Средства обеспечения сетевой безопасности (СОСБ)

Что такое СОСБ? Как межсетевой экран решает, что пропустить, а что отбросить, где его ставят, что такое VPN туннель и почему я это все объединил?

Урок · ~14 мин · demyanov · курс «Классы СрЗИ»

Для того, чтобы определиться с СОСБ, разберем два основных представителя – межсетевые экраны и криптошлюзы. Разберемся что это такое и почему я объединяю эти два разных типа средств в одну классификацию.

Что такое межсетевой экран

Межсетевой экран (МЭ, файрвол) – средство защиты, которое стоит на стыке сегментов сети и по набору правил решает, какой трафик пропустить, а какой отбросить. Если представить сеть зданием, МЭ – это пропускной пункт между этажами: не охранник, который знает всех в лицо, а проходная с чёткой инструкцией – «кого, куда и по какому делу».

Главная идея – разделение. Пока вся сеть плоская, любой взломанный компьютер видит все остальные. МЭ режет сеть на сегменты и оставляет между ними только те потоки, которые нужны для работы.

Как он принимает решение

Решение строится на правилах. Каждое правило отвечает на вопросы:

• откуда идёт трафик (источник) и куда (получатель);

• по какому протоколу и на какой порт;

• что делать: пропустить, отбросить или отбросить и записать в журнал.

Правила проверяются сверху вниз, срабатывает первое подходящее. Всё, для чего разрешающего правила нет, отбрасывается: принцип «запрещено всё, что явно не разрешено». Экран, в котором это не так, защитой не является.

Современные экраны помнят состояние соединения: ответ на запрос, который изнутри сети ушёл наружу, пропускается сам, а «ответ» без запроса – нет. Экраны нового поколения (NGFW, UTM, про них немного позже) идут дальше и разбирают содержимое: приложения, пользователей, вредоносные вложения.

Посмотри, как это работает

Листай сцены: в каждой подсвечены потоки, которые обрабатывает экран.

Где его ставят

• На границе с внешней сетью – отсекает сканирование и попытки подключиться к закрытым сервисам.

• Между сегментами внутри – ДМЗ, рабочие места, серверы с данными, АСУ ТП. Это то, что сдерживает развитие атаки, если один сегмент уже скомпрометирован.

• На самом узле – «персональный» экран ограничивает входящие и исходящие соединения конкретного сервера или АРМ.

В требованиях ФСТЭК к межсетевым экранам эти варианты закреплены как типы (А – уровня сети, Б – уровня логических границ сети, В – уровня узла, Г – уровня веб-сервера и Д – уровня промышленной сети), а строгость требований к самому средству выражена классом защиты: чем меньше номер, тем выше требования. Это описано в Методическом документе от 12 сентября 2016 г. "ПРОФИЛИ ЗАЩИТЫ МЕЖСЕТЕВЫХ ЭКРАНОВ".

Что такое криптошлюз

Криптошлюз (VPN-шлюз, криптографический шлюз) – средство защиты, которое стоит на стыке защищённого и незащищённого сегментов сети и пропускает трафик через защищённый туннель. Если сеть – здание, то МЭ – это проходная с инструкцией, а криптошлюз – проходная с сейфом и фельдъегерем: он упаковывает данные в опломбированный контейнер, проверяет печати и гарантирует, что по дороге их не прочитали и не подменили.

Главная идея – конфиденциальность и целостность в недоверенной среде. Пока трафик идёт открыто, его можно перехватить, изменить, подделать. КШ создаёт защищённые туннели: шифрует данные, проверяет целостность и подлинность отправителя. Он не заменяет МЭ, а дополняет его: МЭ фильтрует и сегментирует, КШ защищает обмен между сегментами и узлами.

Как он принимает решение

Решение строится на правилах. Каждое правило отвечает на вопросы:

• откуда и куда идёт трафик – источник и получатель, подсеть, идентификатор узла;

• какой это трафик – протокол, порт, направление;

• какая криптополитика – шифровать или пропустить открыто, какой протокол использовать (IPsec, ГОСТ TLS), какие алгоритмы, ключи, сертификаты, период смены ключей;

• что делать: зашифровать и отправить, расшифровать и пропустить, отбросить, отбросить и записать в журнал.

Правила проверяются сверху вниз, срабатывает первое подходящее. Всё, для чего нет разрешающего правила, отбрасывается: принцип «запрещено всё, что явно не разрешено». Классический КШ помнит состояние туннеля: проверяет последовательность пакетов, отсекает повторы, не пропускает данные без действительной имитовставки или подписи. Но он не разбирает содержимое: приложения, пользователи, вложения – это уже не его уровень.

Посмотри, как это работает

Сами алгоритмы шифрования – тема отдельного урока. Главное, что нужно усвоить – защищается целостность и конфиденциальность данных при передаче через недоверенный сегмент сети.

