CC BY
20
Информационно-управляющие системы
-□ □-
Проведено аналiз ^ную-чих методiв та пiдходiв до побудови сучасних захище-них I нформацшно-комун'г-кацшних систем та мереж в комерцiйних банках. Визначено переваги та недо-лжи методiв, що розгляда-ються. Запропоновано пiдхiд та методику модертзаци ^нуючих мереж
Ключовi слова: тберата-ка, шформацшно-комутка-цшна система, комерцшний
банк, тформацшна безпека □-□
Проведен анализ существующих методов и подходов к построению современных защищенных информационно-коммуникационных систем и сетей в коммерческих банках. Определены преимущества и недостатки методов, которые рассматриваются. Предложены подход и методика модернизации существующих сетей
Ключевые слова: кибера-така, информационно-коммуникационная система, коммерческий банк, информационная безопасность -□ □-
УДК 004.05:519.81
ПРОЕКТ МОДЕРН1ЗАЦ1П 1НФОРМАЦ1ЙНО-КОМУН1КАЦ1ЙНО1 МЕРЕЖ1 КОМЕРЦ1ЙНОГО БАНКУ НА БАЗ1 ТЕХНОЛОПП DYNAMIC
MULTIPOINT VPN
I.А. П i л ь ке в и ч
Доктор техшчних наук, професор, завщувач кафедри* Контактний тел. (0412) 415-686, 067-397-87-39 E-mail: [email protected] Н.М. Лобанчикова Кандидат техшчних наук, доцент, доцент** Контактний тел.: 093-652-61-64 E-mail: [email protected] B.I. Котков Кандидат техшчних наук, доцент, доцент* Контактний тел. (0412) 22-94-08 E-mail: [email protected] I.В. Кравченко** *Кафедра мошторингу навколишнього природного середовища Житомирський нацюнальний агроеколопчний ушверситет бул. Старий, 7, м. Житомир, УкраТна, 10008 **Кафедра безпеки шформацшних i комунiкацiйних систем Житомирський втськовий iнститут iм. С.П. Корольова Нацюнального авiацiйного унiверситету пр. Миру, 23, м. Житомир, УкраТна, 10004
1. Вступ. Постановка проблеми
2. Огляд шнуючих ршень
Актуальшсть проблеми шформацшно'Т безпеки ко-мерцшних банкiв визначаеться рядом взаемозв'язаних факторiв, бiльшiсть з яких е наслщком процесу шфор-матизацп сучасного сустльства. Однак, використан-ня iнформацiйних технологш приховуе в собi значнi ризики, як потрiбно постiйно вiдстежувати та врахо-вувати для мiнiмiзацii фшансових втрат. Фактично, данi ризики призводять до втрати конфщенцшносп, цiлiсностi й доступност iнформацii, тобто, - до пору-шення iнформацiйноi безпеки.
В основу iнформацiйноi безпеки комерцiйного банку мае бути покладено заходи та технологи захисту шформацп в засобах i мережах и передач^ обробки та зберiгання. Крiм того, необхщним е створення концеп-цп безпеки банку, яка б регулювала порядок доступу, зберiгання та використання банювсько'Т iнформацii. Розвиток iнформацiйних технологш створюе пере-думови для пошуку нових методiв та засобiв захисту шформацп в шформацшно-комушкацшних системах та мережах. Саме модершзацп iснуючих засобiв захисту iнформацiйно-комунiкацiйноi мережi (1КМ) i присвячена дана стаття.
На сьогоднiшнiй день, для забезпечення шфор-мацiйноi безпеки мереж^ використовуються методи тунелювання та шифрування трафiку [1-4]. Тунелю-вання, як i шифрування, слiд розглядати як само-стiйний сервiс безпеки. Його суть полягае в тому, щоб „упакувати" передану порцiю даних, разом 3i службо-вими полями, в новий „конверт". Даний сервк може застосовуватися для юлькох цiлей:
- здшснення переходу мiж мережами з рiзними протоколами (наприклад, IPv4 i IPv6);
- забезпечення конфiденцiйностi i цiлiсностi всiеi переданоi порцii, включаючи службовi поля.
