Обеспечение скрытной фильтрации трафика сетевыми средствами защиты информации

Средства обеспечения информационной безопасности являются важнейшей составляющей современных информационных систем. Повсеместное внедрение персональных компьютеров, локальных и глобальных вычислительных сетей, связанных в единую инфраструктуру передачи данных, обостряет проблему использования сетевых средств защиты информации. Для обеспечения информационной безопасности в современных высокоскоростных компьютерных сетях широкое распространение получили методы защиты, использующие межсетевые экраны (МЭ). Основная функция МЭ реализуется на основе контроля параметров заголовков сетевых пакетов или состояния виртуальных соединений с целью принятия решения об их пропуске или удалении.

Исследованию проблем обеспечения безопасности информации, выработки новых подходов к построению защищенных информационных систем и способов организации средств защиты в компьютерных сетях посвящены работы А. Я. Городецкого, B.C. Заборовского, Д. П. Зегжды, JI.M. Ухлинова, А. Ю. Щербакова и других.

Одной из угроз, рассматриваемой при создании информационных систем, является несанкционированное воздействие на устройства защиты, в частности атаки на МЭ. Для отражения угроз такого типа в компьютерных сетях применяется режим скрытного функционирования устройств защиты.

Применимо к МЭ скрытность функционирования достигается за счет того, что фильтрующие интерфейсы не имеют сетевых (IP-адресов) и физических (MAC) адресов. Отсутствие адресов позволяет защитить МЭ от несанкционированных воздействий, основанных на использовании адресной информации. При этом локализация МЭ возможна по косвенным признакам, связанным с анализом особенностей их функционирования. К таким признакам, например, относятся статистические характеристики потоков пакетов, которые проходят через МЭ и доступны для непосредственного измерения. Более высокого уровня безопасности МЭ можно достичь, если в процессе работы будет обеспечиваться скрытность его функционирования не только на уровне адресной информации, но и на уровне доступных для измерения статистических характеристик сетевых процессов (трафика).

Реализация такого режима функционирования МЭ определяется возможностями влияния на статистические и динамические характеристики сетевых процессов, связанных с организацией виртуальных транспортных TCP соединений. Во многих исследованиях для описания свойств сетевых процессов предлагается использовать характеристики статистического самоподобия или масштабной инвариантности трафика, которые в современной литературе принято называть фрактальными. Одной из таких характеристик является показатель Херста Я, с помощью которого описывается отличная от марковских процессов статистическая зависимость между отсчетами значений сетевого трафика в различные моменты времени. Из результатов большого числа исследований известно, что для современных компьютерных сетей значение Н соответствует диапазону 0,6-Ю, 8. Это обстоятельство указывает на то, что для описания сетевых процессов непосредственное использование моделей, разработанных в рамках теории систем массового обслуживания (СМО), невозможно, поскольку для них #=0,5.

Актуальной научно-технической задачей, от решения которой зависит возможность реализации режима скрытной фильтрации, является разработка моделей трафика, позволяющих выбирать параметры МЭ, при которых значение Н для потока пакетов на входе и на выходе МЭ остается неизменным. Решение этой задачи позволит идентифицировать фрактальные характеристики трафика и осуществить выбор параметров МЭ, при которых обеспечивается его функционирование в скрытном режиме, что повышает надежность функционирования и уровень безопасности информационных систем в целом.

Цель диссертации.

Целью диссертации является обеспечение скрытной фильтрации трафика сетевыми средствами защиты информации на основе разработки и исследования моделей сетевых процессов, используемых для идентификации фрактальных характеристик трафика и позволяющих выбрать параметры МЭ, при которых обеспечивается его функционирование в режиме скрытной фильтрации.

Для достижения поставленной цели решались следующие основные задачи:

1. Разработка методов описания процессов в компьютерных сетях, используемых для построения моделей трафика с учетом свойств масштабной инвариантности.

2. Разработка модели транспортного TCP соединения, используемой для идентификации параметров состояния сетевой среды и исследования влияния алгоритма управления передачей пакетов на фрактальные характеристики трафика.