Почему я объединяю МЭ и КШ в один класс

Вычислительные мощности растут у всех аппаратных платформ, поэтому производители начали выпускать решения класса Unified Threat Management (UTM), которые совмещают в себе функционал и МЭ, и КШ. Вдобавок еще и являются средством обнаружения вторжений (СОВ) – разбирают сигнатуры и вычисляют реальные атаки. Не так давно МЭ и КШ были разными устройствами, сейчас это становится одной железкой.

Да и к тому же, сетевая безопасность – это всегда комплекс. Когда ты защищаешь организацию, у тебя зачастую есть передача во внешнюю сеть. Соответственно - нужен и МЭ, и КШ. Если данные не покидают контролируемой зоны, где у вас выстроена физическая безопасность и вы точно знаете, что к вам никто не врежется, чтобы вытащить секретный рецепт краббургера, то достаточно будет МЭ.

Как определиться, что выбрать?

Нужно разделить и отфильтровать? – МЭ. Нужно передать через недоверенную среду – КШ. Нужно и то, и другое – либо две железки, либо UTM. Но сеть без межсетевого экрана – это анархия. Правила нужны в любом случае.

Какие меры закрывают СОСБ

У средства защиты есть то, ради чего его покупают, и то, как оно защищает само себя. Для экрана целевой функционал – контроль информационных потоков и разделение сети на сегменты. Встроенный – идентификация администраторов, журналирование собственных событий и подобное: это тоже закрывает меры, но других групп. Объектами защиты целевого функционала являются все компоненты защищаемого сетевого сегмента – АРМ, сервера, ПЛК, АСО. В общем, все, что подключается к сети. Ниже – не пересказ из учебника, а живые данные: что закрывают средства этого класса в каталоге. Часть экранов в каталоге – комплексы класса UTM со встроенными антивирусом и системой обнаружения вторжений, поэтому среди «целевых» мер могут встретиться и меры из групп АВЗ и СОВ. Не забывай также проверять – для межсетевых экранов, антивирусов и систем обнаружения вторжений нужен соответствующий сертификат ФСТЭК, где все это явно прописано, а не просто "уровень доверия 6". А для функционала криптошлюза необходим сертификат ФСБ.

Какие меры закрывают средства класса «Средства обеспечения сетевой безопасности»

Данные каталога: 3 средств в классе.

• UserGate NGFW – UserGate
• ViPNet Coordinator – ИнфоТеКС
• Континент 4 – Код Безопасности

Приказ ФСТЭК России № 21

Целевым функционалом: АВЗ.1, ИАФ.1, СОВ.1, СОВ.2

Приказ ФСТЭК России № 31

Целевым функционалом: АВЗ.1, АУД.9, ЗИС.2, ЗИС.4, ЗИС.5, ЗИС.6, ЗИС.18, ЗИС.19, ЗИС.35, ИАФ.1, СОВ.1, СОВ.2, УПД.2

Приказ ФСТЭК России № 239

Целевым функционалом: АВЗ.1, АУД.9, ЗИС.2, ЗИС.4, ЗИС.5, ЗИС.6, ЗИС.18, ЗИС.19, ЗИС.35, ИАФ.1, СОВ.1, СОВ.2, УПД.2

Приказ ФСТЭК России № 17

Целевым функционалом: АВЗ.1, ИАФ.1, СОВ.1, СОВ.2, УПД.2

Приказ ФСТЭК России № 117

Целевым функционалом: АВЗ.1, ИАФ.1, ИАФ.3, СОВ.1, СОВ.2, УПД.1

Хочешь увидеть это в таблице — какие меры закрывает набор из экрана, антивируса и ОС — запусти тур по модулю «Перекрытия»:

Интерактивная демонстрация модуля запускается кнопкой «Как это работает» на странице модуля.

Типичные ошибки

• Правило «любой → любой → разрешить». Экран формально стоит, фильтрации нет. Встречается чаще, чем хочется: «временно, чтобы заработало».

• Правила, которые никто не пересматривает. Сервис давно выведен, а доступ к нему остался. Правила нужно периодически сверять с реальными потоками.

• Управление экраном из общей сети. Консоль администрирования должна быть доступна только из выделенного сегмента.

• Один экран без резерва на единственной точке входа. Отказ экрана – это либо остановка сервисов, либо открытая граница.

• Отсутствие мониторинга и пересмотра правил и ключей. Средство стоит, но никто не проверит, оно просто стоит или реально что-то делает.

Проверь себя

1. Что делает межсетевой экран?
2. Что должно происходить с трафиком, для которого нет разрешающего правила?
3. Где ставят межсетевые экраны?
4. Какой функционал межсетевого экрана считается целевым?
5. Почему правило «любой источник → любой получатель → разрешить» считается ошибкой?
6. Главная задача криптошлюза
7. Что криптошлюз, как правило, НЕ делает?
8. Почему МЭ и КШ в уроке объединены в один класс СОСБ?
9. Для функционала криптошлюза в РФ, как правило, необходим сертификат

Другие уроки курса

• Антивирусная защита: от сигнатур до поведения