Подсистема фильтрации сетевых вызовов программно-аппаратного комплекса "ФПСУ Х.25" предназначена для:
Кроме того, подсистема фильтрации сетевых вызовов реализует дополнительные возможности программно-аппаратного комплекса "ФПСУ X.25": возможность резервирования линии связи сети X.25, возможность интеллектуального сжатия данных, возможность преобразования данных при передаче и контроля за принимаемой информацией.
Подсистема фильтрации сетевых вызовов имеет также встроенный модуль, обеспечивающий возможность дистанционного управления работой МЭ, регистрирующий удаленных администраторов и осуществляющий аутентификацию при взаимодействии МЭ с удалённым администратором. Подробная информация о работе удалённого администратора и механизме двусторонней аутентификации будет изложена в соответствующем разделе.
Механизм управления доступом, осуществляемый МЭ "ФПСУ X.25", базируется на анализе входящих и исходящих вызовов, который заключается в сопоставлении полей в пакете "Запрос Вызова" правилам и данным, установленным при конфигурировании локальным или удалённым администраторами МЭ в таблицах разрешенных соединений.
Основным элементом каждой записи таблиц разрешенных соединений является сетевой адрес абонента или маска адреса.
Сетевой адрес - последовательность цифр длиной не более 15 символов, закрепленная за данным абонентом в сети и однозначно его идентифицирующая. Маска адреса - описатель группы сетевых адресов с общей начальной частью.
Таблицы разрешенных соединений состоят из таблицы внешних соединений и таблицы местных соединений.
Таблица внешних соединений построена по принципу "белого списка" - доступ от неописанных адресов и к неописанным адресам запрещен.
Таблица местных соединений построена по следующему принципу: доступ к неописанным местным адресатам со стороны глобальной сети и к адресатам глобальной сети от неописанных местных особым образом не регламентирован и производится в соответствии с правилами, указанными в таблице внешних соединений для данного адреса абонента глобальной сети.
В таблице внешних соединений содержатся описатели абонентов (групп абонентов) со стороны глобальной сети, включающие:
В таблице местных соединений содержатся описатели абонентов (групп абонентов) со стороны местной (защищаемой) подсети, включающие:
Для усиления механизма защиты о НСД при фильтрации запросов на установление виртуальных соединений для передачи данных по сети к описателям абонентов в описанных выше таблицах соединений при необходимости могут быть подключены интерфейсы доступа.
Под интерфейсом доступа понимается некоторая совокупность правил заполнения полей в пакете "Вызов" и допустимых временных интервалов обращений по дням недели (дате/времени).
Правилами регламентируется наличие или отсутствие протокольных полей услуг и содержимое поля "Данные вызова".
Интерфейс доступа может использоваться при разграничении прав на доступ удалённых абонентов (со стороны глобальной сети) к местным абонентам. Интерфейсы доступа могут подключаться как к элементам таблицы внешних, так и местных соединений или к обоим одновременно.
Контроль доступа удалённого абонента со стороны глобальной сети к конкретному местному абоненту может осуществляться в два этапа:
В интерфейсе доступа можно задавать разрешенные для вызова абонентов временные интервалы, определяемые днем (днями) недели и временами начала и конца работы. Для каждого интерфейса доступа могут быть заданы интервалы работы, вне которых доступ запрещен. Если для какого-либо интервала не задан временной диапазон, доступ по данному временному интервалу будет запрещен.
Описатель "Направление доступа" - указание разрешенного инициатора установления виртуального соединение. Возможны следующие указания:
Режим работы определяет способ обработки запроса: необходимость дальнейшей идентификации и аутентификации запроса с целью подтверждения подлинности удалённого адреса абонента, а также методы передачи данных по установившемуся виртуальному соединению и способы контроля за процессом приёма/передачи данных.
В комплексе реализованы следующие режимы работы:
Режимы сжатия по маске и сжатие по маске с аутентификацией доступны для использования при подключении специальных подсистем через соответствующий открытый интерфейс МЭ.
Режимы работы СЕТЕВЫХ ФИЛЬТРОВ, работающих в паре, должны быть согласованы. Таблица 5-1 отображает совместимость режимов работы двух СФ.
