Guard (информационная безопасность) - Guard (information security)

В информационная безопасность, а сторожить представляет собой устройство или систему, позволяющую компьютерам в других отдельных сетях обмениваться данными с учетом настроенных ограничений. Во многих отношениях охранник похож на брандмауэр и охранники могут иметь функции, аналогичные шлюз.

В то время как межсетевой экран предназначен для ограничения трафика к определенным службам, защита направлена ​​на контроль обмена информацией, который поддерживает сетевое взаимодействие на бизнес-уровне. Кроме того, в отличие от брандмауэра, защита обеспечивает уверенность в том, что эффективно обеспечивает этот контроль даже в условиях атаки или отказа.

Охранник обычно находится между защищенной сетью и внешней сетью и обеспечивает защиту защищенной сети от угроз, исходящих от внешней сети, и от утечки конфиденциальной информации во внешнюю сеть.

Охранник обычно двухкомпонентный, хотя охранник может подключать более двух сетей и действует как полный прокси уровня приложения, участвуя в отдельных коммуникациях на каждом интерфейсе. Охранник будет передавать только бизнес-информацию, переносимую протоколами из одной сети в другую, и то только в том случае, если информация проходит настроенные проверки, обеспечивающие необходимую защиту.

История

Разработка охранников началась в конце 1970-х годов с создания нескольких «процессоров защищенной связи» и «охранников». Процессоры защищенной связи представляли собой операционные системы с высоким уровнем надежности и ядра безопасности, разработанные для поддержки управляемого обхода обычного текста для устройств шифрования пакетной сети. Приложения-охранники были разработаны для очистки данных, экспортируемых из секретной системы, с целью удаления из нее любой конфиденциальной информации.

Процессор защищенной связи Honeywell (SCOMP)[1] была ранней защитной платформой. Это было оценено по сравнению с Центром компьютерной безопасности Министерства обороны США. Оранжевая книга критерии оценки на уровне A1.

В RSRE Безопасная пользовательская среда (SUE) работает на PDP-11/34. Это было очень простое разделительное ядро, разработанное и построенное отделом T4 Королевского центра связи и радиолокации (RSRE) в Малверне, Англия.[2][3]

Защита Advanced Command and Control Architectural Testbed (ACCAT) была разработана для экспорта электронной почты из секретной системы через этап проверки человеком.[4]

Более поздние разработки охранников обратились к проблеме автоматического «понижения» информации, экспортируемой из секретной системы. Защищенный сетевой сервер (SNS) Mail Guard (SMG) применяет белые списки адресов источника / получателя, проверку меток безопасности, фильтрацию типов вложений и цифровые подписи для предотвращения разглашения конфиденциальной информации[5]

Брандмауэры появились позже, примерно в 1987 году.[6] Со временем функциональность межсетевых экранов расширилась, чтобы предоставить аналогичные возможности охранникам. Остающееся главное отличие состоит в том, что охранники построены таким образом, чтобы гарантировать, что они эффективны при защите сети и самих себя.

В SWIPSY набор инструментов межсетевого экрана был разработан Агентство оборонной оценки и исследований выступать в качестве общей платформы охраны. SWIPSY был расположен поверх Trusted Solaris 8.

Функциональность

Изначально средства защиты были разработаны для контроля раскрытия информации из секретных систем, защищая конфиденциальность конфиденциальной информации, обрабатываемой защищенной системой. С тех пор их область применения была расширена, чтобы охватить контроль над импортом данных, чтобы защитить целостность информации и доступность услуг в защищенной сети.

Охранники обычно обеспечивают следующие функции:

  • аутентификация адреса источника и получателя
  • белый список адресов источника и назначения
  • Этикетка безопасности проверяет соответствие разрешений источника и назначения
  • белый список форматов данных
  • проверка согласованности и достоверности формата данных
  • сканирование данных на наличие известных вредоносных программ
  • проверка цифровых подписей
  • проверка зашифрованного контента
  • проверка текста на черный список фраз
  • удаление избыточных данных
  • создание журналов регистрации событий, связанных с безопасностью
  • механизмы самотестирования

Уверенность

Охранники функционально эквивалентны хозяин бастиона выступая в качестве прокси приложения, помещенного в Сеть DMZ, где прокси-сервер устанавливает необходимый контроль над данными, которыми обмениваются, чтобы обеспечить защиту от внешних угроз и внутренних утечек. Но их можно отличить по конструкции. Сеть DMZ полагается на внешние брандмауэры фильтрации пакетов для маршрутизации трафика к хосту-бастиону. Если брандмауэры работают некорректно, они могут пропускать трафик через DMZ, не проходя через хост-бастион, поэтому проверки, налагаемые прокси-серверами, обходятся. Кроме того, если сетевой стек хоста-бастиона ведет себя некорректно, он может направлять трафик через DMZ, не проходя через прокси.

