ПРИМЕРЫ ПРОФИЛЕЙ ЗАЩИТЫ И СИСТЕМ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ КОРПОРАТИВНЫХ И ТЕЛЕКОММУНИКАЦИОННЫХ СЕТЕЙ

Профиль защиты сети передачи данных ОАО «РЖД»

Общая характеристика корпоративной сети

Одним из важнейших технических компонентов информационной инфраструктуры ОАО «РЖД» является корпоративная сеть передачи данных (СПД), предназначенная для обмена оперативной технологической и управленческой информацией на железнодорожном транспорте России.

СПД ОАО «РЖД» реализует надежную, оперативную и защищенную передачу информации между работниками железнодорожной отрасли и обеспечивает их доступ к ресурсам отраслевых автоматизированных систем. Развитие СПД является важной составной частью процесса информатизации Российских железных дорог и обеспечения их клиентам качественного сервиса при организации процесса перевозок.

Система передачи данных имеет четко выраженную иерархическую архитектуру, разветвленную топологию и состоит из магистрального сегмента СПД и дорожных сегментов СПД (рис. 5.1). Для каждого сегмента определяются зоны ответственности в соответствии с делегируемыми правами. Иерархичность построения СПД обеспечивает централизованный принцип управления, предполагающий безусловный приоритет вышестоящего уровня над нижестоящим.

Магистральный сегмент СПД включает в себя центральный (основной и резервный) узел ГВЦ (Главный центр управления СПД), магистральные части региональных узлов (РУ) 17 регионов ведения

Архитектура СПД и позиционирование магистрального и дорожных

Рис. 5.1. Архитектура СПД и позиционирование магистрального и дорожных

сегментов:

ЦУ ГВЦ — центральный узел Главного вычислительного центра; РУ — региональный узел; ТПУ — транзитно-периферийный узел; ПУ — периферийный узел

железных дорог, Главный центр управления СПД и каналы связи между этими объектами (магистральные каналы СПД). Магистральный сегмент — это распределенная система, включающая в себя управляющее и коммутационное оборудование соответствующих узлов и Главного центра управления СПД.

Дорожный сегмент состоит из совокупности управляющего и коммутационного оборудования дорожной части региональных узлов, а также транзитно-периферийных узлов (ТПУ), периферийных узлов (ПУ) и оконечных узлов.

Региональные, транзитно-периферийные и периферийные узлы объединяются в сеть высокой связности (решетчатая структура), а оконечные узлы подключаются к ним радиально (см. рис. 5.1) на основе оптоволоконных, кабельных и радиорелейных каналов связи с резервированием коммутационного оборудования и каналов связи.

Дорожный сегмент взаимодействует с другими дорожными сегментами СПД через магистральный сегмент СПД. Предусматривается подключение дорожного сегмента к магистральному сегменту СПД через маршрутизаторы, расположенные в РУ. Подключение локальных вычислительных сетей, серверных групп и отдельных рабочих станций к СПД осуществляется с помощью коммутационных устройств: концентраторов, коммутаторов и маршрутизаторов, преимущественно производства компании Cisco. Удаленные пользователи подключаются к СПД, используя модемные соединения.

Распределение информационных потоков по сети осуществляется с помощью маршрутизаторов с программным обеспечением с функциями межсетевого экрана. Перераспределение высокоскоростных потоков информации осуществляется высокоскоростными коммутаторами, выполняющими функции ядра.

Основные функции сети передачи данных ОАО «РЖД»:

  • — передача информации пользователей СПД;
  • — аутентификация и авторизация пользователей СПД;
  • — управление оборудованием и общий контроль состояния СПД.

В дорожном сегменте формируется учетная информация (информация идентификации, аутентификации и авторизации). Эта учетная информация передается в магистральный сегмент, для занесения в базу данных сервера аутентификации и авторизации для реализации разграничительной политики доступа к СПД. Для аутентификации пользователей СПД используется сервер аутентификации TACACS+.

Основным звеном разграничительной политики является сервер аутентификации и авторизации, использующий две базы данных пользователей:

  • — в первой перечислены все пользователи, имеющие доступ к ресурсам СПД;
  • — во второй — все пользователи, имеющие доступ к системе управления СПД.

В списках пользователей указывается имя и пароль пользователя, службы, к которым пользователю разрешен доступ.

Для управления оборудованием магистрального сегмента СПД и контроля состояния СПД в целом используются несколько программных комплексов: программное обеспечение (ПО) управления сетью; ПО удаленного доступа; ПО контроля доступа удаленных пользователей; ПО управления модемным оборудованием; ПО управления источниками бесперебойного питания; ПО управления коммутаторами Х.25; ПО управления при возникновении нештатных ситуаций.

Программный комплекс управления сетью позволяет осуществлять распределенный мониторинг сегментов СПД и управление сетевыми устройствами. Для мониторинга и управления комплекс взаимодействует с программными агентами, установленными на программно-аппаратных средствах СПД, что позволяет обнаруживать сетевые устройства, поддерживающие информационные базы данных управления (MIB), используемые протоколом SNMP. Программный комплекс управления сетью позволяет также собирать информацию о физических соединениях, подключенных устройствах, портах и локальных сетях, непрерывно следит за подключением к сети новых устройств и за статусом оборудования в сети, обеспечивая при этом контроль оборудования, размещенного, в том числе, и в дорожном сегменте.