Таблица -1
|
Совместимые режимы работы |
Ретрансляция |
Сжатие |
Сжатие с аутентификацией |
сжатие по |
сжатие по маске с аутентификацией |
|
Ретрансляция |
+ |
- |
- |
- |
- |
|
Сжатие |
- |
+ |
+ |
- |
- |
|
Сжатие с аутентификацией |
- |
+ |
+ |
- |
- |
|
сжатие по |
- |
- |
- |
+ |
+ |
|
сжатие по маске с аутентификацией |
- |
- |
- |
+ |
+ |
Параметрами подсистемы резервирования являются приоритет использования сетевых линий (основной и альтернативной) и ANET-адрес удалённого МЭ, с которым нужно соединиться для установления виртуального соединения с удалённым абонентом c сетевым адресом, указанным в таблице внешних соединений. Приоритет использования может быть следующим:
Механизм работы подсистемы фильтрации сетевых вызовов.
При поступлении на МЭ запроса на установление виртуальных соединений фильтрация осуществляется комплексом "ФПСУ X.25" в следующем порядке:
Дальнейший контроль за установившимся виртуальным соединением будет производиться в зависимости от указанного в таблицах соединений режима работы. Могут быть реализованы идентификация и аутентификация запроса, а также различные методы передачи данных по установившемуся виртуальному соединению и способы контроля за процессом приёма/передачи данных.
Если полученный режим работы отличается от режима "Ретрансляция", данные при межсетевом обмене будут сжиматься. Для реализации механизма сжатия используется высокоэффективный быстродействующий двухпроходный компрессор (по модифицированным схемам LZW и Huffman) с анализом предистории. После сжатия данные будут снабжены необходимыми контрольными суммами и каждый выходящий пакет будет иметь собственный циклический номер, что позволяет контролировать последовательность приема пакетов и их целостность (т.е. количество входящих пакетов с терминальной стороны в принципе больше выходящих в сетевую сторону), поэтому целесообразно на терминальной стороне комплекса устанавливать существенно большую скорость передачи чем на сетевой стороне комплекса.
Если были выбраны режимы "Сжатие по маске", данные будут при приеме и передаче дополнительно пропускаться через специальную подсистему, работающую через открытый интерфейс МЭ.
После этого, если были установлены режимы работы с аутентификацией, на выходящие после сжатия (и преобразования) данные будет наложена логическая маска, выработанная случайным образом в результате процесса аутентификации удалённого (взаимодействующего в данном соединении) МЭ.
Механизм идентификации и аутентификации запросов.
Идентификация и аутентификация запросов абонентов может осуществляться МЭ при условии, что определенный на этапе фильтрации режим работы по установившемуся виртуальному соединению отличен от режима "Ретрансляция".
До окончания процессов идентификации и аутентификации обмен данными между абонентами будет запрещен и попытка передачи данных будет расценена как попытка НСД, в ответ на них будет выдан приказ на разъединение установившегося виртуального соединения с регистрацией данного события в подсистеме статистики и процессы идентификации и аутентификации будут закончены с отрицательным результатом.
На этапе идентификации будет проверено, что удалённый абонент, участвующий в данном соединении, является абонентом подсети, защищаемой удалённым МЭ.
На этапе аутентификации будет проверено, что удалённый МЭ, через который работает удалённый абонент, обладает такими же заранее определенными знаниями об удалённом МЭ, что и данный МЭ, через который работает местный абонент, то есть является тем самым МЭ через который должна осуществляться работа с указанным удалённым адресом.
Механизм идентификации заключается в том, что после получения подтверждения запроса на вызов каждый из двух МЭ, участвующих в соединении, уведомляет противоположную сторону о том, что он является МЭ и производит работу в определенном режиме. Оповещение заключается в передаче каждой стороной пакета специализированного формата, снабженного полями, которые позволяют его однозначно идентифицировать и контролировать. По приему этих пакетов каждая из сторон проверяет их на соответствие их требуемому формату и контролирует их целостность, а также сверяет режим работы удалённого МЭ со своим режимом работы, определенным на этапе фильтрации пакета "Запрос вызова". В случае отрицательного результата проверки идентификация удалённого МЭ считается невыполненной и будет выдан приказ на разъединение установившегося виртуального соединения с регистрацией данного события в подсистеме статистики и процесс идентификации будет закончен с отрицательным результатом.
