Добавил:
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз: Предмет: Файл:

Secret Net - Общая архитектура и компоненты

.pdf
Скачиваний:
182
Добавлен:
02.05.2014
Размер:
402.13 Кб
Скачать

глава 2

Общая архитектура и компоненты

Из этой главы Вы узнаете:

Об особенностях архитектуры системы Secret Net

О сервере безопасности и подсистеме управления

О составе клиентской части системы Secret Net

Об особенностях взаимодействия серверной и клиентской частей

13

Secret Net. Принципы построения и применения

Система Secret Net состоит из трех основных частей:

Серверная часть Secret Net

Подсистема

(Сервер безопасности)

управления Secret Net

Клиентская часть Secret Net

(Агенты и клиенты

сервера безопасности)

Серверная часть (сервер безопасности) обеспечивает хранение данных, необходимых для работы защитных механизмов системы Secret Net, в центральной базе данных (ЦБД) системы защиты и обслуживает запросы, поступающие от подсистемы управления и клиентов сервера безопасности. Одной из основных функций сервера безопасности является согласование содержимого ЦБД и локальных баз данных (ЛБД) клиентов и агентов.

Подсистема управления включает в свой состав программы, позволяющие управлять (в том числе и оперативно) защитными механизмами клиентов сервера безопасности, установленных на рабочих станциях и серверах сети, а также получать и корректировать различную информацию, хранящуюся в ЦБД системы защиты.

Клиентская часть обеспечивает необходимую защиту локальных ресурсов рабочей станции или сервера, а также взаимодействие с сервером безопасности, ведение ЛБД. В качестве ЛБД системы защиты могут использоваться как собственные структуры данных системы Secret Net (например, для MS-DOS или Windows 95/98), так и существующие в некоторых операционных системах встроенные базы данных за-

щиты (например, SAM для Windows NT, Bindery или NDS для Novell Netware).

Система защиты Secret Net имеет архитектуру клиент-сервер, при которой серверная часть обеспечивает централизованное хранение и обработку данных системы защиты, а клиентская часть содержит защитные механизмы и обеспечивает хранение части данных в ЛБД. Это позволяет: во-первых, сосредоточить в одном месте все функции управления безопасностью автоматизированной информационной системы организации, во-вторых, повысить устойчивость функционирования всей системы защиты в целом. Клиенты сервера безопасности, установленные на рабочих станциях или серверах сети, могут функционировать независимо от работоспособности сервера безопасности. Выход из строя сервера безопасности приводит лишь к временному прекращению функционирования централизованного управления системой защитой и оповещения о событиях НСД.

На Рис. 1 представлена общая схема размещения составных частей системы Secret Net на рабочих станциях и серверах автоматизированной информационной системы (АИС) предприятия.

14

Глава 2. Общая архитектура и компоненты

Серверная часть Secret Net

Клиентская часть Secret Net

Серверная часть

Подсистема управления

устанавливается на

устанавливается вместе

выделенный компьютер

с клиентской частью на

 

рабочие места

 

администраторов

Клиентская часть Secret Net NT

Клиентская часть

 

устанавливается на

 

рабочие станции и

 

серверы сети

 

Рис. 1. Размещение составных частей Secret Net на компьютерах АИС

Серверная часть системы Secret Net (сервер безопасности) размещается на выделенном компьютере, который входит в состав АИС предприятия.

В том случае, если планируется "защищать" с помощью Secret Net компьютеры, находящиеся под управлением операционных систем Windows NT и Windows 2000, необходимо размещать сервер безопасности на контроллере домена Windows NT, или на компьютере, имеющем с ним связь.

Программы подсистемы управления размещаются на компьютерах сотрудников подразделения по обеспечению информационной безопасности. Управление безопасностью АИС осуществляется администраторами безопасности с использованием программных средств подсистемы управления.

Клиентская часть системы Secret Net (клиенты сервера безопасности) может быть размещена на любом сервере или рабочей станции АИС предприятия. Защищенность информационной системы снижается, если на некоторые рабочие станции (серверы) АИС клиентская часть не устанавливается.

Рассмотрим подробнее архитектуру составных частей системы Secret Net.

Состав серверной части

Схема размещения и взаимодействия компонентов и подсистем, входящих в состав серверной части системы Secret Net представлена на Рис. 2. Эта часть системы размещается (устанавливается) на выделенном компьютере и взаимодействует с клиентской частью системы защиты.

15

Secret Net. Принципы построения и применения

 

Серверная часть Secret Net

 

Выделенный

 

 

Агент

компьютер

IPX

TCP/IP

сервера

 

безопасности на

 

 

 

Криптографическая

Коммуникационная

рабочей станции

 

подсистема

подсистема

 

Ядро сервера безопасности

 

Активные

 

объекты

 

 

 

Активные

Планировщик задач

Универсальный

 

 

интерфейс с СУБД

 

Внешние

СУБД

 

Центральная база

 

данных системы

подсистемы

 

 

 

защиты

 

 

 

Рис. 2. Компоненты серверной части системы Secret Net

Взаимодействие серверной и клиентской частей системы Secret Net обеспечивается ядром сервера безопасности и агентом сервера безопасности, входящим в состав клиентской части. При этом ядро сервера безопасности обеспечивает аутентификацию субъектов, подключающихся к серверу безопасности, и создает так называемые “активные” объекты. Использование механизма активных объектов позволяет с минимальными затратами осуществлять расширение функциональных возможностей сервера безопасности. К числу активных можно отнести следующие объекты:

“Администратор” - обеспечивает взаимодействие с программами подсистемы управления. При создании этого объекта ему присваиваются специальные привилегии пользователя, от имени которого осуществляется управление;

“Клиент” - используется для взаимодействия с агентами клиентов сервера безопасности. Эти объекты хранят всю оперативную информацию о состоянии механизмов защиты клиентов;

“Установщик- обеспечивает взаимодействие с программами установки при установке клиентов на рабочие станции или серверы сети.

Ядро сервера безопасности осуществляет аутентификацию клиентов и программ подсистемы управления. В текущей версии системы аутентификация проводится с использованием секретных личных ключей сотрудников (алгоритм ГОСТ 28147-89). В дальнейшем планируется перейти на аутентификацию с использованием открытых ключей. В результате аутентификации для каждого соединения генерируется сеансовый ключ. Дальнейший обмен данными между сервером безопасности и взаимодействующими с ним прикладными программами осуществляется в защищенном виде.

Система управления базами данных (СУБД) обеспечивает управление данными, хранящимися в ЦБД системы защиты. В текущей версии сервера безопасности используется СУБД Oracle 8.0.

Универсальный интерфейс с СУБД необходим для организации доступа активных объектов сервера безопасности к данным, хранящимся в ЦБД. Этот специализиро-

16

Глава 2. Общая архитектура и компоненты

ванный, независимый интерфейс позволяет использовать различные типы СУБД для организации и ведения ЦБД системы защиты.

Планировщик задач обеспечивает периодический запуск различных внешних подсистем сервера, имеющих непосредственный доступ к ЦБД системы защиты, например, подсистему анализа защищенности. Наличие этого компонента позволяет наращивать возможности сервера по управлению безопасностью сети добавлением дополнительных модулей.

Основу криптографической подсистемы составляет так называемое криптографическое ядро, включающее менеджер алгоритмов и модули, реализующие различные криптографические алгоритмы (ГОСТ 28147-89, ГОСТ Р34.10, ГОСТ Р34.11). Менеджер алгоритмов реализует универсальный криптографический интерфейс, обеспечивающий независимое от типа криптографического алгоритма взаимодействие прикладных программ с этой подсистемой, а также возможность добавления новых алгоритмов.

Коммуникационная подсистема обеспечивает защищенный обмен данными по протоколам TCP/IP и IPX между сервером безопасности и другими компонентами системы Secret Net, например, с клиентами на рабочих станциях и серверах сети. Весь обмен данными производится в защищенном виде. Передаваемые данные подвергаются сначала имитозащите, потом сжатию, а затем криптографической защите.

