Назначение и функции Продукта

Введение ~3 мин чтения 2058 слов

Назначение и функции Продукта

ПАК «С-Терра Шлюз» (далее – С-Терра Шлюз, Продукт) выполняет функции межсетевого экрана, средства криптографической защиты информации и маршрутизатора.

ПАК «С-Терра Шлюз» обеспечивает создание виртуальных защищенных сетей (VPN), защиту транзитного трафика между различными узлами сети, защиту трафика самого шлюза безопасности, а также stateless фильтрацию IP-трафика и stateful фильтрацию для протоколов TCP, UDP и FTP.

Основные возможности С-Терра Шлюз:

защита трафика на уровне аутентификации/шифрования сетевых пакетов по протоколам IPsec AH и/или IPsec ESP;
поддержка протоколов IKE и IKEv2;
реализация новых криптографических алгоритмов;
пакетная фильтрация трафика по адресам, протоколам, портам, по любым полям заголовка IP-пакета;
контекстная фильтрация трафика для протоколов TCP, UDP и FTP;
работа по расписанию для правил пакетной фильтрации;
различные наборы правил обработки трафика на разных интерфейсах;
возможность задания независимых правил для входящего и исходящего трафиков на каждом интерфейсе, как для пакетной, так и контекстной фильтрации трафика;
поддержка качества обслуживания QoS (приоритет по полю TOS, управление очередями, фрагментацией пакетов, сеансами TCP, классификация, защита от перегрузки);
поддержка в качестве IKECFG-сервера – выдача адресов из локальной подсети, адресов DNS-серверов, DNS-суффиксов партнеру;
поддержка дополнительной аутентификации (XAuth) удаленных пользователей с использованием RADIUS-сервера, возможность работать без списка CRL;
статическая и динамическая маршрутизация (по протоколам RIP, OSPF, BGP);
трансляция сетевых адресов NAT/PAT;
шифрование трафика на канальном уровне (Ethernet, в том числе MPLS/802.1q/Q-in-Q) с использованием Программного продукта «С-Терра L2» (по умолчанию входит в состав С-Терра Шлюз);
интеграция с Системой обнаружения вторжений (Программный комплекс «С-Терра СОВ». Версия 5.0);
событийное протоколирование по протоколу syslog с возможностью объединять события в группы и задавать для каждой группы свой независимый уровень протоколирования;
сбор статистики для мониторинга по протоколу SNMP;
использование RADIUS-сервера в качестве средства мониторинга – сбор и анализ статистической информации по защищенным соединениям с партнерами;
создание кластера на основе протокола VRRP в режиме горячего резервирования;
синхронизация системного времени с NTP-сервером;
работа с криптостойкими предварительно распределёнными ключами (PSK);
взаимодействие с устройствами квантового распределения ключей (КРК) (QKD). Партнерам по защищенному соединению предоставляется общий ключ, который используется для обеспечения устойчивости IPsec SA от взлома на основе вычислений квантовых компьютеров.

ПАК «С-Терра Шлюз» в качестве МЭ обеспечивает:

возможность осуществлять фильтрацию сетевого трафика для отправителей информации, получателей информации и всех операций перемещения контролируемой МЭ информации к узлам информационной системы и от них;
возможность обеспечения фильтрации для всех операций перемещения через МЭ информации к узлам информационной системы и от них;
возможность осуществлять фильтрацию, основанную на следующих типах атрибутов безопасности субъектов: сетевой адрес узла отправителя; сетевой адрес узла получателя; интерфейс МЭ (на уровне сетевого адреса), через который проходит пакет;
возможность осуществлять фильтрацию, основанную на следующих типах атрибутов безопасности информации: сетевой протокол, который используется для взаимодействия; атрибуты, указывающие на фрагментацию пакетов; транспортный протокол, который используется для взаимодействия, порты источника и получателя в рамках сеанса (сессии); разрешенные (запрещенные) команды, разрешенный (запрещенный) мобильный код;
возможность явно разрешать информационный поток, базируясь на устанавливаемых администратором МЭ наборе правил фильтрации, основанном на идентифицированных атрибутах;
возможность явно запрещать информационный поток, базируясь на устанавливаемых администратором МЭ наборе правил фильтрации, основанном на идентифицированных атрибутах;
возможность блокирования всех информационных потоков, проходящих через нефункционирующий или функционирующий некорректно МЭ;
возможность осуществлять политику фильтрации пакетов с учетом управляющих команд от взаимодействующих с МЭ средств защиты информации других видов;
возможность осуществлять проверку каждого пакета по таблице состояний для определения того, не противоречит ли состояние (статус, тип) пакета ожидаемому состоянию;
возможность осуществлять проверку использования пользователями отдельных команд, для которых администратором МЭ установлены разрешительные или запретительные атрибуты безопасности;
возможность осуществлять проверку использования сетевых ресурсов, содержащих мобильный код, для которого администратором МЭ установлены разрешительные или запретительные атрибуты безопасности;
возможность осуществлять фильтрацию, основанную на атрибутах: разрешенные/ запрещенные протоколы прикладного уровня;
возможность разрешать информационный поток, основываясь на результатах проверок;
возможность запрещать информационный поток, основываясь на результатах проверок;
возможность осуществлять фильтрацию пакетов с учетом управляющих команд от взаимодействующих с МЭ средств защиты информации других видов, основанную на атрибутах, указывающих на признаки нарушения безопасности в информации сетевого трафика;
возможность разрешать информационный поток, если значения атрибутов безопасности, установленные взаимодействующими средствами защиты информации для контролируемого сетевого трафика, указывают на отсутствие нарушений безопасности информации;
возможность запрещать информационный поток, если значения атрибутов безопасности, установленные взаимодействующими средствами защиты информации для контролируемого сетевого трафика, указывают на наличие нарушений безопасности информации;
возможность осуществлять фильтрацию при импорте (перехвате) информации сетевого трафика из-за пределов МЭ;
возможность осуществлять МЭ передачу информационных потоков с переназначением сетевых адресов отправителя и (или) получателя (трансляция адресов и посредничество в передаче), фильтрацию при экспорте (передаче от своего имени) информации сетевого трафика за пределы МЭ;
возможность экспортировать (передавать от своего имени) информацию сетевого трафика при положительных результатах фильтрации и других проверок;
возможность осуществлять посредничество в передаче информации сетевого трафика, основанное на типе сетевого трафика;
возможность маскирования наличия МЭ способами, затрудняющими нарушителям его выявление;
возможность регистрации и учета выполнения проверок информации сетевого трафика;
возможность читать информацию из записей аудита уполномоченным администраторам;
возможность выбора совокупности событий, подвергающихся аудиту, из совокупности событий, в отношении которых возможно осуществление аудита;
возможность оповещения уполномоченных лиц о критичных видах событий безопасности, в том числе сигнализация о попытках нарушения правил межсетевого экранирования;
возможность выборочного просмотра данных аудита (поиск, сортировка, упорядочение данных аудита);
возможность регистрации возникновения событий, которые в соответствии с национальным стандартом Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности» включены в базовый уровень аудита;
возможность идентификации администратора МЭ до разрешения любого действия (по администрированию), выполняемого при посредничестве МЭ от имени этого администратора;
возможность аутентификации администратора МЭ до разрешения любого действия (по администрированию), выполняемого при посредничестве МЭ от имени этого администратора;
возможность осуществления идентификации субъектов межсетевого взаимодействия до передачи МЭ информационного потока получателю;
поддержка определенных ролей по управлению МЭ;
возможность со стороны администраторов управлять режимом выполнения функций безопасности МЭ;
возможность со стороны администраторов управлять данными МЭ, используемыми функциями безопасности МЭ;
возможность со стороны администраторов управлять атрибутами безопасности;
возможность поддержки списка типов сетевого трафика для осуществления посредничества в передаче, предусматривающего разделение трафика по типам;
обеспечение ассоциации типов сетевого трафика из списка с конкретным сетевым трафиком для осуществления посредничества в передаче и обработки соответствующих типов сетевого трафика прокси- агентами;
возможность изменения области значений информации состояния соединения со стороны администраторов МЭ;
возможность присвоения информации состояния соединения допустимых значений, таких как установление соединения, использование соединения, завершение соединения и других;
возможность ведения для каждого соединения таблицы состояний, основанной на информации состояния соединения;
предоставление возможности администраторам МЭ модифицировать, удалять разрешительные и (или) запретительные атрибуты безопасности для используемых пользователями отдельных команд для осуществления МЭ фильтрации;
предоставление возможности администраторам МЭ модифицировать, удалять разрешительные и (или) запретительные атрибуты безопасности использования сетевых ресурсов, содержащих отдельные типы мобильного кода, для осуществления МЭ фильтрации;
возможность обеспечения надежных меток времени при проведении аудита безопасности;
возможность тестирования (самотестирования) функций безопасности МЭ (контроль целостности исполняемого кода МЭ);
возможность сохранения штатного функционирования МЭ при некритичных типах сбоев;
возможность согласованно интерпретировать управляющие команды, атрибуты сетевого трафика и иные данные, получаемые от взаимодействующих с МЭ средств защиты информации других видов;
поддержка правил интерпретации данных, получаемых от взаимодействующих с МЭ средств защиты информации других видов;
возможность обеспечения перехода в режим аварийной поддержки, который предоставляет возможность возврата МЭ к штатному режиму функционирования;
возможность кластеризации МЭ;
возможность приоритизации контроля и фильтрации разных информационных потоков, а также выделения ресурсов, доступных для разных информационных потоков, обрабатываемых одновременно (в течение определенного периода времени).