Тунелювання може застосовуватися як на мереже-вому, так i прикладному рiвнях. Комбiнацiя тунелювання i шифрування (з необхiдною криптографiчно-го iнфраструктурою) на видiлених шлюзах дозволяе реалiзувати такий важливий метод захисту 1КМ, як вiртуальнi шифрован мережi „поверх" глобальноi ме-режi Internet. Такi мережi iстотно дешевшi та набагато безпечнiшi, нiж власш мережi органiзацii, побудованi на вид^ених каналах. Сучаснi протоколи, спрямованi на тдтримку класiв обслуговування, допоможуть га-
© I.H.
рантувати для вфтуальних приватних мереж задану пропускну здатшсть, величину затримок тощо, лжвь дуючи тим самим едину, на сьогодш, реальну перевагу власних корпоративних мереж.
Традицшний тдхщ до побудови под1бних мереж за допомогою простого шифрування трафжу методом IPsec в тунельному режиму в тому числ1 з викори-станням технологи VPN Site-to-Site, е вкрай неефек-тивним (маються на уваз1 складносп налаштувань, неможлившть використання динам1чних протокол1в маршрутизацiï та дуже погана масштабовашсть) [3-5]. Додавання нових „сторш" в таких мережах часто вима-гае переналаштувань всiх вузлiв мережi, коригування величезного числа ACL, статичних маршрупв.
Збiльшення кiлькостi кiберзлочинiв пiдвищуе ви-моги до захищеностi комп'ютерних мереж i систем банку. Тому досить актуальними е знайдення нових методiв, засобiв та iнформацiйних технологiй для тд-вищення захищеностi iнформацiйно-комунiкацiйних систем банюв.
Метою cmammi е проведення аналiзу методiв, за-собiв та технологш модернiзацiï пiдсистеми захисту iнформацiйно-комунiкацiйноï системи комерцiйного банку.
3. Основний частина
Проведений аналiз iнформацiйно-комунiкацiйних систем комерцшних банюв Украïни показав, що осо-бливоï уваги та захисту потребуе саме пiдсистема захисту 1КМ.
Також, огляд iснуючих традицшних методiв та за-собiв захисту виявив низку недолтв, якi повинш бути вирiшенi розробленим проектом.
Для усунення виявлених недолтв проектом мо-дернiзованоï 1КМ пропонуеться використовувати тех-нологiю багатоточковоï вiртуальноï приватноï мережi (DMVPN - Dynamic Multipoint VPN), що технолопя базуеться на наступних базових принципах:
- використання вiртуальноï пiдмережi на базi mGRE-iнтерфейсiв;
- шифрування GRE трафжу за допомогою IPsec;
- використання протоколу NHRP;
- використання протоколiв динамiчноï маршрути-зацiï.
Multipoint GRE (mGRE) тунель е альтернативою GRE-тунелiв „точка-точка", який дозволяе зосередити на to6î кiлька GRE-тунелiв. Тунель mGRE дозволяе одному GRE-штерфейсу пiдтримувати кiлька IPsec-тунелiв i спрощуе кiлькiсть i складнiсть налаштувань, в порiвняннi з GRE-тунелями „точка-точка". Крiм того, mGRE-iнтерфейс дозволяе використовувати динамiч-но призначенi IP-адреси на spoke-маршрутизаторах. Основна мета побудови мережi на базi вiртуальних iнтерфейсiв GRE - отримати можлившть використовувати протоколи динамiчноï маршрутизацiï для по-ширення iнформацiï про маршрути та здшснення вщ-мовостiйкостi.
Шифрування GRE пакеив, що проходять, реаль зовано за допомогою IPsec Критерiй шифрування -присутшсть GRE заголовка. Особливостями проф^ю IPSec при налаштуваннi багатоточковоï вiртуальноï приватноï мережi наступнi:
- застосовуеться на тунельному iнтерфейсi;
- тсля застосування будь-який трафiк, що вихо-дить з тунельного штерфейсу, iнiцiюе створення IPs-ес-тунелю (немае необхщност використовувати ACL, як у звичайнш crypto map);
- source i destination адреси тунельного штерфейсу використовуються для створення IPsec-тунелю.
Використання багатоточково! вiртуальноi приватно! мережi передбачае функцiонування Next Hop Resolution Protocol (NHRP) - клiент-серверного протоколу перетворення адрес, що дозволяе в«м хостам, яю зна-ходяться в NBMA (Non Broadcast Multiple Access)-мере-жi, динамiчно вивчити NBMA-адреси (фiзичнi адреси) один-одного, звертаючись до next-hop-серверу (NHS). Пiсля цього хости можуть обмшюватися iнформацiею безпосередньо один з одним.
