МОДЕЛЬ ПОСТРОЕНИЯ ЗАЩИЩЕННОГО ИНТЕРНЕТА

Система относится к классу информационно-телекоммуникационных систем для приема-передачи и обработки информации, относящейся к государственной (с грифом "секретно" и "совершенно секретно") или служебной тайне (с грифом "конфиденциально"), а также персональных данных, основанных на современных отечественных программных и технических средствах. Предлагаемая система обеспечивает создание защищенной транспортной среды и каналов связи для локальных и территориально распределенных автоматизированных информационных систем (АИС) различного класса защищенности.
Известна система /1/, которая представляет собой систему обработки информации различных уровней конфиденциальности в информационно-телекоммуникационных системах. К ограничениям и недостаткам указанной системы следует отнести:
- отсутствие возможности использования незащищенных каналов связи общего пользования для организации распределенного обмена информацией ограниченного доступа и содержащей сведения, составляющие государственную тайну;
- отсутствие возможности использования технологии пакетной передачи данных с требуемым качеством, используя каналы проводной и беспроводной связи;
- отсутствие возможности создания и совместного использования единых защищенных информационно-поисковых ресурсов для поиска требуемой информации;
- отсутствие единого центра управления безопасностью информации и программно-техническими средствами обеспечения ее защиты;
- отсутствие возможности корректного присвоения IP-адресов для сетевого объединения территориально-разнесенных АИС различного уровня защищенности с использованием технологий Internet.
Вышеуказанные недостатки и ограничения отсутствуют в заявляемой полезной модели "Модель построения защищенного интернета" (МПЗИ), которая направлена на решение задачи распределенного обмена, обработки информации ограниченного доступа (далее по тексту - "конфиденциальная") и информации, содержащей сведения, составляющие государственную тайну (далее по тексту - "секретная"), используя незащищенные каналы связи общего пользования.
Заявляемая система, структура которой представлена на фигуре 1, содержит пять основных унифицированных блоков, обеспечивающих защищенное хранение, обработку, обмен и управление информацией различных уровней доступа, используя для этого незащищенные каналы общего пользования, единый аппарат шифрования данных, дискреционную политику сетевой безопасности, а также политику мандатного доступа, возможностей отечественных программно-аппаратных средств и операционных систем:
блок 1 - УО САИС (1, n) - унифицированный объект секретной автоматизированной информационной системы, количество которых может быть различным в зависимости от количества участников процесса хранения, обработки и обмена требуемой информацией;
блок 12 - УО КАИС (1, m) - унифицированный объект конфиденциальной автоматизированной информационной системы, количество которых может быть различным в зависимости от количества участников процесса хранения, обработки и обмена требуемой информацией;
блок 21 - ТС ИКС ОП - телекоммуникационные сети незащищенных каналов связи общего пользования (Интернет);
блок 22 - ЦУИБ - центр управления информационной безопасностью;
блок 28 - WEB-Ц - WEB-центр.
В унифицированных блоках УО САИС (блоки 1 и 2) и УО КАИС (блоки 12 и 13) осуществляется хранение, обработка, прием-передача (обмен) информацией различного уровня конфиденциальности. В блоке УО САИС (блоки 1 и 2) обеспечивается одновременное хранение и обработка конфиденциальной и секретной информации. В блоке УО КАИС (блоки 12 и 13) обеспечивается хранение и обработка информации с грифом, не выше "конфиденциально". Для этого используются возможности операционных систем в части обеспечения политики мандатного и дискреционного доступа. Вся основная рабочая информация хранится в блоке сервера баз данных (БСБД - блок 7 и блок 17). Часть информации, предназначенной для обмена, хранится на информационных ресурсах блоков серверов приложений конфиденциального и секретного соответственно (БСП-К - блок 6 и блок 16, БСП-С - 5). Для обмена информацией между различными унифицированными автоматизированными информационными системами (АИС) требуемая информация поступает в открытую телекоммуникационную сеть ТС НКС ОП (блок 21) через аппаратно-программное оборудование блоков защиты и транспортировки конфиденциальной и секретной информации соответственно (БЗТИ-К - блок 18, БЗТИ-С - блок 8).
