Построение защищенных каналов связи для доступа к сервисам ИСОД МВД России

Воронежский институт МВД России Кафедра информационной безопасности УТВЕРЖДАЮ Заместитель начальника кафедры информационной безопасности полковник полиции А.В. Мельников «___» ___________ 2018 г. Тезисы лекции по программе повышения квалификации сотрудников подразделений территориальных органов МВД России по теме: «ПАК ViPNet Coordinator HW1000/2000, правила эксплуатации и обработки информации» (c использованием системы дистанционных образовательных технологий) Блок дистанционного обучения в системе MOODLE Тема №2. «Защита каналов связи ИМТС МВД России с помощью программно-аппаратной технологии ViPNet» Лекция №4. «Построение защищенных каналов связи для доступа к сервисам ИСОД МВД России» Подготовил: старший преподаватель кафедры информационной безопасности подполковник полиции С.В. Зарубин Обсуждены и одобрены на заседании методической секции кафедры информационной безопасности протокол № __ от _______ 2018 г. Обсуждены и одобрены на заседании кафедры информационной безопасности протокол № __ от _______ 2018 г. Воронеж 2018 1. Назначение и основы организации защищенных каналов связи в телекоммуникационных системах. Для организации защищенных каналов связи в телекоммуникационных системах применяется технология создания виртуальных сетей. В настоящее время наиболее часто встречающееся общее определение виртуальных сетей (ВС) таково: это выделенная сеть на базе общедоступной сети, которая поддерживает конфиденциальность за счет использования туннелирования и других процедур защиты. Более полно ВС определяется как среда для организации процесса шифрования или инкапсулирования информации, безопасным образом передаваемой из одной точки в другую. При этом безопасность передачи через открытую, незащищенную, маршрутизируемую сеть связи может обеспечиваться устойчивой технологией шифрования. Итак, из выше приведенного видно, что в основе технологии ВС лежит идея использования сетей общего пользования для защищенной передачи трафика территориально удаленных сетей заказчика, с использованием идеологии построения частных сетей. Действительно, построение ВС позволяет обеспечить: • безопасный удаленный доступ к информационным ресурсам ЛВС организации со стороны мобильного или удаленного пользователя; • безопасное объединение вычислительных сетей территориально распределенных подразделений одной организации; • безопасное подключение к внутренней сети (интранет) одной организации объектов сети другой организации; • защиту информации, передаваемой по каналам связи внутри одной внутренней сети (интранет). Маркетинговая трактовка товара подразумевает, как минимум, две его сущности: потребительскую и физическую. Потребительская сущность ВС - «виртуальный защищенный туннель, или путь», с помощью которого можно организовать удаленный защищенный доступ через открытые каналы Интернета к серверам БД, Web-, FTP- и почтовым серверам. Физическая сущность технологии ВС определяется тем, что она может защитить трафик любых внутренних и внешних сетей, аудио- и видеоконференций, систем электронной коммерции и т. п. Цели и задачи построения ВС. Многие организации имеют несколько локальных вычислительных сетей (ЛВС) и информационных серверов, находящихся в физически удаленных друг от друга местах. Если требуется обеспечить доступ к информации для всех сотрудников организации, если он периодически разъезжает по всей стране или миру, то часто используются выделенные линии для соединения ЛВС с глобальными сетями. Цель ВС-технологий состоит в максимальном обособлении потоков данных одного предприятия от потоков данных всех других пользователей публичной сети. Обособленность должна быть обеспечена в отношении параметров пропускной способности потоков и в конфиденциальности передаваемых данных. Таким образом, основными задачами технологий ВС являются обеспечение в публичной сети гарантированного качества обслуживания для потоков пользовательских данных, а также защита их от возможного НСД или разрушения. Защищенность от сетевых потоков данных других организаций трактуется в двух аспектах: • в отношении параметров пропускной способности; • в отношении конфиденциальности данных. Применительно к пропускной способности вполне оправданы следующие требования к ВС: • - пользователям должны предоставляться определенные гарантии качества обслуживания в виртуальных каналах ВС - средняя пропускная способность, допустимый уровень задержки кадров данных и т.