У модершзованш iнформацiйно-комунiкацiйнiй мережi DMVPN виконуються наступш дii:
1. Hub-маршрутизатор зберiгае та обслуговуе базу даних NHRP, в якш збертються вiдповiдностi мiж фiзичними адресами та адресами mGRE-тунелiв spo-ke-маршрутизаторiв.
2. Hub-маршрутизатор буде працювати як NHS, а spoke-маршрутизатори будуть клiентами.
3. На кожному spoke-маршрутизаторi hub-маршру-тизатор статично вказаний як NHS, задано вщповщ-нiсть мiж фiзичною адресою та адресою mGRE-тунелю hub-маршрутизатора.
4. При включеннi кожен spoke-маршрутизатор рее-струеться на NHS i, при необхiдностi, може вимагати у сервера шформащю про адреси шших spoke-маршру-тизаторiв для побудови spoke-to-spoke тунелiв.
В результатi можна видшити наступнi переваги технологи DMVPN:
- простота та наочшсть налаштування;
- ефективна масштабованiсть;
- динамiчна вiдмовостiйкiсть i тонке управлiння маршрутизащею на базi протоколу динамiчноi марш-рутизаци;
- працездатнiсть multicast;
- повноцшна повнозв'язкова топологiя з точки зору передачi даних при помiрному обсязi службового трафiку;
- spoke-маршрутизатори можуть знаходитися за NAT i мати динамiчнi IP адреси з private дiапазону.
1КМ було спроектовано у середовишд програмно-го емулятора GNS3 засобами вiзуального проекту-вання на базi обладнання Cisco. Вона складаеться з центрального маршрутизатора (hub-маршрутизатора), трьох spoke-маршрутизаторiв, п'яти комутаторiв та семи робочих станцш VPCS.
Роль середовища 1нтернет виконуе Frame Relay switch. Для емуляци було використано образ маршрутизатора „c2691-advipservicesk9-mz.124-15.T6". Схема мережi наведена на рис. 1. Умовно дана частина загаль-но! мережi представляе собою Центральний офк та 3 регiональнi вiддiлення певного комерцшного банку „XXX".
Налаштування багатоточково! вiртуальноi приватно! мережi складаеться з наступних кроюв:
- налаштування протоколу IPSec;
- налаштування mGRE-тунелiв;
- налаштування протоколу NHRP;
- налаштування динамiчноi маршрутизаци.
Налаштування протоколу IPSec вщбуваеться в два етапи. Перший етап - налаштування IKE, тобто створення политики безпеки isakmp. Другий етап - налаштування IPSec-проф^ю.
Так як налаштування протоколу IPSec на в«х маршрутизаторах щентичш, розглянемо команди да-них налаштувань на прикладi центрального маршрутизатора R_HUB.
Рис. 1. Схема модершзованоТ захищеноТ мережi, побудованоТ в середовищi GNS3
Налаштування центрального маршрутизатора R_HUB:
R_HUB(config)#crypto isakmp policy 10 - створення полiтики isakmp;
R_HUB(config-isakmp)#encryption aes 192 - вказу-еться, що в якостi алгоритму шифрування використо-вуеться AES 192 бщ
R_HUB(config-isakmp)#hash md5 - вказуеться, що в якосп хеш-алгоритму використовуеться алгоритм MD5 ГОСТ Р 34.11-94 HMAC;
R_HUB(config-isakmp)#authenticationpre-share - команда для вказiвки, що аутентифжащя повинна вико-нуватися по попередньо встановлених ключах;
R_HUB(config-isakmp)#group 2 - встановлення гру-пи Diffie-Hellman, що буде використовуватися в межах протоколу IKE, рiвноi 1024 бщ
R_HUB(config)#crypto isakmp key 0 ISA-KEY address 0.0.0.0 0.0.0.0 - команда, що вказуе шаблонну адресу при налаштуванш pre-share key;
R_HUB(config)#crypto ipsec transform-set DMVPN-TRANS-SET esp-aes 256 esp-md5-hmac - формування 2 наборiв перетворень (комбшацш протоколiв захисту та криптографiчних алгоритмiв) esp-aes-256 (протокол ESP з 256-биним алгоритмом AES) та esp-md5-hmac (протокол ESP з алгоритмом аутентифжацп MD5 ГОСТ Р 34.11-94 HMAC);
R_HUB(config)#crypto ipsec profile DMVPN-PROFI-LE - створення IPSec-профiлю;
R_HUB(config-profile)#set security-association lifetime seconds 120 - встановлення часу життя асощацп захисту (SA) рiвноi 120 секунд;
R_HUB(config-profile)#set transform-set DMVPN-TR-ANS-SET- призначення сформованих наборiв перетворень даному IPSec-проф^ю.
