ЖУРНАЛ СТА 3/2020

функций безопасности уровня 2 для предотвращения незаконного доступа для них обычно бывает достаточно; та- кая безопасность достигается путём ис- пользования ограниченного числа хо- стов или выполнения процедур аутен- тификации. Уровень доступа представ- ляет собой потенциальную точку входа, к которой хакеры могут легко подклю- читься с помощью ноутбука, поскольку этот сегмент сети развёрнут вблизи ко- нечного пользователя. Вторжения мо- гут быть осуществлены через провод- ные коммутаторы или беспроводные точки доступа. Если на указанных ком- мутаторах и точках доступа не предпри- нимаются никакие меры безопасности, это по сути похоже на оставление двери дома незапертой. Чтобы уменьшить риск, для ограничения доступа нена- дёжных/неавторизованных хостов по- лезны такие процедуры проверки и идентификации, как проверка име- ни/пароля пользователя или MAC-ад- реса (Media Access Control – управление доступом к среде). Уровень распределения Для функционирования в качестве сборщика данных и обменного узла агрегированному уровню требуются ка- чественно реализованные функции без- опасности, такие как IP-аутентифика- ция или фильтрация данных на уровне обслуживания. Для отправки трафика в восходящем направлении с целью ре- трансляции или обмена данными уро- вень доступа связан с агрегированным уровнем распределения. Это означает, что даже если на данном уровне про- верки безопасности не проводились, весь обмен трафиком в этом сегменте уже прошёл проверку на уровне досту- па. Таким образом, уровень распределе- ния становится второй линией защиты, на которой выполняются проверки всех кадров, что обычно означает проверку IP-адреса источника/приёмника и MAC-адреса источника/приёмника. Уровень ядра сети Угрозы коммутатору уровня ядра обычно являются внешними и могут от- слеживаться и фильтроваться брандма- уэром, что особенно важно для сетей WAN. Этот уровень играет роль шлюза, под- ключаемого к глобальным сетям или из- вестным облакам, и в качестве меры по защите внутреннего трафика запрещает доступ внешним потенциально опас- ным воздействиям. Область безопасно- сти на этом уровне имеет отношение к кибербезопасности, но не к предотвра- щению вторжений снизу вверх. Г ДЕ ЖЕ РЕШЕНИЕ ? Пользовательские права доступа Для управления сетевыми узлами раз- решения для пользователей являются критически важной темой. Если неавто- ризованному пользователю разрешён доступ к узлам сети, то злоумышленник может легко выполнить перенаправле- ние данных, отслеживание или даже ор- ганизовать шторм Botnet. Как правило, сетевой узел хранит данные конфигура- ции, включая имена учётных записей и пароли, и если они не защищены, то легко могут быть скопированы. Шиф- рование пароля с использованием клю- ча безопасности, известного только се- тевому узлу, предназначено для того, чтобы сделать такие данные нечитаемы- ми. Это предотвращает утечку паролей и обеспечивает строгий уровень без- опасности управления. Чтобы обеспе- чить вторую линию защиты от неавто- ризованных пользователей, сетевой узел должен быть настроен на утверждение доступа к сети только для определённых IP-хостов и контролировать, какие про- токолы (например, HTTP, TELNET или SNMP) разрешены. При удалённом управлении на сете- вых узлах не регистрируются операции и инструкции пользователей, имеющих авторизованную учётную запись и па- роль. Для безопасности сетевой узел должен хранить полную историю поль- зовательских операций и инструкций и уметь генерировать журналы событий с синхронизированным временем. Это позволяет определить, кто изменил конфигурацию в случае проблемного переключения или поведения сети. Для этого должен быть доступен протокол синхронизации времени NTP/SNTP. Системный журнал (Syslog) и SMTP также являются важными элементами, которые позволяют публиковать текс- товый журнал/сообщения электронной почты на удалённом сервере и записы- вать изменения в ситуации в течение определённого периода времени. Обыч- ными средствами предотвращения не- законных действий при выполнении базового контроля пользователей яв- ляются реализация тайм-аута и опреде- ление максимального количества по- вторных попыток установления пользо- вательского сеанса (рис. 5). Шифрование данных Шифрование/дешифрование SSL (Secure Sockets Layer – уровень защи- щённых сокетов) может использоваться для обеспечения конфиденциальности во время обмена данными. Наиболее критичный контент зашифровывается на стадии выхода, а затем дешифруется на стадии входа, для чего используются криптографические алгоритмы, встраи- ваемые в приложения TCP/IP (напри- мер, HTTP, TELNET и SNMP). В соот- ветствии с этими принципами работают HTTPS, SSH и SNMPv3, использующие для шифрования полезной информации кадра алгоритмы AES/DES/3DES, реа- лизованные в библиотеке SSL. В случае если трафик перехватывается хакерами с целью кражи критической информа- ции, шифрование/дешифрование меж- ду двумя сторонами доступа обеспечи- вает повышенный уровень безопасно- сти. На стороне передачи пакеты дан- ных зашифрованы, так что информация в них не может быть идентифицирова- на. На принимающей стороне зашиф- рованные пакеты дешифруются с помо- щью согласованного ключа безопасно- ОБ ЗОР / П РОМЫШЛ Е ННЫЕ С Е Т И СТА 3/2020 28 www.cta.ru Локальный контроль Удалённый контроль Контроль доверенных IP ИЛИ ИЛИ RADIUS-сервер TACACS + сервер Логин/пароль IP-адреса Аккаунт/пароль Exchange на удалённом сервере Управление Рис. 5. Контроль прав пользователей