д.; • - пользователи должны иметь инструменты для контроля действительных параметров пропускной способности виртуальных каналов. Конфиденциальность. Возможность НСД к данным, передающимся по публичной сети, очень волнует сетевых администраторов, привыкших к использованию выделенных каналов или телефонных сетей для передачи корпоративных данных. Наличие злоумышленников в Интернете представляет постоянную угрозу для корпоративных серверов, к данным которых можно попробовать подключиться с любого домашнего компьютера. В то же время угрозы перехвата пакетов по пути следования по публичной сети передачи данных многие специалисты считают преувеличенными. Действительно, пакеты идут только через коммутаторы и маршрутизаторы провайдеров публичных сетей, а в сети посторонних организаций и частных лиц не заходят. Провайдерами публичных сетей с коммутацией пакетов выступают чаще всего те же организации, которые предоставляют традиционные виды телекоммуникационных сервисов - выделенные каналы и телефонные сети. Таким образом, угроза перехвата пакетов по пути следования исходит скорее от самих провайдеров, сотрудников которых могут подкупить конкуренты. От двух типов угроз: входа во внутренние серверы предприятия и перехвата данных по пути - существуют такие средства защиты, как уже рассмотренные МЭ и прокси-серверы для отражения угроз первого вида и средства образования защищенного канала для второго. Применительно к конфиденциальности в определении ВС термин «private» имеет 2 основных значения: частный (собственный) и конфиденциальный (закрытый). Если делать акцент на первом значении, то частная сеть - это такая сеть, в которой все оборудование (включая территориальные кабельные системы, коммутирующие устройства, средства управления и т. п.) являются собственностью предприятия. На рис. 47 три территориальных канала связывают центральную ЛВС предприятия с тремя ЛВС удаленных филиалов. Каждый территориальный канал образован отрезками кабеля, проложенного между устройствами регенерации, необходимыми для усиления сигналов и восстановления их формы после прохождения определенного расстояния по пассивному кабелю. Вся пропускная способность территориальных каналов, образующих индивидуальную инфраструктуру, находится в полном распоряжении предприятия. Следует заметить, что корпоративных сетей (КС), являющихся абсолютно частными, в мире не так уж много. Использовать собственные территориальные каналы связи могут только те предприятия, для которых такие каналы являются органической частью собственной инфраструктуры, обусловленной основной производственной деятельностью. Например, для передачи технологической информации железнодорожные компании прокладывают линии связи вдоль полотна, а нефтяные – вдоль трубопроводов, поэтому они могут использовать свободную часть своих линий для построения КС. Понятно, что сеть, построенная целиком на собственном оборудовании предприятия, соответствует и второму определению термина «private» - в собственной сети легче соблюдать конфиденциальность, поскольку все ресурсы сети используются только сотрудниками предприятия-владельца. Такие сети позволяют создавать интегральные соединения «точка-точка» с возможностью передавать «голос-данные-видео». Такая ВС имеет ряд существенных недостатков - она не гарантирует надежной защиты коммуникаций, при большом количестве точек сеть становится плохо управляемой, имеет значительные ограничения в применении и требует больших затрат средств и времени. Кроме того, при «взрывном» характере трафика, что типично для корпоративного пользования сетью, пропускной способности недорогих «узких» каналов может оказаться недостаточно, и, соответственно, качество связи будет падать. Правда, линии связи принадлежат исключительно одному клиенту, поэтому для небольших ВС с прогнозируемым и мало изменяющимся во времени объемом передаваемых данных выделенные каналы могут представлять интерес. 