Защита информации, виртуальные частные сети (VPN). Технология ViPNet.

Здравствуйте, уважаемые подписчики!

В сегодняшнем выпуске рассылки представляем доклад вице-президента компании Инфотекс Игнатова В. В. "Обеспечение безопасности коммуникаций в локальных и глобальных сетях общего пользования".

Доклад посвящен технологиям построению виртуальных защищенных сетей, включающих в свой состав отдельные компьютеры (рабочие станции и сервера), находящиеся в локальной сети или удаленно подключаемые, фрагменты локальных сетей, локальные сети в целом.

Путем построения распределенной системы персональных и межсетевых экранов, обеспечивающих также шифрование трафика в сети, автоматически для любых информационных систем и приложений обеспечивается конфиденциальность и достоверность информации, защита от сетевых атак, как из глобальных, так и из локальных сетей.

Технология основана на использовании программных модулей, применяется на существующих сетях и не требует специального оборудования. Одновременно обеспечивается поддержка инфрастуктуры для использования электронной цифровой подписи в соответствии с законом об ЭЦП, организация виртуальных каналов для безопасного подключения отдельных станций локальной сети к открытым ресурсам Интернет, защита конфиденциальных данных на дисках при таких подключениях.

Как обычно в рассылке, свежие новости из области защиты информации и IT-технологий, информационные сообщения по новым атакам и способам взлома, статистика по инцидентам, а также новости компании Инфотекс.

Новости компании Инфотекс

• SOFTOOL'2002 - Итоги выставки
• 17-20 сентября 2002 г. в г. Сочи состоялась Первая ежегодная общероссийская практическая конференция "Защита информации в субъектах Российской Федерации"
• Компания Инфотекс приглашает на работу IT-менеджера

1. Опасности при работе в сети
Под подключением к сети мы будем понимать любое подключение компьютера к внешней среде для общения с другими ресурсами, когда уже нельзя быть полностью уверенным, что к этому компьютеру и информации в нем имеют доступ только пользователь компьютера или только санкционированные пользователи из сети.

- Если компьютер подключен к локальной сети, то, потенциально, к этому компьютеру и информации в нем можно получить несанкционированный доступ из локальной сети.

- Если локальную сеть соединили с другими локальными сетями, то к возможным несанкционированным пользователям добавляются и пользователи из этих удаленных сетей. Мы не будем говорить о доступности такого компьютера из сети или каналов, через которые соединили локальные сети, потому что наверняка на выходах из локальных сетей стоят устройства, осуществляющие шифрование и контроль трафика, и необходимые меры приняты.

- Если компьютер подключили напрямую через провайдера к внешней сети, например через модем к Интернет, для удаленного взаимодействия со своей локальной сетью, то компьютер и информация в нем потенциально доступны взломщикам из Интернет. А самое неприятное, что через этот компьютер возможен доступ взломщиков и к ресурсам локальной сети.

Естественно при всех таких подключениях применяются либо штатные средства разграничения доступа операционной системы, либо специализированные средства защиты от НСД, либо криптографические системы на уровне конкретных приложений, либо и то и другое вместе.

Однако все эти меры, к сожалению, не могут гарантировать желаемой безопасности при проведении сетевых атак, и объясняется это следующими основными причинами:
1. Операционные системы (ОС), особенно WINDOWS относятся к программным продуктам высокой сложности, созданием которых занимается большие коллективы разработчиков. Детальный анализ этих систем провести чрезвычайно трудно. В связи с чем, достоверно обосновать для них отсутствие штатных возможностей, ошибок или недокументированных возможностей, случайно или умышленно оставленных в ОС, и которыми можно было бы воспользоваться через сетевые атаки, не представляется возможным.

2. В многозадачной ОС, в частности WINDOWS, одновременно может работать много разных приложений, для которых также трудно обосновать отсутствие штатных возможностей, ошибок или недокументированных возможностей, позволяющих воспользоваться информационными ресурсами через сетевые атаки.

3. В современных системах присутствует масса разнообразных механизмов удаленной загрузки и запуска исполняемых программ, проконтролировать работу которых очень сложно.

