RU2163729C2

RU2163729C2 - Data protection system of corporate circuit built around channels and switching facilities of shared communication network

Info

Publication number: RU2163729C2
Application number: RU98116803A
Authority: RU
Inventors: А.Ю. Щеглов; А.Б. Чистяков; В.С. Клипач; А.А. Джабаров; В.В. Бутенко
Original assignee: Щеглов Андрей Юрьевич; Чистяков Антон Борисович; Клипач Виталий Степанович; Джабаров Александр Артурович; Бутенко Валерий Владимирович
Priority date: 1998-09-11
Filing date: 1998-09-11
Publication date: 2001-02-27

Abstract

FIELD: computer engineering; data computing systems implemented in computer networks. SUBSTANCE: client's sections are newly introduced in data protection system of corporate network to improve protection of computer network data resources and to ensure on-line control of resources. EFFECT: reduced time for processing priority requests. 6 dwg

Description

Изобретение относится к вычислительной технике, а именно к информационным вычислительным системам, реализуемым на компьютерных сетях, и может быть использовано для защиты информационных ресурсов в корпоративных сетях. The invention relates to computing, and in particular to information computing systems implemented on computer networks, and can be used to protect information resources in corporate networks.

Известна система защиты информационных ресурсов вычислительной сети - межсетевой экран, например, СyberGuard (см. Computerworld, Россия, 27 августа, 1996 года). Она содержит выделенный компьютер, работающий под операционнoй системой Unix (например, UnixWare 2.1.) и функциональным программным обеспечением. Решает задачу фильтрации пакетов, однако не позволяет осуществлять полную защиту ресурсов сети, так как использует стандартные протоколы для аутентификации и разграничения доступа, нет возможности быстрого пропуска приоритетного пакета и оперативного управления. A known system for protecting information resources of a computer network is a firewall, for example, CyberGuard (see Computerworld, Russia, August 27, 1996). It contains a dedicated computer running under the Unix operating system (for example, UnixWare 2.1.) And functional software. It solves the problem of packet filtering, but does not allow full protection of network resources, since it uses standard protocols for authentication and access control, there is no way to quickly skip the priority package and operational management.

Наиболее близкой по технической сущности к заявляемой (прототипом) является система защиты информационных ресурсов, включающая в себя межсетевой экран Black Hole (Computerworld Россия 27 августа, 1996 года). Она представлена на фиг. 1 в схеме защищенного взаимодействия клиент/сервер. Схема включает систему защиты 2, состоящую из межсетевого экрана 3; М стандартных клиентов (далее блок стандартного клиента) 1, N серверов 8 (как правило, М больше N). Причем вход/выход 4 блока стандартного клиента 1 является первым входом/выходом 5 межсетевого экрана 3, а вход/выход 6 межсетевого экрана 3 является вторым входом/выходом 7 сервера 8. Межсетевой экран 3 состоит из двух блоков приемo/передатчика 11 и блока проверки прав клиента 9 (см. фиг. 2), причем первый вход/выход межсетевого экрана является входом/выходом 5 блока приемо/передатчика 11, второй входом/выходом которого является вход/выход 12 блока проверки прав клиента 9, вход/выход 14 которого является первым входом/выходом блока приемо/передатчика 11, второй вход/выход 6 которого является вторым входом/выходом межсетевого экрана 3. Closest to the technical nature of the claimed (prototype) is a system of protecting information resources, which includes a Black Hole firewall (Computerworld Russia August 27, 1996). It is shown in FIG. 1 in a secure client / server interaction scheme. The circuit includes a security system 2, consisting of a firewall 3; M standard clients (hereinafter referred to as the standard client block) 1, N servers 8 (as a rule, M is greater than N). Moreover, the input / output 4 of the standard client unit 1 is the first input / output 5 of the firewall 3, and the input / output 6 of the firewall 3 is the second input / output 7 of the server 8. The firewall 3 consists of two receiver / transmitter units 11 and a check unit the client’s rights 9 (see Fig. 2), the first input / output of the firewall is the input / output 5 of the receiver / transmitter unit 11, the second input / output of which is the input / output 12 of the client’s rights verification unit 9, the input / output of which 14 is the first input / output block of the receiver / transmitter 11, the second input / output 6 of which is the second input / output of the firewall 3.

