Модель построения защищенного интернета

"Модель построения защищенного российского интернета" (МПЗИ) относится к классу информационно-телекоммуникационных систем для приема-передачи и обработки информации, относящейся к государственной (с грифом "секретно" и "совершенно секретно" - далее по тексту "секретно") или служебной тайне (с грифом "конфиденциально"), а также персональных данных (далее по тексту "конфиденциально"), основанных на современных отечественных программных и технических средствах и может быть использована для обеспечения создания защищенной транспортной среды и каналов связи для локальных и территориально распределенных автоматизированных информационных систем (АИС) различного класса защищенности. Заявляемая система содержит пять основных блоков, обеспечивающих защищенное хранение, обработку, обмен и управление информацией различных уровней доступа, используя для этого незащищенные каналы общего пользования, единый аппарат шифрования данных, дискреционную политику сетевой безопасности, а также политику мандатного доступа, возможностей отечественных программно-аппаратных средств и операционных систем: унифицированный объект секретной автоматизированной информационной системы служит для одновременного хранения, обработки, приема-передачи (обмена) конфиденциальной и секретной информацией; унифицированный объект конфиденциальной автоматизированной информационной системы служит для хранения, обработки, приема-передачи (обмена) конфиденциальной информацией; телекоммуникационные сети незащищенных каналов связи общего пользования служат для передачи информации, информационного обмена, используя каналы проводной и беспроводной связи; центр управления информационной безопасностью служит для управления информационными потоками, оборудованием криптозащиты и шифрования, а также коммутационным оборудованием блоков защиты и транспортировки информации; WEB-центр служит для предоставления защищенных публичных (общих, пользовательских) ресурсов для хранения и предоставления пользователям территориально-разнесенных АИС поисковой информации различного уровня доступа. Система МПЗИ обеспечивает выполнение следующих функций: ручной и автоматизированный ввод информации с внешних устройств с присвоением вводимым данным меток безопасности, соответствующих определенным уровням доступа информации; вывод информации на печать в соответствии с установленными метками безопасности, а также с фиксацией и отметкой ее уровней доступа; электронный обмен информацией различного уровня доступа между унифицированными АИС по электронным каналам связи, а также с использованием отчуждаемых носителей; использование незащищенных каналов связи общего пользования для организации распределенного обмена информацией ограниченного доступа и содержащей сведения, составляющие государственную тайну, а также персональных данных; учет, хранение, обмен и обработка информации в информационно-телекоммуникационной системе с соблюдением требований мандатной политики безопасности; разграничение полномочий и доступа к информации в соответствии с мандатом безопасности абонента (пользователя системы); использование технологии пакетной передачи данных с требуемым качеством, используя каналы проводной и беспроводной связи; создание и совместное использование единых защищенных информационно-поисковых ресурсов для поиска требуемой информации; использование единого центра управления безопасностью информации и программно-техническими средствами обеспечения ее защиты; корректное присвоение IP-адресов для сетевого объединения территориально-разнесенных АИС различного уровня защищенности с использованием технологий Internet. Использование заявляемой модели для защищенного хранения, обмена и обработки информации различных уровней доступа позволяет обеспечить требуемый уровень безопасности локальных и территориально распределенных автоматизированных информационных систем различного класса защищенности, в которых одновременно циркулирует разнородная по содержанию, структуре и уровню доступа информация.

Система относится к классу информационно-телекоммуникационных систем для приема-передачи и обработки информации, относящейся к государственной (с грифом "секретно" и "совершенно секретно") или служебной тайне (с грифом "конфиденциально"), а также персональных данных, основанных на современных отечественных программных и технических средствах. Предлагаемая система обеспечивает создание защищенной транспортной среды и каналов связи для локальных и территориально распределенных автоматизированных информационных систем (АИС) различного класса защищенности.