2. Контроль трафика компьютеров
Выход здесь только один. Необходимо обеспечить на сетевом уровне тотальный контроль всего входящего и исходящего трафика компьютера, проходящего через все его сетевые интерфейсы. Под контролем мы понимаем:

1. Шифрование и имитозащита трафика между защищаемыми компьютерами. Тем самым одновременно с обеспечением конфиденциальности и достоверности передаваемой информации, ликвидация такой проблемы, как незащищенность IP-протокола от подделок сетевых и физических адресов и протоколов.
2. Фильтрация трафика по различным типам IP-протоколов, портам, сервисам и другим параметрам, протоколирование сеансов, то есть выполнение функций персонального Firewall.

При использовании средства защиты, обеспечивающего такой контроль:
- Уже невозможны сетевые атаки со стороны компьютеров, не владеющих соответствующей ключевой информацией.

- Трафик между парой компьютеров, связанных между собой, автоматически становится защищенным независимо от приложения, его создающего. Никакому третьему компьютеру этот трафик не доступен.

- Любой трафик защищенных компьютеров протоколируется, и любые отклонения в действиях зарегистрированных пользователей от стандартного поведения легко обнаруживаются, что является существенным сдерживающим моментом от проведения атак с их стороны. Кроме того, для зарегистрированных пользователей может также производиться фильтрация трафика, что не позволяет им выйти за пределы разрешенных протоколов.

- Может быть Обеспечена независимость защищенности компьютеров и информации и от сетевых администраторов, от ошибочных или преднамеренных действий которых любая сеть наиболее уязвима.

- Очень легко и быстро можно решить практически любые проблемы сетевой безопасности.

3.1. Виртуальные сети внутри локальной сети
Внутри локальной сети путем установки ПО ViPNet[клиент] на различные рабочие станции и сервера могут быть созданы взаимно - недоступные виртуальные защищенные контура для обеспечения функционирования в единой телекоммуникационной среде различных по конфиденциальности или назначению информационных задач.

Любой трафик между двумя компьютерами недоступен никому третьему из любой точки сети. Несанкционированный доступ из сети на защищенные компьютеры невозможен. ПО ViPNet[координатор] обеспечивает организацию работы виртуальной сети.

3.2. Соединение локальной сети с другой локальной сетью и удаленными пользователями
Внутри распределенной сети путем установки ПО ViPNet[клиент] на различные рабочие станции и сервера могут быть созданы взаимно - недоступные виртуальные защищенные контура для обеспечения функционирования в единой телекоммуникационной среде различных по конфиденциальности или назначению информационных задач.

ViPNet[координаторы], установленные на входах в локальную сеть, обеспечивают как туннелирование (шифрование) трафика заданных адресов открытых компьютеров внутри локальной сети, так и организацию установки защищенного соединения непосредственно между компьютерами с ПО ViPNet[клиент]. Естественно во втором случае можно добиться полной защиты от возможных атак из подсоединяемой локальной сети.

Установка ПО ViPNet[клиент] на мобильный компьютер обеспечивает возможность его работы в корпоративной сети, при этом эффективные атаки на этот компьютер из внешней сети или через этот компьютер на локальные сети невозможны.

3.3. Защита сегментов локальной сети
При необходимости защиты обращения к доверенным сегментам локальной сети такой сегмент (например, группа серверов) может быть спрятан также за ViPNet[координатор]. Тогда обращение к этому сегменту снаружи будет происходить через два координатора, а при необходимости еще и через некоторый внешний Firewall, то есть обеспечивается возможность каскадирования координаторов. Такие обращения будут защищены от атак как снаружи данной локальной сети, так и из самой локальной сети.

3.4. Произвольная распределенная сеть

В распределенной сети любой конфигурации с любыми каналами связи и сетями может быть легко организована виртуальная защищенная сеть для безопасного и достоверного информационного взаимодействия.

