Назначение и функции Продукта

Введение ~3 мин чтения 1917 слов

Назначение и функции Продукта

ПАК «С-Терра Шлюз» (Шлюз КВ) (далее – С-Терра Шлюз, Продукт) выполняет функции межсетевого экрана, средства криптографической защиты информации и маршрутизатора.

ПАК «С-Терра Шлюз» обеспечивает создание виртуальных защищенных сетей (VPN), защиту транзитного трафика между различными узлами сети, защиту трафика самого шлюза безопасности, а также stateless фильтрацию IP-трафика и stateful фильтрацию для протоколов TCP, UDP и FTP.

Основные возможности С-Терра Шлюз:

защита трафика на уровне аутентификации/шифрования сетевых пакетов по протоколам IPsec AH и/или IPsec ESP;
поддержка протоколов IKE и IKEv2;
реализация новых криптографических алгоритмов;
пакетная фильтрация трафика по адресам, протоколам, портам, по любым полям заголовка IP-пакета;
контекстная фильтрация трафика для протоколов TCP, UDP и FTP;
работа по расписанию для правил пакетной фильтрации;
различные наборы правил обработки трафика на разных интерфейсах;
возможность задания независимых правил для входящего и исходящего трафиков на каждом интерфейсе, как для пакетной, так и контекстной фильтрации трафика;
поддержка качества обслуживания QoS (приоритет по полю TOS, управление очередями, фрагментацией пакетов, сеансами TCP, классификация, защита от перегрузки);
поддержка в качестве IKECFG-сервера – выдача адресов из локальной подсети, адресов DNS-серверов, DNS-суффиксов партнеру;
статическая и динамическая маршрутизация (по протоколам RIP, OSPF, BGP);
трансляция сетевых адресов NAT/PAT;
шифрование трафика на канальном уровне (Ethernet, в том числе MPLS/802.1q/Q-in-Q) с использованием Программного продукта «С-Терра L2» (по умолчанию входит в состав С-Терра Шлюз);
событийное протоколирование по протоколу syslog с возможностью объединять события в группы и задавать для каждой группы свой независимый уровень протоколирования;
сбор статистики для мониторинга по протоколу SNMP;
создание кластера на основе протокола VRRP в режиме горячего резервирования;
синхронизация системного времени с NTP-сервером;
работа с криптостойкими предварительно распределёнными ключами (PSK);
возможность осуществлять фильтрацию сетевого трафика для отправителей информации, получателей информации и всех операций перемещения контролируемой МЭ информации к узлам информационной системы и от них;
возможность обеспечения фильтрации для всех операций перемещения через МЭ информации к узлам информационной системы и от них;
возможность осуществлять фильтрацию, основанную на следующих типах атрибутов безопасности субъектов: сетевой адрес узла отправителя; сетевой адрес узла получателя; интерфейс МЭ (на уровне сетевого адреса), через который проходит пакет;
возможность осуществлять фильтрацию, основанную на следующих типах атрибутов безопасности информации: сетевой протокол, который используется для взаимодействия; атрибуты, указывающие на фрагментацию пакетов; транспортный протокол, который используется для взаимодействия, порты источника и получателя в рамках сеанса (сессии); разрешенные (запрещенные) команды, разрешенный (запрещенный) мобильный код;
возможность явно разрешать информационный поток, базируясь на устанавливаемых администратором МЭ наборе правил фильтрации, основанном на идентифицированных атрибутах;
возможность явно запрещать информационный поток, базируясь на устанавливаемых администратором МЭ наборе правил фильтрации, основанном на идентифицированных атрибутах;
возможность блокирования всех информационных потоков, проходящих через нефункционирующий или функционирующий некорректно МЭ;
возможность осуществлять политику фильтрации пакетов с учетом управляющих команд от взаимодействующих с МЭ средств защиты информации других видов;
возможность осуществлять проверку каждого пакета по таблице состояний для определения того, не противоречит ли состояние (статус, тип) пакета ожидаемому состоянию;
возможность осуществлять проверку использования пользователями отдельных команд, для которых администратором МЭ установлены разрешительные или запретительные атрибуты безопасности;
возможность осуществлять проверку использования сетевых ресурсов, содержащих мобильный код, для которого администратором МЭ установлены разрешительные или запретительные атрибуты безопасности;
возможность осуществлять фильтрацию, основанную на атрибутах: разрешенные/ запрещенные протоколы прикладного уровня;
возможность разрешать информационный поток, основываясь на результатах проверок;
возможность запрещать информационный поток, основываясь на результатах проверок;
возможность осуществлять фильтрацию пакетов с учетом управляющих команд от взаимодействующих с МЭ средств защиты информации других видов, основанную на атрибутах, указывающих на признаки нарушения безопасности в информации сетевого трафика;
возможность разрешать информационный поток, если значения атрибутов безопасности, установленные взаимодействующими средствами защиты информации для контролируемого сетевого трафика, указывают на отсутствие нарушений безопасности информации;
возможность запрещать информационный поток, если значения атрибутов безопасности, установленные взаимодействующими средствами защиты информации для контролируемого сетевого трафика, указывают на наличие нарушений безопасности информации;
