МЕЖСЕТЕВОЙ ЭКРАН С ФИЛЬТРАЦИЕЙ ТРАФИКА ПО МАНДАТНЫМ МЕТКАМ

Полезная модель относится к информационным вычислительным системам и сетям, а более конкретно к средствам защиты от несанкционированного доступа посредством фильтрации проходящих через него сетевых пакетов, в том числе с мандатными метками, в соответствии с заданными правилами.
Необходимость борьбы с несанкционированным доступом (НСД) и требования, которым должны соответствовать системы, работающие с различной конфиденциальной информацией, определены в ряде нормативных документов по защите информации. Механизмы управления доступом являются основой защиты ресурсов от НСД, обеспечивая решение задачи разграничения доступа субъектов к защищаемым информационным и техническим ресурсам - объектам. Следуя мандатному принципу контроля доступа, субъектам и объектам доступа назначаются метки конфиденциальности (мандатные метки). Для субъекта мандатные метки могут определяться в соответствии с уровнем допуска к информации, а для объекта - признаками конфиденциальности информации, которые фиксируются в метке объекта. Метка конфиденциальности объекта может принимать одно из значений заданного множества уровней конфиденциальности, например: секретно, для служебного пользования, в открытом доступе и т.п.
Согласно Федеральному закону №152-ФЗ «О персональных данных» необходимость применения средств межсетевого экранирования является одним из ключевых требований. Для определения того, должен ли быть пропущен пакет, межсетевой экран ищет в наборе правило, совпадающее с содержимым заголовков пакета. Правило состоит из критерия, действия и счетчика. Критерий - логическое выражение, анализирующее свойства пакета и/или соединения и определяющее, подпадает ли данный конкретный пакет под действие правила. Критерий отбора пакетов может зависеть от IP-адреса, номера порта, типа пакета и др. В качестве критерия отбора пакетов могут также применяться встраиваемые в заголовок IP-пакета мандатные метки. Действие - описание действия, которое нужно проделать с пакетом и/или соединением в том случае, если они подпадают под действие этого правила. Счетчик - компонент правила, обеспечивающий учет количества пакетов, которые попали под критерий данного правила.
Из уровня техники известна программа для ЭВМ Avanpost IDM [1], предназначенная для централизованного управления правами на доступ к информации, учетными записями, паролями и другими атрибутами в различных информационных системах.
К недостаткам [1] относится ролевое разграничение доступа, что приводит к практической непереносимости, сложности реализации и управления.
Из уровня техники также известны программы для ЭВМ [2], [3] - операционная система специального назначения «Astra Linux Special Edition», в которой реализован механизм мандатного разграничения доступа.
К недостаткам [2] и [3] относится отсутствие функций межсетевого экранирования: правил фильтрации трафика на основе различных критериев.
Известен межсетевой экран [4], предназначенный для защиты компьютерных систем и локальных сетей от внешнего вредоносного воздействия. Также он позволяет регулировать доступ к личным ресурсам компьютера, например: файлы, принтеры, и т.д. Однако [4] не позволяет осуществлять ограничение доступа на основе мандатных меток.
Техническим результатом заявляемой полезной модели является обеспечение фильтрации сетевого трафика по мандатным меткам.
Указанный технический результат достигается за счет того, что межсетевой экран с фильтрацией трафика по мандатным меткам (фиг. 1) содержит блок управления межсетевым экраном (1), осуществляющий принятие решений на основе правил фильтрации, на вход которого поступают сетевые пакеты; блок работы с мандатными метками (2), состоящий из блока разбора пакетов (3) и блока принятия решений (4), на вход которого с выхода блока 1 поступает сетевой пакет и правила работы с сетевыми пакетами, содержащими мандатные метки, а на выход - решение на основе мандатных меток, которое передается на вход блока 1, после чего блок 1 формирует окончательное решение о дальнейшем маршруте пакета.
Сущность полезной модели заключается в следующем.
Устройства с операционными системами, поддерживающими мандатный принцип контроля доступа, могут обмениваться информацией и без межсетевого экрана с фильтрацией по мандатным меткам, осуществляя разграничение доступа в соответствии с метками конфиденциальности на уровне приложений модели взаимодействия открытых систем (МВОС). Однако полезная модель позволяет обеспечить разграничение доступа на более низком, сетевом уровне МВОС в блоках 2, 3 и 4, что повышает защищенность системы. С помощью блока 1 осуществляется дополнительная фильтрация сетевых пакетов по другим полям (адрес источника, порт назначения и т.п.).
Устройство, формирующее пакет для передачи его в сеть и поддерживающее мандатные метки, встраивает в поле Options заголовка IP-пакета метку согласно RFC 1108. Когда сформированный IP-пакет попадает на межсетевой экран, блок 1 перенаправляет пакет и содержащиеся в блоке 1 правила фильтрации в блоки работы с различными критериями фильтрации и, в частности, в блок 2. Блок 2 имеет в своем составе блок 3, который осуществляет разбор сетевого пакета в соответствии со спецификацией протокола IP. После разбора пакета на основе выделенного блоком 3 поля Options блок 4 принимает решение о возможности дальнейшей маршрутизации пакета на основе мандатных меток и передает его в блок 1. Блок 1 принимает окончательное решение о дальнейшей маршрутизации по совокупности решений, полученных от других блоков работы с критериями фильтрации.
Реализация предлагаемого способа не вызывает затруднений, так как все блоки и узлы, входящие в устройство, реализующее способ, общеизвестны и описаны в технической литературе. Блок 1 может быть реализован в виде одного устройства на микроконтроллере ATxmega 128A1U фирмы Atmel, а блоки 2, 3 и 4 - на ПЛИС Xilinx с архитектурой FPGA.
Источники информации
1. Avanpost IDM. RU 2014662289, дата регистрации 27.11.2014, правообладатель Общество с ограниченной ответственностью «Аванпост». - №2014618940; заявл. 04.09.2014; опубл. 20.12.2014.
2. Операционная система специального назначения «Astra Linux Special Edition» для ЭВМ на базе процессорной архитектуры ARM. RU 2014618600, дата регистрации 26.08.2014, правообладатель ОАО «Научно-производственное объединение Русские базовые информационные технологии». - №2014616421; заявл. 03.07.2014; опубл. 20.09.2014.
3. Операционная система специального назначения «Astra Linux Special Edition» для серверов (мейнфреймов) IBM System z. RU 2014618809, дата регистрации 28.08.2014, правообладатель ОАО «Научно-производственное объединение Русские базовые информационные технологии». -№2014616415; заявл. 03.07.2014; опубл. 20.09.2014.
4. CyberSafe Межсетевой экран. RU 2013617675, дата регистрации 21.08.2013, правообладатель ОАО «КиберСофт». - №2013616316; заявл. 16.07.2013; опубл. 20.09.2013.