2. Особенности выбора инфраструктуры для организации ВС. В плане организации ВС существует большое количество открытых коммуникационных каналов разделяемой (совместно используемой инфраструктуры), которые можно арендовать у провайдеров связи или Интернета. Первый случай - провайдеры связи (чаще всего на основе технологии Frame Relay (FR)). Каналы, связывающие сеть головного предприятия с сетями филиалов, проходят через мультиплексор, объединяющий каналы всех абонентов в магистральный канал. Несмотря на то, что территориальные каналы в этом случае не относятся к собственности предприятия, КС, построенные на арендованных каналах, также называются частными, по крайней мере, по двум причинам. Во-первых, полоса пропускания арендованного канала полностью выделяется предприятию и поэтому является в некотором смысле его «частной собственностью». Это в полной мере относится к арендуемым цифровым каналам, которые поддерживаются провайдером на базе первичной цифровой сети с техникой мультиплексирования TDM. Арендатор такого канала получает в свое полное распоряжение всю его пропускную способность - 64, 128 Кбит/с, 2 Мбит/с или выше. В любом случае, пропускную способность канала предприятие-арендатор не делит ни с кем, и это очень важно для создания КС со стабильными характеристиками. Наличие гарантированной пропускной способности дает возможность администратору сети планировать работу приложений через глобальные каналы связи: распределять имеющуюся пропускную способность канала между приложениями, оценивать возможные задержки сообщений, ограничивать объем генерируемого территориального трафика, определять максимальное количество активных приложений и т. д. Во-вторых, частный характер сетей, построенных на арендованных каналах, подтверждается достаточной конфиденциальностью передачи данных. Корпоративные данные практически недоступны для абонентов, не являющихся пользователями КС или сотрудниками организации-провайдера каналов. Действительно, коммутацию каналов в первичных сетях может выполнить только оператор сети, а рядовому пользователю такая операция недоступна. Это обуславливает большую степень защищенности данных, передаваемых по каналам первичных сетей. Например, здесь невозможна типичная для Интернета атака - ответвление и анализ «чужого» трафика другим пользователем. Таким образом, обеспечивается приемлемая безопасность передаваемых данных без использования шифрования и взаимной аутентификации абонентов. Второй случай - сервис-провайдеры Интернета. Это дает пользователям КС потенциальную возможность получать доступ к ресурсам любого узла Интернета, например, к информации веб-узлов или архивов ftp. Так как ЛВС являются продолжением Интернета, то пользователи одного филиала предприятия получают возможность обращаться через Интернет к ресурсам узлов других филиалов или центрального офиса. Открытую внешнюю среду передачи информации можно разделить на среду скоростной передачи данных, в качестве которой может использоваться Интернет, а также более медленные общедоступные каналы связи, в качестве которых чаще всего применяются каналы телефонной сети. Наиболее эффективным способом объединения ЛВС и удаленных компьютеров является объединение на основе Интернета. В случае отсутствия непосредственного подключения доступ к Интернету может осуществляться и через телефонную сеть. Организация ВС на основе Интернета обладает рядом преимуществ: • гарантирует высокое качество информационного обмена, так как магистральные каналы и маршрутизаторы Интернета имеют большую пропускную способность и характеризуются надежностью передачи информации; • обеспечивает масштабируемую поддержку удаленного доступа к ресурсам ЛВС, позволяя мобильным пользователям связываться по местным телефонным линиям с сервис-провайдерами Интернета и через них входить в свою КС; • для организации удаленного доступа пользователей к ЛВС исключается необходимость модемных пулов, а трафиком дистанционного доступа можно управлять точно так же, как любым другим трафиком Интернета; • сокращаются расходы на информационный обмен через открытую внешнюю среду; • использование Интернета для объединения ЛВС значительно дешевле аренды каналов связи телефонных и других глобальных сетей, например сетей Frame Relay (FR), не говоря уже о стоимости самостоятельного построения коммуникаций; • при удаленном доступе вместо того, чтобы устанавливать дорогостоящие непосредственные соединения с ЛВС по междугородной или международной телефонной связи, удаленные пользователи могут подключаться к Интернету и далее связываться с сетью своей организации через эту глобальную сеть. Кроме этого, открытая сеть может служить основой для одновременного сосуществования множества ВС, количество которых определяется