18 апреля 2012

Защита от несанкционированного доступа в сетях передачи данных
Часть 3: пример построения защищенного канала на базе технологий шифрования с использованием Microsoft Forefront Threat Management Gateway (TMG)

Введение

В предыдущей части статьи был дан обзор принципов защиты информации, передаваемой через общедоступные сети передачи данных. В рамках данной части статьи рассмотрим пример построения защищенного канала на базе продукта Microsoft Forefront TMG¹. Более подробно о нём можно прочитать в материалах компании Microsoft².

Структура стенда

Пусть имеются две организации OFFICE 1 и OFFICE 2. В качестве узлов, на которых будет разворачиваться Forefront Threat Management Gateway (TMG), используются компьютеры под управлением операционной системы Microsoft Windows’2008 Server.

В сети организации OFFICE 1 выделим рабочую станцию ( ip-адрес 194.101.101.12 ) c которой осуществляется связь с почтовым сервером ( ip-адрес 201.160.4.21 ), размещенным в локальной сети организации OFFICE 2. Поставим задачу обеспечить конфиденциальность почтового трафика, циркулирующего между двумя организациями по протоколам SMTP/POP3. Обобщенная структура стенда представлена на нижеследующем рисунке.

Рис.1 Структура стенда

Установка Microsoft Forefront Threat Management Gateway

Кратко процесс установки состоит в следующем.

Для начала на серверах устанавливаются компоненты TMG.

При этом указываются диапазоны соответствующих внутренних сетей. В нашем случае адресное пространство 194.101.101.0 – 194.101.101.255 соответсвует внутренней сети, к которой подключен первый сервер, а адресное пространство 201.160.4.0 – 201.160.4.255 – внутренней сети, к которой подключен второй сервер. Для дальнейшей работы потребуется воспользоваться оснасткой «Forefront TMG Management» из программной группы «Microsoft Forefront TMG».

Используя указанную оснастку, приступаем к конфигурированию сети. Запущенный Мастер установки, как на одном, так и на другом сервере предложит указать:

• сетевой шаблон, наиболее полно отражающий топологию сети (в нашем случае выберается «Edge firewall»);
• сетевой адаптер, подключенный к локальной сети и сетевой адаптер – к сети «Интернет»;
• маршрут во внутреннюю сеть другой организации.

Следующим шагом настройки TMG является установка локальных значений, таких как имя домена/рабочей группы, при необходимости DNS-суффикс.

Наконец, на третьем шаге указываются параметры развертывания, к которым относятся: необходимость использования сервиса Microsoft update service, присоединения к программе Customer Experience Improvement Program, выбор уровня информирования корпорации Microsoft о сетевых атаках.

После выполнения всех действий в рамках указанных шагов на серверах целесообразно проверить доступность нужных узлов как из первой, так из второй сети и при необходимости скорректировать настройки, установленные в TMG.

Если соединение успешно установлено, то в отчете работы TMG будет отображаться  информация, подобная приведенной на рисунке ниже.

Рис.3 Пример информационного сообщения об успешном прохожении ICMP-запроса

Если же соединение установить не удастся, то будет отображаться информация, подобная приведенной на рисунке далее.

Рис.4 Пример информационного сообщения о блокировании
межсетевым экраном ICMP-запросов

При необходимости настройки правил на межсетевом экране следует воспользоваться соответствующим Мастером (см. Рисунок ниже).

Рис.5 Вход в режим настройки правил межсетевого экрана

В частности, на рисунке ниже демонстриуется настройка доступа локальных компьютеров к внутреннему интерфейсу сервера организации OFFICE 1.

Рис.6 Окно настройки доступа локальных компьютеров
к внутреннему интерфейсу сервера организации OFFICE 1

Если выполнить указанную настройку межсетевого экрана, то вместо информации о запрете доступа получим сведения о том, что компьютер локальной сети смог проверить доступность внутреннего интерфейса своего сервера (см. рис. ниже).

Рис.7 Отображении информации об успешном прохождении ICMP-пакетов

В результате развертывания системы получаем защиту локальных сетей от проникновения извне за счет активного межсетевого экрана на границах сетей организаций OFFICE 1 и OFFICE 2.

Рис8 Структура стенда с установленными компонентами Microsoft Forefront TMG

Очевидно, настройкой межсетевого экрана мы только лишь определяем перечень субъектов и объектов доступа, а также средства их достижения (протокол). Сами же данные, передаваемые по каналу связи, по параметру «конфиденциальность» остаются незащищенными.