Переходимо до налаштування mGRE-тунелiв. На центральному маршрутизаторi та на spoke-маршру-тизаторах mGRE-тунелi налаштовуються аналогiчно, тому далi наведено основш команди налаштування та '¿х коментар на прикладi маршрутизатора R_HUB:
R_HUB(config)#int tunnel 0 - створення тунельного штерфейсу;
R_HUB(config-if)#ip address 11.83.10.1 255.255.255.0
- призначення IP-адреси штерфейсу;
R_HUB(config-if)#ip mtu 1440 - збшьшення значен-ня MTU до 1440, так як GRE додае додатковi заголовки до IP-пакету;
R_HUB(config-if)#tunnel source s1/0 - налаштування вщповщност мiж тунельним та фiзичним штер-фейсами;
R_HUB(config-if)#tunnel mode gre multipoint - вклю-чення mGRE тунелю;
R_HUB(config-if)#tunnel key 0 - задання ключа, який щентифжуе тунель.
Налаштування протоколу NHRP на hub-маршру-тизаторi та на spoke-маршрутизаторах мають певш вiдмiнностi мiж собою. Спочатку розглянемо команди налагодження NHRP на прикладi R_ HUB (hub-марш-рутизатора):
R_HUB(config)#int tunnel 0 - перехщ на тунельний штерфейс;
R_HUB(config-if)#ip nhrp network-id 1 - увiмкнення протоколу NHRP шляхом призначення ушкального iдентифiкатора мережi;
R_HUB(config-if)#ip nhrp map multicast dynamic - налаштування автоматичного додавання вщповвдностей мiж адресами spoke-маршрутизаторiв;
R_HUB(config-if)#ip nhrp authentication ISA-KEY
- налагодження аутентифжацп.
Дал^ на прикладi маршрутизатора R_spoke_1, на-ведемо команди налаштування протоколу NHRP на spoke-маршрутизаторк
R_spoke_1(config)#int tunnel 0 - перехщ на тунельний штерфейс;
R_spoke_1(config-if)#ip nhrp network-id 1 - увiм-кнення протоколу NHRP шляхом призначення ушкального вдентифжатора мережь Вказуеться той са-мий щентифжатор, що i на hub-маршрутизаторг,
R_spoke_1(config-if)#ip nhrp map multicast dynamic
- налаштування динамiчноi побудови карти вщповщ-ностей мiж адресами spoke-маршрутизаторiв;
R_spoke_1(config-if)# ip nhrp map 11.83.10.110.83.10.1
- налагодження статичноi вщповщност мiж адресою mGRE-тунелю i фiзичною адресою hub-маршрутиза-тора (перша адреса - адреса тунельного штерфейсу, друга - адреса зовшшнього фiзичного штерфейсу);
R_spoke_1(config-if)#ip nhrp map multicast 10.83.10.1
- адреса зовшшнього фiзичного штерфейсу hub-марш-рутизатора вказуеться як одержувач тикк^^пакеив ввд локального маршрутизатора;
R_spoke_1(config-if)# ip nhrp nhs 11.83.10.1 - адреса тунельного штерфейсу hub-маршрутизатора вказуеться як next-hop-сервер.
Останшм етапом налаштування багатоточковоi вiртуальноi приватноi мережi е забезпечення динамiч-но' маршрутизацп.