Известна система /1/, которая представляет собой систему обработки информации различных уровней конфиденциальности в информационно-телекоммуникационных системах. К ограничениям и недостаткам указанной системы следует отнести:

- отсутствие возможности использования незащищенных каналов связи общего пользования для организации распределенного обмена информацией ограниченного доступа и содержащей сведения, составляющие государственную тайну;

- отсутствие возможности использования технологии пакетной передачи данных с требуемым качеством, используя каналы проводной и беспроводной связи;

- отсутствие возможности создания и совместного использования единых защищенных информационно-поисковых ресурсов для поиска требуемой информации;

- отсутствие единого центра управления безопасностью информации и программно-техническими средствами обеспечения ее защиты;

- отсутствие возможности корректного присвоения IP-адресов для сетевого объединения территориально-разнесенных АИС различного уровня защищенности с использованием технологий Internet.

Вышеуказанные недостатки и ограничения отсутствуют в заявляемой полезной модели "Модель построения защищенного интернета" (МПЗИ), которая направлена на решение задачи распределенного обмена, обработки информации ограниченного доступа (далее по тексту - "конфиденциальная") и информации, содержащей сведения, составляющие государственную тайну (далее по тексту - "секретная"), используя незащищенные каналы связи общего пользования.

Заявляемая система, структура которой представлена на фигуре 1, содержит пять основных унифицированных блоков, обеспечивающих защищенное хранение, обработку, обмен и управление информацией различных уровней доступа, используя для этого незащищенные каналы общего пользования, единый аппарат шифрования данных, дискреционную политику сетевой безопасности, а также политику мандатного доступа, возможностей отечественных программно-аппаратных средств и операционных систем:

блок 1 - УО САИС (1, n) - унифицированный объект секретной автоматизированной информационной системы, количество которых может быть различным в зависимости от количества участников процесса хранения, обработки и обмена требуемой информацией;

блок 12 - УО КАИС (1, m) - унифицированный объект конфиденциальной автоматизированной информационной системы, количество которых может быть различным в зависимости от количества участников процесса хранения, обработки и обмена требуемой информацией;

блок 21 - ТС ИКС ОП - телекоммуникационные сети незащищенных каналов связи общего пользования (Интернет);

блок 22 - ЦУИБ - центр управления информационной безопасностью;

блок 28 - WEB-Ц - WEB-центр.

В унифицированных блоках УО САИС (блоки 1 и 2) и УО КАИС (блоки 12 и 13) осуществляется хранение, обработка, прием-передача (обмен) информацией различного уровня конфиденциальности. В блоке УО САИС (блоки 1 и 2) обеспечивается одновременное хранение и обработка конфиденциальной и секретной информации. В блоке УО КАИС (блоки 12 и 13) обеспечивается хранение и обработка информации с грифом, не выше "конфиденциально". Для этого используются возможности операционных систем в части обеспечения политики мандатного и дискреционного доступа. Вся основная рабочая информация хранится в блоке сервера баз данных (БСБД - блок 7 и блок 17). Часть информации, предназначенной для обмена, хранится на информационных ресурсах блоков серверов приложений конфиденциального и секретного соответственно (БСП-К - блок 6 и блок 16, БСП-С - 5). Для обмена информацией между различными унифицированными автоматизированными информационными системами (АИС) требуемая информация поступает в открытую телекоммуникационную сеть ТС НКС ОП (блок 21) через аппаратно-программное оборудование блоков защиты и транспортировки конфиденциальной и секретной информации соответственно (БЗТИ-К - блок 18, БЗТИ-С - блок 8).

Через центр управления информационной безопасностью (ЦУИБ - блок 22) проходит информация, предназначенная для управления ее потоками, оборудованием криптозащиты и шифрования, а также коммутационным оборудованием блоков защиты и транспортировки информации. Следует отметить, что и управляющая информация перед попаданием в открытые телекоммуникационные сети проходит через блок защиты и транспортировки информации секретного варианта исполнения (БЗТИ-С - блок 24). Это обеспечивает безопасное управление оборудованием защиты информации через пересылку управляющих информационных фондов программно-аппаратных средств защиты и транспортировки информации.