пропускной способностью открытых каналов связи. Основными недостатками использования Интернета для этой цели являются отсутствие конфиденциальности данных, передаваемых по Интернет между ЛВС, а также отсутствие защиты целостности и доступности информации, уязвимость к подмене пакетов и другим атакам, что неприемлемо для реального бизнеса. Безопасность - не единственный вопрос, возникающий при соединении ЛВС с Интернетом. Сейчас Интернет не предоставляет гарантий в пропускной способности канала и его надежности. Файлы и сообщения могут быть переданы с задержками или не доставлены вообще. Это зависит от общего состояния сетей и отдельных маршрутизаторов, составляющих Интернет, т. е. стандартный коммутируемый доступ в Интернете можно охарактеризовать невысоким уровнем обеспечения безопасности как самого подключения, так и передаваемых по сети данных, сложностью интеграции со средствами защиты от НСД, ограниченными возможностями авторизации (применительно к ВС система авторизации может регулировать доступ пользователя к тем или иным средствам шифрования пакетов или даже в целом к определенным устройствам создания ВС) и управляемости доступа пользователей к корпоративным сетевым ресурсам. Однако удаленный доступ через Интернет не особенно выгоден для организаций с большим числом местных пользователей. В этом случае плата за использование местной телефонной сети не изменяется от перехода с прямых звонков на сервер удаленного доступа (Remote Access Server, RAS) предприятия к звонкам на RAS провайдера, а дополнительная плата за использование Интернета может свести на нет выгоду от обслуживания немногочисленных пользователей из других городов и стран через Интернет. Поэтому многие из тех компаний, что собираются реализовать ВС для удаленного доступа, предпочитают сочетать оба подхода: пользователи из других городов должны обращаться в КС через Интернет, в то время как местные пользователи будут продолжать звонить напрямую на RAS предприятия по местной телефонной сети. ВС можно организовывать в сетях с коммутацией пакетов любого типа Х.25, FR, ATM и TCP/IP (Интернет). В качестве сетей общего пользования могут выступать сети и магистральные сети сервис-провайдера. Наличие в сетях Х.25 техники виртуальных каналов создает предпосылки для образования в них ВС. Однако в технологии Х.25 отсутствует важный элемент поддержка качества обслуживания. В настоящее время работы по совершенствованию технологии Х.25 в этом направлении не ведутся, поэтому виртуальные каналы в сетях Х.25 трудно отнести к полноценным ВС. Сети FR часто упоминаются при описании ВС. Действительно, техника заказа качества обслуживания виртуального канала встроена в технологию FR. Протокол FR с высоким качеством связи и безопасностью соединений при более низких платежах широко используется в ВС как альтернатива выделенным каналам. Однако сети FR плохо масштабируются, доступ в такие ВС «внешних» пользователей затруднен или невозможен, скорости, поддерживаемые FR, ограничены 2 Мбит/с. Кроме того, сети FR обычно мало доступны для индивидуальных пользователей из-за своих цен и отсутствия в них информационных сервисов типа службы Web, поэтому хакерские атаки в них маловероятны. Сети ATM - идеальное средство для образования ВС, так как они предлагают самые тонкие процедуры поддержания параметров качества обслуживания. Однако их небольшая распространенность как публичных сетей не позволяет широко использовать их для построения ВС. Сети TCP/IP и Интернет сравнительно долго не фигурировали в качестве возможной среды для образования в них ВС. Основная причина — та же, что и в случае сетей Х.25 - в протоколах TCP/IP нет гарантий качества обслуживания. Однако сейчас сам термин ВС многие стали употреблять исключительно в связи с созданием частной сети предприятия в Интернете. Безусловно, это связано с доступностью и дешевизной Интернета. Из-за этого многие администраторы мирятся с неизвестной пропускной способностью каналов, проложенных через Интернет. Тем не менее ВС в сетях TCP/IP приобретают свойства «настоящих» ВС. Этому способствует ряд обстоятельств. Во-первых, провайдеры, сети которых образуют магистрали Интернета, много работают над улучшением качества обслуживания. Магистрали строятся на основе ATM и SDH. Также быстро растет производительность магистральных маршрутизаторов. Это уменьшает задержки в Интернете и повышает качество