В случае указания на какой-либо из сторон режимов работы с аутентификацией в идентифицирующем пакете, принятом на противоположной стороне, будет содержаться вопрос, на который она должна выработать ответ, используя заранее установленные локальным администратором данные. МЭ, принявший такой запрос, обязан выслать соответствующий ответ аутентификации удалённому МЭ, который будет соответствующим образом проверен и в случае отрицательного результата проверки аутентификация удалённого МЭ считается невыполненной, а подлинность удалённого адреса абонента - неподтвержденной; будет выдан приказ на разъединение установившегося виртуального соединения с регистрацией данного события в подсистеме статистики и процесс аутентификации будет закончен с отрицательным результатом.
Таким образом, в зависимости от указанных режимов работы, МЭ могут использовать как одностороннюю, так и двустороннюю схемы аутентификации.
Для поддержки данного метода на каждом МЭ, участвующем в процессе аутентификации, локальными администраторами должны быть установлены аутентификационные данные, которые вырабатываются специальным центром генерации аутентификационных данных и являются длинными случайными числами, а в таблице внешних соединений для удалённых адресов на каждом из МЭ, участвующем в соединении, должны быть указаны соответствующие номера аутентификационных данных. Вопрос, задаваемый каждым МЭ в процессе аутентификации удалённого МЭ, является также длинным случайным числом, вырабатываемым в процессе идентификации удалённого МЭ. Сторона, принявшая запрос аутентификации, вырабатывает и отсылает ответ, являющийся хэш-функцией композиции аутентификационных данных, указанных при конфигурировании локальным администратором для данного удалённого адреса, и принятых данных аутентифицирующего вопроса. Сторона, заказавшая аутентификацию, сравнивает принятый ответ со значением хэш-функции композиции аутентификационных данных, указанных при конфигурировании локальным администратором для данного удалённого адреса, и ранее высланных данных аутентифицирующего вопроса.
Аутентификация удалённого МЭ считается выполненной и подлинность удалённого адреса абонента считается подтвержденной, если каждой из сторон, заказавшей аутентификацию, получены правильные ответы на соответствующие аутентификационные вопросы.
Реализованная таким образом в программно-аппаратном комплексе "ФПСУ X.25" схема аутентификации запросов абонентов на установление виртуальных соединений обеспечивает устойчивость аутентификации к пассивному и активному перехвату информации в глобальной сети Х.25, поскольку:
Подсистема разграничения доступа предназначена для предотвращения несанкционированного доступа к компьютеру, на который установлен программно-аппаратный комплекс "ФПСУ X.25", и базируется на использовании платы "Аккорд" и электронных идентификаторов touch-memory. Плата "Аккорд", устанавливаемая в компьютер, производится фирмой "ОКБ САПР" и её наличие обязательно для установки и функционирования комплекса.
Функционирование СЕТЕВОГО ФИЛЬТРА X.25 под управлением ACCESS-TM SHELL даёт возможность избежать случайного или умышленного неквалифицированного вмешательства в работу комплекса, изменения таблиц разрешенных соединений, конфигурации, установки/изъятия данных для аутентификации или дистанционного управления и т.п.
Подсистема ACCESS-TM SHELL является неотъемлемой частью программно-аппаратного комплекса "ФПСУ X.25". После установки подсистема разграничения доступа создаёт на компьютере замкнутую функциональную среду, в которой работает ФПСУ. Вмешательство в логику работы самого комплекса невозможно и любая попытка использовать ФПСУ не по назначению будет блокирована. В то же время собственная среда комплекса содержит широкий ряд возможностей по управлению МЭ и его функциями, подключению дополнительного оборудования и дополнительного программного обеспечения разработчика, просмотру и анализу регистрационной информации и т.д.
Структурная схема подсистемы ACCESS-TM SHELL:
Как видно из схемы, подсистема состоит из следующих основных модулей:
Подсистема ACCESS-TM SHELL функционирует в три этапа.
Этап 1. При включении компьютера после выполнения диагностических тестов BIOS компьютера плата "АККОРД" осуществляет запуск модуля контроля полномочий на старте, который проводит идентификацию пользователя (по предъявленной им таблетке touch-memory) для выдачи разрешения на запуск. В случае отсутствия платы "АККОРД" на компьютере или её неисправности загрузка подсистемы производиться не будет.
Этап 2. В случае успешной идентификации пользователя загружается модуль защиты от НСД данных на жестком диске, который будет защищать информацию на жестком диске от просмотра и модификации и пресекать попытку запуска компьютера с системной дискеты. В случае неполадок в компьютере жёсткий диск с установленным на нем комплексом может быть переставлен на другую машину, оснащенную платой "Аккорд" при условии, что диск будет единственным.