Информация, попадающая и хранящаяся на информационных ресурсах блоков публичных серверов приложений секретного и конфиденциального вариантов исполнения (БПСП-С - блок 35, БПСП-К - блок 36) WEB-центра (WEB-Ц - блок 28) также подвергается криптозащите через программно-аппаратные средства блока защиты и транспортировки информации секретного варианта исполнения (БЗТИ-С - блок 29). Информация, хранящаяся и попадающая на публичные (общие, пользовательские) ресурсы WEB-центра, носит характер поисковой и может иметь разный уровень доступа. Указанная поисковая информация служит для обеспечения возможности поиска требуемых источников необходимой для работы информации, ее уровня доступа и порядка получения или ознакомления из соответствующих баз данных унифицированных АИС - УО САИС (блоки 1 и 2) или УО КАИС (блоки 12 и 13).

Унифицированный блок УО САИС (блоки 1 и 2) состоит из следующих трех частей:

клиентской части (КЧ - блок 3), служащей для обеспечения возможности использования требуемой информации (учет, хранения, анализ, корректировка, подготовка к отправке, прием-передача). Как правило, КЧ строится в виде автоматизированных мест пользователей, которые обеспечиваются необходимыми полномочиями доступа к информации и ее обработке;

секретной серверной части (ССЧ - блок 4), служащей для хранения и обработки информации различных уровней доступа (конфиденциальную и секретную). Реализуется в виде блоков серверов приложений - секретным (БСП-С - блок 5), конфиденциальным (БСП-К - блок 6) и сервера баз данных (СБД - блок 7). Сервера приложений всех вариантов исполнения обеспечивают поддержку HTTP, FTP, SMTP и РОР3 протоколов обмена данными;

блока защиты и транспортировки информации секретного варианта исполнения (БЗТИ-С - блок 8), состоящего из блока криптографической защиты секретной информации (БКЗ-С - блок 9), блока криптографической защиты конфиденциальной информации (БКЗ-К - блок 10), коммутационного блока (КБ - блок 11).

Блоки 9 и 10 служат для обеспечения криптографической защиты (шифрования) передаваемой информации, защиты (сокрытия) адресов пользователей. Блок 11 служит для коммутации поступающей и передаваемой информации от источника к потребителю с учетом управляемых маршрутов безопасности. Иными словами, при информационном обмене данными через ТС НКС ОП (блок 21) осуществляется преобразование передаваемых данных, которое затрагивает как служебные поля информационных пакетов, так и прикладные (рабочие) данные. В первом случае имеется в виду трансляция адресов, помогающая скрыть топологию защищаемой системы. Это свойство позволяет скрывать существование некоторых объектов доступа. Преобразование данных состоит в их шифровании и туннелировании. Туннелирование следует рассматривать как самостоятельный сервис безопасности и маршрутизации. Его суть состоит в том, чтобы "упаковать" передаваемую порцию данных, вместе со служебными полями, в новый пакет.

Унифицированный блок УО КАИС (блоки 12 и 13) также состоит из трех частей:

клиентской части (КЧ - блок 14), назначение которой аналогично КЧ - блок 3. Отличие в том, что гриф обрабатываемой информации не выше "конфиденциально";

конфиденциальной серверной части (КСЧ - блок 15), назначение которой подобно ССЧ - блок 4. Отличие в том, что в КСЧ отсутствует блок сервера приложений, отвечающих за обработку секретной информации БСП-С - блок 5. В состав КСЧ входят только БСП-К - блок 16 и БСБД - блок 17;

блока защиты и транспортировки информации конфиденциального варианта исполнения (БЗТИ-К - блок 18), назначение которого аналогично БЗТИ-С - блок 8. Отличие в том, что из-за отсутствия в его составе БКЗ-С - блока 9 он не позволяет обрабатывать секретную информацию. Состав БЗТИ-К ограничивается БКЗ-К - блок 19 и КБ - блок 20, назначение которых соответствует назначению подобных блоков 10 и 11.

