Информатика и выч. техника \ Теория информационной безопасности и методология защиты информации

Система безопасности корпоративной сети ЯНФЭ ОАО «Уралсвязьинформ». Типовые схемы построения периметра защиты узлов, страница 7

На узлах нижнего уровня (ТУЭС Пуровский, Губкинский, Тазовский, Ямальский, Шурышкарский, Красноселькупский, Муравленковский цех Ноябрьского ТУЭС) установ­лены межсетевые экраны PIX-515E-R-BUN. В данной комплектации оборудования не предусмотрено дополнительного физического интерфейса для организации DMZ. Предос­тавление безопасного контролируемого доступа можно реализовать несколькими спосо­бами:

- доукомплектование дополнительной картой PIX-4FE-66 или PIX-1FE (Рисунок

4.4.2.);

- размещение серверов во внутренней защищаемой зоне и разрешение доступа к

данным ресурсам на МЭ Р1Х-515Е(Рисунок 4.4.3.) без использования DMZ;

- при наличии коммутатора с поддержкой стандарта IEEE 802. lq, включением на

МЭ PIX-515E виртуального интерфейса (Рисунок 4.4.4.).

Рисунок 4.4.2. Организация DMZ в ТУЭС с доукомплектованием дополнительной картой PIX-4FE-66 или PIX-1FE.

Рисунок 4.4.3. Размещение серверов во внутренней защищаемой зоне и разрешение дос­тупа к данным ресурсам на МЭ PIX-515E без использования DMZ

Рисунок 4.4.4. Организация DMZ в ТУЭС с использованием коммутатора с поддержкой стандарта IEEE 802. lq, с включением на МЭ PIX-515E виртуального интерфейса

Решение ТУЭС с текущей конфигурацией оборудования, с размещением серверов во внутренней защищаемой зоне и разрешением доступа к данным ресурсам на межсетевом экране PIX, представленное на Рисунке 4.4.3., наиболее просто реализуемо, не требует до­укомплектования оборудования. Однако имеет крайне невысокий уровень защиты корпо­ративной сети ТУЭС. Компрометация серверов может создать возможность для атаки на любую часть внулренней сети. Данное решение применимо как временное, при невозмож­ности реализации иным способом.

Решение DMZ в ТУЭС с доукомплектованием оборудования PIX дополнительной картой PIX^4FE-66 или PIX-1FE, представленное на Рисунке 4.4.2., наиболее предпочти­тельно. Внешний, внутренний периметры и DMZ соединяются через физически выделен­ные интерфейсы межсетевого экрана. Доступ из сети в сеть контролируется списками дос­тупа и алгоритмом адаптивной безопасности (ASA), реализованным на оборудовании Cisco PIX. Данное решение наиболее предпочтительно, однако требует изменения конфи­гурации оборудования.

Решение DMZ в ТУЭС с использованием коммутатора с поддержкой стандарта IEEE 802.lq, с включением на PIX виртуального интерфейса, представленное на Рисунке 4.4.4., представляет оптимальный компромисс по уровню безопасности. Доступ между сетями также контролируется списками доступа и алгоритмом адаптивной безопасности. Решение реализуемо при наличии коммутатора с поддержкой стандарта IEEE 802.lq.

В настоящий момент комплектация оборудования ТУЭС нижнего уровня (ТУЭС Пу-ровский, Губкинский, Тазовский, Ямальский, Шурышкарский, Красноселькупский, Му-равленковский цех) позволяет реализовать вариант с текущей конфигурацией оборудова­ния (Рисунок 4.4.3.). По мере укомплектования узлов дополнительным оборудованием планируется перейти к схеме с выделенной DMZ (Рисунок 4.4.2.).

Доступ на сервера в DMZ выполняется со статической трансляцией адреса сервера из локального во внешний адрес в сети Интернет. На внешнем интерфейсе МЭ PIX разреша­ется проходение IP пакетов на внешний адрес серверов по определенным портам предос­тавляемых пользователям внешней сети сервисов.

Например,

static (inside,outside) 217.17.182.10 10.169.1.1 netmask 255.255.255.255 О О

access-list inbound permit tcp host 217.106.55.190 host 217.17.182.10 eq ssh

access-group inbound in interface outside

4.5 Управлениесистемойбезопасностикорпоративнойсе­ти

Управление системой безопасности корпоративной сети ЯНФЭ ОАО «Уралсвязьин-форм» предполагается осуществлять из единого центра. В ТУЭС г. Салехард устанавлива­ется система управления Cisco Works VPN/Security Management Solution (VMS). Сервер управления VMS консолидирует информацию от всех МЭ PIX и сенсоров систем обнару­жения вторжений (NIDS).

Конфигурирование, администрирование и мониторинг оборудования производится как через веб-интерфейс сервера управления VMS, так и интегрированными средствами:

- PIX Device Manager (PDM);

- Веб-интерфейс IDM.

Доступ к средствам управления ограничивается IP адресами рабочих станций адми­нистраторов безопасности.

4.6 БезопасностьактивногосетевогооборудованияТУЭС

Зашита активного сетевого оборудования складывается из организационных мер ог­раничения физического доступа к устройствам, а так же мер ограничения локального и удаленного доступа к устройствам для настройки и управления. Доступ к оборудованию защищается зашифрованным паролем, списками доступа (например, доступ разрешается с серверов управления и определенных АРМов). Для централизованной авторизации досту­па к аппаратным и программным ресурсам узлов сети возможно использовать сервер кон­троля доступа RADIUS/TACACS+.

Это позволит вести:

- идентификацию, аутентификацию устройств, процессов, персонала технической

поддержки сети;

- авторизацию доступа;

- ведение журналов аудита событий безопасности;

- документирование действий администратора, управляющего активным обору­дованием;

- регистрацию инцидентов информационной безопасности.

4.7 Дополнительныемерыбезопасностисерверов, рабочих станций, системыуправления

Безопасность серверов, рабочих станций и систем управления организуется встроен­ными средствами информационной защиты программного обеспечения по ограничению и авторизации доступа. Дополнительной мерой защиты будет контроль информационных потоков на маршрутизирующем оборудовании ЛВС, ограничивающий доступ между сег­ментами сети.

Защита сети основывается на защите каждого хоста, это подразумевает ряд органи­зационно-технических мер, как:

- своевременное обновление программного обеспечения;

- настройка используемой по умолчанию конфигурации до приемлемого

уровня безопасности.

Скачать файл