3. Разработка метода выбора параметров МЭ, для реализации режима скрытной фильтрации с учетом фрактальных характеристик трафика.

4. Разработка архитектуры программного комплекса идентификации трафика и анализа регистрируемой информации МЭ с целью выбора параметров его настройки.

Методы исследований.

В работе использованы методы статистической обработки данных, теории случайных процессов, математического моделирования, процедурного и объектно-ориентированного программирования.

Основные научные результаты и их новизна.

В диссертации получены следующие основные научные и практические результаты:

Предложен метод описания процессов на уровне виртуальных транспортных соединений с учетом фрактальных свойств потока пакетов.

Разработана модель TCP соединения, которая позволяет рассчитывать статистические характеристики временных задержек передачи данных и определить причины возникновения фрактальных свойств сетевых процессов.

Разработан метод параметрической настройки МЭ, осуществляющих фильтрацию трафика в скрытном режиме, с учетом фрактальных характеристик трафика.

Разработана архитектура и реализованы основные компоненты программного комплекса идентификации и анализа регистрируемой информации для обеспечения скрытной фильтрации трафика сетевыми средствами защиты, в частности МЭ.

Положения, выносимые на защиту.

На основе результатов диссертационного исследования сформулированы следующие положения, выносимые на защиту:

Модель транспортного TCP соединения, которая позволяет рассчитывать статистические характеристики временных задержек передачи данных и определить причину возникновения фрактальных свойств сетевых процессов.

Метод выбора параметров МЭ, для реализации фильтрации трафика в скрытном режиме с учетом фрактальных характеристик сетевых потоков.

Архитектура программных средств идентификации и анализа регистрируемой информации МЭ, а также структура используемой базы данных, соответствующая иерархической связанности сетевых протоколов.

Практическая ценность работы заключается в том, что разработанные модели и методы описания процессов возможно использовать как для создания сетевых средств защиты информации, так и для оценки влияния фрактальных свойств процессов на производительность протоколов транспортного уровня. В основу диссертационной работы положены результаты, полученные автором в период с 2004 по 2007 год, в ходе выполнения научно-исследовательских и опытно-конструкторских работ на кафедре «Телематика» факультета при ЦНИИ РТК ГОУ ВПО «СПбГПУ» и при разработке программного обеспечения анализа регистрируемых данных МЭ, осуществляющих фильтрацию трафика в скрытном режиме и используемых в Федеральной таможенной службе РФ, Министерстве образования и науки, а также в других учреждениях.

Внедрение результатов.

Результаты проведенных исследований нашли практическое применение в разработках, в которых автор принимал личное участие:

1. Разработанное программное обеспечение используется в таможенных органах РФ в рамках проекта «Сопровождение средств сетевой безопасности при интеграции локальных сетей таможенных органов».

2. Разработанные программные средства анализа параметров трафика при использовании МЭ внедрены в эксплуатацию в Федеральной таможенной службе РФ, ФГУ ГНИИ ИТТ «Информика», ОАО «Ленэнерго», правительстве Ленинградской области.

Апробация и публикация результатов работы.

Результаты, полученные в диссертационной работе, докладывались на семинаре «Проблемы современных информационно-вычислительных систем» в МГУ им. М. В. Ломоносова, а также на всероссийских и межвузовских научно-технических конференциях. По теме диссертации опубликовано 7 статей, в том числе 2 на международных конференциях.

Структура и объем диссертации

.

Диссертационная работа общим объемом 153 стр. состоит из введения, четырех глав, заключения и списка литературы (включая 59 рисунков, 3 таблицы и списка литературы из 64 наименований).

Выводы.

Подсистема регистрации межсетевого экрана и программное обеспечение анализа регистрируемой информации позволяют:

1. Обнаружить паразитный, вирусный и закольцованный трафик, наличие которого увеличивает нагрузку сетевого оборудования и каналов связи;

2. Выявить в сети вредоносное и несанкционированное программное обеспечение, например, сетевые сканеры, троянские программы, клиенты пиринговых сетей и др.;

3. Перехватить незашифрованный пользовательский трафик с целью получения паролей и другой информации;

4. Локализовать неисправность или ошибку конфигурации.