Таким образом, сервер безопасности обеспечивает:

аутентификацию клиентов и установление с ними защищенных соединений;

взаимодействие с программами управления и ведение ЦБД системы защиты;

синхронизацию содержимого ЦБД и ЛБД системы защиты;

прием от клиентов и предварительную обработку журналов регистрации;

сбор, хранение и выдачу сведений об активности клиентов;

прием и сохранение сообщений о событиях НСД;

получение управляющих воздействий от программ подсистемы управления и оперативную передачу этих воздействий клиентам;

управление криптографическими параметрами системы защиты;

планирование и применение различных внешних подсистем.

Подсистема управления

Подсистема управления обеспечивает:

отображение состояния защищаемых рабочих станций и серверов сети;

оперативное управление защитой рабочих станций и серверов сети;

ведение ЦБД системы защиты (управление пользователями, настройками компьютеров и т.д.);

получение справок и отчетов из ЦБД системы защиты.

Состав подсистемы управления представлен на следующем рисунке:

17

Secret Net. Принципы построения и применения

Сервер

Подсистема управления Secret Net

безопасности

Компонент

Компонент

управления ЦБД

оперативного

системы защиты

управления

Центральная база

Коммуникационная подсистема

TCP/IP

данных системы

IPX

 

защиты

 

 

 

Криптографическая подсистема

клиента Secret Net

Компонент управления ЦБД системы защиты обеспечивает ведение ЦБД на сервере безопасности, корректировку хранимых в ЦБД сведений о различных объектах, просмотр содержимого системных журналов и генерацию различных отчетов.

Для упрощения распределения полномочий пользователей и настройки режимов работы компьютеров используется специальный механизм шаблонов. Шаблон представляет собой некоторую совокупность значений параметров, которой присвоено символическое имя. Применение шаблона к объекту управления приводит к присвоению ему значений, содержащихся в шаблоне. Использование шаблонов позволяет администратору безопасности типизировать наборы параметров для пользователей и наборы настроек компьютеров, применяемых в защищаемой информационной системе.

В качестве объектов управления выступают объекты предметной области (например - “сотрудник”, “задача”, “компьютер” “помещение” и т.д.). Это дает возможность использовать при управлении формализованные электронные документы (заявки) и контролировать состояние информационной безопасности корпоративной сети на основе типовых отчетных документов (формуляры автоматизированных рабочих мест, формуляры задач, перечни пользователей и их полномочий, перечни нарушений и т.п.).

События, происходящие в информационной системе, регистрируются в ряде журналов, перечень которых приведен в Табл. 1.

Табл. 1 – Журналы регистрации

Название журнала

Содержание

Журнал конфликтов обрат-

Содержит записи, необходимые для разрешения

ной синхронизации

конфликтов, возникающих при обратной синхрони-

 

зации

Журнал событий

Содержит записи обо всех событиях, произошед-

 

ших на защищаемых рабочих станциях и серверах

Журнал событий НСД

Содержит записи о событиях НСД, произошедших

 

на защищаемых рабочих станциях и серверах

Системный журнал

Содержит записи, регистрирующие внутренние со-

 

бытия сервера безопасности

Журнал аудита

Содержит регистрационные записи об управляю-

 

щих действиях администраторов разных уровней

18

Глава 2. Общая архитектура и компоненты

Для работы с журналами регистрации применяются процедуры просмотра, сортировки, поиска записей, экспорта их в другие форматы и печати. Также возможно выполнять отбор записей из журналов одновременно по целому ряду критериев.

Содержимое журналов может быть подвергнуто семантическому сжатию, которое заключается в группировке записей. В результате этой операции вместо набора записей в журнал вносится только одна укрупненная запись. Это позволяет уменьшить размер журнала, повысить наглядность представления данных и облегчить его аналитическую обработку.

Средства генерации отчетов позволяют получать различные типы отчетов, в которых данные представлены под интересующим углом зрения.

Компонент оперативного управления предназначен для получения оперативной информации о состоянии рабочих станций и серверов сети, их текущих настройках, списках работающих (активных) пользователей, происшедших событиях НСД и т.д. Подсистема обеспечивает администратору безопасности удаленное защищенное управление рабочими станциями и серверами сети, а также просмотр содержимого экрана в режиме эмуляции терминала. Реализованные алгоритмы работы с изображениями позволяют обеспечить высокую скорость обновления содержимого графического экрана на управляющей станции, а также надежную защиту самого процесса передачи графических данных на сеансовом ключе соединения.

Для защиты данных, передаваемых между компонентами системы управления и сервером безопасности, используется криптографическая подсистема клиентской части рабочей станции, на которой установлена подсистема управления.

Все управляющие воздействия администратора передаются серверу безопасности в виде команд. Сервер безопасности получает, обрабатывает эти команды и управляет выполнением соответствующих действий. В свою очередь сервер безопасности передает подсистеме управления информацию о состоянии всех рабочих станций.

Состав клиентской части

Клиентская часть системы Secret Net состоит из следующих компонентов и подсистем:

агент сервера безопасности;

локальная база данных системы защиты;

подсистема идентификации;

подсистема избирательного управления доступом;

подсистема полномочного управления доступом;

подсистема контроля целостности;

подсистема криптографической защиты;

компонент защиты от загрузки;

На Рис. 3 представлена схема размещения и взаимодействия компонентов и подсистем, входящих в состав клиентской части системы Secret Net. Эта часть системы защиты может размещаться (устанавливаться) на любой рабочей станции или сервере автоматизированной информационной системы предприятия.

19

Secret Net. Принципы построения и применения

 

Клиентская часть Secret Net

Сервер

Локальная база данных

безопасности

системы защиты

Агент

Подсистема полномочного

сервера

безопасности

управления доступом

 

Подсистема

 

криптографической защиты

Подсистема

Подсистема контроля

идентификации

целостности

 

Компонент защиты от

 

загрузки

Рабочая станция

 

Рис. 3. Компоненты клиентской части системы Secret Net

Клиентская часть Secret Net взаимодействует с серверной частью системы защиты. Это взаимодействие осуществляется агентом сервера безопасности, входящим в состав клиентской части.

Агент сервера безопасности

Агент сервера безопасности представляет собой программу, которая запускается на защищенной рабочей станции при ее включении и загрузке. Эта программа взаимодействует с другими компонентами и подсистемами клиентской части системы Secret Net и осуществляет взаимодействие с сервером безопасности.

В процессе работы системы защиты агент сервера безопасности:

устанавливает соединение с сервером безопасности и восстанавливает соединение после перезапуска рабочей станции или сервера безопасности;

синхронизирует системное время рабочей станции с системным временем сервера безопасности;

выполняет аутентификацию пользователя на сервере безопасности при входе пользователя в систему;

обеспечивает обмен данными и обработку команд, поступающих от сервера безопасности;

периодически оповещает сервер безопасности о состоянии рабочей станции;

обрабатывает оперативные сообщения о попытках выполнения пользователем несанкционированных действий, поступающие от подсистем клиентской части системы защиты, иоперативно передаетэти сообщения серверубезопасности;

осуществляет ведение ЛБД системы защиты.

Локальная база данных системы защиты

Локальная база данных предназначена для хранения сведений, необходимых для работы защищенной рабочей станции. База используется агентом сервера безопасности и подсистемой идентификации пользователя.

В ЛБД хранится информация следующих основных категорий:

20

Глава 2. Общая архитектура и компоненты

о пользователях рабочей станции (имя, полномочия пользователей, права доступа к конфиденциальной информации и т.д.);

о локальных ресурсах рабочей станции, переданных в совместное использование, и полномочиях пользователей по доступу к этим ресурсам;

о настройках системы защиты для данной рабочей станции.

Агент по команде сервера безопасности обновляет информацию, хранящуюся в ЛБД, в соответствии с информацией ЦБД. Подсистема идентификации пользователя извлекает из ЛБД сведения, необходимые для его идентификации и аутентификации.

Подсистема идентификации

Подсистема идентификации включает в себя модуль идентификации пользователя, средства аппаратной поддержки (например, изделия Secret Net Touch Memory PCI, Secret Net Touch Memory, электронные замки "Соболь-PCI" и "Соболь", eToken и др.)

и программы-драйверы, с помощью которых осуществляется управление этими аппаратными средствами. На Рис. 4 представлена схема размещения и взаимодействия модулей и компонентов подсистемы идентификации на примере электронного замка "Соболь-PCI".

