Безопасность -> Софт -> Автоматизированная система разграничения доступа Black Hole

Автоматизированная система разграничения доступа Black Hole

"Black Hole" ( продукт компании Milkyway Networks ) - это firewall, работающий на proxy серверах протоколов прикладного уровня ( TELNET, FTP и т.д. ). Он служит для разграничения доступа между локальной и глобальной сетью ( ИНТЕРНЕТ ) или между двумя подразделениями локальной сети ( ИНТРАНЕТ ). "Black Hole" построен на принципе "Все что не разрешено, запрещено", т.е. любой вид доступа должен быть описан явно. "Black Hole" поддерживает следующие виды сервисов:

• терминальный доступ (TELNET)
• передача файлов (FTP)
• почта (SMTP)
• новости Usenet (NNTP, SNNTP)
• Web (HTTP, HTTPS)
• Gopher
• Real Audio
• Archie
• Wais
• X Window System

"Black Hole" осуществляет мониторинг всех 65 535 TCP/UDP портов и сбор статистики по попыткам доступа к этим портам.
Правила доступа могут использовать в качестве параметров:

• адрес источника
• адрес назначения
• сервис ( FTP, TELNET, и т.д.)
• дата и время доступа
• идентификатор и пароль пользователя

• S/Key
• Enigma Logic Safeword
• Security Dynamics SecureID,

"Black Hole" поддерживает два режима аутентификации:

• аутентификацию каждой TCP сессии
• прозрачную аутентификацию

Второй режим позволяет прозрачно пользоваться всеми авторизованными пользователю сервисами ( без аутентификации каждой сессии ). Для установки этого режима пользователю необходимо аутентифицироваться при помощи одного из следующих сервисов ( TELNET, FTP, Gopher, WWW). Для каждого пользователя можно задать период времени, в течении которого он может использовать этот режим. Это позволяет создать крайне удобный для пользователя режим использования firewall.

Система выдачи предупреждений о попытках НСД в реальном времени в "Black Hole" позволяет администратору системы описывать опасные события и реакцию на них системы (вывод на консоль, звонок на пейджер и т.д.)

"Black Hole" позволяет описывать различные типы нарушений и определять реакцию на их появление.

"Black Hole" позволяет образовывть соединения за один шаг ( т.е. в качестве хоста назначения сразу указывается необходимый сервер, без первоначального соединения с proxy и с proxy до нужного хоста).

"Black Hole" предоставляет сервис для создания групп пользователей, сервисов, хостов и сетей и позволяеть создавать правила для этих групп, что дает возможность легко описывать и администрировать большое количество пользователей.

"Black Hole" имеет удобную и дружественную графическую оболочку под X-Windows, так что настойкой системы может заниматься неискушенный в UNIX человек. Все административные функции могут быть выполнены из этой оболочки. Ядро ОС модифицировано для защиты графического интерфейса от внешнего доступа.

"Black Hole" предоставляет следующие возможности по конвертации адреса источника пакета при прохождении через firewall:

• адрес может быть заменен на адрес firewall;
• адрес может быть оставлен без изменения;
• адрес быть заменен на выбранный администратором

Последняя опция позволяет для пользователей INTERNET представлять внутреннюю сеть как состоящую из набора подсетей.

"Black Hole" позволяет организвать дополнительную подсеть (Service Network) (через дополнительный сетевой интерфейс) для открытых сервисов (FTP, HTTP, Gopher). Это позволяет вынести эти сервисы из внутренней сети, обеспечив при этом контроль доступа и сбор статистики за использованием этих сервисов.

"Black Hole" использует для хранения и обработки статистической информации реляционную базу данных с языком запросов SQL. Большой выбор типов выборок по различным параметрам соединения в сочетании со средствами графического представления

"Black Hole" функционирует на PC и Sun Sparc платформах под управлением модифицированных версий операционных систем BSDI и SunOS.

"Black Hole" имеет сертификат NCSA, гарантирующий его высокую надежность и уровень защиты.