ЗАКЛЮЧЕНИЕ

.

На основе полученных в четырех главах диссертации выводов могут быть сформулированы следующие основные результаты:

1. Средства защиты информации в компьютерных сетях, такие как системы обнаружения и предотвращения вторжений, виртуальные частные сети, серверы-посредники, способы трансляции адресов и межсетевые экраны условно можно разделить на два типа: устройства, при функционировании которых существенно используется информация об адресах сетевых интерфейсов и устройства, функционирование которых не связано с использованием этой информации.

2. Межсетевые экраны, функционирующие в режиме скрытной фильтрации не могут быть локализованы в сети, при помощи данных наблюдений непосредственно несвязанных с процессом фильтрации.

3. При проектировании межсетевых экранов в режиме скрытной фильтрации необходимо создание математических моделей, учитывающих фрактальные свойства сетевых процессов.

4. Иерархическая связанность сетевых процессов позволяет строить модели на различных уровнях рассмотрения: от внутренней переменной состояния протокола для отдельного виртуального соединения до агрегированного потока трафика.

5. Измеряемые характеристики трафика можно получить на интервале времени, который связан с минимальным размером пакета и временем жизни виртуального TCP соединения.

6. Свойства сетевых процессов, связанные с самоподобием трафика оказывают существенное воздействие на проектирование буферов. Потребности в буфере начинают стремительно расти при незначительном изменении коэффициента использования.

7. Диффузионная аппроксимация процессов позволяет описать работу межсетевого экрана в режиме скрытной фильтрации в классе моделей СМО с самоподобным входным потоком.

8. Повторные передачи пакетов характеризуются временной однородностью и статистической равномерностью в широком диапазоне измерений, что позволяет использовать случайную величину с равномерным распределением для моделирования моментов возникновения потерь пакетов.

9. Динамику изменения внутренней переменной состояния протокола TCP можно описать в виде мультипликативно-рекурсивной модели со случайными параметрами.

10. Разработанная модель виртуального транспортного соединения, позволяет идентифицировать параметры трафика и влиять на фрактальные характеристики процесса.

11. Показатель Херста Н является инвариантной характеристикой к масштабу измерений, поэтому его неизменность на входе и выходе межсетевого экрана будет условием полной скрытной фильтрации.

12. Параметрическая модель МЭ позволяет получить диапазоны значений размера буфера и производительности, при которых межсетевой экран будет обеспечивать режим скрытной фильтрации.

13. Диапазоны значений получаются при анализе зависимости показателя Херста Н, как функции от производительности при различных значениях размера буфера и интенсивности.

14. При нарушении допустимых диапазонов значений производительности и размера буфера, фильтрация трафика будет осуществляться, но режим скрытной фильтрации будет нарушен.

15. Подсистема регистрации межсетевого экрана и программное обеспечение анализа регистрируемой информации позволяют:

— Обнаружить паразитный трафик, наличие которого увеличивает нагрузку сетевого оборудования и каналов связи;

— Выявить в сети вредоносное и несанкционированное программное обеспечение, например, сетевые сканеры, троянские программы, клиенты пиринговых сетей и др.;

— Перехватить незашифрованный пользовательский трафик с целью получения паролей и другой информации;

— Локализовать неисправность или ошибку конфигурации.

Примеры реализаций изменения окна перегрузки TCP соединения.

Окно перегрузки (байт).

Окно перегрузки (байт) 0|<но перегрузки (байт) 0кно перегрузки (байт).

30 Время (сек) Я S.

Ьа О Ы и х X и >

Окно перегрузки (байт).

2Ь Время (сек).

Окно перегрузки (байт).

Окно перегрузки (байт).

Время (сек) 0.

Окно перегрузки (байт).

Окно перегрузки (байт).

Окно перегрузки (байт) 60 000.

Время (сек) 0.

Окно перегрузки (байт).

Окно перегрузки (байт).