Подсистема идентификации пользователя

 

Агент

Модуль

Клавиатура

сервера

идентификации

 

безопасности

пользователя

Накопитель

 

 

на сменных

 

 

носителях

 

 

(НГМД и др.)

Средства аппаратной поддержки

 

системы защиты

 

Идентификатор

Рабочая станция

 

Считыватель

Плата "Соболь-PCI"

 

Рис. 4. Компоненты подсистемы идентификации

Модуль идентификации пользователя является программой, которая запускается на защищенной рабочей станции при ее загрузке (перезагрузке). Он обеспечивает выполнение процедур идентификации и аутентификации пользователя, осуществляющего вход в систему. Этот модуль запрашивает и получает информацию о входящем в систему пользователе (имя, пароль, личный ключ пользователя). Затем сравнивает полученную информацию с информацией о пользователях рабочей станции, хранящейся в ЛБД. В том случае, если в ЛБД на данной рабочей станции отсутствует имя, указанное пользователем, процедура загрузки системы прекращается.

Далее модуль идентификации взаимодействует с агентом сервера безопасности данной рабочей станции, передавая ему сведения о входящем в систему пользователе и получая от агента подтверждение полномочий этого пользователя.

Устройством ввода имени и пароля пользователя при его идентификации и аутентификации могут служить стандартные аппаратные средства рабочей станции: клавиатура и накопитель на гибких магнитных дисках (НГМД). В этом случае не требуются дополнительные программные средства, обеспечивающие управление этими устройствами. Если же идентификация пользователя осуществляется с использованием специальных средств аппаратной поддержки системы Secret Net, то-

21

Secret Net. Принципы построения и применения

гда управление этими средствами будет осуществляться программой-драйвером, которая взаимодействует с модулем идентификации. Драйвер управления средствами аппаратной поддержки размещается на рабочей станции и должен быть предварительно установлен вместе с клиентской частью системы защиты.

Подсистема контроля целостности

Подсистема контроля целостности предназначена для контроля неизменности параметров объектов с целью их защиты от модификации. Для этого в соответствии с расписанием контроля определяются текущие параметры проверяемых объектов и сравниваются с ранее полученными эталонными значениями контролируемых параметров. Подсистема включает в себя (см. Рис. 5) следующие компоненты: сервис контроля целостности, программу расчета, пакеты контроля целостности.

Модуль

Подсистема контроля целостности

 

идентификаци

 

 

НЖМД

и пользователя

Сервис контроля целостности

 

Каталог 1

 

Программа расчета

Каталог 2

 

 

 

Каталог 3

 

Пакеты

Пакет 1

 

 

контроля

Пакет 2

 

 

целостности

 

 

 

Пакет 3

 

 

 

Рабочая станция

Рис. 5. Компоненты подсистемы контроля целостности

C подсистемой контроля целостности взаимодействует модуль идентификации пользователя, передающий этой подсистеме расписание проверки целостности объектов. Если целостность объектов нарушена, подсистема контроля целостности оповещает об этом модуль идентификации, который в свою очередь оповещает агента сервера безопасности.

Сервис контроля целостности осуществляет процедуру контроля объектов (файлов, ключей системного реестра и т.д.) в соответствии с заданным расписанием. Сервис вызывает программу расчета, передавая ей задание на получение текущих значений контролируемых параметров для набора объектов, заданного расписанием. Затем, программа расчета осуществляет сравнение вновь полученных значений контролируемых параметров с эталонными значениями, хранящимися в соответствующих пакетах контроля целостности. По окончании этой процедуры модулю идентификации пользователя возвращаются результаты проверки.

Программа расчета предназначена для получения контролируемых параметров проверяемых объектов, например, контрольных сумм или атрибутов файлов, содержащихся в заданном каталоге. Эта программа также обеспечивает создание пакетов контроля целостности, содержащих эталонные значения контролируемых параметров для всех контролируемых объектов и полный путь к каждому из этих объектов. Для расчета контрольных сумм при контроле содержимого объектов используются криптостандарты ГОСТ 28147-89 (имитовставка), ГОСТ Р 34.11-94 (функция хэширования), ГОСТ Р 34.10-94 и ГОСТ Р 34.10-2001 (электронная цифровая подпись), а также алгоритм собственной разработки CRC-7.

22