В состав ЦУИБ - блок 22 и WEB-Ц - блок 28 входят аналогичные по своему составу и назначению блоки защиты и транспортировки информации секретного варианта исполнения (блоки 24 и 29) в составе которых имеются: коммутационные блоки (блоки 25 и 30), блоки криптографической защиты конфиденциальные (БКЗ-К - блоки 27 и 32) и секретные (БКЗ-С - блоки 26 и 31).

Блок управления коммутационным оборудованием (БУКО - блок 23) входит в состав ЦУИБ - блока 22 и служит для приема, обработки и передачи управляющей информации на используемое коммутационное оборудование в УО САИС, УО КАИС, ЦУИБ и WEB-Ц (КБ - блоки 11, 20, 25 и 30).

Указанные ранее блоки публичных серверов приложений секретного и конфиденциального вариантов исполнения БПСП-С - блок 35 и БПСП-К - блок 36 входят в состав серверной части центра (СЧЦ - блок 33). Кроме этого, в составе СЧЦ имеется блок серверов имен (БСИ - блок 34), служащий для определения соответствия IP-адресов сети и имен почтовых серверов унифицированных АИС - УО САИС и УО КАИС.

Предложенная модель отражает комплексно-модульный подход реализации защищенного интернета, представляющего пользователям АИС возможности обработки информации и обмена данными в защищенном исполнении. К преимуществам такой реализации защищенного интернета следует отнести /2/:

- использование каналов общего пользования для передачи информации ограниченного доступа, включая сведения, составляющие государственную тайну, а также персональных данных;

- использование единого канала связи для одновременной передачи всех видов информации (данные, а также видео и речь при необходимости);

- использование единого аппарата шифрования для всех видов связи и графика;

- обеспечение комплексной информационной и сетевой безопасности (дискреционная и мандатная политика безопасности);

- защита данных на серверах и клиентах АИС с использованием политики разграничения доступа.

Предложенная схема построения защищенного Интернета обеспечит надежное и бесперебойное функционирование, номенклатуру услуг передачи данных, требуемых для обеспечения функционирования и взаимодействия объектов АИС, качество услуг связи в соответствии с требованиями международных стандартов, безопасность передаваемых по сети данных и защиту ресурсов сети от дезорганизации функционирования через линии и каналы связи.

Представленный вариант построения системы не исчерпывает возможные способы ее практического использования.

Источники, принятые во внимание:

/1/ Свидетельство на полезную модель 85707 от 10.08.2009 г. "Модель безопасной обработки информации различных уровней конфиденциальности в информационно-телекоммуникационных системах" (МБОИ РУК ИТС). - Тверь: ЗНП АО "ОПВЭиФ", 2009 г.

/2/ Объединенный стенд "Инновационные технологии радиоэлектронного комплекса - регионам России", секция 4 "Системы навигации, связи и телекоммуникаций", экспозиция "Защищенные информационно-телекоммуникационные системы на страже социально-экономической безопасности регионов России". - СПб: Международный форум - выставка "Российский промышленник", 2008 г.