Через центр управления информационной безопасностью (ЦУИБ - блок 22) проходит информация, предназначенная для управления ее потоками, оборудованием криптозащиты и шифрования, а также коммутационным оборудованием блоков защиты и транспортировки информации. Следует отметить, что и управляющая информация перед попаданием в открытые телекоммуникационные сети проходит через блок защиты и транспортировки информации секретного варианта исполнения (БЗТИ-С - блок 24). Это обеспечивает безопасное управление оборудованием защиты информации через пересылку управляющих информационных фондов программно-аппаратных средств защиты и транспортировки информации.
Информация, попадающая и хранящаяся на информационных ресурсах блоков публичных серверов приложений секретного и конфиденциального вариантов исполнения (БПСП-С - блок 35, БПСП-К - блок 36) WEB-центра (WEB-Ц - блок 28) также подвергается криптозащите через программно-аппаратные средства блока защиты и транспортировки информации секретного варианта исполнения (БЗТИ-С - блок 29). Информация, хранящаяся и попадающая на публичные (общие, пользовательские) ресурсы WEB-центра, носит характер поисковой и может иметь разный уровень доступа. Указанная поисковая информация служит для обеспечения возможности поиска требуемых источников необходимой для работы информации, ее уровня доступа и порядка получения или ознакомления из соответствующих баз данных унифицированных АИС - УО САИС (блоки 1 и 2) или УО КАИС (блоки 12 и 13).
Унифицированный блок УО САИС (блоки 1 и 2) состоит из следующих трех частей:
клиентской части (КЧ - блок 3), служащей для обеспечения возможности использования требуемой информации (учет, хранения, анализ, корректировка, подготовка к отправке, прием-передача). Как правило, КЧ строится в виде автоматизированных мест пользователей, которые обеспечиваются необходимыми полномочиями доступа к информации и ее обработке;
секретной серверной части (ССЧ - блок 4), служащей для хранения и обработки информации различных уровней доступа (конфиденциальную и секретную). Реализуется в виде блоков серверов приложений - секретным (БСП-С - блок 5), конфиденциальным (БСП-К - блок 6) и сервера баз данных (СБД - блок 7). Сервера приложений всех вариантов исполнения обеспечивают поддержку HTTP, FTP, SMTP и РОР3 протоколов обмена данными;
блока защиты и транспортировки информации секретного варианта исполнения (БЗТИ-С - блок 8), состоящего из блока криптографической защиты секретной информации (БКЗ-С - блок 9), блока криптографической защиты конфиденциальной информации (БКЗ-К - блок 10), коммутационного блока (КБ - блок 11).
Блоки 9 и 10 служат для обеспечения криптографической защиты (шифрования) передаваемой информации, защиты (сокрытия) адресов пользователей. Блок 11 служит для коммутации поступающей и передаваемой информации от источника к потребителю с учетом управляемых маршрутов безопасности. Иными словами, при информационном обмене данными через ТС НКС ОП (блок 21) осуществляется преобразование передаваемых данных, которое затрагивает как служебные поля информационных пакетов, так и прикладные (рабочие) данные. В первом случае имеется в виду трансляция адресов, помогающая скрыть топологию защищаемой системы. Это свойство позволяет скрывать существование некоторых объектов доступа. Преобразование данных состоит в их шифровании и туннелировании. Туннелирование следует рассматривать как самостоятельный сервис безопасности и маршрутизации. Его суть состоит в том, чтобы "упаковать" передаваемую порцию данных, вместе со служебными полями, в новый пакет.
