Инструментальные средства проектирования виртуальных защищенных сетей на базе протоколов IPSec и IKE

• Автор: Корнилов, Кирилл Александрович
• Шифр специальности: 05.13.12
• Научная степень: Кандидатская
• Год защиты: 2002
• Место защиты: Москва
• Количество страниц: 187 с. : ил

Оглавление
ВВЕДЕНИЕ

Общая характеристика работы

Структура диссертации и взаимосвязь отдельных глав

1. ТЕХНОЛОГИИ ВИРТУАЛЬНЫХ ЗАЩИЩЕННЫХ СЕТЕЙ ВЗС

1.1. Основные понятия ВЗС.

1.1.1. ВЗС и физические топологии

1.1.2. ВЗС и уровни II модели.

1.1.3. Фильтрация трафика

1.1.3.1. Межсетевые экраны.

1.1.3.2. Приложенияпосредники.

1.1.4. Другие технологии ВЗС.
1.2. Управление защитой в сетях.
1.2.1. Контроль систем защиты сети.
1.2.1.1. Пакет i 3.1 фирмы i.
1.2.1.2. Пакет ivv 2.3 фирмы i
1.2.1.3. Пакет 2. фирмы vi
1.2.2. Централизованное управление политикой сетевой безопасности.
1.2.2.1. Пакет 4.3 фирмы
1.2.2.2. Пакет фирмы
1.2.3. Сравнение функций пакетов управления сетевой защитой
1.3 Выводы
2. СТРУКТУРНАЯ МОДЕЛЬ ОПИСАНИЯ ПОЛИТИКИ БЕЗОПАСНОСТИ ДЛЯ ВИРТУАЛЬНОЙ ЗАЩИЩЕННОЙ СЕТИ.
2.1. Принципы построения сетевой политики безопасности
2.2. Структура описания сетевой политики безопасности.
2.2.1. Описание сетевых объектов.
2.2.2. Описание объектов сетевой политики безопасности.
2.2.3. Описание правил защиты объектов.
2.3. Структура конфигурации узла виртуальной защищенной сети.
2.4. Преобразование описания политики безопасности в конфигурацию узла виртуальной защищенной сети
2.5. Выводы
3 РАЗРАБОТКА ЯЗЫКА ОПИСАНИЯ КОНФИГУРАЦИИ УЗЛА ВИРТУАЛЬНОЙ ЗАЩИЩЕННОЙ СЕТИ ЯЗЫК.
3.1 Принципы построения Рязыка
3.2 Синтаксис языка
3.3 Модель конфигурации узла виртуальной защищенной сети и семантика
языка
3.4 Выводы.
4. СИСТЕМЫ ЗАЩИТЫ СЕТЕВОГО ТРАФИКА
4.1. Структура агента защиты
4.2. Подсистема расширенной фильтрации
4.3. Структура модулей байткода. Организация интерпретатора процедур расширенной фильтрации
4.4. Алгоритмы, применяемые в реализации языка
4.4.1 Реализация и оптимизация интерпретатора байткода
4.4.2 Обработка и предотвращение ошибок во время интерпретации. .
4.4.3. Совмещение одинаковых структур конфигурации узла виртуальной защищенной сети.
4.4.4. Устранение лишних правил.
4.5. Выводы.
ЗАКЛЮЧЕНИЕ
СПИСОК ОСНОВНЫХ СОКРАЩЕНИЙ
ЛИТЕРАТУРА


Диссертация изложена на 7 страницах основного текста, состоит из введения, 4 глав, заключения, списка литературы из наименований и 4 приложений, содержит рисунков и таблиц. Первая глава посвящена анализу технологий применяемых при создании виртуальных защищенных сетей, рассмотрены задачи, решаемые такими сетями. Проьедено сопоставление используемых протоколов защиты с семиуровневой моделью взаимосоединения открытых систем (модель 0/1). Коротко рассмотрены наиболее характерные решения в области построения систем сетевой защиты в программных продуктах ведущих (в этой области) фирм. В результате проведенного анализа выделены основные задачи, решаемые с помощью виртуальных защищенных сетей, используемые при их создании протоколы и программно-аппаратные компоненты. Показано, что создание виртуальной защищенной сети является нетривиальной задачей, требующей от разработчика глубоких знаний в области защиты информации, сетевого администрирования, сетевых протоколов. Ключевыми моментами на пути автоматизированного проектирования виртуальных защищенных сетей являются модель описания политики сетевой безопасности и язык описания конфигурации узла ВЗС, обладающий достаточной гибкостью и понятный администратору системы защиты. Во второй главе диссертационной работы на основе проведенного анализа распространенных подходов к построению системы сетевой защиты предложена структура описания политики сетевой безопасности, включающая в себя перечень защищаемых объектов и требования к конфигурации ПО защиты для каждого сетевого объекта. Предложенный подход к построению политики сетевой безопасности позволяет применять на верхнем уровне описания типовые сценарии защиты, освобождая разработчика системы безопасности от необходимости определять множество параметров используемых протоколов защиты, и автоматически преобразовывать описание верхнего уровня в конфигурацию для конкретного сетевого объекта. Проведена классификация объектов, участвующих в защите информации в сети, по их роли в системе защиты и на этой основе разработана и формализована структурная модель описания политики сетевой безопасности. Предложен обобщенный алгоритм преобразования описания политики сетевой безопасности в конфигурацию для узла сети. На примере реальной сети показаны основные этапы процесса построения политики сетевой безопасности и ее автоматизированного преобразования в правила защиты трафика для конкретного сетевого объекта. LSP-языка, предназначенного для описания правил защиты трафика и процедур расширенной фильтрации. Обоснована и предложена двухуровневая структура LSP-языка. LSP-языке и использование их независимо от локальных настроек и адресов конкретного компьютера в сети. Для двух частей LSP-языка разработаны грамматики контекстно-свободного класса, формальное описание которых представлено в виде БНФ и синтаксических диаграмм. Преимущества предложенного подхода продемонстрированы на примере построения КУВЗС для вполне реального сценария защиты локальной сети предприятия. В четвертой главе диссертационной работы рассмотрена структура системы защиты сетевого трафика семейства «Trusted Agent», в рамках которой разработан компилятор LSP-языка, компоновщик и подсистема расширенной фильтрации сетевого трафика. Основными компонентами подсистемы расширенной фильтрации являются интерпретатор и модуль загрузки процедур фильтрации. Разработан байт-код для представления процедур фильтрации и алгоритмы интерпретатора, обеспечивающие устойчивость к ошибкам во время выполнения. Произведена оптимизация интерпретатора, которая привела к увеличению его производительности на -%, что подтверждается тестами для процессора архитектуры Sparc V9. Предложен алгоритм устранения «лишних» правил, которые появляются в результате применения типовых сценариев защиты, что позволяет ускорить поиск правил фильтрации и предупредить администратора системы о не используемых правилах. В заключении приведены кратко сформулированные основные результаты и выводы, полученные в ходе работы над диссертацией. Намечены направления дальнейших исследований.