Этап 3. В случае успешного осуществления этапов 1 и 2 выполнение стартового BIOS будет продолжено. После загрузки всей подсистемы модуль разграничения полномочий пользователей будет производить контроль за правом доступа пользователей на управление работой комплекса. Контроль доступа осуществляется путем выдачи приглашения на прижатие электронной ТМ-таблетки к съемнику информации, подсоединенному к плате "АККОРД", идентификации таблетки, сопоставления соответствующих данных с данными о зарегистрированных комплексом идентификаторах и принятии решения о допуске. Администратор, не предъявивший или предъявивший некорректный, незарегистрированный или несоответствующий заказанной операции идентификатор, к подсистемам комплекса допущен не будет.
ACCESS-TM SHELL осуществляет контроль и разграничение доступа местных администраторов в соответствии с их логическим разделением на 4 различных класса. Таблица 5-2 отображает реализованные в комплексе "ФПСУ-Х.25" классы администраторов и доступные для них действия.
Таблица -2
|
Класс |
Разрешенные действия |
|
Оператор |
|
|
Инженер |
|
|
Администратор |
|
|
Главный |
|
Программно-аппаратный комплекс "ФПСУ X.25" содержит модуль регистрации и учета электронных идентификаторов ТМ, идентифицирующих обслуживающий персонал МЭ. Вся информация о зарегистрированных данным МЭ ТМ-идентификаторах содержится в специальной таблице, доступ к которой имеет только пользователь класса "Администратор" при подтверждении таких полномочий. Одна таблетка (инсталляционная) поставляется вместе с программным обеспечением комплекса и регистрируется с правами основной таблетки главного администратора при установке. Другие таблетки средствами программно-аппаратного комплекса "ФПСУ X.25" могут быть зарегистрированы по любому необходимому классу, кроме основной таблетки администратора (которой и является инсталляционная ТМ-таблетка). Если таблетка уже зарегистрирована МЭ, она может быть проверена комплексом на корректность хранимой в ней информации, очищена или перерегистрирована по другому классу (кроме инсталляционной ТМ-таблетки).
Подсистема конфигурирования программно-аппаратного комплекса "ФПСУ Х.25" предназначена для установки и редактирования соответствующих параметров МЭ для обеспечения его работоспособности и реализации его защитных функций. Порядок конфигурирования требуемых параметров подробно описан в Руководстве по конфигурированию МЭ.
Работоспособность МЭ обеспечивается заданием основных параметров его аппаратной конфигурации - номеров портов сетевого адаптера - для активизации линии связи. Кроме основных, подсистема позволяет установить описатели используемых в системе портов Х.25 и времена реакции системы на определённые события. В частности, комплекс позволяет детектировать аппаратные сбои сетевого оборудования и осуществлять аварийный перезапуск своего программного обеспечения через указанное время, в течение которого администратору выдаётся звуковой сигнал тревоги.
Комплекс "ФПСУ Х.25" осуществляет свою основную функцию - фильтрацию межсетевых потоков информации с целью защиты их от НСД - на основании задаваемых администратором критериев (правил) фильтрации и специальных режимов работы МЭ, описанных в разделе 5.1 "Подсистема фильтрации вызовов и правила фильтрации". Подсистема конфигурирования содержит диалоговые средства, позволяющие устанавливать и редактировать параметры комплекса "ФПСУ X.25", обеспечивающие выполнение его защитных функций.
Правила фильтрации, а также специальные режимы работы, задаются при конфигурировании МЭ в таблицах разрешенных (местных и внешних) соединений и подключаемых к ним интерфейсах доступа.
Конфигурационные работы по установке или изменению правил фильтрации и режимов работы на локальном комплексе может производить только пользователь классов "администратор" или "главный администратор", получающий доступ к подсистеме конфигурирования комплекса только при подтверждении своих полномочий, для чего он должен иметь соответствующий электронный идентификатор touch-memory. Конфигурирование сетевых портов может осуществлять пользователь класса "инженер" также при подтверждении своих полномочий (прижатии электронного идентификатора к контактному устройству по запросу подсистемы).
При дистанционном управлении конфигурацию может изменять удалённый администратор, обладающий соответствующими правами и зарегистрированный МЭ.
Регистрация и учет фильтруемых запросов на установление виртуальных соединений и действий администраторов
В программно-аппаратном комплексе "ФПСУ X.25" реализован механизм автоматического автономного сбора полной статистической информации о функционировании МЭ: фильтруемых запросах и действиях локальных и удалённых администраторов.