"Black Hole 3.0" для BSDI платформы сертифицирована Государственной Технической Комиссией при Президенте России. СЕРТИФИКАТ N79

Black Hole 3.0

Межсетевой экран BlackHole является фильтром на уровне приложений и служит для защиты от несанкционированного доступа машин в приватной сети. Поддерживаются все стандартные сетевые протоколы семейства TCP/IP (например TELNET,FTP,HTTP, TCP sessions, UDP virtual sessions). В случае типичной установки межсетевой экран располагается между приватной сетью и глобальной сетью Internet.

Межсетевой экран базируется на принципе - "что не разрешено, то запрещено". Межсетевой экран защищает приватную сеть на уровне конкретных протоколов и "сырого" соединения. Пересылка пакетов стандартным путем (IP forwarding) полностью блокирована. Все запросы, идущие через межсетевой экран полностью аутентифицированы. BlackHole разрабатывался таким образом, чтобы создать наиболее комфортабельные условия для пользователей защищенной сети, поэтому имеет прозрачный режим работы. В последнем случае пользователь аутентифицируется при первоначальном использовании межсетевого экрана, после чего от него не требуется дополнительная аутентификация в течение времени, определяемого администратором.

Аутентификация пользователей производиться по следующим правилам:

• Где находиться с использованием исходного и конечного адресов запроса
• Что хочет с использование типам запрошенного сервиса
• Когда хочет с использованием времени суток и даты запроса
• Что он знает с использованием имени пользователя и пароля
• Что у него есть с использованием смарт-карты

• Дата и время суток
• Тип соединения или протокол
• Исходный адрес инициатора
• Удаленный адрес запроса
• Номер порта для "сырого" соединения
• Имя аутентифицированного пользователя
• Информацию о трафике

Составляющие компоненты

• Расширенное с точки зрения безопасности ядро ОС
• Минимизированное окружение системы UNIX
• Guardian - сетевой супер-сервер
• Oracle - сервер аутентификации
• Транслирующие сервера (proxy):
  • Telnet
  • FTP
  • Gopher
  • HTTP
  • Mail
  • TCP (сырой)
  • UDP Relay
  • Netacl
• Системный журнал
• Система оповещения в реальном времени
• Система статистики
• Система администрирования

Расширенное ядро

• Игнорирует пакеты со специальными признаками
• Закрыта прямая передача через ядро пакетов
• Добавлена система глобального мониторинга соединений
• Включен анализатор направления передачи пакетов
• Установлен режим перехвата всех пакетов для прозрачного режима
• Полностью закрыты от внешнего доступа сервисы, использующиеся локально

Усеченное окружение

• Из состава системы исключены все программы, являющиеся серверной частью сетевых сервисов
• Изменены режимы доступа к ключевым файлам и командам
• Ликвидированы все ссылки на использование сетевых информационных сервисов типа NIS
• Уничтожены все бюджеты пользователей, кроме системных и администратора.
• Исключены все виды компиляторов и загрузчиков
• Все серверные программы работают в усеченном отрезке файловой системы (UNIX chroot)

Guardian - супер-сервер

• Guardian в межсетевом экране является заменой стандартного UNIX inetd демона. В данной реализации межсетевого экрана guardian является единственным процессом, находящегося в ожидании соединения по сети. При получении соединения этот процесс сверяется со специальной базой данный, и в случае, если соединение разрешено, запускает соответствующий proxy.
• Guardian управляется специальной программой контроля, допускающей использование команд: THROTTLE (остановить), RELEASE (продолжить работу), RECONFIGURE (перечитать файл конфигурации).
• Guardian стартует при первоначальном запуске системы и должен управляться только через вышеописанный интерфейс.

Oracle - сервер аутентификации

• Oracle принимает запросы на аутентификацию через локальное устройство, сверяет полученный запрос с политикой безопасности, описанной администратором межсетевого экрана, и в случае, если запрос соответствует правилам, разрешает его выполнение.
• При необходимости аутентифицировать пользователя, Oracle может в качестве ответа заносить дополнительную информацию, например пароль пользователя или запрос для системы одноразовых паролей.
• Oracle - единственный процесс межсетевого экрана, осуществляющий доступ к аутентификационной базе данных.
• Oracle каждый час создает резервную копию базы, и в случае сбоя в работе автоматически производит восстановление рабочей версии базы.
• Oracle стартует при начальной загрузке системы.

