Комплексное управление безопасностью информационной системы в ЛВС ОАО “ХК Дальзавод”

Продукция компании «Cisco»

7.1.2. Juniper Networks Firewall/IPSec VPN

Juniper Networks Firewall/IPSec VPN — это семейство универсальных продуктов, объединяющих функции межсетевого экрана (firewall), концентратора виртуальных частных сетей (VPN), маршрутизатора и средства управления трафиком (bandwidth manager). Совмещение функций не влечет за собой ограничений по производительности и функциональности. Такое решение становится возможным благодаря тому, что основные функции по применению правил (т.е. собственно функции межсетевого экрана), шифрации, дешифрации и компрессии (т.е. наиболее ресурсоемкие процедуры при реализации технологии IPSec) во всех продуктах NetScreen реализуются аппаратно на базе высокоскоростных заказных микросхем (ASIC). Модельный ряд включает 12 устройств, в том числе 4 модульных (systems) и 8 с фиксированной конфигурацией (appliances), имеющих различные показатели производительности, тип и количество физических интерфейсов, но использующих единую операционную систему ScreenOS, функционирующую на собственной аппаратной платформе, где в составе элементной базы применяется набор заказных микросхем GigaScreen ASIC собственной разработки.

На всех устройствах используется единая операционная система реального времени ScreenOS разработки компании Juniper Networks. На основе ScreenOS реализуются основные функции межсетевого экрана/VPN концентратора NetScreen, в том числе:

• поддержка технологии stateful inspection firewall;
• поддержка виртуальных частных сетей по технологии IPSec, L2TP, L2TP-over-IPSec;
• реализация алгоритмов управления трафиком для эффективного использования полосы пропускания;
• обеспечение высокой готовности (high availability) для построения отказоустойчивых решений;
• поддержка средств управления;
• поддержка протоколов динамической маршрутизации для удобства интеграции с существующими сетями;
• поддержка протоколов аутентификации пользователей;
• защита от известных атак, включая атаки типа SYN, UDP Floods, ICMP Floods, Ping-of-Death, TearDrop, Land и др., а также распознавание попыток сканирования портов, некорректного использования свойств стандартных протоколов, проверку загружаемых компонентов Java/ActiveX/ZIP/EXE, пресечение сессий с незаслуживающими доверия URL;
• защита от атак на уровне приложений: обнаружение аномалий протоколов (HTTP, FTP, SMTP, POP, IM, NetBios/SMB, P2P, IMAP, DNS, MS-RPC) и 650 сигнатур;
• URL-фильтрация (внутренняя и внешняя): SurfControl и WebSense;
• трансляция сетевых адресов (в том числе NAT-T);
• поддержка динамических протоколов маршрутизации RIPv2, OSPF, BGP-4;
• поддержка функциональности классического bandwidth-менеджера: классификация трафика и обслуживание каждого класса в соответствии с заданными параметрами QoS.

Программное обеспечение ScreenOS сертифицировано ICSA. В настоящее время проводится тестирование на предмет удовлетворения требований CommonCriteria.

Настройка и конфигурирование устройств NetScreen осуществляются с помощью встроенного web-интерфейса, командной строки или  централизованной системы управления NetScreen Security Manager (NSM).

Сравнительный анализ продуктов:

7.2. Системы IDS / IPS

7.2.1. Cisco IDS/IPS

     Cisco IDS/IPS является центральным компонентом решений Cisco System по отражению атак. На базе данного ПО построены системы обнаружения атак Cisco IDSM-2 и Cisco IDS Network Module. Наряду с традиционными механизмами в Cisco IDS/IPS используются и уникальные алгоритмы, отслеживающие аномалии в сетевом трафике и отклонения от нормального поведения сетевых приложений. Это позволяет обнаруживать как известные, так и многие неизвестные атаки.

     Встроенные  технологии корреляции событий безопасности Cisco Threat Response, Threat Risk Rating и Meta Event Generator не только помогают существенно снизить число ложных срабатываний, но и позволяют администраторам реагировать лишь на действительно критичные атаки, которые могут нанести серьезный ущерб ресурсам корпоративной сети. 