Комплекс содержит специальную подсистему регистрации (статистики), которая не только накапливает и хранит информацию, но и предоставляет локальному администратору удобные средства для просмотра и анализа накопленных данных, а также осуществляет автоматический их анализ с целью передачи заказанных данных и сигнализации некоторых событий удаленному администратору.
Подсистема статистики позволяет осуществлять регистрацию и учет фильтруемых запросов на установление виртуальных соединений. В процессе фильтрации регистрируются:
Механизм автоматического сбора полной статистической информации о работе МЭ "ФПСУ X.25" позволяет также осуществлять регистрацию и учет действий как локальных администраторов МЭ, так и его удалённых администраторов.
В процессе регистрации действий администраторов фиксируются:
При работе операторов, инженеров и администраторов, обслуживающих МЭ, регистрируются следующие события:
При работе удалённых администраторов на МЭ регистрируются следующие события:
Все данные об указанных событиях записываются в специальное хранилище (MIB-базу объемом 16 Мб) на жесткий диск компьютера МЭ.
Все записи базы данных снабжены контрольными суммами, что обеспечивает возможности проверки целостности.
Хранилище регистрационной информации построено по принципу кольцевого буфера: при его переполнении начальные записи стираются, а текущая запись добавляется в конец списка. Объем хранилища рассчитан на несколько месяцев (при самой интенсивной работе сетевых абонентов), в течение которых регистрационная информация должна быть снята локальным администратором или периодически отправляться удалённому администратору по его запросу для последующего хранения или анализа, иначе она может быть потеряна. При опросах через сеть удаленному администратору отправляются только "новые" записи (которые ранее не передавались).
Возможность ручного удаления регистрационных записей из MIB-базы МЭ отсутствует. Это позволяет исключить попытки сокрытия каких-либо фактов о событиях на МЭ локальными или удалённым администраторами.
Регистрационная информация может быть просмотрена как допущенным специалистом, обслуживающим сам МЭ, так и удалённым администратором, обладающим правом контролировать данный МЭ из любого фрагмента глобальной сети.
Программно-аппаратный комплекс "ФПСУ-Х.25" предоставляет возможность локальному администратору или инженеру:
Накапливаемая статистика автоматически передается аутентифицированному удалённому администратору (при наличии связи в соответствии с заданным временным интервалом опросов), имеющему доступ к данному МЭ, причем администратор кроме того устанавливает и нужные ему типы и подтипы статистики. Передаваемая с МЭ информация накапливается в специальном хранилище удалённого администратора, объем которого ограничен лишь имеющимся свободным пространством на жестком диске компьютера. Удалённый администратор имеет возможность:
Одной из отличительных особенностей работы подсистемы регистрации является то, что информация в базе данных сортируется по типам и соответствующим им подтипам, а также с указанием времени записи, что позволяет:
Контроль процесса фильтрации
Помимо регистрации и учета, программно-аппаратный комплекс "ФПСУ X..25" предоставляет локальным администраторам МЭ возможность непосредственного контроля процесса фильтрации.
При работе МЭ на экран монитора компьютера, оборудованного МЭ, выводится следующая текущая информация по каждому входящему и исходящему вызову:
Дистанционный контроль процесса фильтрации
Программно-аппаратный комплекс "ФПСУ Х.25" содержит возможности для дистанционной сигнализации попыток нарушения правил фильтрации нескольким зарегистрированным на данном МЭ подсистемам удалённого администрирования комплекса. Для этого в подсистеме удалённого администрирования имеется специальный модуль "Мониторинг", который позволяет с указанной периодичностью (задается администратором подсистемы для каждого из зарегистрированных у него удалённых МЭ) производить специальный опрос статуса аутентифицируемых администратором МЭ. Оператор подсистемы удалённого администрирования имеет возможность, используя интуитивно понятный графический интерфейс, контролировать состояние МЭ и указывать различные типы реакции на произошедшие на МЭ события (полученные в результате опроса статуса и автоматического анализа информации опрашиваемого МЭ) как визуальным отображением (в виде отображаемых значков-указателей), так и звуковой сигнализацией для следующих видов событий, относящихся к действиям абонентов:
Имеется также возможность дистанционного оповещения об изменениях правил фильтрации удаленными администраторами нескольких зарегистрированных на данном МЭ подсистем удалённого администрирования комплекса.
[Назад] [Содержание] [Вперед]