3.5. Технология "Открытый Интернет"
Путем установки на выходе из локальной сети специального ViPNet[координатора] (Координатор "D") внутри распределенной сети может быть организован виртуальный контур частично или полностью изолированный от остальной сети, компьютеры которого могут получать доступ к открытым ресурсам Интернет. При этом весь потенциально опасный открытый трафик из Интернет зашифровывается на Координаторе "D" и может быть расшифрован только на компьютерах локальной сети, включенных в этот виртуальный контур. Любые стратегии атак извне не могут нанести вреда остальным ресурсам локальной сети. ПО . ViPNet[клиент] при работе станции в Интернет полностью блокирует любой иной трафик данной станции в локальной сети.

Как видно из приведенных примеров, установкой распределенной системы программных сетевых экранов и средств VPN на различные компьютеры можно добиться наиболее оптимальной и эффективной степени защиты ресурсов и информации в корпоративной сети от любых посягательств, исходя из важности информационного объекта и требуемой надежности защиты.

С использованием предлагаемой технологии легко также обеспечивается защита таких служб, как Voice IP, видео конференции, систем удаленного управления различными маршрутизаторами, цифровыми телефонными станциями, других систем удаленного управления и доступа.

В частности, увеличилось количество кибератак на США. В сентябре был нанесён ущерб сайтам Конгресса, Департамента сельского хозяйства, Департамента образования, Службы национальных парков, Центра космических полётов имени Маршалла и прочих государственным ведомств и учреждений.

По данным mi2g, всего было повреждено 4157 сайтов, зарегистрированных в США, 835 в Бразилии, 376 в Великобритании, 356 в Германии и 285 в Индии.

Хакеры находят всё большее количество уязвимых мест в Сети и часто организовывают атаки на сайты первостепенной важности, вызывая длительный простой самых необходимых сервисов.

Хотя большинство нападений были совершены на системы под управлением ПО от Microsoft, существенно выросло количество атак и на серверы под Linux, BSD Unix и Solaris.

Общее число сетевых взломов в этом году уже превысило аналогичный показатель прошлого года. Подобная тенденция неумолимого роста количества киберпреступлений наблюдается уже с 1998 года.
(источник - http://www.compulenta.ru/, опубликовано 03.10.2002)

Windows:
1. Internet Information Services (IIS)
2. Microsoft Data Access Components (MDAC)
3. SQL Server
4. NetBIOS
5. анонимные вход ("null"-сессии)
6. аутентификация менеджера локальной сети
7. аутентификация входа в Windows
8. Internet Explorer (IE)
9. Удаленный доступ к реестру
10. Windows-сценарии (скрипты)

UNIX:
1. Удаленный вызов процедур (RPC)
2. Веб-сервер Apache
3. SSH (удаленный терминал с шифрованием трафика)
4. Протокол SNMP
5. Протокол FTP
6. R-сервисы (возможность входа на доверенные системы)
7. Служба печати (LPD - Line printer daemon)
8. Sendmail
9. BIND/DNS
10. Вход в систему
Администраторам рекомендуют обратить особое внимание на этот список - а он содержит самые популярные сервисы и программы для обеих систем - и регулярно загружать из Сети обновления и заплатки, так как множество атак происходит уже после выхода обновления и жертвами становятся те, кто поленился залатать "дыру".
(источник - http://www.cnews.com/, опубликовано 03.10.2002)

На третьей строчке все это время находится, наверное, старейший вирус двадцатки Win95.CIH (он же "Чернобыль"). Его доля все это время составляла менее 1% и постепенно уменьшалась. В сентябре доля Win95.CIH составила 0,27% против 0,93% в июле. На шестом и десятом местах сентябрьской двадцадки находятся еще два знаменитых вируса Sircam и Hybris. Их доли составляют, соответственно, 0,13% и 0,03%. Стоит отметить и седьмое место (0,11%) весьма опасного вируса I-Worm.Magistr. Примечательно еще, пожалуй, 19-е место вируса Palm.Phage для КПК Palm и 18-е место Linux-червя Slapper.