Транслирующие сервера - набор поддерживаемых сервисов

1. Proxy TCP

   Основной функцией этого proxy является поддержка коммуникаций между интерфейсами межсетевого экрана. Для выполнения этой функции proxy может консультироваться с Oracle. Поскольку этот сервер является базовым, он не поддерживает аутентификации пользователей, преимущественно предназначен для работы в прозрачном режиме. Администратор имеет возможность контролировать использование этого proxy по следующим параметрам:

   • устанавливать максимальное время неактивности, после которого разрывается соединение.
   • устанавливать время действия аутентификации для прозрачного режима работы

   Proxy TCP запускается через Guardian после проверки последним правомочности запрошенного соединения.

2. Proxy FTP.

   Этот сервер поддерживает протокол FTP и позволяет:

   • производить аутентификацию пользователя
   • интерпретировать команды протокола FTP
   • включать прозрачный режим

3. Proxy Telnet

   Служит для поддержки протокола удаленного интерактивного доступа Telnet. Позволяет:

   • производить аутентификацию пользователя
   • включать прозрачный режим
   • менять пароль пользователя

4. Proxy HTTP

   Этот сервер служит для поддержки на межсетевом экране протокола HTTP и имеет следующие возможности:

   • аутентификация пользователя на использование протокола и запроса
   • включение прозрачного режима
   • изменять пароль пользователя
   • интерпретировать команды HTTP протокола

5. Proxy Gopher

   Служит для поддержки протокола Gopher на межсетевом экране и позволяет:

   • осуществлять аутентификацию пользователя для использование gopher-запроса
   • включать прозрачный режим

6. UDP relay

   Очень сходен с TCP proxy, за исключением того, что вместо TCP соединения оперирует виртуальными UDP соединениями. Служит для поддержки некоторых протоколов, таких как DNS, Archie. При запуске консультируется с Oracle для определения правомочности пришедшего запроса.

7. Netacl

   Служит для разрешения удаленного администрирования межсетевого экрана. Поддерживает все виды аутентификации пользователей (по адресам, условно-постоянным и одноразовым паролям, смарт-картам).

8. Система электронной почты.

   Система состоит их двух частей - получателя почты и отправителя. Получатель стартует через guardian при попытке удаленной машины. Не требует аутентификации пользователя. Для дополнительного режима безопасности работает в ограниченном участке файловой системы (UNIX chroot). Производит анализ управляющих заголовков сообщений на предмет несанкционированных адресов.

   Отправитель почты запускается при первоначальной загрузке системы как сервер и через определенные промежутки времени проверяет пришедшую через приемник почты, которую оправляет по назначению. В отличие от стандартных почтовых программ в состав отправителя не включены:

   • Include mailer
   • File mailer
   • Program mailer
   • local mailer
   Такая схема обеспечивает прием и передачу только корректных сообщений, содержащих все необходимые заголовки в правильном формате.

9. Системный журнал.

   Сервер системного журнала стартует при начальной загрузке системы и служит для обработки сообщений, записываемых в системных журнал. Распределение сообщений в соответствии с приоритетами осуществляется по правилам, описанных в конфигурационном файле. Для предотвращения записи ложных сообщений, порт, по которому работает этот сервер недоступен со стороны сети.

10. Уведомление администратора о событиях

    Данная подсистема позволяет в реальном времени отслеживать события, связанные с попытками нарушения политики безопасности. Имеется возможность пользоваться различными механизмами уведомления, например по электронной почте, пэджеру или путем вывода сообщения в специальное окно на консоли межсетевого экрана.

11. Система анализа статистики

    Данная система позволяет осуществлять гибкий анализ статистики межсетевого экрана. Конкретные возможности:

    • Суммарный анализ трафика
    • Анализ трафика по протоколам
    • Анализ переданного/принятого количества пакетов по функциям
    • Анализ трафика по рабочим станциям
    • приходящий трафик
    • Исходящий трафик
    • 10 наиболее популярных удаленных машин.

12. Система администрирования межсетевого экрана

    Содержит в своем составе развитый графический интерфейс, который позволяет:

    • работать с базой данных по пользователям
    • работать с базой данных по сервисам
    • управлять базой правил сетевого доступа

Дополнительные возможности

Новое название Black Hole - SecurIT FIREWALL.