1.4.2. Реализация базовых услуг безопасности и анализ их применения

Для реализации базовых услуг безопасности в сети (см. табл. 1.1) могут применяться как специальные механизмы защиты («Шифрование», «Заполнение трафика», «Управление маршрутизацией», «Цифровая подпись», «Контроль доступа», «Обеспечение целостности», «Аутентификация», «Нотаризация»), так и общие механизмы защиты («Доверительная функциональность», «Метки безопасности», «Аудиторская проверка»), которые могут быть задействованы для усиления последних [6]. При этом практическая реализация требований ПОЛИТИКА может потребовать различных сочетаний базовых услуг защиты в соответствии с их приоритетами с учетом дифференциации по классу трафика. В табл. 1.1. приведена возможная реализация услуг безопасности отдельными специальными механизмами защиты или их сочетанием. Если служба безопасности определяется в качестве факультативно предусматриваемой отдельным уровнем, это означает, что она реализуется определенными механизмами защиты, работающими в рамках этого уровня, если иное не оговорено. На практике услуги безопасности должны быть включены в соответствующие уровни логической структуры архитектуры сети для обеспечения требований защиты корпоративной сети.

Талица 1.1

Реализация базовых услуг безопасности

	Используемые специальные механизмы защиты
Услуги безопасности	Шифрование	Заполнение трафика	Управление маршрутизацией	Цифровая подпись	Контроль доступа	Обеспечение целостности	Аутентификация	Нотаризация (подтверждение)
Конфиденциальность: - с установлением связи	–	+	+	–	–	–	–	–
- без установления связи	+	+	+	–	–	–	–	–
- отдельных информационных полей	–	–	–	–	–	–	–	–
- трафик	–	+	–	–	–	–	–	–
Аутентификация: - отправителя данных	+	–	–	+	–	+	+	–
- равноправного логического объекта	+	–	–	+	–	+	+	–
Целостность: - с установлением связи	–	–	+	–	–	+	–	–
- без установления связи	+	–	+	–	–	+	–	–
- отдельных информационных полей	+	–	–	–	–	+	–	–
Контроль доступа	–	–	–	–	+	–	–	–
Причастность: - отправка и доставка	–	–	–	+	–	–	–	+
Доступность	–	–	+	–	+	–	+	–

Сравнение базовых моделей архитектур OSI и DARPA–QoS приведено на рис. 1.6.

№ п/п	Модель OSI		№ п/п п/п 6	Модель архитектуры DARPA -QoS
7	Прикладной А			Верхний H
6	Представлений Р
5	Сессий S
4	Транспортный Т		4	Транспортный T
3	Сетевой N		3	Межсетевой IP
2	Канальный L		2	Сетевого интерфейса (доступа), NA
1	Физический Ph		1	Физический, Ph

Рис.1.6. Модели архитектур OSI и DARPA-QoS

Применимость сервисов безопасности на различных уровнях модели ВОС приведена в табл.1.2. В ячейках, где возможно использование услуг IEEE 802.10 (SDE), которые не специфицированы ISO, проставлен символ «?». Пустые ячейки указывают, что на данном уровне услугу не рекомендуется применять.

Таблица 1.2

Применимость сервисов безопасности

Услуга безопасности	Уровни в модели DARPA
	1	2	3	4	5
Конфиденциальность: - с установлением связи	+	+	+	+	+
- без установления связи	–	+	+	+	+
- отдельных информационных полей	–	–	+	–	+
- трафик	+		+	–	+
Аутентификация: - отправителя данных	–	?	+	+	+
- равноправного логического объекта	–	–	+	–	–
Целостность: - с установлением связи	–	–	+	+	+
- без установления связи	–	?	+	+	+
- отдельных информационных полей	–	–	–	–	+
Контроль доступа	–	?	+	+	+
Причастность: - отправка и доставка	–	–	–	–	+

Организация защищенного сеанса связи с установлением соединения предусматривает запрос/подтверждение услуг безопасности на фазе установления защищенного соединения. Если служба безопасности выступает в качестве факультативно предусматриваемой отдельным уровнем, это означает, что она реализуется определенными механизмами защиты, работающими в рамках этого уровня, если иное не оговорено. При этом механизм защиты может включаться в процесс обслуживания протокольного блока уровня для каждого типа информации и/или представлять собой отдельную услугу уровня [19].

Услуги защиты информации предоставляются через интерфейс управления и/или h–службу вызова – совокупность функциональных возможностей h–уровня и нижележащих уровней, предоставляемых (h+1)–объектам на границе h и (h+1)–уровнями (в терминологии ЭМ ВОС) [6,20].

Услуга безопасности – это функциональные возможности h–уровня, которые предоставляются в распоряжение (h+1)–объектам в h–точках доступа к сервисам (СТД) h-уровня, которые играют роль логических интерфейсов (правил взаимодействия между смежными уровнями) между h-объектами и (h+1)-объектами двух смежных уровней.