Модель построения защищенного интернета содержит блок клиентской части и серверной части типовых автоматизированных информационных систем, блок серверов баз данных и блок серверов пользовательских приложений, а также блок телекоммуникационных систем незащищенных каналов связи общего пользования и отличается тем, что в нее включены типовые блоки защиты и транспортировки информации секретного и конфиденциального вариантов исполнения, блок управления коммутационным оборудованием центра управления информационной безопасностью, блок серверов имен, блок публичных серверов приложений WEB-центра, а также типовой коммутационный блок, типовые блоки криптографической защиты секретного и конфиденциального вариантов исполнения, причем второй и четвертый выходы клиентской части типового объекта секретной автоматизированной информационной системы соединены с первыми входами блоков серверов приложений секретного и конфиденциального вариантов исполнения соответственно, а их вторые выходы соединены с первым и третьим входами клиентской части, шестой выход которой соединен с первым входом блока сервера баз данных, второй выход которого соединен с пятым входом клиентской части, четвертые выходы блоков серверов приложений секретного и конфиденциального вариантов исполнения соединены соответственно с первыми входами блоков криптографической защиты секретного и конфиденциального вариантов исполнения, вторые выходы которых соединены соответственно с третьими входами блоков серверов приложений секретного и конфиденциального вариантов исполнения секретной серверной части, а четвертые выходы блоков криптографической защиты блока защиты и транспортировки информации секретного варианта исполнения соединены с первым и третьим входами коммутационного блока соответственно, второй и четвертый выходы которого связаны соответственно с третьими входами блоков криптографической защиты секретного и конфиденциального вариантов исполнения, шестой выход коммутационного блока связан с первым входом телекоммуникационных сетей незащищенных каналов связи общего пользования, второй выход которых связан с пятым входом соответствующего коммутационного блока, вторые выходы типовых объектов секретной и конфиденциальной автоматизированной информационной системы соответственно связаны с третьим и седьмым входами телекоммуникационных сетей незащищенных каналов связи общего пользования, которые своими четвертым и восьмым выходами связаны с первыми входами типовых объектов секретной и конфиденциальной автоматизированной информационной системы соответственно, второй выход клиентской части типового объекта конфиденциальной автоматизированной информационной системы соединен с первым входом блока серверов приложений конфиденциального варианта исполнения, а его второй выход соединен с первым входом клиентской части, четвертый выход которой соединен с первым входом блока сервера баз данных, второй выход которого соединен с третьим входом клиентской части, четвертый выход блока серверов приложений конфиденциального варианта исполнения соединен с первым входом блока криптографической защиты конфиденциального вариантов исполнения, второй выход которого соединен с третьим входом блока серверов приложений конфиденциального варианта исполнения конфиденциальной серверной части, а четвертый выход блока криптографической защиты блока защиты и транспортировки информации конфиденциального варианта исполнения соединен с первым входом коммутационного блока, второй выход которого связан с третьим входом блока криптографической защиты конфиденциального варианта исполнения, четвертый выход коммутационного блока связан с пятым входом телекоммуникационных сетей незащищенных каналов связи общего пользования, шестой выход которых связан с третьим входом соответствующего коммутационного блока, первый выход блока управления коммутационным оборудованием центра управления информационной безопасности соединен с седьмым входом коммутационного блока соответствующего блока защиты и транспортировки информации секретного варианта исполнения, четвертый и шестой выходы коммутационного блока соединены с первыми входами блоков криптографической защиты секретного и конфиденциального вариантов исполнения соответственно, вторые выходы которых связаны с третьим и пятым входами коммутационного блока, второй выход которого соединен с девятым входом телекоммуникационных сетей незащищенных каналов связи общего пользования, десятый выход которых соединен с первым входом коммутационного блока центра управления информационной безопасностью, вторые выходы блоков публичных серверов приложений секретного и конфиденциального вариантов исполнения серверной части центра соединены с третьими входами соответствующих блоков криптографической защиты секретного и конфиденциального блока защиты и транспортировки информации секретного варианта исполнения, четвертые выходы которых связаны с первыми входами соответствующих блоков публичных серверов приложений секретного и конфиденциального вариантов исполнения, вторые выходы блоков криптографической защиты секретного и конфиденциального вариантов исполнения соединены с третьим и пятым входами коммутационного блока WEB-центра, четвертый и шестой выходы которого соединены с первыми входами соответствующих блоков криптографической защиты секретного и конфиденциального вариантов исполнения, а восьмой выход коммутационного блока соединен с первым входом блока серверов имен серверной части центра, второй выход которого соединен с седьмым входом коммутационного блока, второй выход которого связан с одиннадцатым входом телекоммуникационных сетей незащищенных каналов связи общего пользования, двенадцатый выход которых соединен с первым входом коммутационного блока WEB-центра.