Идентификация сетевого оборудования и анализ рисков

В RFC 1244 определяется, что сетевое оборудование (network assets) включает в себя сетевые узлы (включая операционные системы устройств, приложения и данные), уст­ройства, которые объединяют отдельные сети (такие как маршрутизаторы и коммута­торы) и данные, проходящие по сети. Что менее очевидно, но также важно, оборудо­вание может включать в себя интеллектуальную собственность, коммерческие секреты и репутацию компании.

Риски для сети могут вызываться разнообразными ситуациями: от враждебного вторжения в сеть до неопытного и неосторожного пользователя, который загружает Internet-приложения, содержащие вирусы. Злоумышленник, вторгшийся в сеть, мо­жет похитить данные, изменить их или вызвать отказ в обслуживании легитимных пользователей (такого .рода атаки, называемые “отказом в обслуживании” [denial- of-service — DoS], становятся в последние годы все более распространенными).

Анализ требований безопасности и возможных компромиссных решений

Как и для большинства технических требований при проектировании, достиже­ние целей обеспечения безопасности означает поиск компромиссных решений, как это описывается в RFC 1244. В данном случае необходимо найти компромисс между целями обеспечения безопасности и финансовыми возможностями, удобством пользователя, производительностью и доступностью. Обеспечение безопасности также увеличивает объем работ сетевого менеджмента, поскольку необходимо обес­печивать поддержку идентификаторов (ID) пользователей, паролей и журналов ре­гистрации работы пользователей в сети.

Кроме того, обеспечение безопасности оказывает влияние на производитель­ность сети. Выполнение функций безопасности, таких как фильтрация пакетов и шифрование данных потребляют мощность процессора CPU и память рабочих станций, маршрутизаторов и серверов.

Шифрование может расходовать до 15 процентов доступной мощности процес­сора CPU маршрутизатора или сервера. Шифрование может выполняться на выде­ленных устройствах, а не на совместно используемых маршрутизаторах или серве­рах, однако это по-прежнему оказывает влияние на производительность сети по причине задержки, которую испытывают пакеты при шифровании или дешифровке.

Шифрование может уменьшить уровень избыточности сети. Если все данные должны проходить через шифрующее устройство, то оно становится узловой точкой при возможном сбое, что затрудняет решение вопросов доступности сети. Шифро­вание также затрудняет уравновешивание нагрузки. Для достижения максимальной производительности и минимизации сложности механизмов безопасности маршру­тизатор, на котором происходит шифрование, не должен, вероятно, использоваться для уравновешивания нагрузки. Эта функция может по-прежнему использоваться, однако только в том случае, если она выполняется прозрачно доя маршрутизаторов, осуществляющих шифрование. Устройства, находящиеся между шифрующими маршрутизаторами, могут без проблем осуществлять уравновешивание нагрузки.

Разработка плана действий по обеспечению безопасности

В RFC 1244 указывается, что одним из первых этапов проектирования механиз­мов безопасности является разработка плана безопасности. Под планом безопасно­сти понимается документ высокого уровня, в котором указывается, какая организа­ция должна обеспечить выполнение требований безопасности. В этом плане указы­ваются сроки, сотрудники и другие ресурсы, требуемые для разработки политики безопасности и технической реализации этой политики. Сетевой проектировщик может помочь своему заказчику разработать план, который будет практичным и со­ответствующим конкретной ситуации. Этот план должен основываться на задачах, стоящих перед заказчиком и на анализе сетевого оборудования и рисков.

План безопасности должен учитывать топологию сети и включать в себя список се­тевых служб, которые будут предоставляться пользователям (таких как протокол FTP, Web-приложения, электронная почта и т.д.). В этом списке должно быть указано, кто обеспечивает данную службу, кто имеет доступ к службам, каким образом осуществля­ется доступ и кто выполняет административные работы в отношении этих служб).

Сетевой проектировщик может помочь пользователю оценить, какие службы дей­ствительно являются необходимыми для заказчика, исходя из характера деятельности заказчика и стоящих перед ним технических задач. Иногда новые службы добавляются без необходимости, просто потому что они являются последними течениями моды. Добавление служб может потребовать установки новых фильтров на маршрутизаторах и брандмауэров для защиты этих служб. Возможно также, что новые службы потребу­ют дополнительной аутентификации пользователей, ограничивающей доступ к служ­бам, что усложняет стратегию обеспечения безопасности. Следует избегать чрезмерно сложных стратегий безопасности, поскольку они могут оказаться саморазрушитель­ными. Сложные стратегии безопасности трудно правильно реализовать без одновре­менного создания новых неожиданных незащищенных мест.

Одним из наиболее важных аспектов плана безопасности является указание лиц, участвующих в создании системы безопасности в сети. По этой причине важно дать ответы на следующие вопросы.

• Будут ли приниматься в штат администраторы, специализирующиеся на сис­темах безопасности?

• Каким образом будут вовлечены в процесс обеспечения безопасности конеч­ные пользователи и их менеджеры?

• Каким образом будет происходить обучение и тренировка выполнения проце­дур обеспечения безопасности конечных пользователей, менеджеров и техни­ческого персонала?

Для того, чтобы план безопасности оказался полезным, он должен поддержи­ваться сотрудниками организации всех уровней. Особенно важно чтобы план безо­пасности полностью поддерживался корпоративным управлением. С ним должны быть ознакомлены технический персонал и конечные пользователи в главном офисе и в филиалах (удаленных узлах).