7. А.2. Архитектура безопасности сетей связи

Структура сетевой архитектуры безопасности включает принципы описания структуры обеспечения безопасности сети «из конца в конец». Общие положения сетевой архитектуры безопасности изложены в рекомендации международного союза электросвязи ITU-T Х.805 [26]. Эта рекомендация закладывает основы для разработки общих и детальных рекомендаций по этим вопросам для конкретных сетей. При изложении материала настоящей работы термин «сетевая безопасность» часто будет заменён широко используемым в литературе равнозначным ему термином «информационная безопасность в сетях» или просто «информационная безопасность» (ИБ).

Архитектура безопасности включает комплексное рассмотрение следующих аспектов ИБ:

• Какие необходимы способы обеспечения ИБ и от каких угроз?

• Какие группы сетевого оборудования должны быть защищены?

• Какие функции сети нуждаются в защите?

Эти вопросы относятся в указанной рекомендации [26] к следующим трём составляющим архитектуры: угрозы ИБ и способы обеспечения безопасности, уровни безопасности и плоскости безопасности. Выше перечислены намеренные угрозы в сетях связи общего пользования согласно рекомендации ITU-T E.408.

1. А.2.1. Способы обеспечения информационной безопасности

Способы обеспечения информационной безопасности в сетях определяют политику безопасности конкретной сети и включают комплекс мер (характеристик): управление доступом, аутентификация, неотказуемость авторства, конфиденциальность данных, безопасность связи, целостность данных, готовность, приватность. Все эти способы защищают от всех основных угроз ИБ. Согласно рекомендации Х.800 под угрозой понимается потенциальное нарушение ИБ.

1. Управление доступом

Управлением доступом защищает от несанкционированного использования сетевых ресурсов персоналом или устройствами.

2. Аутентификация

Аутентификация гарантирует подлинность участвующих в связи заявляемой личности, устройства, услуги или приложения. Это понятие также известно под названием «подлинность источника данных» (data origin authentication).

3. Неотказуемость

Неотказуемость обеспечивает средства для предотвращения со стороны индивидуума или объекта отрицания выполнения конкретных действий, связанных с сетью (таких как доказательство обязательства, намерения готовности; доказательства источника данных, доказательства использования ресурса). Гарантируется наличие данных, которые могут быть представлены третьей стороне и которые могут использоваться как доказательство того, что некоторое событие имело место.

4. Конфиденциальность данных

Конфиденциальность данных защищает данные от неправомочного раскрытия. Конфиденциальность данных гарантирует, что содержание данных не может быть понято объектами, которые не имеют на это права.

5. Безопасность связи

Гарантия того, что информационные потоки проходят между санкционированными пунктами (т.е. информация не изменяет направление и не перехватывается).

6. Целостность данных

Уверенность в том, что данные не были изменены на пути от отправителя к получателю. Под аутентификацией сообщений понимается одновременное обеспечение подлинности источника сообщения (т.е. его аутентификация) и целостность данных поступившего от него сообщения.

7. Готовность (доступность)

Гарантия того, что нет отказа санкционированному доступу к устройству сети, хранимой информации, информационным потокам, услугам сети и приложениям. Решения по восстановлению таких отказов включены в эту категории.

8. Приватность

Гарантия защиты приватной информации пользователя от раскрытия при передаче её по сети. Примером может быть географическое местоположение пользователя мобильной сетью.

2. А.2.2. Уровни безопасности

Приведённые выше способы обеспечения ИБ применяются к группе оборудования и их функциям с учётом иерархического принципа их деления по уровням. В Рекомендации ITU-T X.805 [26] определено 3 уровня безопасности: уровень безопасности инфраструктуры (Infrastructure Security), уровень безопасности услуг (Services Security) и уровень безопасности приложений (Applications Security).

Уровень безопасности инфраструктуры обеспечивает уровень безопасности услуг, а уровень безопасности услуг обеспечивает уровень безопасности приложений. Для каждого из этих уровней свойственны определённые уязвимости от угроз безопасности и способы защиты от них. Все приведённые выше способы обеспечения безопасности могут применяться к разным уровням безопасности, которые не будем путать с уровнями эталонной модели взаимодействия открытых систем.

Уровень безопасности инфраструктуры относится к функциям основных устройств сети. Примерами таких устройств являются коммутаторы, маршрутизаторы, серверы, а также каналы связи между ними. Уровень безопасности услуг относится к функциям услуг, предоставляемых провайдером пользователю. Примером услуг является виртуальная частная сеть VPN (Virtual Private Network).

Уровень безопасности приложений относится к функциям доступных пользователю приложений. Примером приложений являются электронная почта, передача файлов FTP (File Transfer Protocol) и др.