Защищенное взаимодействие клиент/сервер осуществляется следующим образом. Блок стандартного клиента 1 (см. фиг. 1), затребовав информацию у сервера 8, согласовывает свои права доступа с межсетевым экраном 3. С этой целью блок стандартного клиента соединяется с межсетевым экраном 3, который, зная формат стандартных команд, идентифицирует требуемый сервис, пароль, IP-адрес. Далее межсетевой экран 3 проверяет в блоке проверки прав клиента 9 (см. фиг. 2) права клиента и возвращает пакет с запретом либо пропускает пакет и соединяется по разрушенному IP-адресу с требуемым сервером 8 и передает серверу проверенный пакет клиента. Secure client / server interaction is as follows. The standard client unit 1 (see Fig. 1), after requesting information from the server 8, negotiates its access rights with the firewall 3. For this purpose, the standard client unit is connected to the firewall 3, which, knowing the format of the standard commands, identifies the required service, password, IP address. Next, the firewall 3 checks the rights of the client in the block for checking the rights of client 9 (see Fig. 2) and returns the packet with a ban or passes the packet and connects to the required server 8 via the destroyed IP address and transfers the verified client packet to the server.

Однако система 2 не обеспечивает полной безопасности взаимодействия клиент/сервер. Это вызвано тем, что по существу протокол обмена между межсетевым экраном, стандартный, то есть с легкостью может быть атакован подменой служебных заголовков. Поскольку вся служебная информация поступает из заголовков, снижается уровень защиты информационных ресурсов. Из-за реализуемых в сети стандартных протоколов, обеспечивающих открытость системы, возможен несанкционированный доступ к информационному серверу практически с любой рабочей станции, так как протоколы TCP/IP известны, и клиент подключается через каналы WAN через маршрутизаторы, которые могут быть должным образом настроены. However, system 2 does not provide complete security for client / server interactions. This is because essentially the exchange protocol between the firewall is standard, that is, it can easily be attacked by spoofing service headers. Since all service information comes from the headers, the level of protection of information resources is reduced. Due to the standard protocols implemented in the network that ensure openness of the system, unauthorized access to the information server is possible from almost any workstation, since the TCP / IP protocols are known and the client connects through WAN channels through routers that can be properly configured.

Поскольку после установления соединения клиент/сервер их взаимодействие осуществляется автоматически, используя сведения на момент установления соединения, то есть фактически без прямого участия системы защиты 2 отсутствует возможность отключения блока стандартного клиента 1 даже в случае обнаружения его несанкционированных действий; например, средствами проверки целостности данных на сервере 8, кроме того, невозможно осуществлять контролирование взаимодействия клиент/сервер на всех стадиях. Since, after the client / server connection is established, their interaction is carried out automatically, using the information at the time the connection was established, that is, practically without direct participation of the protection system 2, it is not possible to disconnect the standard client unit 1 even if its unauthorized actions are detected; for example, by means of checking the integrity of data on the server 8, in addition, it is impossible to control the interaction of the client / server at all stages.

Кроме того, такая структура системы защиты 2 нерационально используeт производительность системы, так как при функционировании системы обслуживание заявок реализуется согласно очередности поступления, не учитывая приоритет заявки, соответственно увеличивается время прохождения приоритетных заявок. In addition, such a structure of protection system 2 irrationally uses the system's performance, since during the functioning of the system, applications are processed according to the order of receipt, not taking into account the priority of the application, and the time for passing priority applications increases accordingly.

Задача изобретения состоит в повышении защищенности информационных ресурсов информационной вычислительной сети, уменьшении времени обработки приоритетных заявок, оперативном управлении ресурсами. The objective of the invention is to increase the security of information resources of an information computer network, reduce the processing time of priority applications, operational resource management.