Защита сконструирована таким образом, чтобы минимизировать количество необходимого для правильного функционирования программного обеспечения и минимизировать работу, необходимую для демонстрации этого третьей стороне. То есть охранники спроектированы так, чтобы гарантировать, что они применяют соответствующие проверки.[7]

Охранники могут использовать надежную операционную систему, чтобы отделить критически важные для безопасности компоненты средства проверки от менее важных компонентов обработки протокола. Таким образом, отказ компонентов обработки протокола не может привести к тому, что данные будут пропущены через средство проверки.[8] Например, Linux с повышенной безопасностью используется Nexor охранники[9] и Solaris 10 with Trusted Extensions используется Radiant Mercury и ISSE Guard,[10] и по Глубокая безопасность. Средства контроля исполнения типов, разработанные для операционной системы LOCK[11] использовались в Sidewinder.[12]

Охранники также могут использовать физически отдельные компьютеры, чтобы не допустить обхода критических компонентов.[13]

Товары

Государственная готовая продукция:

Готовая коммерческая продукция:

Смотрите также

Рекомендации

  1. ^ Стивен Падилья и Терри Бензел, Заключительный отчет об оценке SCOMP, CSC-EPL-85/001, 1985 г.
  2. ^ Джон Рашби (1981). «Проектирование и проверка защищенных систем» (PDF). Обзор операционных систем ACM. SRI International Лаборатория компьютерных наук. 15 (5): 12–21. Дои:10.1145/1067627.806586.
  3. ^ Д. Х. Барнс, Исследование процессоров защищенной связи, Procs. 7-я Конференция Инициативы компьютерной безопасности DoDNBS 1984
  4. ^ Вудворд, J.P.L, Приложения для многоуровневых защищенных операционных систем, Proc. AFIPS 1979 Nat. Comput. Конф., Июнь 1979 г.
  5. ^ Р. Э. Смит Создание почтового сторожа высокой надежности В архиве 2012-06-17 в Wayback Machine 1984
  6. ^ Ингхэм К. и Форрест С. История и обзор сетевых брандмауэров
  7. ^ Чарльз Мани Проблемы безопасности при прохождении данных через информационные домены: эффективно ли охранники решают проблему?
  8. ^ Рик Смит Проблема многоуровневой безопасности, Blackhat, октябрь 2003 г.
  9. ^ "Цель безопасности системы фильтрации Nexor Sentinel 3E Common Criteria"
  10. ^ Шерил Гербер Точечное соединение между доменами В архиве 2016-01-31 в Wayback Machine, Военные информационные технологии Том 14, выпуск 1, февраль 2010 г.
  11. ^ Ричард Смит [1] В архиве 2009-01-06 на Wayback Machine Обязательная защита программного обеспечения Интернет-сервера
  12. ^ Сайджари, Сами (май 1989 г.). «LOCK Trek: навигация в неизведанном космосе». Procs. Безопасность и конфиденциальность IEEE Symp.
  13. ^ Прочтите «Компьютеры в опасности: безопасные вычисления в век информации» на NAP.edu.
  14. ^ «Сияющий Меркурий» (PDF).
  15. ^ "Защита среды сервера поддержки изображений (ISSE)".
  16. ^ "Роквелл Коллинз Стражи высокой уверенности".
  17. ^ «Почтовый страж». Архивировано из оригинал на 2012-07-21. Получено 2012-08-06.
  18. ^ «Междоменные решения».
  19. ^ "Скоростная охрана Raytheon" (PDF).[постоянная мертвая ссылка ]
  20. ^ «Шлюз безопасности SDoT».
  21. ^ Фокке, Мишель. «Технический обзор стандартной автоматизированной охранной среды SAGE». CiteSeerX  10.1.1.133.4225. Отсутствует или пусто | url = (помощь)
  22. ^ «Безопасное междоменное решение: SyBard». Архивировано из оригинал на 2012-05-28. Получено 2012-07-23.