У якоси протоколу маршрутизацп було обрано протокол EIGRP. Для прикладу нижче наведемо ко-манди налаштування маршрутизацп по протоколу EIGRP на hub-маршрутизаторi R_HUB:
R_HUB(config)#router eigrp 10 - перехщ в режим налагодження протоколу маршрутизацп;
R_HUB(config-router)#passive-interface default - по-давлення маршрутних оновлень на штерфейс^ що стоггь за замовчуванням;
R_HUB(config-router)#no passive-interface tunnel 0
- включення протоколу EIGRP на тунельному штерфейс^
R_HUB(config-router)#network 11.83.10.0 0.0.0.25 -додавання в протокол маршрутизацп мережi тунель-них штерфеймв;
R_HUB(config-router)#network 190.168.8.0 0.0.3.255
- додавання в протокол внутршньо! мережi маршрутизатора;
R_HUB(config-router)#no auto-summary - в^клю-чення автоматичного сумування мереж;
R_HUB(config- router)#int tunnel 0 - перехщ на ту-нельний штерфейс;
R_HUB(config-if)#no ip next-hop-self eigrp 10 - вщ-ключення правила використання IP-адреси hub-марш-рутизатора в якост next-hop для маршрутiв, якi вш анонсуе, навiть коли анонсуе маршрути назад через той же штерфейс, на якому вони були вивчень Вста-новлюеться вимога використовувати в якоси next-hop IP-адреси spoke-маршрутизаторiв;
R_HUB(config-if)#no ip split-horizon eigrp 10 - вщ-ключення правила розщеплення горизонту (шакше EIGRP не буде анонсувати маршрути, вивчеш через mGRE-iнтерфейс назад в цей же штерфейс).
Шсля того, як вм налаштування технологи DM VPN виконаш, переходимо безпосередньо до перевiр-ки правильностi функщонування захищено! шформа-цiйно-комунiкацiйноi мережi. Перевiрка доступностi вузлiв мережi здiйснювалася за допомогою команд ping[address] та tracert/traceroute[address]. На рис. 2 наведено результат роботи команди tracert з рiзних робочих станцiй.
UPCS(?]> trscert 191.200.1.3
traceroute ta 191.200.1.3, 64 hops так, press Cti'l-»C to stop
1 19i.2GO.2.1 390.они гв 234.IDOD пи 1Б6.0Ш na
2 11.S3.10.1 672 .OCIO ns * [jnn.Onn ns
3 11.83.10.2 466.0819 ns 312.BOR ns 282.006 ns
UPCSC2D tracert 191.200.2.3
ti-acei-oiite to 1Ï1.280.!.J, 64 hops пак, press Ctrl*C to stop
1 190.168.0 _1 Б31.000 ns 531.000 ns 422.060 ns
2 * £41.0(30 ns 218.0П0 ns
3 11.83.10.3 672.000 ns 828.000 ns 484.000 ns UFCSI2 ]> tracei-t 191.200.1.3
traceïMute to 191.2Е0.1.3, 64 hpps пак. press Ctrl+C tp stop
1 19Ü.168.8.1 969.000 ns 26Î.003 ns 37S-OO0 ns
2 * 359.000 ns 422.000 ns
3 11.S3.10.2 734.000 ns 281.UÜU ns »
Рис. 2. nepeBipKa доступносп робочих станцш мережi
Для того, щоб побачити, що через тунель щуть шифрованi даш було здiйснено перехоплення трафiку програмою-сшфером Wireshark (рис. 3).
Рис. 3. Аналiз трафiку
В результатi аналiзу трафiку видно, що данi цир-кулюють в мережi в шифрованому вигляд^ що знижуе iмовiрнiсть '¿хнього несанкцiонованого використання.
4. Висновок
Для побудови захищених шформацшно-комуш-кацiйних мереж комерцшних банкiв доцiльно використовувати технолопю багатоточково! вiртуальноi приватно! мережь Модернiзацiю шформацшно-кому-нiкацiйноi мережi комерцшного банку необхiдно про-водити на базi технологii Dynamic multipoint VPN.
Лггература
1. Белов, Е.Б. Основы информационной безопасности: учебное пособие для студентов вузов [Текст] / Е.Б. Белов, В.П. Лось, Р.В. Мещеряков, А.А. Шелупанов. - М.: Горячая линия - Телеком, 2006. - 544 с.
2. Домарев, В.В. Безопасность информационных технологий. Методология создания систем защиты [Текст] / В.В. Домарев.- К.: ООО „ТИД „ДС", 2001. - 688 с.