Унифицированный блок УО КАИС (блоки 12 и 13) также состоит из трех частей:
клиентской части (КЧ - блок 14), назначение которой аналогично КЧ - блок 3. Отличие в том, что гриф обрабатываемой информации не выше "конфиденциально";
конфиденциальной серверной части (КСЧ - блок 15), назначение которой подобно ССЧ - блок 4. Отличие в том, что в КСЧ отсутствует блок сервера приложений, отвечающих за обработку секретной информации БСП-С - блок 5. В состав КСЧ входят только БСП-К - блок 16 и БСБД - блок 17;
блока защиты и транспортировки информации конфиденциального варианта исполнения (БЗТИ-К - блок 18), назначение которого аналогично БЗТИ-С - блок 8. Отличие в том, что из-за отсутствия в его составе БКЗ-С - блока 9 он не позволяет обрабатывать секретную информацию. Состав БЗТИ-К ограничивается БКЗ-К - блок 19 и КБ - блок 20, назначение которых соответствует назначению подобных блоков 10 и 11.
В состав ЦУИБ - блок 22 и WEB-Ц - блок 28 входят аналогичные по своему составу и назначению блоки защиты и транспортировки информации секретного варианта исполнения (блоки 24 и 29) в составе которых имеются: коммутационные блоки (блоки 25 и 30), блоки криптографической защиты конфиденциальные (БКЗ-К - блоки 27 и 32) и секретные (БКЗ-С - блоки 26 и 31).
Блок управления коммутационным оборудованием (БУКО - блок 23) входит в состав ЦУИБ - блока 22 и служит для приема, обработки и передачи управляющей информации на используемое коммутационное оборудование в УО САИС, УО КАИС, ЦУИБ и WEB-Ц (КБ - блоки 11, 20, 25 и 30).
Указанные ранее блоки публичных серверов приложений секретного и конфиденциального вариантов исполнения БПСП-С - блок 35 и БПСП-К - блок 36 входят в состав серверной части центра (СЧЦ - блок 33). Кроме этого, в составе СЧЦ имеется блок серверов имен (БСИ - блок 34), служащий для определения соответствия IP-адресов сети и имен почтовых серверов унифицированных АИС - УО САИС и УО КАИС.
Предложенная модель отражает комплексно-модульный подход реализации защищенного интернета, представляющего пользователям АИС возможности обработки информации и обмена данными в защищенном исполнении. К преимуществам такой реализации защищенного интернета следует отнести /2/:
- использование каналов общего пользования для передачи информации ограниченного доступа, включая сведения, составляющие государственную тайну, а также персональных данных;
- использование единого канала связи для одновременной передачи всех видов информации (данные, а также видео и речь при необходимости);
- использование единого аппарата шифрования для всех видов связи и графика;
- обеспечение комплексной информационной и сетевой безопасности (дискреционная и мандатная политика безопасности);
- защита данных на серверах и клиентах АИС с использованием политики разграничения доступа.
Предложенная схема построения защищенного Интернета обеспечит надежное и бесперебойное функционирование, номенклатуру услуг передачи данных, требуемых для обеспечения функционирования и взаимодействия объектов АИС, качество услуг связи в соответствии с требованиями международных стандартов, безопасность передаваемых по сети данных и защиту ресурсов сети от дезорганизации функционирования через линии и каналы связи.
Представленный вариант построения системы не исчерпывает возможные способы ее практического использования.
Источники, принятые во внимание:
/1/ Свидетельство на полезную модель №85707 от 10.08.2009 г. "Модель безопасной обработки информации различных уровней конфиденциальности в информационно-телекоммуникационных системах" (МБОИ РУК ИТС). - Тверь: ЗНП АО "ОПВЭиФ", 2009 г.
/2/ Объединенный стенд "Инновационные технологии радиоэлектронного комплекса - регионам России", секция №4 "Системы навигации, связи и телекоммуникаций", экспозиция "Защищенные информационно-телекоммуникационные системы на страже социально-экономической безопасности регионов России". - СПб: Международный форум - выставка "Российский промышленник", 2008 г.