обслуживания. Во-вторых, стек протоколов TCP/IP модернизируется и в нем появляются протоколы, с помощью которых можно управлять качеством обслуживания – протоколы RSVP, RTP и ряд других. В-третьих, многие крупные провайдеры предоставляют услуги магистралей TCP/IP, не связанных непосредственно с Интернетом. На этих магистралях передается трафик только крупных корпоративных пользователей, поэтому защищенность данных и пропускная способность таких сервисов существенно выше. Ряд провайдеров оказывает услуги по построению ВС. Основная часть предложений по созданию ВС относится к провайдерам сетей FR. Основой для разворачивания ВС является договор с провайдером, в котором оговариваются ее основные параметры - количество точек подключения, скорости портов, а также параметры качества обслуживания. Защиту данных своими средствами провайдеры часто не обеспечивают, поэтому наиболее осторожные пользователи должны защищать свои данные самостоятельно. Основные различия между провайдерами наблюдаются в средствах контроля за реальной пропускной способностью виртуальных каналов, которые они предоставляют корпоративным пользователям. Большинство провайдеров обеспечивает пользователей еженедельными или ежемесячными отчетами о реально используемой пропускной способности виртуальных каналов, а также более детальной информацией о трафике (например, коэффициент загрузки сети, сколько кадров были отброшены и т. п.). Иногда информация отчета посылается по электронной почте или доступна на BBS провайдера. Появление в конце 1990-х годов коммерческих реализаций ВС на базе IP-сети - IP VPN с использованием протокола MPLS (Multiprotocol Label Switching) (RFC 3031 и RFC 3032) (их иногда называют еще MPLS VPN) позволило предложить на рынке по-настоящему интегральную технологию для передачи голоса, данных и видео, лишенную недостатков других подходов. Технология MPLS имеет ряд технических особенностей, которые позволяют реализовать уровень ИБ, соответствующий уровню защищенности сетей построенных на базе технологий FR и ATM. Это разделение адресного пространства сетей и маршрутной информации различных клиентов; устойчивость к DoS-атакам и к отказам на базе подмены меток (Label Spoofing). При этом есть возможность гибко классифицировать трафик в зависимости от приложений (приоритет одних пакетов, ассоциируемых с работой голосовых приложений или видео, можно установить более высоким, чем других, связанных, например, с передачей электронных сообщений). Таким образом, в рамках одного подключения с высоким качеством можно передавать «голос-видео-данные». При этом телефония или видео будут тарифицироваться как передача данных с некоторой наценкой за гарантии более высоких параметров качества. Кроме того, такие сети легко масштабируются, реализуя архитектуру обмена информацией «каждый с каждым». Изолированность при сохранении связности достигается за счет автоматической фильтрации маршрутных объявлений и применения туннелей MPLS для передачи клиентского трафика по внутренней сети провайдера связи. Наиболее интересным и динамично развивающимся вариантом является IP VPN на базе сети оператора связи (networkbased IP VPN). В таких ВС вся логика функционирования, управление, защита и функции, которые составляют основу сети заказчика, реализуются в точке присутствия провайдера. Весь «интеллект» такой ВС в этом случае находится в сети провайдера. Клиенту требуется установить у себя только стандартный маршрутизатор. Таким образом, ВС «выносится» в сеть провайдера и развертывается внутри ее границ, а пользователь подключается к ней через обычный выделенный канал связи. Интерес пользователей к технологии ВС обусловлен следующими факторами: • низкой стоимостью эксплуатации за счет использования сетей общего пользования вместо собственных или арендуемых линий связи; • практически не ограниченной масштабируемостью; • простотой изменения конфигурации и наращивания КС; • «прозрачностью» для пользователей и приложений. • Для руководителя, принимающего решение об установке тех или иных средств или систем, важна и финансовая сущность применения ВС. При правильном выборе ВС: • обеспечиваются защищенные каналы связи и защищенный трафик для отдельных приложений по цене доступа в Интернете, что в несколько раз дешевле собственных линий; • не требуется изменять топологию сетей при разворачивании ВС, переписывать приложения, обучать пользователей, т. е. тратить дополнительные средства; • обеспечивается масштабирование: ВС не создаст проблем роста, что сохранит уже сделанные раньше инвестиции в инфраструктуру безопасности. 