Управление ПАК "С-Терра Шлюз" осуществляется:

централизованно-удаленно посредством ПК «С-Терра ГСУ». Версия 5.0, используемого для управления Продуктами компании «С-Терра СиЭсПи» и мониторинга;
локально и удаленно по протоколу SSH с использованием интерфейса командной строки. В интерфейсе командной строки в основном используются команды Cisco IOS, что облегчает управление администраторам, имеющим опыт настройки шлюзов безопасности и межсетевых экранов Cisco Systems.

На ПАК "С-Терра Шлюз" используется встроенная криптографическая библиотека, разработанная компанией «С-Терра СиЭсПи».

Криптобиблиотека, разработанная компанией «С-Терра СиЭсПи», реализует российские криптографические алгоритмы:

ГОСТ 28147-89, ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015), ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) – алгоритмы шифрования для IKE-соединения и протокола ESP;
ГОСТ 28147-89, ГОСТ Р 34.11-94, ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015), ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) – алгоритмы имитозащиты для протоколов ESP и AH;
ГОСТ Р 34.11-94, ГОСТ 34.11-12 – алгоритмы хэширования для ISAKMP SA и IKEv2 SA;
ГОСТ 34.10-2018 (ГОСТ Р 34.10-2012) – алгоритмы формирования и проверки электронной подписи;
VKO ГОСТ Р 34.10-2001, VKO ГОСТ Р 34.10-2012 – алгоритмы согласования сессионных ключей для ISAKMP SA, IKEv2 SA и IPsec SA (PFS).

Также реализована генерация случайных чисел.

Внимание!

В связи с неактуальностью применения алгоритма ГОСТ 28147 политики безопасности, в которых применяется данный алгоритм и преобразования на основе ГОСТ 28147-89, необходимо обновить. Рекомендуется использовать более новые алгоритмы, например, алгоритм "Кузнечик" или "Магма" по ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015).

ПАК "С-Терра Шлюз" работает не только с криптоалгоритмами ГОСТ, но и с международными криптоалгоритмами:

3DES, AES, DES – алгоритмы шифрования для IKE-соединения и протокола ESP;
MD5, SHA – алгоритмы имитозащиты для протоколов ESP и AH;
MD5, SHA – алгоритмы хэширования для ISAKMP SA и IKEv2 SA;
RSA - алгоритмы формирования и проверки электронной подписи.
Группы Диффи-Хеллмана (1, 2, 5, 14, 15, 16, 17, 18) – алгоритмы согласования сессионных ключей для ISAKMP SA, IKEv2 SA и IPsec SA (PFS).

ПАК "С-Терра Шлюз" совместим со следующими токенами:

JaCarta PKI, JaCarta-2 ГОСТ, JaCarta-2 PKI/ГОСТ;
Рутокен Lite, Рутокен ЭЦП 2.0, Рутокен ЭЦП 3.0 (3100, 3220).

Защиту трафика С-Терра Шлюз осуществляет в рамках международных стандартов IKE(v2)/IPsec:

RFC 2401/4301 - Security Architecture for the Internet Protocol (IPSec);
RFC 2406 - IP Encapsulating Security Payload (ESP);
RFC 3948 - UDP Encapsulation of IPsec ESP Packets;
RFC 2402 - IP Authentication Header (AH).

