Прозрачный режим работы proxy-серверов позволяет внутрен­ним пользователям соединяться с нужным хостом за один шаг (т.е. без промежуточного соединения с ПАНДОРОЙ).

Система контроля целостности позволяет контролировать безопасность модулей самой системы.

Графический интерфейс управления служит для настройки, администрирования и просмотра статистики ПАНДОРЫ.

ПАНДОРА поставляется вместе с исходными текстами основ­ных программ, для того чтобы можно было убедиться в отсутствии закладок и разобраться, как он работает.

ПАНДОРА сертифицирована Государственной Технической Комиссией при Президенте России. Сертификат N 73 выдан 16 ян­варя 1997 г. и действителен до 16 января 2000 г: " ...система защи­ты информации от НСД в сетях передачи данных по протоколу TCP/IP - межсетевой экран "ПАНДОРА" (ТУ N 1-97) на базе меж­сетевого экрана "Gauntlet" версии 3.1.Н..., функционирующая на платформе операционной системы IRIX v.6.3 фирмы Silicon Graphics, является средством зашиты информации и обеспечивает защиту участка интрасети от доступа извне, не снижая уровня за­щищенности участка интрасети, соответствует техническим усло­виям № 1-97 и требованиям Руководящего документа Гостехко-миссии России "Автоматизированные системы. Защита от несанк­ционированного доступа к информации. Классификация автомати­зированных систем и требования по защите информации" в части администрирования для класса ЗБ".

Задача выбора МЭ для каждого конкретного применения -это, главным образом, вопрос верного соотношения требований пользователей к доступу и вероятности несанкционированного доступа. В идеале система должна предотвращать всякое несанк­ционированное вторжение. Однако, учитывая широкий спектр не­обходимых пользователям сервисов (Web, ftp, telnet, SNMP, NFS, телефония и видео в Internet, электронная почта и др.), наряду с изначальной открытостью комплекта протоколов TCP/IP, - этого идеала достигнуть очень тяжело. В действительности, мерой эф­фективности МЭ служит вовсе не его способность к отказу в пре­доставлении сервисов, но его способность предоставлять сервисы пользователям в эффективной, структурированной и надежной среде. МЭ должны уметь анализировать приходящий и исходящий сетевой трафик и правильно определять, какие действия санкцио­нированы без ненужного замедления работы системы.[2]

И в заключение данного раздела приведем некоторые рекомен­дации по выбору МЭ, которые выработала Ассоциация "Конфидент".

1). Цена. Она колеблется существенно — от 1000 до 15000 долл. при покупке непосредственно у фирм-производителей, большинство которых находится в США; у российских дилеров эти цифры значительно выше из-за таможенных и налоговых сборов. Интересна и такая цифра - цена МЭ для Windows NT в сред­нем составляет 6000 долл. К этой цене надо добавить расходы на аппаратную платформу и ОС, которые могут быть весьма значи­тельными и соизмеримыми со стоимостью самого МЭ — напри­мер, как в случае использования компьютеров Sun под управлени­ем ОС Solaris. Поэтому с точки зрения экономии разумно приме­нять МЭ, ориентированные на Intel-платформу и ОС DOS, Windows NT, Novel 1 NetWare.

2). Фильтрация. Большинство МЭ работает только с семейст­вом протоколов TCP/IP, что связано с ориентацией разработчиков на потребности западного рынка. Этого достаточно, если МЭ при­меняется в классическом варианте — для контроля графика между интрасетью и Internet. Но в России, согласно имеющейся статисти­ке, 90 % рынка сетевых ОС составляет Novell Netware и поэтому важна фильтрация IPX-трафика. Кроме того, совершенно необхо­димой для внутреннего МЭ является способность фильтрации на уровне соединения — например, фильтрации Ethernet-фреймов. К сожалению, эта возможность реализована в очень немногих про­дуктах (например. Firewall Plus и Eiron Firewall).

3). Построение интрасети — при объединении сети организа­ции с Internet в качестве транспортной магистрали нужно исходить из имеющейся инфраструктуры. С этой точки зрения много воз­можностей, имеется в Netware: службы каталогов, управления, пе­чати, защиты и работы с файлами; GroupWise и ManageWise управляют электронным документооборотом и сетью; входящий в состав IntranetWare шлюз IPX/IP организует прозрачный доступ с IPX-станций к сервисам TCP/IP с помощью Winsock-совместимого клиентского ПО. Тогда IPX-сервер и IPX-станция не имеют IP-адресов и из Internet в принципе не видны. Поэтому организация атаки на их информационные ресурсы практически невозможна и защита IP-хостов гетерогенной сети IP-IPX решается проще, так как шлюз выполняет по отношению к ним функции МЭ. Примеры таких МЭ: BorderManager фирмы Novell и NetRoad FireWALL фирмы UkiahSoft.

4). Простота эксплуатации. Чтобы снизить текущие эксплуа­тационные расходы, лучше отдать предпочтение простым в экс­плуатации продуктам с интуитивно понятным графическим ин­терфейсом, иначе богатые возможности по настройке МЭ могут оказаться невостребованными. Этому критерию хорошо соответ­ствуют два продукта — Firewall Plus фирмы Network-1 и NetRoad FireWALL фирмы UkiahSoft.

1.4 Отечественные защищенные системы

Российский стандарт шифрования данных ГОСТ 28147-89

Единственный в настоящее время коммерческий российский алгоритм ГОСТ 28147-89 является универсальным алгоритмом криптографической защиты данных как для крупных информационных систем, так и для локаль­ных вычислительных сетей и автономных компьютеров.

