3.3.2. Подсистема защиты межсетевого взаимодействия «открытого» контура

Подсистема защиты межсетевого взаимодействия «открытого» контура предназначена для защиты и управления потоками данных между ЛВС «открытого» контура ИС организации и ЛВС «открытых» контуров ее удаленных филиалов через сети общего пользования (сети Интернет, мобильные сети 2G, 3G, 4G и д. р.).

Подсистема защиты межсетевого взаимодействия, открытого «открытого» контура должна обеспечивать:

– контролируемый доступ межсетевого взаимодействия «открытого» контура с системами открытых сегментов ИС через внешние «демилитаризованные зоны». Внешняя «демилитаризованная зона» должна содержать a) сервер доступа для внешних пользователей систем; б) сервер авторизации внешних пользователей систем. Любой внешний доступ к ресурсам, расположенным в «открытом» контуре за пределами «демилитаризованных зон», должен быть запрещен. «Демилитаризованная зона» должна быть подключена непосредственно к внешнему брандмауэру (MЭ). Внешние пользователи должны иметь доступ к серверам «открытого» контура, выделенным в отдельный сегмент, через строго определенный набор протоколов связи и приложений с использованием прокси-механизмов. Внешним сетевым экраном должны быть MЭ, работающие на маршрутизаторах, а именно сетевые фильтры и средства управления доступом, встроенные в операционную систему;

– обеспечение доступа внешних взаимодействующих системам только к ресурсам «демилитаризованных зон» «открытого» контура по строго определенному набору коммуникационных и прикладных протоколов;

– управление всеми внешними экранами в части настроек параметров безопасности;

– фильтрацию на внешних МЭ и маршрутизаторах на принципе «все, что не разрешено, то запрещено». Критерии фильтрации могут быть основаны на применении одного или нескольких правил фильтрации;

– программируемый ответ на события в средстве защиты (возможность генерировать заданный уровень детализации событий в журнале администратору информационной безопасности. Регистрация категорий событий, таких как установка связи, изменение конфигурации и т.д.)

– оперативную сигнализацию на основе защищенного протокола SNMPv.3:

а) локальная сигнализация попыток нарушения правил фильтрации (АИБ «открытого» контура о попытках установления запрещенных соединений непосредственно модулем фильтрации (аудиотрекинг, вывод сообщения на экран, световая индикация и т. д.);

б) дистанционная сигнализация попыток нарушения правил фильтрации (информирование АИБ «открытого» контура и уполномоченных лиц ИС о попытках установления запрещенных соединений с помощью электронной почты, пейджинговой услуги, SMS-сообщений или внешних систем предупреждения);

– контроль отсутствия пакетов в/из «открытого» контура, не соответствующих правилам access-листов маршрутизатора и внешнего МЭ за счет вывода в syslog соответствующих событий;

–контроль информации, передаваемой через систему электронной почты, путем фильтрации протоколов передачи электронной почты специализированными средствами, установленными на серверах, обеспечивающих работу почтовой системы внутри ИС. Правила фильтрации должны регулироваться. Рабочие данные фильтра передаются в подсистему управления безопасностью.

– управление потоками между ЛВС «открытого» контора и системами внешних взаимодействующих сегментов ИС осуществляется фильтрацией на сетевом уровне, а именно:

а) фильтрация для каждого сетевого пакета независимо на основе сетевых адресов отправителя и получателя или на основе других эквивалентных атрибутов. Фильтрация основана на IP-адресах и MAC-адресах;

б) фильтрация на брандмауэрах с учетом любых значимых полей сетевых пакетов;

в) фильтрация пакетов протокола службы, используемых для диагностики и управления работой сетевых устройств. Должна поддерживаться фильтрация ICMP;

г) возможность преобразования сетевых адресов на брандмауэрах. Должно быть реализовано использование маскирующей функции, предполагающей режим модификации проходящих пакетов от субъекта «открытого» контура в систему внешних взаимодействующих сегментов ИС. IP-адрес субъекта (отправителя) изменяется на адрес внешнего сетевого интерфейса внутреннего брандмауэра. При получении ответа на сообщение, посланное данным субъектом, должна происходить обратная процедура;

д) фильтрацию на основе даты/времени и возможность определения временных интервалов для выполнения правил фильтрации;

е) регистрация и учет отфильтрованных пакетов. Параметры регистрации должны включать адрес, время и результат фильтрации;

– управление потоками между ЛВС «открытого» контора и системами внешних взаимодействующих сегментов ИС осуществляется фильтрацией на транспортном уровне, а именно:

а) фильтрация запросов на установление виртуальных соединений. Необходимо учитывать адреса доставки отправителя и получателя. Фильтрация должна основываться на IP-адресах для соединений TCP и UDP;

б) фильтрация даты/времени и возможность определения временных интервалов для выполнения правил фильтрации;

г) регистрация и учет запросов на установление виртуальных соединений;

– управление потоками между ЛВС «открытого» контора и системами внешних взаимодействующих сегментов ИС осуществляется построением защищенных виртуальных сетей (Virtual Private Network, VPN) с возможностью осуществлять централизованное управление компонентами VPN, а именно:

а) должна быть реализована архитектура клиент-сервер, включающая центр управления компонентами VPN;

б) должно быть реализовано централизованное управление конфигурацией компонента VPN (механизм удаленной конфигурации);

в) дистанционная настройка должна осуществляться по защищенному каналу с аутентификацией абонентов канала;

г) осуществляется централизованное распространение криптографических ключей на основе сертификационного органа;

д) должен быть реализован графический интерфейс для создания и модификации профилей конфигурации VPN;

е) должна быть реализована возможность создания резервной копии конфигурации VPN;

ж) должен обеспечиваться непрерывный мониторинг функций защиты агентами, установленными на рабочих станциях и серверах VPN.