Например, установим сетевой анализатор во внешней сети (в нашем случае – 180.103.0.0/16) и с внутреннего компьютера первой сети (ip-адрес - 194.101.101.12) направим ping на компьютер внутренней сети другой организации (ip-адрес – 201.160.4.21). Если подобный запрос будет разрешен на межсетевом экране, то пользователь исходного компьютера увидит следующую информацию:

Рис.9 Информация о прохождении ICMP-запросов
на компьютере внутренней сети организации OFFICE 1

В свою очередь злоумышленник получит следующую информацию:

Рис.10 Информация с сетевого анализатора, установленного в общедоступной сети

Т.о. злоумышленник знает, что есть возможность просканировать внутреннюю сеть организации OFFICE 2, а кроме того данные ни коим образом не защищаются. Т.е. есть смысл посмотреть за обменом между этими двумя организациями. Если, как в нашем случае, настроены только правила фильтрации, то попытка получить доступ к неким ресурсам с конфиденциальной информациией может оказаться также замеченной злоумышленником. Имитируем попытку отправки некого сообщения работником организации OFFICE 1 через почтовый сервер, расположенный во внутренней сети организации OFFICE 2:

Рис.11 Пример отправки сообщения через почтовый сервер организации OFFICE 2

В этом случае злоумышленник, как было показано ранее, без особых затруднений может увидеть следующее:

Рис.12 Окно сетевого анализатора с перехваченной конфиденциальной информацией

Т.о., следующим шагом после развертывания компонент Microsoft Forefront TMG и настройки межсетевого экрана становится создание защищенного канала (туннеля) через общедоступную сеть передачи данных.

Для решения поставленной задачи воспользуемся соответствующим Мастером:

Рис.13 Вызов Мастера настройки защищенного канала

Для начала зададим имя соединению, например, «secureline», а затем выбираем протокол, который будет обеспечивать защиту передаваемых между организациями данных:

Рис.14 Выбор протокола для защиты передаваемых данных

Затем потребуется указать метод и задать пул адресов, из которого буду получать адреса входящие VPN-соединения:

Рис.15 Определение пула адресов для входящих VPN-соединений

Также потребуется указать ip-адрес для входящих соединений на удаленном TMG-сервере другой организации.

Следующим шагом будет ввод учетных данных (имя, домен, пароль) для прохождения аутентификации на удаленном VPN-сервере.

Т.к. для примера выбрали протокол L2TP/IPsec, то потребуется указать метод аутентификации по протоколу IPsec для инициируемых соединений:

Рис.16 Установка параметров аутентификации

Что касается входящих соединений – то это определяется на следующим шаге, например, таким образом:

Рис.17 Установка параметров аутентификации

Далее указываем пул адресов сети назначения:

Рис.18 Диапазон адресов внутренней сети назначения

Затем потребуется указать какой трафик будет защищаться (для примера ограничимся почтовым):

Рис.19 Настройка защиты почтового трафика

В итоге выполнения описанных действий будет определено следующее защищенное соединение:

Рис.20 Окно с перечнем туннелей сервера организации OFFICE 1

Аналогичные действия потребуется выполнить и на противоположной доверенной стороне (в нашем случае – в организации OFFICE 2). В результате и там будут настроены соответствующие параметры VPN-соединения:

Рис.21 Окно с перечнем туннелей сервера организации OFFICE 2

При необходимости, используя тот же Мастер настройки VPN-соединений можно расширить / изменить перечень протоколов, данные которых подлежат защите. Например, в нашем случае, можно «закрыть» ICMP-пакеты.

В любом случае, после указанных действий по созданию VPN-соединения потребуется донастройка межсетевого экрана на обеих сторонах канала связи, например, так:

Рис.22 Настройки межсетевого экрана с учетом почтового трафика

В итоге получаем следующую схему:

Рис.23 Структура стенда с установленными компонентами
Microsoft Forefront TMG и настроенным туннелем

В результате, если из сети одной организации будет выполнена проверка доступности узла внутренней сети другой организации:

Рис.24 Проверка доступности узла внутренней сети организации
OFFICE 2 из внутренней сети организации OFFICE 1

то злоумышленник, подключившись к каналу связи увидит что-то подобное следующему:

Рис.25 Окно сетевого анализатора, перехватившего защищенные ICMP-пакеты

Тем не менее администратор системы увидет следующую картину, используя соответствующую оснастку Microsoft Forefront TMG:

Рис.26 Установление защищенного соединения
с целью отправки по нему ICMP-пакетов

Заключение

Таким образом, видим, что в настоящее время вполне реально защитить свои секреты – нужно только об этом задуматься и принять соответсвующее решение.

