Архитектура управления средствами сетевой безопасности

Для обеспечения безопасности информационных ресурсов предприятия средства защиты информации обычно размещаются непосредственно в корпоративной сети. МЭ контролируют доступ к корпоративным ресурсам, отражая атаки злоумышленников извне, а шлюзы виртуальных частных сетей (VPN) обеспечивают конфиденциальную передачу информации через открытые глобальные сети, в частности Интернет. Для создания надежной эшелонированной защиты в настоящее время применяются также такие средства безопасности, как системы обнаружения вторжений IDS (IntrusionDetection Systems), средства контроля доступа по содержанию информации, антивирусные системы и др.

Большинство КИС построены на основе программных и аппаратных средств, поставляемых различными производителями.

Каждое из этих средств требует тщательного и специфического конфигурирования, отражающего взаимосвязи между пользователями и доступными им ресурсами. Чтобы обеспечить в гетерогенной КИС надежную защиту информации, нужна рационально организованная система управления безопасностью КИС, которая обеспечила бы безопасность и правильную настройку каждого компонента КИС, постоянно отслеживала происходящие изменения, устанавливала «заплатки» на найденные в системе бреши, контролировала работу пользователей. Очевидно, что чем разнороднее ИС, тем сложнее обеспечить управление ее безопасностью.

Основные понятия

Опыт ведущих предприятий-производителей средств сетевой безопасности показывает, что компания сможет успешно реализовать свою политику безопасности в распределенной КИС, если управление безопасностью будет централизованным и не будет зависеть от используемых ОС и прикладных систем. Кроме того, система регистрации событий, происходящих в КИС (события НСД, изменение привилегий пользователей и т. д.), должна быть единой, чтобы администратор смог составить полную картину происходящих в КИС изменений.

Для решения ряда задач управления безопасностью требуется применение единых вертикальных инфраструктур типа каталога Х.500. Например, политика сетевого доступа требует знания идентификаторов пользователей. Эта информация нужна и другим приложениям, например в системе кадрового учета, в системе однократного доступа к приложениям (Single Sign-On) и т. д. Дублирование одних и тех же данных приводит к необходимости синхронизации, увеличению трудоемкости и возможной путанице. Поэтому, чтобы избежать такого дублирования, часто используют единые вертикальные инфраструктуры.

К таким вертикальным структурам, используемым различными пользовательскими подсистемами, работающими на разных уровнях OSI/ISO, относятся:

инфраструктуры управления открытыми ключами PKI. Следует отметить интересный аспект, пока не получивший широкого распространения, но важный для управления. Сейчас в основном используются цифровые сертификаты в виде так называемых «удостоверений личности» (identity certificates), но уже развиваются и кое-где применяются цифровые сертификаты в виде так называемых «верительных грамот» (credential certificates); выдавая и отзывая такие «верительные грамоты», можно более гибко управлять доступом;
каталоги (например, идентификаторов пользователей и других сведений о пользователях, необходимых в системах управления доступом); примечательно, что каталоги часто используются не только как хранилища данных — в них также часто располагаются политики доступа, сертификаты, списки доступа и др.;
системы аутентификации (обычно RADIUS, серверы TACACS, TACACS+);
системы событийного протоколирования, мониторинга и аудита. Следует отметить, что эти системы не всегда вертикальны, часто специализируются и работают автономно в интересах конкретных подсистем.

Концепция глобального управления безопасностью, позволяющая построить эффективную систему иерархического управления безопасностью гетерогенной сети компании, разработана компанией TrustWorks Systems. Организация централизованного управления безопасностью КИС основана на следующих принципах:

управление безопасностью корпоративной сети должно осуществляться на уровне ГПБ — набора правил безопасности для множества взаимодействий между объектами корпоративной сети, а также между объектами корпоративной сети и внешними объектами;
ГПБ должна соответствовать бизнес-процессам компании. Для этого свойства безопасности объектов и требуемые сервисы безопасности должны быть описаны с учетом их бизнес-ролей в структуре компании.
для отдельных средств защиты формируются ЛПБ. Трансляция ЛПБ должна осуществляться автоматически на основе анализа правил ГПБ и топологии защищаемой сети.

Учитывая, что методология централизованного управления сетевой безопасностью достаточно полно отражает современные тенденции развития технологий безопасности, рассмотрим подробнее эту методологию и некоторые аспекты ее реализации.

Компания «Современные системы безопасности бизнеса» активно внедряет передовые технологии в сферы безопасности бизнеса и технической защиты информации. Основными направлениями нашей деятельности являются: поиск закладных устройств (защита от прослушки, скрытых камер и т.д.); проектирование, монтаж и обслуживание систем безопасности бизнеса: видеонаблюдение; контроль доступа; учет рабочего времени; охранная и пожарная сигнализация; измерения теплопотерь помещений и рекомендации по теплоизоляции; измерения радиоактивного фона в помещениях и на территориях. Звоните нам по указанному номеру телефона и мы ответим на все интересующие Вас вопросы: