Защищенные виртуальные сети как способ защиты информации

Технологии виртуальных защищенных сетей VPN

Задача реализация корпоративной сети компании в рамках одного здания может быть решена относительно легко. Однако на сегодня инфраструктура компаний имеет географически распределенные отделы самой компании. Реализация защищенной корпоративной сети в таком случае задача более сложного плана. В таких случаях зачастую используют безопасные vpn сервера.

Концепция построения виртуальных защищенных сетей VPN

В концепции создании виртуальных сетей VPN лежит простая идея — если в глобальной сети есть 2 узла, которым нужно обменяться данными, то между ними нужно создать виртуальный защищенный туннель для реализации целостности и конфиденциальности данных, передающих через открытые сети.

Основные понятие и функции сети VPN

При наличии связи между корпоративной локальной сетью и сетью Интернет возникают угрозы информационной безопасности двух типов:

• несанкционированный доступ к ресурсам локальной сети через вход
• несанкционированный доступ к информации при передаче через открытую сеть Интернет

Защита данных при передаче по открытым каналам основана на реализации виртуальных защищенных сетей VPN. Виртуальной защищенной сетью VPN называют соединение локальные сетей и отдельных ПК через открытую сеть в единую виртуальную корпоративную сеть. Сеть VPN разрешает с помощью туннелей VPN создавать соединения между офисами, филиалами и удаленными пользователями, при этом безопасно транспортировать данные (рис.1).

Рисунок — 1

Туннель VPN являет собой соединение, проходящее через открытую сеть, где транспортируются криптографически защищенные пакеты данных. Защита данных при передаче по туннелю VPN реализована на следующих задачах:

• криптографическое шифрование транспортируемых данных
• аутентификация пользователей виртуальной сети
• проверка целостности и подлинности передаваемых данных

VPN-клиент являет собой программный или аппаратный комплекс, работающий на основе персонального компьютера. Его сетевое ПО изменяется для реализации шифрования и аутентификации трафика.

VPN-сервер — также может быть программным или аппаратным комплексом, реализующий функции сервера. Он реализует защиту серверов от несанкционированного доступа из других сетей, а также организацию виртуальной сети между клиентами, серверами и шлюзами.

Шлюз безопасности VPN — сетевое устройство, подключаемое к 2 сетям и реализует функции аутентификации и шифрования для множества хостов, находящихся за ним.

Суть туннелирования заключается в том, чтобы инкапсулировать (упаковать) данные в новый пакет. Пакет протокола более низкого уровня помещается в поле данных пакета протокола более высокого или такого же уровня (рис.2). Сам процесс инкапсуляции не защищает от искажения или несанкционированного доступа, он разрешает защитить конфиденциальность инкапсулированных данных.

Рисунок — 2

При прибытии пакета в конечную точка виртуального канала из него извлекается внутренний исходных пакет, расшифровывают и используют дальше по внутренней сети (рис.3).

Рисунок — 3

Также инкапсуляция решает проблему конфликта двух адресов между локальными сетями.

Варианты создания виртуальных защищенных каналов

При создании VPN есть два популярных способа(рис.4):

• виртуальных защищенный канал между локальными сетями (канал ЛВС-ЛВС)
• виртуальный защищенных канал между локальной сетью и узлом (канал клиент-ЛВС)

Рисунок — 4

Первый метод соединения разрешает заменить дорогие выделенные каналы между отдельными узлами и создать постоянно работающие защищенные каналы между ними. Здесь шлюз безопасности служит интерфейсом между локальной сетью и туннелем. Многие предприятия реализуют такой вид VPN для замены или дополнения к Frame Relay.

Вторая схема нужна для соединения с мобильными или удаленными пользователями. Создания туннеля инициирует клиент.

С точки зрения информационной безопасности самым лучшим вариантом является защищенный туннель между конечными точками соединения. Однако такой вариант ведет к децентрализации управления и избыточности ресурсов, ибо нужно ставить VPN на каждом компьютере сети. Если внутри локальной сети, которая входит в виртуальную, не требует защиты трафика, тогда в качестве конечной точки со стороны локальной сети может выступать межсетевой экран или маршрутизатор этой же сети.

