Реализация виртуальных частных сетей

После того, как принято решение о реализации VPN-сети, необходимо принять соответствующие меры для обеспечения адекватной защиты инфраструктуры; перед началом реализации необходимо строго определить приложение и цели его приме­нения.

Аудит безопасности

Аудит безопасности системы проводиться для того, чтобы после реализации VPN-сети уязвимость в брандмауэре, приложении удаленного доступа или методе аутентификации не стала открытой более широкой аудитории, чем до реализации этой сети. Эти меры обеспечения безопасности заслуживают всестороннего аудита по крайней периметра сети, который может быть атакован как изнутри сети так и извне. Такая оценка должна включать в себя аудит всех входных соединений в ин­транет-сеть, включая серверы удаленного доступа, соединения на базе маршрутиза­торов и соединения с экстранет. В случае экстранет VPN-сети такая оценка также должна включать анализ периметра сетей организаций-партнеров.

Сфера действия сети и требования приложений

После того, как выполнен аудит безопасности, необходимо определить сферу действия VPN-сети путем идентификации конечных пользователей (таких как парт­неры, подрядчики и телеработники), которые бы могли получать доступ к VPN-сети и приложениям.

Этот этап включает в себя оценку приложений, которые будут использоваться, и сте­пень чувствительности данных которые они будут передавать. Оценка чувствительности приложений позволит выбрать соответствующие службы безопасности и адекватное шифрование.

Далее необходимо определить и протестировать задержку и потребности в каче­стве обслуживания QoS всех приложений, которые будут поддерживаться VPN- сетью. Даже приложения, которые можно рассматривать как допускающие времен­ное хранение в буфере с последующей отправкой (store-and-forward) могут оказаться в некоторых конфигурациях чувствительными к задержке. Эти уровни чувствитель­ности влияют на то, в какой степени приложение является подходящим для VPN- сети и поможет определить характер соответствующей сети.

Документация

В случае экстранет-сети VPN, администрация предприятия должна зафиксиро­вать правила поведения пользователей в специальном документе. При использова­нии удаленного доступа этот документ должен быть соответствующим образом мо­дифицирован и отражать политику администрации по отношению к новой форме доступа пользователей.

Политика безопасности

В случае экстранет-сети VPN, например, работа в виртуальной частной сети оп­ределяется политикой аутентификации и авторизации.

Авторизация должна основываться на общих (generic) ролях, которые определя­ются работающими в данной сети предприятиями. (Эти роли должны быть преобра­зованы для индивидуальных пользователей в принимающих участие предприятиях). Эта общая роль должна иметь базовые привилегии — включая доступ к сети и дос­туп к Web-серверу — к уровням хранения продуктов поставщиков. Эти роли должны быть позднее преобразованы в определенный набор данных и распространены по VPN-сети. Политика в экстранет-сети должна быть интегрирована в положение о взаимопонимании между включенными в сеть пользователями.

Политика удаленного доступа в виртуальной частной сети не должна радикально отличаться от уже существующей. Наиболее важным отличием от традиционной по­литики удаленного доступа может быть “допустимое (приемлемое) использование” для доступа в Internet, там где это применимо. Так же, как любой основанный на Internet доступ должен проводить двухфакторную, основанную на передаче маркера аутентификацию, проводимая политика должна включать в себя положение о том, как наиболее безопасно использовать эти маркеры.