| Рубрикатор |  |
 |
| Статьи |  |
ИКС № 7 2005 | |
|
| Дмитрий КОСТРОВ | 01 июля 2005 |
Каркас сетевой безопасности по имени Х. 805
Рекомендации как правила к исполнениюДавным-давно, еще в марте 2004 г., вышли рекомендации ITU-T Recommendation Х. 805 (www.itu.int/home). Применение этого стандарта, в рамках которого выстраивается архитектура сетевой безопасности для обеспечения сетевой защиты, снижает уровень потенциального риска, позволяя компаниям повысить степень безопасности своих сетей связи. В основе Х. 805 лежит сетевая модель безопасности Bell Laboratories, которая описывает подходы к защите систем от различных угроз: действий злоумышленников, вирусов, червей и. п.
Спецификации Х. 805, по сути, каркас системы обеспечения безопасности, внутри которого могут использоваться иные стандарты защиты информации, например Х. 509 (управление открытыми ключами и атрибуты сертификатов открытых ключей). В тексте нового стандарта применяются многие термины из Х. 801 (1991 г. ), такие как контроль доступа, доступность, аутентификация, конфиденциальность, целостность данных, приватность и невозможность отказаться от выполненных действий.
Архитектура безопасности (как сейчас называют Х. 805) была разработана для защиты сетей операторов, сервис-провайдеров, корпоративных систем и пользователей, причем с учетом применения различных методов передачи голоса и данных, а также конвергентных технологий. Спецификации описывают подходы к управлению, контролю и безопасному использованию сетевой инфраструктуры, сервисов и приложений. В них определено логическое разделение сложных сетевых технологий на отдельные архитектурные компоненты, что облегчает понимание задачи и выбор контрмер.
По большому счету, набор спецификаций Х. 805 отвечает на три главных вопроса:
- Какая защита нужна и от каких угроз?
- Какие типы сетевого оборудования необходимо защищать?
- Какие типы сетевых транзакций должны быть защищены?
Набор мер безопасности
Рекомендации ITU определяют восемь критериев Security Dimensions (SD), предусматривающих защиту от всех типов известных угроз.
Контроль доступа обеспечивает защиту от несанкционированного использования сетевых ресурсов и гарантирует, что только авторизованный пользователь или устройство может получить доступ к сетевому элементу, хранимой информации, информационным потокам, сервисам и приложениям. Дополнение данной функции – контроль доступа на основе ролей (Role-based Access Control, RBAC) – служит для предоставления различных уровней доступа пользователя или устройства, что позволяет более жестко контролировать доступ к защищаемым ресурсам.
Понятие аутентификации, использованное в Х. 805, совпадает с принятым в документах РФ и определено как проверка регистрационной информации (включая подтверждение прав и полномочий) при входе в защищенную систему.
Невозможность отказа предполагает, что отменить уже выполненные действия по отношению к защищаемому ресурсу может лишь владелец информации или лицо с равными полномочиями. Это позволяет точно определить выполненные пользователем (или программой) действия.
Под конфиденциальностью понимается невозможность несанкционированно получить доступ к защищаемой информации с помощью каких-то способов защиты данных (шифрования, списков доступа, прав доступа к файлам и.д.).
Целостность данных определяется как невозможность их несанкционированной модификации, удаления, копирования и создания новых данных этого типа. При этом система должна обеспечивать индикацию указанных несанкционированных действий или их попыток.
Безопасность передачи поддерживается только для авторизованных конечных систем и определена как возможность обеспечения доступа «точка – точка».
Доступность указывает, какова вероятность невозможности отказа в авторизованном доступе к защищаемым сетевым элементам, хранимой информации, информационным потокам, сервисам и приложениям. Отдельным параграфом в данной спецификации рассматриваются решения по восстановлению системы при аварийных ситуациях (Disaster Recovery Planning, DRP).
Под секретностью в контексте Х. 805 понимается защита частной информации и действий авторизованного пользователя, которые могут быть доступны несанкционированному пользователю (например, посещаемые web-сайты, географическое положение легального пользователя, его IP-адрес и DNS-имя).
Уровни защиты
В спецификациях, посвященных уровням безопасности (Security Layers, SL), описываются уровни безопасности инфраструктуры (Infrastructure Secure Layer), сервисов (Services Security Layer) и приложений (Applications Security Layer). Каждый из них – это набор решений по сетевой безопасности, построенный согласно иерархии: уровень инфраструктуры включает уровень сервисов, а уровень сервисов – уровень приложений. Архитектура безопасности любого уровня базируется на факте, что для каждого характерны собственные типы уязвимостей и угроз. Все три уровня могут применяться ко всем семи уровням модели OSI.
Уровень безопасности инфраструктуры включает в свой состав устройства передачи информации (выделенные маршрутизаторы, коммутаторы, серверы), а также линии связи между ними.
Уровень безопасности сервисов описывает принципы защиты услуг, которые предлагает клиентам сервис-провайдер, например доступ в Интернет (системы ААА, DHCP, DNS и. п. ), сервис freephone, QoS, VPN и. п.
