В информационной безопасности , охранник этого устройство или система позволяют компьютеры в противном случае отдельных сетей для связи, с учетом настроенных ограничений. Во многих отношениях охрана похожа на брандмауэр, а функции охранников могут быть аналогичны функциям шлюза .
В то время как межсетевой экран предназначен для ограничения трафика к определенным службам, защита направлена на контроль обмена информацией, который поддерживает сетевое взаимодействие на бизнес-уровне. Кроме того, в отличие от брандмауэра, защита обеспечивает уверенность в том, что эффективно обеспечивает этот контроль даже в условиях атаки и отказа.
Охранник обычно находится между защищенной сетью и внешней сетью и обеспечивает безопасность защищенной сети от угроз, исходящих от внешней сети, и от утечки конфиденциальной информации во внешнюю сеть.
Охранник обычно является двухуровневым , хотя охранник может подключать более двух сетей и действует как полный прокси-сервер уровня приложения , участвуя в отдельных коммуникациях на каждом интерфейсе. Охранник будет передавать только бизнес-информацию, переносимую протоколами из одной сети в другую, и то только в том случае, если информация проходит настроенные проверки, которые обеспечивают необходимую защиту.
История
Разработка охранников началась в конце 1970-х годов с создания нескольких приложений «Процессоры защищенной связи» и «Страж». Процессоры защищенной связи представляли собой операционные системы с высоким уровнем надежности и ядра безопасности, разработанные для поддержки управляемого обхода обычного текста для устройств шифрования пакетной сети. Приложения-охранники были разработаны для очистки данных, экспортируемых из секретной системы, с целью удаления из них любой конфиденциальной информации.
Процессор защищенной связи Honeywell (SCOMP) [1] был ранней защитной платформой. Это было оценено по критериям оценки Orange Book Центра компьютерной безопасности Министерства обороны США на уровне A1.
RSRE Secure User Environment (ГУП) RAN на PDP-11/34 . Это было очень простое разделительное ядро, разработанное и построенное отделом T4 Королевского центра связи и радиолокации (RSRE) в Малверне, Англия. [2] [3]
Защита Advanced Command and Control Architectural Testbed (ACCAT) была разработана для экспорта электронной почты из секретной системы через стадию проверки человеком. [4]
Более поздние разработки гвардейцев обратились к проблеме автоматического «понижения» информации, экспортируемой из секретной системы. Защищенный сетевой сервер (SNS) Mail Guard (SMG) применяет белые списки адресов источника / получателя, проверку меток безопасности, фильтрацию типов вложений и цифровые подписи для предотвращения разглашения конфиденциальной информации [5]
Межсетевые экраны были более поздней разработкой, появившись примерно в 1987 году. [6] Со временем функциональность межсетевых экранов расширилась, чтобы предоставить аналогичные возможности охранникам. Остающееся главное отличие состоит в том, что охранники построены таким образом, чтобы гарантировать, что они эффективны при защите сети и самих себя.
SWIPSY инструментарий брандмауэр был разработан агентством оборонных исследований и анализа , чтобы действовать в качестве общей платформы Guard. SWIPSY был расположен поверх Trusted Solaris 8.
Функциональность
Изначально средства защиты были разработаны для контроля за выпуском информации из секретных систем, защищая конфиденциальность конфиденциальной информации, обрабатываемой защищенной системой. С тех пор их объем был расширен, чтобы охватить контроль над импортом данных, чтобы защитить целостность информации и доступность услуг в защищенной сети.
Охранники обычно обеспечивают следующие функции:
- аутентификация адреса источника и получателя
- белый список адресов источника и назначения
- Этикетка безопасности проверяет соответствие разрешений источника и назначения
- белый список форматов данных
- проверка согласованности и достоверности формата данных
- сканирование данных на наличие известных вредоносных программ
- проверка цифровых подписей
- проверка зашифрованного контента
- проверка текста по черному списку фраз
- удаление избыточных данных
- создание журналов регистрации событий, связанных с безопасностью
- механизмы самотестирования
Уверенность
Охрана функционально эквивалентна хосту-бастиону, действующему как прокси-сервер приложения, размещенному в сети DMZ , где прокси-сервер устанавливает необходимый контроль над данными, которыми обмениваются, чтобы обеспечить защиту от внешних угроз и внутренних утечек. Но их можно отличить по конструкции. Сеть DMZ полагается на внешние брандмауэры с фильтрацией пакетов для маршрутизации трафика к хосту-бастиону. Если брандмауэры работают некорректно, они могут пропускать трафик через DMZ, не проходя через хост-бастион, поэтому проверки, налагаемые прокси-серверами, игнорируются. Кроме того, если сетевой стек хоста-бастиона ведет себя неправильно, он может направлять трафик через DMZ, не проходя через прокси.