IKE:

RFC 2409 - The Internet Key Exchange (IKE);
RFC 2408 – Internet Security Association and Key Management Protocol (ISAKMP);
RFC 2407 - The Internet IP Security Domain of Interpretation for ISAKMP (DOI);
RFC 3947 - Negotiation of NAT-Traversal in the IKE;
RFC 3948 - NAT-Traversal согласно разделу 4;
draft-nagayama-ipsecme-ipsec-with-qkd-01.txt - IKE for IPsec with QKD.

IKEv2:

RFC 7296 - Internet Key Exchange Protocol Version 2 (IKEv2);
RFC 7383 - Internet Key Exchange Protocol Version 2 (IKEv2) Message Fragmentation;
RFC 7427 - Signature Authentication in the Internet Key Exchange Version 2 (IKEv2).

Также используются национальные стандарты:

ГОСТ 34.11-2018 (ГОСТ Р 34.11-2012). Информационная технология. Криптографическая защита информации. Функция хэширования.
ГОСТ 34.10-2018 (ГОСТ Р 34.10-2012). Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи.
ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015) Информационная технология. Криптографическая защита информации. Блочные шифры.
ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров.
Р 1323565.1.026–2019 Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров, реализующие аутентифицированное шифрование.
Р 1323565.1.024–2019 Информационная технология. Криптографическая защита информации. Параметры эллиптических кривых для криптографических алгоритмов и протоколов.
Р 1323565.1.005-2017 Информационная технология. Криптографическая защита информации. Допустимые объемы материала для обработки на одном ключе при использовании некоторых вариантов режимов работы блочных шифров в соответствии с ГОСТ Р 34.13-2015.
Р 50.1.110–2016 Информационная технология. Криптографическая защита информации. Контейнер хранения ключей.
RFC 4357, глава 5.2, «VKO GOST R 34.10-2001» – Additional Cryptographic Algorithms for Use with GOST 28147-89, GOST R 34.10-94, GOST R 34.10-2001, and GOST R 34.11-94 Algorithms;
Р 1323565.1.048–2023 Информационная технология. Криптографическая защита информации. Использование российский криптографических алгоритмов в протоколе обмена ключами в сети Интернет версии 2 (IKEv2).

Для IPv6 используются:

RFC 1981/8201 - Path MTU Discovery for IP version 6;
RFC 2401/4301 - Security Architecture for the Internet Protocol;
RFC 2406/4303 - IP Encapsulating Security Payload (ESP);
RFC 2428 - FTP Extensions for IPv6 and NATs;
RFC 2460/8200 - Internet Protocol, Version 6 (IPv6);
RFC 2461/4861 - Neighbor Discovery for IP version 6 (IPv6);
RFC 2675 - IPv6 Jumbograms;
RFC 3168 - The Addition of Explicit Congestion Notification (ECN) to IP;
RFC 4291 - IP Version 6 Addressing Architecture;
RFC 4443 - Internet Control Message Protocol (ICMPv6) for the Internet Protocol Version 6 (IPv6);
RFC 5952 - A Recommendation for IPv6 Address Text Representation;
RFC 6437 - IPv6 Flow Label Specification;
RFC 6936 - Applicability Statement for the Use of IPv6 UDP Datagrams with Zero Checksums;
RFC 7112 - Implications of Oversized IPv6 Header Chains;
RFC 8021 - Generation of IPv6 Atomic Fragments Considered Harmful;
RFC 8415 - Dynamic Host Configuration Protocol for IPv6 (DHCPv6).

Продукт «С-Терра Шлюз» исполнения класса защиты КС1 обеспечивает защиту конфиденциальной информации от внешнего нарушителя.

Продукт «С-Терра Шлюз» исполнения класса защиты КС2 и сертифицированное средство доверенной загрузки обеспечивают защиту конфиденциальной информации от внутреннего нарушителя, который может находиться в помещении, где размещено СКЗИ.

Продукт «С-Терра Шлюз» исполнения класса защиты КС3 со специализированным модулем для создания и контроля замкнутой программной среды, совместно с сертифицированным средством доверенной загрузки обеспечивают защиту конфиденциальной информации от внутреннего нарушителя, который может получить непосредственный доступ к СКЗИ.