Достигается это тем, что в систему защиты информации 2 в корпоративной сети, построенной на каналах в средствах коммутации сети связи общего пользования, содержащую межсетевой экран 3, причем вход/выход 5 межсетевого экрана 3 является первым входом/выходом системы, второй вход/выход 6 межсетевого экрана 3 является вторым входом/выходом системы, дополнительно введен вход 16 межсетевого экрана 3, который является первым входом системы защиты 2, межсетевого экрана 3 (см. фиг. 4), а структура межсетевого экрана 3 изменена, введены клиентские части системы защиты 20, состоящие из блока стандартного клиента 1 и блока обработки закрытого протокола 13, первый вход/выход которого соединен с блоком стандартного клиента 1, а второй вход/выход соединен с входом/выходом 4, являющимся третьим входом/выходом системы, в межсетевой экран 3, состоящий их двух приемо/передатчиков 11 и блока проверки прав клиента 9 (см. фиг. 2), дополнительно (см. фиг. 4) введен блок обработки закрытого протокола 13 и блок оперативного управления 15, причем первый вход/выход 5 системы 2 соединен с входом/выходом блока 11, второй 17 вход/выход блока 11 соединен с первым входом/выходом блока обработки закрытого протокола 13, второй вход/выход которого соединен с входом/выходом 18 блока проверки прав клиента 9, второй вход/выход которого является первым входом/выходом 19 блока приемо/передатчика 11, а первый вход блока проверки прав клиента 9 является входом блока оперативного управления 15, вход которого является первым входом системы защиты 2; второй вход/выход 6 блока приемо/передатчика 11 является вторым входом/выходом системы защиты 2, клиентская часть системы защиты 20 состоит из блока обработки закрытого протокола 13, первый вход/выход которого соединен с блоком стандартного клиента 1, а второй вход/выход 4 блока обработки закрытого протокола 13 является третьим входом/выходом системы защиты. This is achieved by the fact that in the information protection system 2 in the corporate network, built on the channels in the switching means of the public communication network, containing a firewall 3, and the input / output 5 of the firewall 3 is the first input / output of the system, the second input / output 6 the firewall 3 is the second input / output of the system, the input 16 of the firewall 3, which is the first input of the security system 2, the firewall 3 (see Fig. 4), is additionally introduced, and the structure of the firewall 3 is changed, the client parts of the system are introduced security topics 20, consisting of a standard client unit 1 and a closed protocol processing unit 13, the first input / output of which is connected to the standard client unit 1, and the second input / output is connected to input / output 4, which is the third input / output of the system, in the gateway screen 3, consisting of two transceivers / transmitters 11 and a client rights verification unit 9 (see Fig. 2), in addition (see Fig. 4) a closed protocol processing unit 13 and an operational control unit 15 are introduced, the first input / output 5 system 2 is connected to the input / output of block 11, the second 17 input the output / output of block 11 is connected to the first input / output of the processing unit of the closed protocol 13, the second input / output of which is connected to the input / output 18 of the client’s rights checking unit 9, the second input / output of which is the first input / output 19 of the receiver / transmitter unit 11, and the first input of the client rights verification unit 9 is the input of the operational control unit 15, the input of which is the first input of the security system 2; the second input / output 6 of the receiver / transmitter unit 11 is the second input / output of the security system 2, the client part of the security system 20 consists of a closed protocol processing unit 13, the first input / output of which is connected to the standard client 1 unit, and the second input / output 4 the processing unit of the closed protocol 13 is the third input / output of the security system.