Защита сконструирована таким образом, чтобы минимизировать количество необходимого для правильного функционирования программного обеспечения и минимизировать работу, необходимую для демонстрации этого третьей стороне. То есть охранники спроектированы так, чтобы гарантировать, что они применяют соответствующие проверки. [7]
Охранники могут использовать надежную операционную систему, чтобы отделить критически важные для безопасности компоненты средства проверки от менее важных компонентов обработки протокола. Таким образом, отказ компонентов обработки протокола не может заставить данные обойти средство проверки. [8] Например, Security-Enhanced Linux используется Nexor охранниками [9] и Solaris 10 с Trusted Extensions используется Radiant Меркурием и ISSE Guard, [10] и Deep-Secure . В Sidewinder использовались элементы управления типом, разработанные для операционной системы LOCK [11] . [12]
Охранники также могут использовать физически отдельные компьютеры, чтобы не допустить обхода критических компонентов. [13]
Продукты
Государственная готовая продукция:
- Сияющий Меркурий [14]
- ISSE Guard [15]
Готовая коммерческая продукция:
- Rockwell Collins Guards [16] ( Роквелл Коллинз )
- Deep-Secure Mail Guard [17] ( Глубокая защита )
- Nexor CDS [18] ( Nexor )
- Raytheon High Speed Guard [19] ( Raytheon )
- Шлюз безопасности SDoT [20] (информация)
- Стандартная автоматизированная среда охраны (SAGE) [21] ( BAE Systems )
- SyBard :: Sentry [22] ( QinetiQ )
Смотрите также
Рекомендации
- ^ Стивен Падилла и Терри Бензел, Заключительный отчет об оценке SCOMP , CSC-EPL-85/001, 1985
- ^ Джон Рашби (1981). «Проектирование и проверка защищенных систем» (PDF) . Обзор операционных систем ACM . Международная лаборатория компьютерных наук НИИ . 15 (5): 12–21. DOI : 10.1145 / 1067627.806586 .
- ^ DH Barnes, Исследование процессоров защищенной связи , Procs. 7-я Конференция Инициативы компьютерной безопасности DoDNBS 1984
- ^ Вудворд, Лаборатория реактивного движения, Приложения для многоуровневых защищенных операционных систем , Proc. AFIPS 1979 Nat. Comput. Конф., Июнь 1979 г.
- ^ RESmith Построив Обеспечение высокого почтового сторожа в архив 2012-06-17 в Wayback Machine 1984
- ^ Ингхэм, К. и Форрест С. История и обзор сетевых брандмауэров
- ^ Чарльз Мани Проблемы безопасности при прохождении данных через информационные домены: эффективно ли охранники решают проблему?
- ↑ Рик Смит : Проблема многоуровневой безопасности , Blackhat, октябрь 2003 г.
- ^ "Цель безопасности общих критериев системы фильтрации Nexor Sentinel 3E"
- ^ Шерил Гербер. Dot-Connecting через домены. Архивировано 31 января 2016 г. в Wayback Machine , Военные информационные технологии, том 14, выпуск 1 февраля 2010 г.
- ^ Ричард Смит [1] Архивировано 6 января 2009 г. на сайте Wayback Machine. Обязательная защита программного обеспечения Интернет-сервера.
- ^ Сайджари, Сами (май 1989 г.). "LOCK Trek: навигация в неизведанном космосе". Procs. Безопасность и конфиденциальность IEEE Symp .
- ^ Прочтите «Компьютеры в опасности: безопасные вычисления в век информации» на NAP.edu .
- ^ «Сияющий Меркурий» (PDF) .
- ^ «Защита среды сервера поддержки изображений (ISSE)» .
- ^ "Роквелл Коллинз Стражи высокой уверенности" .
- ^ «Почтовый страж» . Архивировано из оригинала на 2012-07-21 . Проверено 6 августа 2012 .
- ^ «Междоменные решения» .
- ^ "Raytheon High-Speed Guard" (PDF) .[ постоянная мертвая ссылка ]
- ^ «Шлюз безопасности SDoT» .
- ^ Фокке, Мишель. «Технический обзор стандартной автоматизированной охранной среды SAGE». CiteSeerX 10.1.1.133.4225 . Отсутствует или пусто
|url=
( справка ) - ^ «Безопасное междоменное решение: SyBard» . Архивировано из оригинала на 2012-05-28 . Проверено 23 июля 2012 .