3. Новжов, О.М. Безпека шформацшно-комунжацшних систем [Текст] / О.М. Новиков, М.В. Грайворонський.- К.: Видавнича група BHV, 2009. - 608 с.
4. Королев, М.И. Информационные системы в банковском деле: учебное пособие [Текст] / М.И. Королев, Д.М. Королев. - Белгород: Издательство БелГУ, 2004. - 330 с.
5. Гамза, В. А. Безопасность банковской деятельности [Текст] / В.А. Гамза, И.Б. Ткачук. - Маркет ДС, 2006. - 422 с.
Abstract
The dynamic development of information security sphere constantly puts new demands on the creation of secure communication and information systems and networks in commercial banks. The information security of the commercial bank should be based on activities and technologies of information protection in the tools and networks of its transfer, processing and storage.
The article analyzes the famous methods, approaches and technologies of creation of information and commu-
nication systems and networks in commercial banks. As a result of examination of existing methods and means of protection a range of defects, which should be eliminated with the corresponding project, was determined. To eliminate the determined defects it was suggested to apply the technology of multipoint virtual private network (VPN). The advantages of the suggested technology are: simplicity and visualization of setting, effective scaling, dynamic routing management, high operability, full-grown connected topology in terms of data transfer at a moderate volume of service traffic.
Information and communication network has been designed in the software emulator GNS3 with the help of visual designer Cisco. The article represents a test example of circuit of protected information and communication network with Dynamic multipoint VPN technology
Keywords: cyber attack, information and communications system, commercial bank, information security
-□ □-
У статтi представлен результати дослиджень впливу параметрiв геометри контролю при радюметричному митно-му оглядi з метою виявлення напрямку подальшог модертзацп пошукових при-ладiв, використовуючих метод зворот-но розыяного гамма-випромтювання
Ключовi слова: контрастна злiчен-тсть, зворотно-розыяне випромтен-ня, геометрiя контролю, ттенсивтсть
випромтення, оглядовий контроль □-□
В статье представлены результаты исследований влияния параметров геометрии контроля при радиометрическом таможенном досмотре с целью определения направления дальнейшей модернизация поисковых приборов, использующих метод обратно рассеянного гамма-излучения
Ключевые слова: контрастная счет-ность, обратно рассеянное излучение, геометрия контроля, интенсивность
излучения, досмотровый контроль -□ □-
УДК 539.12.04
ИССЛЕДОВАНИЕ ЗАВИСИМОСТИ КОНТРАСТНОЙ СЧЕТНОСТИ ОТ ГЕОМЕТРИИ КОНТРОЛЯ ПРИ РАДИОМЕТРИЧЕСКОМ
ТАМОЖЕННОМ ДОСМОТРЕ
К.С. Гаврилов
Младший научный сотрудник Научно-исследовательский проектно-конструкторский институт "Искра" ул. Звейнека, 145с, г. Луганск, Украина, 91033 Контактный тел.: (0642) 71-75-92 E-mail: [email protected]
1. Введение. Актуальность
Одной из основных задач при таможенном досмотре является обеспечение высокой эффективности контроля транспортных средств на предмет незаконного ввода запрещенных товаров и контрабанды при повышении пропускной способности контроля [1]. При этом необходимо обеспечить неразборность объектов контроля, также нередко встречаются ситуации, когда доступ к объекту контроля со всех сторон невозможен, следовательно, необходимо обеспечить односторонний досмотровой контроль объектов.
Проведенный в [2] сравнительный анализ показал, что наиболее перспективными для решения поставленной задачи являются приборы, использующие метод регистрации обратно-рассеянного гамма-излучения,
которые имеют преимущество по глубине сканирования, обеспечивают контроль объектов, в том числе с односторонним доступом, имеющих сложную форму и конструкцию и изготовленных из различных материалов. В приборах такого класса для детектирования гамма-излучения широко применяется счетный режим, а обнаружение закладки обусловлено вариациями плотности исследуемого объекта. Об изменении плотности объекта, а, следовательно, и о наличии закладки, можно судить по изменению интенсивности обратно-рассеянного гамма-излучения. Т.е. при принятии решения о наличии или отсутствии закладки необходимо учитывать изменение (увеличение или уменьшение) скорости счета импульсов, или разность счета, значение которой зависит от активности источника ионизирующего излучения (ИИИ) и геометрии контроля.