В рамках данной группы статей автор попытался ввести читателя в проблемную область, дать основные терминологические пояснения и ссылки на материалы с более глубоким освещением этих вопросов, заинтересовать тех, кто смотрел на защиту данных, как на некую второстепенную задачу, которую для него кто-то решит. Увы это не всегда так, а принцип «Спасение утопающего – дело рук самого утопающего» применим и к информационным технологиям.

---

¹Переход с Microsoft ISA Server 2006 на Microsoft Forefront TMG//Марк Гроут, http://isaserver.ru/wikis/isaserver_2010/microsoft-isa-server-2006-microsoft-forefront-tmg.aspx.

² ForeFront TMG: обзор преемника ISA Server//http://www.techdays.ru/videos/1060.html

Просмотров: 4101

Мнения экспертов

Представленные на рецензию обе публикации Веретенникова А.А. «Защита от несанкционированного доступа в сетях передачи данных. Часть 2: защита данных на базе технологий шифрования» и «Защита от несанкционированного доступа в сетях передачи данных. Часть 3: пример построения защищенного канала на базе технологий шифрования с использованием Microsoft Forefront Threat Management Gateway (TMG)» является очень интересными и имеют большое значение для обучения студентов криптографическим методам и средствам защиты информации. Поэтому при выставлении оценки по критерию Ценность, у меня возникло некоторое замешательство. Дело в том, что осуществляя подготовку специалистов по направлению Информационная безопасность, мы в обязательном порядке обучаем их работе с подобного рода программными системами, в том числе и по построению защищенных каналов связи на базе технологий шифрования. И представленный материал является хорошей методической базой для проведения учебных занятий. Вот только не совсем понятно, как данный материал оценивать в плане научной ценности и новизны? Ведь, по сути дела, автором показаны известные потенциальные уязвимости протоколов обмена данными и представлены, замечательные в методическом плане, материалы по организации защищенного канала связи, в частности, на базе продукта Microsoft Forefront TMG. При этом, бесспорно, материал статьи очень интересный, актуальный и профессионально изложен. Итог. Считаю, что работы Веретенникова А.А. «Защита от несанкционированного доступа в сетях передачи данных. Часть 2: защита данных на базе технологий шифрования» и «Защита от несанкционированного доступа в сетях передачи данных. Часть 3: пример построения защищенного канала на базе технологий шифрования с использованием Microsoft Forefront Threat Management Gateway (TMG)» могут быть представлены к публикации и будут интересны широкому кругу читателей.

Во второй части статьи дается обзор криптографических протоколов, работающих на различных уровнях сетевой модели, а также предлагаются примеры возможного перехвата злоумышленником важной информации, передаваемой в открытом виде. Думаю, что вторая часть статьи имеет достаточно широкую аудиторию – уверен, что многим читателям такой обзор будет интересен и полезен. Автору, на мой взгляд, с помощью приведенных примеров удастся доказать многим читателям небезопасность открытой передачи паролей и прочей важной информации и необходимость применения криптографии для защиты сетевого трафика. Третья часть статьи, фактически, представляет собой краткий мануал по установке и настройке продукта Microsoft Forefront Threat Management Gateway. Мне кажется, что эта часть является менее интересной, чем две предыдущие, но, с другой стороны, она заслуживает максимальной оценки в части практической применимости. Уверен, что некоторые из читателей будут использовать эту статью при получении первого опыта работы с Microsoft Forefront TMG.

2-я и 3-я части статьи, как и ранее публиковавшаяся 1-я часть, написаны на высоком профессиональном уровне и позволяют составить грамотное понимание сути сетевых технологических решений, применяемых для защиты данных. Важным моментом, повышающим усвояемость публикуемой информации, является демонстрация результатов перехвата сетевого трафика и анализ возникающих в связи с этим рисков. Данный материал полезен как для начинающих «сетевиков» – в качестве базового экскурса, так и для освежения знаний опытных специалистов, в качестве настольной книги.

Статья хорошо и внятно предоставлена, практически «руководство к применению». А где другие программы фаерволы, почему только Windows, где Линукс и ему подобные, будьте добры следующую часть статьи для «других пользователей».

Ваши комментарии:

Для того, чтобы оставлять коментарии, Вам нужно авторизоваться на Sec.Ru. Если У Вас еще нет аккаунта, пройдите процедуру регистрации.