Методы реализации безопасности VPN

При создании защищенной виртуальной сети VPN подразумевают, что передаваемая информация будет иметь критерии защищаемой информации, а именно: конфиденциальность, целостность, доступность. Конфиденциальность достигается с помощью методов асимметричного и симметричного шифрования. Целостность транспортируемых данных достигается с помощью электронно-цифровой подписи. Аутентификация достигается с помощью одноразовых/многоразовых паролей, сертификатов, смарт-карт, протоколов строгой аутентификации.

Для реализации безопасности транспортируемой информации в виртуальных защищенных сетях, нужно решить следующие задачи сетевой безопасности:

• взаимная аутентификация пользователей при соединении
• реализация конфиденциальности, аутентичности и целостности транспортируемых данных
• управление доступом
• безопасность периметра сети и обнаружение вторжений
• управление безопасностью сети

VPN-решения для создания защищенных сетей

Классификация сетей VPN

На основе глобальной сети Интернет можно реализовывать почти все виды трафика. Есть разные схемы классификации VPN. Самая распространенная схема имеет 3 признака классификации:

• рабочий уровень модели OSI
• архитектура технического решения VPN
• метод технической реализации VPN

Защищенный канал — канал между двумя узлами сети, вдоль определенного виртуального пути. Такой канал можно создать с помощью системных методов, основанных на разных уровнях модели OSI (рис.5).

Рисунок — 5

Можно заметить, что VPN создаются на достаточно низких уровнях. Причина такова, что чем ниже в стеке реализованы методы защищенного канала, тем проще их реализовать прозрачными для приложений. На канальном и сетевом уровнях зависимость приложений от протоколов защиты исчезает. Если для защиты информации реализован протокол из верхних уровней, то способ защиты не зависит от технологии сети, что можно считать плюсом. Однако приложение становится зависимым от конкретного протокола защиты.

VPN канального уровня. Методы на таком уровня разрешают инкапсулировать трафик третьего уровня (и более высоких) и создавать виртуальные туннели типа точка-точка. К таким относят VPN-продукты на основе протокола L2F, PPTP, L2TP.

VPN сетевого уровня. VPN-продукты такого уровня реализуют инкапсуляцию IP в IP. К примеру используют протокол ipsec.

VPN сеансового уровня. Некоторые VPN реализуют подход «посредники каналов», такой метод работает над транспортным уровнем и ретранслирует трафик из защищенной сети в общедоступною сеть Интернет для каждого сокета отдельно.

Классификация VPN по архитектуре технического решения

• внутрикорпоративные VPN — нужны для реализации защищенной работы между отделами внутри компании
• VPN с удаленным доступом — нужны для реализации защищенного удаленного доступа к корпоративным информационным ресурсам
• межкорпоративные VPN — нужны между отдельными частями бизнеса разнесенных географически

Классификация VPN по методу технической реализации

• VPN на основе маршрутизаторов — задачи защиты падают на устройство маршрутизатора
• VPN на основе межсетевых экранов — задачи защиты падают на устройство межсетевого экрана
• VPN на основе программных решений — применяется ПО, которое выигрывает в гибкости и настройке, однако проигрывает в пропускной способности
• VPN на основе специальных аппаратных устройствах — устройства, где шифрование реализовано специальными отдельными микросхемами, реализуют высокую производительность за большие деньги

Источник

Защита информации в vpn-сетях

ИБ-аутсорсинг
на базе DLP-системы

Контроль исполнения документов

Мониторинг ИТ инфраструктуры

Защита бизнеса от мошенничества

Разработка требований к защите информации

Управление системами фильтрации электронной почты и веб-трафика

АУТСОРСИНГ DLP ДЛЯ ЗАЩИТЫ БИЗНЕСА

В ажность защиты информационных ресурсов компании очевидна – от этого напрямую зависит безопасность предприятия, его эффективность и рентабельность. Да и простому пользователю не очень приятно, когда его взламывают, засыпают спамом или блокируют на определенных серверах.