3. Специфика построения ВС и стоящие перед этим задачи. Как правило, построение ВС для распределенных компаний даже с небольшим количеством (5-10) удаленных подразделений (филиалов) является достаточно трудоемкой задачей, сложность которой обуславливается следующими основными причинами: • гетерогенностью используемых аппаратно-программных платформ; • разнообразием задач (защищенный обмен между головным офисом и филиалами, офисом и мобильными или удаленными сотрудниками, сегментами внутренней сети компании); • необходимостью построения централизованной системы управления всей ВС; • наличием узкой полосы пропускания и откровенно плохим качеством существующих каналов связи, особенно с региональными подразделениями и т. д. Сложность построения ВС усугубляется еще и тем, что, как правило, корпоративные заказчики предъявляют к ВС достаточно жесткие требования по следующим критериям: • масштабируемости применяемых технических решений; • интегрируемости с уже существующими средствами; • легальности используемых алгоритмов и решений (в том числе наличие различных сертификатов); • пропускной способности защищаемой сети (было пояснено в п. 4.2); • стойкости применяемых криптоалгоритмов; • унифицируемости ВС-решения; • общей совокупной стоимости построения ВС. Одним из требований является обеспечение масштабируемости конкретной ВС. Многолетний опыт показывает, что наиболее успешно для этого применяются программные средства построения ВС, которые могут обеспечить защиту трафика на всех типах компьютеров - рабочих станциях, серверах и шлюзах (на выходе из ЛВС в открытые сети), а также работают на всех популярных ОС. Вторая составляющая масштабируемости - централизованное, целостное и оперативное управление ВС. Значения этих понятий в данном контексте таковы: • централизованное - конфигурирование ВС происходит в одном месте на одной рабочей станции; • целостное - вся ВС создается как единое целое, поскольку совершенно недопустима ситуация, когда разные узлы имеют несовместимую политику безопасности или включаются в ВС не одновременно; • оперативное - созданная в центре «конфигурация ВС» должна автоматически за считанные секунды быть разослана на все узлы ВС. Для больших систем неприемлемо, чтобы оператор последовательно, пусть и удаленно, конфигурировал все 300 ВС-узлов или передавал им конфигурации на дискетах. Теперь поясним требование интегрируемости. Основная задача ВС - защита трафика - сложна уже на криптографическом уровне. ВС в первую очередь должна обладать надежной криптографией, гарантирующей от прослушивания, изменения, отказа от авторства, иметь надежную систему управления ключами, защищать от атак методом повторного использования пакета (replay attack) и проверять, «жив» ли абонент в данный момент. ВС должна взаимодействовать с системой ИОК в целом ряде точек (передача сертификата на подпись, получение сертификата и «черного» списка при установлении взаимодействия и т. п.). Очевидно, что это взаимодействие с чуждой по отношению к ВС системой может осуществляться только при условии полной поддержки международных стандартов, которым удовлетворяет большинство современных архитектур ИОК. Следующим важным элементом интеграции систем является наличие криптоинтерфейса. Любая система, использующая криптооперации (ВС, защищенная почта, программы шифрования дисков и файлов, ИОК), должна получать криптосервис из сертифицированных соответствующими органами модулей, созданных специализирующимися в этом компаниями. Опасно доверяться провайдеру ВС, создавшему свой собственный, никому не известный, но, как он утверждает, надежный алгоритм. Обеспечение безопасности - задача построения множества линий обороны и наблюдения за ними. Как бы ни осуществлялось это наблюдение - ручной разборкой регистрационной информации или с помощью систем обнаружения вторжений (Intrusion Detection Systems, IDS), нужно сначала получить эту информацию. ВС должна создавать на всех своих агентах: • LOG-файлы с регистрационной информацией; • SNMP-сообщения о текущих атаках, сбоях и проблемах (Simple Network Management Protocol - простой протокол управления сетями). Вся эта информация должна собираться и обрабатываться в том же центре управления