На фиг. 3 представлена схема системы 2 защиты информации в корпоративной сети, построенной на каналах и средствах коммутации сети связи общего пользования. Она содержит межсетевой экран 3 и М клиентских частей системы защиты 20, причем вход/выход 5 межсетевого экрана 3 является первым входом/выходом системы 2, второй вход/выход 6 межсетевого экрана 3 является вторым входом/выходом системы 2, а первый вход 16 межсетевого экрана 3 является первым входом системы 2 защиты. В межсетевой экран 3, состоящий из двух приемо/передатчиков 11 и блока проверки прав клиента 9 (см. фиг. 2), дополнительно (см. фиг. 4) введен блок обработки закрытого протокола 13 и блок оперативного управления 15, причем первый вход/выход 5 системы 2 соединен с входом/выходом блока приемо/передатчика 11, второй 17 вход/выход блока приемо/передатчика 11 соединен с первым входом/выходом блока обработки закрытого протокола 13, второй вход/выход которого соединен с входом/выходом 18 блока проверки прав клиента 9, второй вход/выход которого является первым входом/выходом 19 блока приемо/передатчика 11, а первый вход блока проверки прав клиента 9 является входом блока оперативного управления 15, вход которого является первым входом системы защиты 2; второй вход/выход 6 блока приемо/передатчика 11 является вторым входом/выходом системы защиты 2. Клиентская часть системы защиты 20 состоит из блока обработки закрытого протокола 13, первый вход/выход которого соединен с блоком стандартного клиента 1, а второй вход/выход 4 блока обработки закрытого протокола 13, является третьим входом/выходом системы 2 защиты. In FIG. 3 is a diagram of a system 2 for protecting information in a corporate network built on channels and means of switching a public communications network. It contains a firewall 3 and M client parts of the security system 20, and the input / output 5 of the firewall 3 is the first input / output of the system 2, the second input / output 6 of the firewall 3 is the second input / output of the system 2, and the first input 16 is the firewall Screen 3 is the first input of protection system 2. In the firewall 3, consisting of two transceivers / transmitters 11 and a block for checking the rights of the client 9 (see Fig. 2), in addition (see Fig. 4), a closed protocol processing unit 13 and an operational control unit 15 are introduced, the first input / the output 5 of system 2 is connected to the input / output of the receiver / transmitter unit 11, the second 17 input / output of the receiver / transmitter unit 11 is connected to the first input / output of the processing unit of the closed protocol 13, the second input / output of which is connected to the input / output 18 of the check unit rights of client 9, the second input / output of which is the first input the ode / output 19 of the receiver / transmitter unit 11, and the first input of the client rights verification unit 9 is the input of the operational control unit 15, the input of which is the first input of the protection system 2; the second input / output 6 of the transmitter / receiver unit 11 is the second input / output of the security system 2. The client part of the security system 20 consists of a closed protocol processing unit 13, the first input / output of which is connected to the standard client 1 unit, and the second input / output 4 the processing unit of the closed protocol 13, is the third input / output of the protection system 2.

Защищенная сеть содержит систему 2 защиты информации в корпоративной сети, построенной на каналах и средствах коммутации сети связи общего пользования, причем межсетевой экран 3 состоит из двух блоков приемо/передатчиков 11 и блока проверки прав клиента 9, блока обработки закрытого протокола 13, блока оперативного управления 15, М блоков стандартных клиентов 1, N серверов 8, а клиентские части 20 системы 2 защиты содержат блок стандартного клиента корпорации 1 и блок обработки закрытого протокола 13. A secure network contains a system 2 for protecting information in a corporate network built on channels and means of switching a public communication network, moreover, the firewall 3 consists of two receiver / transmitter units 11 and a client rights verification unit 9, a closed protocol processing unit 13, and an operational control unit 15, M blocks of standard clients 1, N servers 8, and client parts 20 of security system 2 comprise a standard client block of corporation 1 and a closed protocol processing unit 13.

Каждая из М клиентских частей 20 соединена входом/выходом 4 с первым входом/выходом системы 2, а второй вход/выход системы соединен с серверами 8, вход 16 предназначен для ввода управляющих сигналов для разрыва соединения или изменения в текущей настройке от терминала администратора безопасности или от какого-либо устройства (например, временного устройства). Each of the M client parts 20 is connected by input / output 4 to the first input / output of system 2, and the second input / output of the system is connected to servers 8, input 16 is used to enter control signals for disconnecting or changing the current setting from the security administrator terminal or from any device (for example, a temporary device).

Межсетевой экран 3 может быть выполнен либо как функциональное программное обеспечение (ФПО) на выделенном компьютере (см. Computerworld, Россия, 27 августа, 1996 года), либо на выделенном процессоре или микроЭВМ, либо как часть комплекса ФПО на выделенном компьютере. Firewall 3 can be performed either as functional software (FPO) on a dedicated computer (see Computerworld, Russia, August 27, 1996), or on a dedicated processor or microcomputer, or as part of a complex of software on a dedicated computer.

Блок обработки закрытого протокола 13 может быть выполнен либо как ФПО на выделенном компьютере, либо на выделенном процессоре или микроЭВМ, либо как часть комплекса ФПО на выделенном компьютере. The closed protocol processing unit 13 can be performed either as a FPO on a dedicated computer, or on a dedicated processor or microcomputer, or as part of a FPO complex on a dedicated computer.