Вся собираемая программным комплексом управления сетью информация о топологии, событиях и данных передается в центральную базу данных магистрального сегмента СПД. Маршрутизаторы, серверы удаленного доступа и прочее оборудование СПД настроено таким образом, что журналы аудита поступают на сервер аудита магистрального сегмента.

Основной протокол управления СПД — это сетевой протокол SNMP (Simple Network Management Protocol), предоставляющий некоторый универсальный набор средств управления сетевыми устройствами различных производителей и имеющий развитые механизмы безопасности. SNMP является протоколом прикладного уровня.

Основной принцип построения протокола SNMP — распреде- ленно-иерархическая структура (рис. 5.2), основанная на понятиях «менеджер», «агент» и «база данных управляющей информации» (MIB — Management Information Base). Второй важный принцип построения SNMP: вся информация, необходимая для управления устройством, хранится на самом устройстве. Другие принципы SNMP: модульность архитектуры; масштабируемость; обеспечение информационной безопасности.

SNMP-менеджер — копия SNMP, которая может постоянно находиться на локальном или удаленном устройстве. Агент выполня-

Схема построения протокола SNMP

Рис. 5.2. Схема построения протокола SNMP

ет управляющие действия над сетевыми устройствами (снабженными модулями программного обеспечения агента) и порождает (при возникновении определенных событий) извещения от их имени. Агент ответственен за обеспечение доступа к локальной MIB объектов, отражающей ресурсы и действия объектов. Агент, отвечая на команды менеджера, отыскивает значения в MIB и устанавливает их новые значения. В свою очередь, менеджер выдает агентам команды на управляющие воздействия и получает извещения (рис. 5.3).

Схема взаимодействия менеджер—агент

Рис. 5.3. Схема взаимодействия менеджер—агент

MIB — это набор переменных, характеризующих состояние объекта управления. Эти переменные могут отражать такие параметры, как количество пакетов, обработанных устройством, состояние его интерфейсов, время функционирования устройства и т.п. Каждый производитель, кроме стандартных переменных, может включать в MIB еще и специфические переменные. При этом не нарушается принцип доступа к базовым переменным и обеспечивается универсальность протокола SNMP. Поэтому SNMP, как непосредственно сетевой протокол, предоставляет только набор команд для работы с переменными MIB. Для того, чтобы проконтролировать работу некоторого устройства сети, необходимо просто получить доступ к его MIB, которая постоянно обновляется самим устройством, и проанализировать значения некоторых переменных.

Существует 4 основополагающих правила доступа, используемых в схеме агент-менеджер:

  • 1. Каждый пользователь принадлежит определенной группе. Группа определяет политику доступа для набора пользователей.
  • 2. Политика доступа определяет, к каким объектам SNMP можно обращаться для чтения, записи, и создания.
  • 3. Группа определяет список уведомлений, которые ее пользователи могут принимать.
  • 4. Группа также определяет модель безопасности и уровень безопасности для ее пользователей.

В качестве одного из базовых понятий протокола SNMP вводится понятие SNMP-объекта, который состоит из SNMP-процессора и приложений (управляющих сервисов). Каждый SNMP-npo- цессор однозначно описывается уникальным идентификатором SnmpEnginelD. SNMP-процессор присутствует во всех управляемых и управляющих компонентах, обеспечивает услуги отправки и приема сообщений, подтверждения и шифрования сообщений, управления правами доступа к управляемым объектам. Существует взаимнооднозначное соответствие между SNMP-процессором и SNMP-объектом. Основные компоненты архитектуры SNMP представлены на рис. 5.4.

SNMP является протоколом, инкапсулированным в дейтаграммы пользователя. Рис. 5.5 иллюстрирует структуру сообщения.

Первые пять полей относятся к приложениям «генерация/обра- ботка сообщений»:

1) msgVersion: используемая версия SNMP;

Двухуровневая архитектура SNMP-объекта

Рис. 5.4. Двухуровневая архитектура SNMP-объекта

Формат сообщения протокола SNMP v3

Рис. 5.5. Формат сообщения протокола SNMP v3

  • 2) msgID: идентификатор сообщения;
  • 3) msgMaxSize: максимальный размер сообщения, поддерживаемый отправителем сообщения (т.е. максимальный размер сообщения, которое отправитель может принять в ответ на данное сообщение);
  • 4) msgFlags: поле, содержащее разряды для управления обработкой сообщения. Разряд reportable Flag определяет, должно ли быть сообщение возвращено отправителю. Разряды privFlag и authFlag используются для определения отправителем уровня безопасности, получатель сообщения должен использовать такой же уровень.
  • 5) msgSecurityModel: модель безопасности, используемая отправителем (и которую должен использовать получатель).

Следующие поля указывают параметры, используемые моделью безопасности для обеспечения политики безопасности:

  • 6) msgAuthoritativeEnginelD: идентификатор SNMP-процессора;
  • 7) msgAuthoritativeEngineBoots: число раз, которое данный SNMP- процессор инициализировался с момента начальной конфигурации;
  • 8) msgAuthoritativeEngineTime: количество секунд, прошедшее после последней авторизации SNMP-процессора;
  • 9) msgUserName: пользователь, чье защищенное сообщение посылается;
  • 10) msgAuthoritativeParameters (msgAuthenticationParameters): параметры аутентификации.
  • 11) msgPrivacyParameters: параметры секретности.
 
Посмотреть оригинал
< Пред   СОДЕРЖАНИЕ   ОРИГИНАЛ     След >