Многолетний опыт использования данного алгоритма показал его высокую надежность и удачную конструкцию. Этот алгоритм может реализовываться как аппаратным, так и программным способом, удовлетворяет всем крипто­графическим требованиям, сложившимся в мировой практике. Он также по­зволяет осуществлять криптозащиту любой информации, независимо от сте­пени ее секретности.

В алгоритме ГОСТ 28147-89 используется 256-разрядный ключ, представляемый в виде восьми 32-разрядных чисел, причем, расшифровываются данные с помощью того же ключа, посредством которого они были зашифрованы.

Необходимо отметить, что алгоритм ГОСТ 28147-89 полностью удовле­творяет всем требованиям криптографии и обладает всеми достоинствами алгоритма DES, но лишен его недостатков. В частности, за счет использова­ния специально разработанных имитовставок он позволяет обнаруживать как случайные, так и умышленные модификации зашифрованной информации. В качестве недостатка российского алгоритма надо отметить большую слож­ность его программной реализации и недостаточно высокую скорость работы.[1]

СУБД “Линтер-ВТ”, разработанной ВНИИ автоматизации управления в непромышленной сфере воронежской фирмой “Рэлекс”, производство которых сертифицировано. Специалисты Лос-Аламосской лаборатории в США считают, что СУБД “Линтер-ВТ” не уступает СУБД фирмы Oracle (“родная” Oracle, чтобы быть сертифицированной, требует доработки, а, кроме того, любой западный продукт может получить сертификат только на определенные партии продуктов, поскольку их производство находится за рубежом). [4]

Криптографические средства семейства “Верба-О” производства МОПНИЭИ(сертифицированы ФАПСИ) . Универсальность установок по умолчанию. Внутренние изменения интерфейса при смене средств незначительны. Спектр применения интерфейса системы защиты информации, приведенного в качестве примера,продукта, приведённого в качестве примера, в весьма широк. Это системы контроля доступа к ресурсам банковской системы (как локальное использование в офисе банка для операторов и клиентов, так и контроль удаленного доступа), системы “банк-клиент”, платежи через Интернет, защищенная почта и многие другие. [3]

2. Интегральные устройства защиты информации

Очень важным вопросом защиты информации является интеграция программно – аппаратных средств обеспечения информационной безопасности. По мнению В. С. Барсукова, имеется явно выраженная тенденция ко все большей интеграции различных средств и систем связи, что вызывает необходимость единого интегрального подхода к регистрации, хранению и обеспечению безопасности всех видов передаваемой информации. Современ­ные СП-приложения с использованием интегрального подхода позволяют обеспечить реализацию интегральных программно-аппаратных средств защи­ты информации с заданными оперативно-техническими характеристиками. [1]

Из современных отечественных интегральных устройств защиты инфор­мации в качестве примера реализации можно отметить разработки фирмы "Силуэт". Отечественная интегральная система "Калейдоскоп- плюс" предна­значена для передачи с помощью ПК закрытой текстовой и факсимильной информации по общедоступным каналам связи. В процессе работы информа­ция приводится к единому цифровому виду и шифруется по алгоритму шиф­рования в соответствии с ГОСТ 28147-89. Скорость шифрования - 3 кбод. Система имеет возможность выработки собственных ключей. Скорость пере­дачи информации до 1200 бод с вероятностью ошибки на знак, равной 10 в степени (-8). Информация передается по каналам связи с использованием типовых модемов отечественного или зарубежного производства. Возможно включение в систему редактора текстовой информации требуемого типа.

Абонентский пункт "МАГ" предназначен для коммерческой шифрованной связи по коммутируемым телефонным и телеграфным каналам. Он обеспечивает:

• передачу факсимильной информации;

• автоматическое опознавание абонента;

• скорость шифрования 40 кбод;

• скорость передачи информации до 1200 бод (вероятность ошибки на знак равна 10 в степени (-6);

• криптозащиту информации на дисках и в канале связи;

• имитозащиту (контроль целостности данных);

• диалоговый режим;

• использование открытых ключей.

Состав абонентского пункта "МАГ":

• IBM PC;

• модем;

• устройство речевого ввода/вывода на основе микросхемы TMS 320C25;

• факсимильный аппарат OKIFAX;

• ПО.

Удачной отечественной разработкой является интегральное терми­нальное устройство "Индекс" фирмы "Скинер", которое предназначено для закрытой передачи речевой, графической, буквенно-цифровой и другой ин­формации по стандартным коммерческим телефонным каналам связи. Инте­гральное устройство выполнено в виде печатной платы к ПК IBM PC и спе­циального программного обеспечения. Возможен вариант реализации в виде внешнего блока, подключаемого к ПК через параллельный порт. Необходимо отметить, что поскольку аппаратное и программное обеспечение данного ин­тегрального устройства являются общими, то реально выделить в явном виде функциональные блоки устройства не представляется возможным. Поэтому для пояснения возможностей и проведения дальнейшего анализа на рис.1 показаны состав и основные функциональные связи между виртуальными блоками (одни и те же элементы и фрагменты программ могут быть исполь­зованы различными блоками).

Как видно из рисунка, основной особенностью данного терминального устройства является не только его многофункциональность (модем, автосек­ретарь, устройство защиты и т. п.), интеграция различных видов сигналов (телефонных, телеграфных, факсимильных, компьютерных и др.), но и инте­грация различных видов обеспечения безопасности (охрана, физическая и экологическая защита, криптозащита, защита от побочных электромагнит­ных излучений и наводок и др.).

Автоответчик

Факс

Блок коммутации и управления

Блок охраны и физической защиты

Интерфейс связи с внешними устройствами

Шифратор

Генератор шума

Модем

Блок аналогового и цифро-аналогового преобразования