Основные  возможности:

• Широкий спектр алгоритмов обнаружения атак (сигнатуры, аномалии, эвристика, отклонения от RFC и т.п.)
• Защита от методов обхода
• Возможность одновременно работать в двух режимах – обнаружения и предотвращения атак
• Обнаружение атак в IP–телефонии
• Обнаружение IM в Web–трафике
• Встроенный сканер безопасности
• Технология микромодулей Т.А.М.Е. для каждого типа обнаруживаемых атак
• Автоматический выбор реагирования в зависимости от степени угрозы
• Интеграция с IDS/IPS других производителей с помощью протокола SDEE
• Производительность – 8 Гбит/сек в кластере

Основные  технические характеристики:                   

7.2.2. StoneGate IPS

     Модель StoneGate IDS 200

     В основе работы семейства StoneGate IPS заложена функциональность обнаружения и предотвращения вторжений, которая использует различные методы обнаружения вторжений: сигнатурный анализ, технология декодирования протоколов для обнаружения вторжений, не имеющих сигнатур, анализ аномалий протоколов, анализ поведения конкретных хостов.

     StoneGate IPS предоставляет огромное количество возможностей по настройке и управлению. Обладая самыми современными возможностями по управлению политиками обнаружения вторжений, система позволяет составлять карты сети и проводить анализ сетевой активности в наглядном виде.

Основные  возможности StoneGate IPS:

• обнаружение и предотвращение попыток НСД в режиме реального времени в прозрачном для пользователей сети режиме;
• обширный список сигнатур атак (по содержанию, контексту сетевых пакетов и другим параметрам);
• возможность обработки фрагментированного сетевого трафика;
• возможность контроля нескольких сетей с разными скоростями;
• декодирование протоколов для точного определения специфических атак;
• возможность обновления базы данных сигнатур атак из различных источников (возможен импорт сигнатур Open Source);
• блокировка или завершение нежелательных сетевых соединений;
• анализ «историй» событий безопасности;
• анализ протоколов на соответствие RFC;
• встроенный анализатор событий, позволяющий эффективно снижать поток ложных срабатываний;
• создание собственных сигнатур атак, шаблонов анализа атак, аномалий и др.;
• распределенная многоуровневая система управления и мониторинга;
• централизованное дистанционное обновление программного обеспечения вместе с операционной системой;
• интуитивно понятный интерфейс, интегрированный с межсетевым экраном StoneGate;
• простая в использовании и одновременно гибкая в настройке система генерации отчетов.

Цена  StoneGate IDS 200 = 4673$ 

7.2.3. DefensePro IDS IPS

     Особенность оборудования — полная «прозрачность» для сети и двунаправленный анализ трафика. DefensePro не имеет ни МАС, ни IP-адреса, как следствие, злоумышленник не имеет возможности понять где установлена система защиты. Один DefensePro может одновременно обслуживать несколько сегментов сети, путём разделения на несколько виртуальных устройств. Анализ трафика в двух направлениях позволяет избежать распространения вирусов и червей в пределах сети, а так же позволяет блокировать исходящие атаки. DefensePro гарантирует максимальную пропускную способность одновременно с возможностью изолировать, блокировать и останавливать атаки в режиме реального времени.

Основные  возможности DefensePro-200:

• Полный мониторинг и изоляция атак
• Полная защита приложений
• Обнаружение аномалий в работе протоколов
• Обнаружение аномалий трафика
• Защита DoS/DDos и SYN flood
• Обновление программного обеспечения и базы данных атак

Цена DefensePro-200: $3890

7.2.4. SecureNet Sensor

     Система Intrusion SecureNet является не просто системой обнаружения, а системой предотвращения вторжений в режиме реального времени в соответствии с заданными администратором критериями. Как и большинство других систем, представленных на рынке, она способна анализировать потоки трафика на предмет соответствия заданному набору сигнатур. Однако, в отличие от конкурентных продуктов, Intrusion SecureNet умеет также выявлять аномалии и отклонения в работе протоколов посредством разбора сетевых пакетов «на лету», осуществлять корреляцию событий, ограничивая нагрузку на подсистему регистрации и облегчая тем самым работу администратора.

Основные  возможности SecureNet Sensor:

Обнаружение вторжений:

• обнаружение попыток НСД в режиме реального времени в прозрачном для пользователей сети режиме;
• обширный список сигнатур атак (по содержанию, контексту сетевых пакетов и другим параметрам);
• возможность обновления базы данных сигнатур атак из различных источников;
• возможность обработки фрагментированного сетевого трафика;
• возможность контроля нескольких сетей, работающих с разными скоростями;
• скрипт-язык SNP*L для создания собственных сигнатур;
• использование в нескольких сетевых сегментах с разной скоростью и типами интерфейсов, включая Fast Ethernet и Gigabit Ethernet;
• декодирование протоколов для точного определения специфических атак.