Точка доступа к сервису–это точка, через которую запрашивается и предоставляется сервис уровня. Каждая точка доступа к сервису имеет индивидуальный адрес, который однозначно идентифицирует конкретный объект (h+1) –уровня, использующий сервис h–уровня, т.е. местоположение h–СТД определяется h–адресом (рис. 1.7). Между (h+1) –объектами, h–объектами и h–СТД существуют определенные соотношения. Во-первых, объекты, имеющие общую СТД, находятся в одной системе. Во-вторых, (h+1) –объект может быть подключен к нескольким h–СТД, соединенным с одними и теми же несколькими h–объектами. Однако в каждый момент каждая N–СТД соединена только с одним N–объектом и только с одним (h+1)–объектом, т. к. h–СТД является «входом» в определенный h– и (h+1)–объект и связана поэтому с идентификацией (адресацией) объектов.

Рис.1.7. Схема предоставления услуги безопасности h–уровня в h–СТД

Одноранговые объекты h–уровня взаимодействуют между собой с помощью одного или нескольких протоколов через логические соединения, создаваемые на (h–1)–уровне. Спецификация протоколов h–уровня определяет процедуры выполнения сервисов, форматы управляющих и информационных полей протокольных блоков уровня (сервисных примитивов уровня), процедуры обмена протокольными блоками между объектами h–уровня в разных открытых системах, а также механизм выбора указанных процедур из списка возможных. Сервисные примитивы – это концептуальные понятия, облегчающие описание последовательности событий при доступе к сервису уровня и представляют первичные, неделимые элементы описания сервиса. Каждый сервисный примитив является именованной (т. е. имеющей уникальное название) совокупностью параметров. Концепция сервиса, предоставляемого уровнем, является одной из основных в модели ВОС.

Сервис уровня определяется через элементы абстрактной модели взаимодействия пользователей сервиса и поставщика сервиса. Эта модель включает в себя следующие понятия (рис.1.8): пользователи N–сервиса, поставщик N–сервиса и сервисные примитивы. Последние разделяются на примитивы: запроса (request), индикации (indication), ответа (response) и подтверждения (confirmation).

Рис.1.8. Модели взаимодействия пользователей сервиса и поставщика сервиса

Услуги безопасности представляют собой абстрактные понятия, которые характеризуют требования безопасности и могут быть реализованы на одном и/или нескольких логических уровнях архитектуры сети. Услуги безопасности могут быть обязательными и факультативными, а также подтвержденными и неподтвержденными. Обязательность услуги означает, что она должна предоставляться во всех реализациях. Факультативные услуги могут предоставляться или нет в зависимости от назначения реализации. Если сервис безопасности определяется в качестве факультативно предусматриваемой отдельным уровнем, это означает, что он реализуется определенными механизмами защиты, работающими в рамках этого уровня, если иное не оговорено. При этом механизм защиты может включаться в процесс обслуживания протокольного блока уровня для каждого типа информации и/или представлять собой отдельную услугу уровня. Подтверждаемые услуги – это те, предоставление которых связано с обменом парой сервисных примитивов – примитивом запроса и примитивом подтверждения. Для некоторых неподтверждаемых услуг обмен сервисными примитивами отсутствует – здесь достаточно только передачи запроса от пользователя сервиса. Изложенные понятия являются основой формализованного описания сервиса. Элементы такого описания в настоящее время стандартизованы МОС и называются соглашениями по сервису.

В сеансе связи в процессе передачи данных по защищенному h–соединению должны быть задействованы конкретные службы защиты. При этом в рамках h–службы должно быть организовано:

– идентификация равноправных объектов (в интервалах);

– защита выбранных полей;

– сигнализация об активных нападениях (например, службой «целостность соединения без восстановления» при возникновении манипуляций данными. Кроме того, может потребоваться запись ревизии следа защиты, обнаружение события и управление событием.

Задействование механизмов защиты может быть реализовано как в виде отдельных процедур, так и являться неотъемлемой частью протоколов установления соединения. Механизмы защиты, предоставляющие услуги безопасности в рамках связных протоколов, будем моделировать системами массового обслуживания с протокольной услугой безопасности (СМОПб), а в рамках отдельных процедур – системами массового обслуживания с самостоятельной услугой безопасности (СМОСб). Последние, в том числе, включают в себя формализацию процессов управления безопасностью и возможно – фазы формирования и передачи сервисных примитивов трафика безопасности на дополнительном логическом уровне архитектуры сети и фазу их обработки в конечных и/или промежуточных системах с учетом QoS–норм передачи основных информационных потоков (Приложение 1). В любом случае реализация механизмов защиты осуществляется по принципам предоставления сервиса ВОС [19].