Блок оперативного управления 15 может быть выполнен либо как ФПО на выделенном компьютере, либо на выделенном процессоре или микроЭВМ, либо как часть комплекса ФПО на выделенном компьютере. The operational control unit 15 can be performed either as a FPO on a dedicated computer, or on a dedicated processor or microcomputer, or as part of a FPO complex on a dedicated computer.

Система 2 в составе защищенной сети работает следующим образом. System 2 as part of a secure network operates as follows.

Над протоколом транспортного уровня (семиуровневая иерархия протоколов OSI и место в ней закрытого протокола показано на фиг. 5), например, TCP, клиентом формируется команда (пакет) установления соединения с системой защиты 2. При этом структура пакета закрытого протокола может быть следующей (см. фиг. 6): идентификатор клиента 22, пaроль 23, IP-адрес 24, приоритет заявки 25, данные 26 (возможны другие поля для согласования при установлении соединения с системой 2). Пакет от клиентской части 20 поступает на вход/выход 5, далее через блок приемо/передатчика 11 поступает на обработчик закрытого протокола 13 и на блок проверки прав клиента 9, далее обслуживается согласно приоритету заявки, проходя блок обработки закрытого протокола 13 и приемо/передатчик 11. Блок 15 предназначен для принудительного окончания обслуживания, смены приоритета заявки. Above the transport layer protocol (the seven-level hierarchy of the OSI protocols and the place of the closed protocol in it is shown in Fig. 5), for example, TCP, the client forms a command (packet) for establishing a connection with security system 2. The structure of the closed protocol packet may be as follows (see Fig. 6): customer ID 22, password 23, IP address 24, priority of application 25, data 26 (other fields are possible for coordination when establishing a connection with system 2). The packet from the client part 20 goes to input / output 5, then through the receiver / transmitter unit 11 it goes to the closed protocol handler 13 and to the client rights verification unit 9, then it is serviced according to the priority of the application, passing through the closed protocol processing unit 13 and the receiver / transmitter 11 Block 15 is intended for the forced termination of service, changing the priority of the application.

Так как все пакеты проходят блок проверки прав клиента 9, то в блоке 9 системы 2 (система не отключается в фазе передачи данных) появляется возможность прервать информационное взаимодействие клиент/сервер с управляющего входа 16 на любом этапе этого взаимодействия. Since all packets pass the client rights check block 9, then in block 9 of system 2 (the system does not shut down in the data transfer phase), it becomes possible to interrupt the client / server information interaction from the control input 16 at any stage of this interaction.

К достоинствам предлагаемой системы комплексной защиты можно отнести следующее. The advantages of the proposed integrated protection system include the following.

1. Закрытый протокол для соединения клиентов корпорацией и системой защиты. 1. A closed protocol for connecting clients to a corporation and a security system.

2. Оперативное управление ресурсами системы защиты (обрыв соединения, смена приоритета). 2. Operational management of resources of the protection system (disconnection, change of priority).

3. Физическое разделение подсетей. 3. The physical separation of subnets.

4. Трансляция адресов. 4. Address translation.

5. Согласование функций обслуживания и безопасности. 5. Coordination of service and safety functions.

6. Эффективность использования ресурсов, уменьшение времени обслуживания (приоритетных) заявок. 6. Efficiency of the use of resources, reduction of service time (priority) applications.

Claims

Information security system in a corporate network built on channels and means of switching a public communication network containing a firewall, the first input / output of the firewall being the first input / output of the system, the second input / output of the firewall is the second input / output of the system, characterized in that a closed protocol processing unit and an operational control unit are introduced into the firewall containing two transceiver / transmitter units and a client rights verification unit, the first input / output of the internetworking the crane is connected to the first input / output of the transceiver / transmitter, the second input / output of which is connected to the first input / output of the closed protocol processing unit, the second input / output of which is connected to the first input / output of the client rights check unit, the second input / output of which is connected to the first input / output of the receiver / transmitter unit, the second input / output of which is the second input / output of the firewall, the input of the client rights checker is connected to the output of the operational control unit, the input of which is the third gateway input th screen, moreover, added to the system client side security system consisting of a standard client unit and private protocol processing unit, the first input / output of which is connected to the input / output standard client unit, and the second is connected to the first input / output firewall.