или в одной из специализированных систем наблюдения. Обычно ВС различает только отдельные компьютеры, но не их пользователей. Корпоративный заказчик требует, чтобы ВС отличала отдельных пользователей и отдельные приложения. Пользователь должен получить одну и ту же конфигурацию ВС независимо от того, за каким компьютером он сидит. Все необходимые для этого данные (ключи, сертификаты, конфигурация) находятся на его смарт-карте, электронном ключе или дискете. Если корпорация использует серверы удаленного доступа RAS (с технологией SSO), то ВС должна работать совместно с такой системой, не подключая ВС тем пользователям, которые не прошли авторизацию в системе аутентификации. ВС образует «непроницаемые» каналы связи поверх открытых сетей. В реальной жизни организации всегда требуется, чтобы сотрудники имели доступ из ВС в открытые сети и Интернет. Контроль в критичной точке контакта с открытой сетью должен осуществляться МЭ. Более правильная ситуация - ВС обеспечивает функции МЭ в каждой точке, где есть ее агент. Такой «распределенный» МЭ контролируется из того же центра безопасности. МЭ и ВС (в случае реализации ВС другими средствами - ОС, специализированным ПО, маршутизатором или аппаратным средством) являются взаимодополняющими системами, решая две связанные задачи: использование открытых сетей в качестве канала недорогой связи (ВС) и обеспечение защиты от атак из открытых сетей при работе с открытой информацией, содержащейся в этих сетях (МЭ). Гарантируя защиту передаваемой информации, ВС не обеспечивает ее защиту во время хранения на конечных компьютерах. Эта задача решается целым рядом специальных средств: систем криптозащиты файлов и дисков (а также почты), систем защиты от НСД к компьютерам, антивирусных систем и т. п. Необходимо обратить внимание на сложную взаимосвязь продуктов защиты информации. Например, система защиты компьютера от НСД должна работать с теми же смарт-картами, что и ВС, а это требует реализации в обеих системах единого интерфейса доступа к смарт-карте. ВС как средство защиты информации должна обладать следующим набором характеристик: • соответствие открытым международным стандартам; • открытые интерфейсы к другим средствам защиты информации; • способность взаимодействовать с одними и теми же «интегрирующими» элементами системы; • способность к масштабированию. Продукты, создаваемые для защиты информации, должны быть совместимы с системами ИОК, известными на российском рынке. И, прежде всего, с сервером сертификатов - программным средством управления ВС. Сервер сертификатов предназначен для хранения в виде базы данных открытых сертификатов всех пользователей ВС. Он осуществляет автоматическую раздачу сертификатов ВС-устройствам и взаимодействие с внешними системами ИОК. Итак, начав с отдельного средства, обеспечивающего оперативное решение проблемы защиты информации (ВС), мы рассмотрели процесс наращивания системы, добавив некоторые самые необходимые компоненты (ИОК, МЭ и т. д.). Вопрос о том, нужно ли использовать ВС, если уже есть МЭ (и наоборот), даже не стоит на повестке дня, так как эти решения выполняют абсолютно разные задачи. Образно говоря, МЭ - это «ограда» вокруг сети, которая препятствует проникновению сквозь нее злоумышленников, в то время как ВС - это «бронированный автомобиль», который защищает ценности при вывозе их за пределы ограды. Поэтому надо использовать оба решения для обеспечения необходимого уровня защищенности информационных ресурсов. Вопрос совместного применения МЭ и ВС возникает в случае защиты КС по всем указанным вариантам, кроме ВС на базе МЭ. Существует две крайности - устанавливать МЭ перед ВС-устройством и после него. В первом случае, возникает ситуация, когда на МЭ из Интернета попадает еще нерасшифрованный трафик, что приводит к невозможности контроля передаваемого содержимого (вирусы, апплеты Java, команды протоколов и т. д.). Во втором случае ситуация несколько лучше, но само устройство ВС становится уязвимым к внешним атакам. Кроме того, оно уже не может осуществлять обработку трафика в зависимости от его содержания или пользователя, являющегося получателем данных. Идеальным решением, к которому пришло большинство зарубежных производителей (Check Point, Cisco Systems и т. д.), а также приходят отечественные разработчики совместить в одном устройстве функции МЭ и ВС. В этом случае указанные проблемы исчезают.