В целом, наметившаяся ранее тенденция к абсолютному доминированию двух-трех вирусов сохраняется, а новые вирусы, сопоставимые по опасности и распространенности с уже известными червями, практически не появляются. Целиком сентябрьский хит-парад вирусов "Лаборатории Касперского" выглядит следующим образом:

I-Worm.Klez 72,93%
I-Worm.Lentin 23,62%
Win95.CIH 0,27%
Trojan.Win32.Filecoder 0,17%
Macro.Word97.Thus 0,13%
I-Worm.Sircam 0,13%
I-Worm.Magistr 0,11%
Macro.Word97.Flop 0,04%
I-Worm.Cervivec 0,04%
I-Worm.Hybris 0,03%
Backdoor.Death 0,03%
Macro.Word97.Ethan 0,03%
Win32.FunLove 0,02%
Macro.Word97.Marker 0,02%
Macro.Word97.TheSecond 0,02%
Trojan.PSW.M2 0,01%
Backdoor.Antilam 0,01%
Worm.Linux.Slapper 0,01%
Palm.Phage 0,01%
Nuker.Win32.Nabber 0,01%
(источник - http://www.compulenta.ru/, опубликовано 02.10.2002)

Уязвимость в VPN куда опаснее аналогичной дыры в системе безопасности веб-сервера, считают в компании eEye Digital Security, поскольку никто не ожидает проникновения в сеть с этой стороны. Все системы защиты направлены против атаки извне, а пользователи, подключающиеся через VPN, получают доступ прямо к внутренней сети.

Представитель Microsoft Кристофер Бадд заявил, что программисты компании уже работают над решением этой проблемы. В скором времени будет выпущен патч, решающий все вопросы с уязвимостью ПО, использующегося для работы с VPN.
(источник - www.compulenta.ru, опубликовано 29.09.2002)

Правильный 64-битный ключ RSA обнаружил пожелавший сохранить анонимность житель Токио. Он использовал весьма скромный компьютер с процессором Pentium III 450. Правильный ключ был обнаружен еще 14 июля, однако из-за ошибки скрипта, обрабатывающего ключи, автоматического уведомления о взломе шифра не поступило. Правильный ключ был обнаружен лишь 12 августа и сразу же был отправлен в RSA. Официальное объявление о завершении RC5-56 появилось только 25 сентября.

Призовой фонд, равный 10000 долл. США, будет распределен следующим образом: 1000 долл. получит победитель, еще 1000 долл. его команда, 2000 долл. достанется distributed.net (для построения сети и программирования клиентов), а еще 6000 долл. будут направлены некоммерческой организации, которую выберут голосованием. В ближайшее время distributed.net начнет работу над взломом 72-битного шифра.

Одним из итогов успешного завершения RC5-64 можно считать тот факт, что шифр с 64-битным ключом оказался весьма устойчив. С его помощью можно шифровать данные, быстро утрачивающие свою актуальность, однако для защиты информации на срок в несколько лет необходимо использовать более длинные ключи.
(источник - www.compulenta.ru, опубликовано 27.09.2002)

Анонсированный во вторник продукт EnGarde Secure Professional представляет собой версию Linux с инструментами управления и серверным ПО, задача которых — противостоять внешним атакам. Продукт стоит 549 $, плюс 219 $ в год за обязательный сервис обновления ПО.

У Linux, как и у лежащей в ее основе операционной системы Unix и других операционных систем, собственные проблемы безопасности, но часто причиной неприятностей становится ПО более высокого уровня, такое как сервис SNMP, позволяющий администраторам управлять серверами, или программа Apache, отсылающая веб-страницы веб-браузерам. По словам директора Guardian Digital Дейва Урески (Dave Wreski), компания намерена исключить многие из этих проблем, тщательно подбирая ПО, тестируя его с другими программами и в некоторых случаях разрабатывая собственные программы. Например, Guardian Digital создала управляющее ПО взамен SNMP. Оно менее уязвимо для атак, хотя и не совместимо с популярными системами управления, такими как IBM Tivoli. "Это перспективная ниша для определенной группы заказчиков", — говорит аналитик Giga Information Group Стэнси Куондт (Stacey Quandt). Однако на поле Linux, где доходы скудны и доминирует Red Hat, свободное место найти не легко.

Конкуренция велика. Red Hat предъявляет повышенную безопасность как аргумент в пользу своей редакции Linux Advanced Server. Институт безопасности киберпространства при Университете Джорджа Вашингтона добивается того, чтобы сделать обязательным условием использования Linux в госучреждениях США и других стран сертификацию на соответствие стандарту Common Criteria. Hewlett-Packard работает над собственной версией Secure Linux.

