9.2Реализация Windows ip Security
Операционная система Windows 2000 Server проектировалась так, чтобы обеспечить высокую степень безопасности данных, а также простоту реализации и администрирования.
Формирование стратегии и политик безопасности можно представить в виде четырехэтапной последовательности действий:
Оценка объемов и важности информации, передаваемой по локальной сети и в Интернет.
Формирование сценариев обмена информацией.
Определение уровней секретности для каждого сценария.
Создание политик безопасности.
Вся информация, передаваемая по сетям или по Интернету, может быть перехвачена, изучена или модифицирована. Администратор сети должен определить, какие виды информации наиболее ценны и какие схемы организации связи наиболее уязвимы.
В организациях существует определенный порядок передачи информационных потоков. Администратор системы должен определить такие «предсказуемые» потоки. Например, удаленные пункты продаж могут пересылать в центральный офис данные о предполагаемых продажах, заказы на покупку оборудования и другую финансовую информацию. Каждому такому сценарию передачи информации может назначаться собственная политика IP Security.
Необходимые уровни секретности меняются в зависимости от «чувствительности» информации и от относительной уязвимости канала передачи. Инструментарий Windows 2000 Security Configuration And Analysis позволяет администратору сети быстро установить нужный уровень безопасности.
Примером создания политики безопасности может стать организация с центральным юридическим отделом. Допустим, администраторы сети приняли решение, что связь внутри отдела должна быть безопасной, но не конфиденциальной. Однако связь между юридическим отделом предприятия и другими отделами организации должна быть как безопасной, так и конфиденциальной. Средства обеспечения безопасности Windows IP Security позволяют фильтровать пакеты, созданные внутри юридического отдела. Если пункт назначения информации находится вне этого отдела, то Windows IP Security использует политику, включающую и протокол AH и ESP. Но если пакет просто передается другому адресату внутри юридического отдела, то применяются только AH.
9.3Пример
Приведенный ниже пример иллюстрирует передачу данных от пользователя хост-компьютера A к пользователю компьютера B. В обоих компьютерах реализована безопасность Windows IP Security.
На пользовательском уровне процесс «засекречивания» IP-пакетов совершенно прозрачен. Пользователь 1 запускает приложение, использующее протокол TCP/IP, например, FTP, и пересылает данные пользователю 2.
Политика безопасности, назначенная администратором для компьютеров А и В, определяет уровень безопасности передачи информации между ними. Эти уровни воспринимаются агентом политики и передаются службе ISAKMP/Oakley (она же Internet Key Exchange, IKE) и драйверу IPSEC. Для установления ключа и Security Associations служба ISAKMP/Oakley каждого компьютера использует политику переговоров, связанную с приписанной политикой безопасности. Результаты политики переговоров ISAKMP между двумя компьютерами передаются драйверу IPSEC. Наконец, драйвер IPSEC посылает зашифрованные данные в компьютер B. Драйвер IPSEC компьютера B расшифровывает переданные данные и направляет их принимающей программе.
Рис. 2. Пример размещения средств обеспечения безопасности Windows IP Security.
На рисунке:
Directory Service – Служба каталогов
IP Security Policy – Политика безопасности IP
Policy Agent – Агент политики безопасности
ISAKMP/Oakley Service – Служба ISAKMP/Oakley
SA Negotiation Key Exchange – Переговоры и обмен ключами
Application – Приложение
Transport Layer – Транспортный уровень
Internet Layer – Уровень Интернета
Encrypted IP packets – Зашифрованные IP-пакеты