Существует множество продуктов и инструментов программного обеспечения, позволяющих обезопасить данные в Интернете от виртуальных атак злоумышленников. В определенных случаях удобнее и эффективнее всего для защиты информации, частной или корпоративной, применять VPN.

Что это такое

VPN расшифровывается как virtual private network, а переводится как «виртуальная частная сеть». По сути это локальная сеть, которая прокладывается через другую сеть – в нашем случае через Интернет. В результате создается туннель для защищенных каналов, по которым пользователи на расстоянии могут обмениваться информацией, сохраняя полную конфиденциальность и безопасность. Информация предварительно зашифровывается и проверяется на безопасность (отсутствие вирусов). Это важный момент в создании полноценной защиты.

Также пользователи, подключившие впн, могут посещать ранее заблокированные провайдером сайты. Поскольку VPN-сервера в большинстве случаев находятся за границей, можно зайти незамеченным фактически на любой сайт той страны или того провайдера, которые блокируют IP пользователя.

По какому принципу работает VPN

Сети VPN работают по следующему принципу:

• прокладка туннеля;
• шифрование данных;
• аутентификация.

В этом случае реальный IP пользователя меняется на любой другой, то есть, истинная локация пользователя зашифровывается.

Обычно коммуникации в сети Интернет осуществляются по открытым каналам связи, часто с использованием незащищенных протоколов. Для корпоративной сети это не очень безопасно, особенно, если офисы организации разбросаны по разным регионам и значительно удалены от основного. Способ передачи данных по незащищенным каналам создает риск утечки информации.

Частная сеть впн создает зашифрованный канал, внутри которого офисы или отдельные сотрудники могут обмениваться необходимой информацией. Она будет надежно защищена от несанкционированного использования посторонними. При этом расходы компании на содержание уже имеющейся корпоративной сети существенно сократятся.

Как происходит защита данных при передаче в этом случае:

• путем шифрования передаваемых по туннелю пакетов данных;
• с помощью аутентификации отправителя и получателя;
• с проверкой на безопасность передаваемых данных;
• посредством создания межсетевых экранов.

Внешне туннель защищенных каналов выглядит так, как если бы одна сеть была подключена к другой посредством роутера или проводов. Провайдер будет видеть подключение к какой-то одной сети и обмен данными, но какими именно – нет. Они остаются защищенными и недоступными для общего пользования, информацию увидят только участники VPN.

Информация не будет передана от одного впн-агента к другому, если она не прошла проверку на безопасность и соответствие по таким параметрам:

• IP-адрес источника;
• IP-адрес получателя;
• протокол более высокого уровня, к которому относится исходящий пакет;
• номер порта, отправляющего или принимающего информацию.

Таким образом VPN будет работать только в том случае, если соблюдена политика безопасности и защиты информации.

Чем полезны VPN для предприятия. Преимущества использования

Сегодня предлагаются десятки различных впн-сервисов. Глобального различия между ними нет. Они отличаются только скоростью подключения и абонентской платой.

Благодаря использованию частных сетей VPN организация получает ряд преимуществ, основные из них:

• можно нанять штат удаленных работников и сэкономить на аренде офиса и всех сопутствующих затратах;
• появляется возможность нанять квалифицированных сотрудников из других городов и регионов, сотрудничество с которыми ранее было невозможно;
• увеличивается продолжительность рабочего времени – многие согласны работать по ночам и на выходных.

Но самое главное – компания получает быстрый безопасный Интернет с каналами, открытыми только для внутренних нужд.

По статистике консалтинговых компаний, более 20% россиян на конец 2018 года работали удаленно. В 2019 году показатель увеличился уже до 31%. Это означает, что потребность в защищенных сетях для беспрепятственного доступа к операционным системам организации растет и будет расти. Сетевым компаниям удобнее и дешевле нанимать удаленных сотрудников, чем арендовать офисы в разных уголках страны.