Однако самым прямым конкурентом Guardian Digital, по всей видимости, является компания WireX, которая продает защищенную версию Linux под названием Immunix. Партнерами WireX по сбыту являются HP и Dell Computer. Такое партнерство играет очень важную роль. Куондт отмечает: "Без альянса с производителем аппаратуры успеха добиться невозможно".

По словам Урески, Guardian Digital "работает над партнерством с крупными компьютерными компаниями", но назвать эти компании он отказался. Guardian ведет переговоры и с софтверными фирмами, чтобы те использовали EnGarde в качестве платформы для решения специфических задач, таких как защита от вирусов и спама. Однако старт взят. Компания со штатом 20 человек приносит прибыль, отчасти благодаря реализации консалтинговых услуг.

В число заказчиков EnGarde входят Sony, Hong Kong University, AT&T New Zealand и Piedmont Natural Gas. В силу кооперативной природы сообщества open-source компании не пришлось начинать с нуля. Создание защищенной операционной системы заново было бы неразрешимой задачей, говорит Урески, однако у Guardian Digital есть возможность собирать лучшее из того, что уже есть. Например, компании SuSE, MandrakeSoft и другие используют инструмент Red Hat Package Manager, облегчающий инсталляцию и деинсталляцию ПО. Guardian воспользовалась также утилитой конфигурирования сети, поставляемой с некоммерческой версией Debian Linux.

Урески признает, что отслеживать все обновления ПО, производимые сообществом open-source, задача не из легких. "Как мы можем сделать то же, что делает Red Hat с ее 600 сотрудниками? Для нас это сложная проблема", — говорит он. Но Урески убежден, что прицел Guardian Digital на безопасность обеспечит компании место под солнцем: "Мы используем большую часть кода Red Hat, но пошли дальше и сконфигурировали его таким образом, чтобы гарантировать максимально возможную защиту".
(источник - Zdnet.ru, опубликовано 27.09.2002)

• Обслуживание и развитие локальной и виртуальной сетей, включая но не ограничиваясь - конфигурирование, администрирование, настройка серверов, маршрутизаторов, firewalls и т.д.
• Обслуживание и настройка программного обеспечения и рабочих станций персонала, организация ремонта, замены, up grade рабочих станций, закупка и выдача в работу персоналу
• Обучение персонала эффективному использованию офисных аппликаций
• Организация сетевой поддержки работ web-мастера
• Подготовка руководству отдела технической поддержки предложений по развитию сетевых коммуникаций, включая, но не ограничиваясь - бюджет развития, обоснование сетевых решений и т.д.
• Подготовка предложений руководству по выбору базовых офисных приложений наиболее отвечающих требованиям бизнес-процесса компании.

Требования к кандидату:

• Наличие знаний в сфере DNS, DHCP, SMTP, POP3 в объеме достаточном для эффективного управления сетью
• Наличие знаний об операционных системах Win95/98/NT, Unix/Linux и офисных приложений Microsoft
• Опыт работы с оборудованием CISCO
• Знание squid-proxy
• Опыт работы не менее двух лет в качестве Администратора сети
• Образование высшее

Желательно - водительские права и опыт вождения не менее 3-х лет
Обязательно - навык делового общения с пользователями сети

Компенсации: оплата высокая
Резюме просьба направлять по адресу: elena@infotecs.ru

Познакомиться с нашими решениями и получить более подробную информацию можно на web-сервере - http://www.infotecs.ru или по телефону (095) 737-6192 

Также получить ответы на интересующие Вас вопросы, Вы можете на нашем форуме, находящемся по адресу: http://www.infotecs.ru/phpBB2/index.php

Полнофункциональные демо-версии продуктов ViPNet Desk, TermiNet, ViPNet Office, ViPNet Tunnel, ViPNet Office Firewall находятся по адресу: http://www.infotecs.ru/demo.htm

Если у вас есть какие-нибудь пожелания или вопросы по поводу дальнейших выпусков рассылки, мы с удовольствием рассмотрим их.