ЛВС в публічну мережу. Навіть у випадку, якщо зловмиснику у відкритій мережі стане відомий який-небудь адресу у внутрішній мережі, то, використовуючи його, він може потрапити куди завгодно, тільки не у внутрішню мережу.

Таким чином, точка підключення Shield забезпечує:

  • Відсутність взаємодії на мережевому рівні між внутрішнім Si і зовнішнім Se серверами і як наслідок збереження незалежності захищеною і публічної обчислювальних мереж, аж до того, що вони можуть мати однакову IP-адресацію;
  • Прозорість як для стандартних протоколів (http, https, ftp, ssl, pop3 тощо), так і можливість написання власних протоколів для систем «клієнт-сервер»;
  • Доступ користувачів захищених обчислювальних мереж до різних послуг публічних мереж при відсутності мережевої взаємодії між захищеною і публічної мережами;
  • Можливість роздільного адміністрування зовнішнього і внутрішнього шлюзів: адміністратор зовнішнього шлюзу не має доступу (не знає пароля) до внутрішнього шлюзу і навпаки.
Точку підключення Shield можна розглядати як проксі-сервер при доступі користувачів ЛВС з використанням браузерів до Web-ресурсів мережі інтернет.

Слабкою ланкою залишається зовнішній сервер Se точки доступу Shield, який безпосередньо підключений до мережі Інтернет. Зловмисник може отримати контроль над цим сервером, проте він не зможе досягнути своєї мети — проникнути в ЛВС і завдати їй шкоду. Але оскільки про це відразу стане відомо адміністратору ЛОМ (наприклад, пропаде зв'язок з зовнішнім світом), то завжди можна перейти на резервний канал і відновити зв'язок із зовнішнім світом.
Джерело: Хабрахабр

0 коментарів

Тільки зареєстровані та авторизовані користувачі можуть залишати коментарі.