Недостатки

Для тех, кто не хочет или не может себе позволить установку дорогого программного обеспечения для защиты данных, использование VPN станет прекрасной альтернативой. Однако эта система защиты информационных ресурсов предприятия работает не всегда.

В каких случаях впн бессильна:

• внутренняя атака, если взломщик проник в одну из защищаемых сетей;
• DoS- или DDoS-атаки, когда VPN получает отказ в обслуживании.

Особенности выбора и установки

Существуют десятки VPN, лицензированных и без лицензии. Как правило, достойные продукты имеют минимум две версии на выбор: платную и бесплатную. Некоторые сервисы предлагают впн различных уровней мощности. Чем больше мощность, тем выше абонентская плата.

Обычно перед покупкой лицензированного пакета VPN пользователь получает от 3 до 10 дней бесплатного тестирования. Также существуют скидки при оплате годового обслуживания и гарантия возврата денег в случае, если сервис работает некачественно.

Что стоит учесть при выборе впн в первую очередь:

• вид уже используемого на предприятии программного обеспечения – некоторые VPN не совмещаются с определенным ПО, например, с антивирусниками;
• навыки главного администратора и персонала – иногда проще поставить более дешевый продукт, к которому привыкли работники, чем проводить для всех обучающие семинары и постоянно исправлять ошибки;
• интенсивность использования VPN – если нужна непрерывная защита, лучше не пожалеть денег на мощную лицензированную программу. Самые дешевые серверы обеспечивают соответствующее соединение – Интернет постоянно «выбивает», связь доступна не со всеми сайтами и провайдерами, загрузка и соединение идет очень медленно и может прерваться;
• уровень надежности – тут все зависит от масштабов фирмы и проектов. Опять же, если нужна серьезная защита, то покупать нужно серьезный пакет впн.

Самым сложным моментом в использовании впн является настройка. Опытный пользователь может справиться своими силами. Но надежнее и быстрее доверить процесс специалисту. Достаточно настроить VPN-агент один раз, и потом он будет автоматически активироваться при каждом включении ПК и выходе в Интернет.

Что еще нужно знать

В последнее время на рынке появились роутеры со встроенным VPN. Например, компания Intel выпускает криптографические маршрутизаторы с встроенным впн-агентом Express VPN. Однако этот вариант не подходит для мобильных пользователей, которые работают с ноутбука или планшета и заходят в Интернет, где угодно.

Есть также браузеры, например, Opera, которые уже имеют встроенные VPN. Но тут нужно учитывать, что вы не сможете сами выбрать продукт, он уже установлен по умолчанию. И если вам не подойдет его качество, все равно придется покупать и настраивать новый.

Также при выборе VPN следует учитывать способ шифрования информации. Сегодня используется два основных:

• IPsec – пакет различных протоколов, обеспечивающий надежную защиту данных, передаваемых по межсетевому IP. С его помощью можно проводить шифрование, проверку и аутентификацию передаваемых пакетов информации. Можно настроить для соединения локальных сетей с корпоративными. Минус – совмещается не со всеми продуктами, потому зачастую требует регулярного обслуживания специалистом;
• SSL VPN – строится на применении криптографического протокола для аутентификации, проверки и шифрования передаваемых пакетов информации. Такая защита надежнее и безопаснее, к тому же дешевле и не требует постоянных настроек. Хотя изначально SSL разрабатывали как альтернативную технологию первому способу, сегодня это отдельный пакет. Преимущество в том, что он совместим с любыми операционными системами, для его использования не нужно устанавливать дополнительный софт.

По мнению экспертов, использование частной виртуальной сети имеет большие перспективы и является отличным решением вопросов, связанных с защитой информации компании и снижением расходов на коммуникации с удаленными пользователями. С помощью локальных сетей VPN можно обеспечить безопасную передачу данных от отправителя к получателю, и наоборот, даже если они находятся на разных континентах. При этом расходы на коммуникационные связи будут значительно ниже, чем при использовании IP-телефонии и других стандартных инструментов связи.

Источник