Уровень безопасности приложений определяет защищенность приложений, предоставляемых клиентам сервис-провайдерами, провайдерами приложений или операторами связи (FTP, web-сервисы, IP-телефония, электронная почта, приложения электронной коммерции и.п.). На этом уровне рассматривается обеспечение защищенности четырех целей атак: пользователя приложения, провайдера приложения, интегратора и сервис-провайдера.
Плоскости безопасности
Типы сетевой активности, которые необходимо защитить, определены в стандарте как плоскости безопасности (Security Planes, SP) – в русскоязычной терминологии это области действия. В рекомендациях Х. 805 их три: управления, контроля и конечных пользователей.
Согласно стандарту, сеть должна быть построена так, чтобы события, имеющие место в одной плоскости, никак не влияли на требования к остальным.
Плоскость управления призвана обеспечить защиту функций систем управления (Operations Administration Maintenance &Provisioning, OAM&P) сетевых элементов, систем передачи данных и поддержки бизнеса, а также центров данных. Здесь определены функции FCAPS: Fault, Capacity, Administration, Provisioning, Security.
Плоскость контроля охватывает защиту транзакций, сервисов и приложений. При ее определении описывается передача информации от одного сетевого элемента (коммутаторы, маршрутизаторы) к другому для выбора оптимального пути (маршрута). Так, наилучшая для IP маршрутизация происходит в рамках протоколов маршрутизации, управляющая информация переносится пакетами в одном потоке с данными. Для SS7 все не так: голосовой трафик направляется по одним каналам, а сигнализация SS7 – по другим, а потому, согласно выбору наилучшего маршрута, имеет место переключение и голосового трафика, и потока сигнализации.
Плоскость конечных пользователей описывает подходы к обеспечению безопасности при доступе или использовании сервисов клиентами. Это могут быть средства, использующие технологию VPN (IPSec, SSL) или иные протоколы защищенного доступа к приложениям.
Рекомендации как план построения
Архитектура безопасности, определяемая Х.805, содержит набор плоскостей и мер, которые описывают структуру системы защиты для безопасных конечных решений определенного уровня с учетом возможности реализации как умышленных, так и неумышленных угроз. Она применима на любой из трех фаз программы обеспечения защиты (определения и планирования, внедрения, поддержки), которая, в свою очередь, включает в себя процедуры и политики безопасности с учетом применяемых сетевых и информационных технологий. При этом сама архитектура не зависит от типа сети, набора протоколов и уровня модели OSI.
Например, в сети IP (где задействованы три нижних уровня семиуровневой модели) уровень инфраструктуры используется для обеспечения защиты маршрутизаторов, каналов между ними (ATM PVC, SONET и. п. ) и серверных платформ, а уровень сервисов – для базовых IP-служб (Интернет), сервисов на базе IP (AAA, DNS, DHCP и.п.) и дополнительных услуг, предлагаемых провайдером (VoIP, QoS, VPN и.п.), тогда как уровень приложений определяет требования по безопасности для пользовательских приложений (электронная почта). Посмотрим, как будут выглядеть описания архитектуры для IP-сети.
Плоскость управления уровня инфраструктуры в этом случае определяет правила безопасности при работе, администрировании, поддержке и обновлении отдельных сетевых элементов, коммуникационных линий и серверных платформ, входящих в сеть. Плоскость контроля уровня инфраструктуры задает требования безопасной передачи управляющей или сигнальной информации (получение и прием) в рамках сетевых элементов и серверов. Пример объекта защиты данной плоскости – таблица маршрутизации сетевых коммутаторов, данные которой необходимо защитить от возможной фальсификации злоумышленниками. В плоскости конечных пользователей уровня инфраструктуры определены критерии безопасности пользовательских данных и голоса при их передаче по сети.
Плоскость управления уровня сервисов отвечает за защиту функций OAM&P в рамках предоставления сетевых услуг. Эта плоскость описывает защиту управляющей или сигнальной информации, используемой сетевыми сервисами (так, в нее входит защита протокола SIP, который используется для инициирования и поддержки сессий VoIP). А в плоскости конечных пользователей уровня сервисов оговариваются способы защиты данных пользователей и голосовых сообщений, с которыми работают сетевые сервисы (например, средства защиты сервиса VoIP).
Плоскость управления уровня приложений описывает защиту функций OAM&P в рамках сетевых приложений, а в плоскости контроля уровня приложений – средства защиты контрольной или сигнальной информации, которая этими приложениями используется (например, защита протоколов SMTP и POP, применяемых для контроля доставки почтовых сообщений). Плоскость конечных пользователей уровня приложений отвечает за защиту обрабатываемых сетевыми приложениями данных.
Одна из главных особенностей новых стандартов, и Х. 805 в том числе, – сочетание эффективных методов снижения рисков нарушения безопасности и защиты информации. Очевидно также, что и в России на первое место выходят вопросы совместимости и качества в применяемых стандартах ИБ и необходимость их гармонизации с международными стандартами. Поэтому внедрение стандартов ISO/IEC 17799 и Х. 805 не просто перспективно, но и чрезвычайно полезно с точки зрения повышения уровня ИБ и снижения рисков до приемлемого для современной компании уровня.
Заметили неточность или опечатку в тексте? Выделите её мышкой и нажмите: Ctrl + Enter. Спасибо!
Адрес: 105082, Россия, г. Москва, 2-й Ирининский пер, д. 3