возможность осуществлять фильтрацию при импорте (перехвате) информации сетевого трафика из-за пределов МЭ;
возможность осуществлять МЭ передачу информационных потоков с переназначением сетевых адресов отправителя и (или) получателя (трансляция адресов и посредничество в передаче), фильтрацию при экспорте (передаче от своего имени) информации сетевого трафика за пределы МЭ;
возможность экспортировать (передавать от своего имени) информацию сетевого трафика при положительных результатах фильтрации и других проверок;
возможность осуществлять посредничество в передаче информации сетевого трафика, основанное на типе сетевого трафика;
возможность маскирования наличия МЭ способами, затрудняющими нарушителям его выявление;
возможность регистрации и учета выполнения проверок информации сетевого трафика;
возможность читать информацию из записей аудита уполномоченным администраторам;
возможность выбора совокупности событий, подвергающихся аудиту, из совокупности событий, в отношении которых возможно осуществление аудита;
возможность оповещения уполномоченных лиц о критичных видах событий безопасности, в том числе сигнализация о попытках нарушения правил межсетевого экранирования;
возможность выборочного просмотра данных аудита (поиск, сортировка, упорядочение данных аудита);
возможность регистрации возникновения событий, которые в соответствии с национальным стандартом Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности» включены в базовый уровень аудита;
возможность идентификации администратора МЭ до разрешения любого действия (по администрированию), выполняемого при посредничестве МЭ от имени этого администратора;
возможность аутентификации администратора МЭ до разрешения любого действия (по администрированию), выполняемого при посредничестве МЭ от имени этого администратора;
возможность осуществления идентификации субъектов межсетевого взаимодействия до передачи МЭ информационного потока получателю;
поддержка определенных ролей по управлению МЭ;
возможность со стороны администраторов управлять режимом выполнения функций безопасности МЭ;
возможность со стороны администраторов управлять данными МЭ, используемыми функциями безопасности МЭ;
возможность со стороны администраторов управлять атрибутами безопасности;
возможность поддержки списка типов сетевого трафика для осуществления посредничества в передаче, предусматривающего разделение трафика по типам;
обеспечение ассоциации типов сетевого трафика из списка с конкретным сетевым трафиком для осуществления посредничества в передаче и обработки соответствующих типов сетевого трафика прокси- агентами;
возможность изменения области значений информации состояния соединения со стороны администраторов МЭ;
возможность присвоения информации состояния соединения допустимых значений, таких как установление соединения, использование соединения, завершение соединения и других;
возможность ведения для каждого соединения таблицы состояний, основанной на информации состояния соединения;
предоставление возможности администраторам МЭ модифицировать, удалять разрешительные и (или) запретительные атрибуты безопасности для используемых пользователями отдельных команд для осуществления МЭ фильтрации;
предоставление возможности администраторам МЭ модифицировать, удалять разрешительные и (или) запретительные атрибуты безопасности использования сетевых ресурсов, содержащих отдельные типы мобильного кода, для осуществления МЭ фильтрации;
возможность обеспечения надежных меток времени при проведении аудита безопасности;
возможность тестирования (самотестирования) функций безопасности МЭ (контроль целостности исполняемого кода МЭ);
возможность сохранения штатного функционирования МЭ при некритичных типах сбоев;
возможность согласованно интерпретировать управляющие команды, атрибуты сетевого трафика и иные данные, получаемые от взаимодействующих с МЭ средств защиты информации других видов;
поддержка правил интерпретации данных, получаемых от взаимодействующих с МЭ средств защиты информации других видов;
возможность обеспечения перехода в режим аварийной поддержки, который предоставляет возможность возврата МЭ к штатному режиму функционирования;
возможность кластеризации МЭ;
возможность приоритизации контроля и фильтрации разных информационных потоков, а также выделения ресурсов, доступных для разных информационных потоков, обрабатываемых одновременно (в течение определенного периода времени).

Дополнительные возможности:

поддержка протокола IKEv2, благодаря чему удалось значительно расширить перечень устройств, с которыми стало возможно построение IPsec c использованием сертификатов;
одновременная работа по протоколам IKEv1 и IKEv2;
возможность работы с IPv6-адресами;
формат контейнера закрытых ключей s50 (PKCS#15). Работа с контейнерами формата p15 поддерживается;
возможность настройки агента ретрансляции DHCP Relay для получения сетевых настроек по протоколу DHCP. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Обеспечение защищенного взаимодействия между DHCP клиентами и серверами из удаленных подсетей», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии прим поддержка MultiWAN – сервис, обеспечивающий резервирование каналов связи (Интернет-провайдеров). Описание процесса настройки с перечисленными возможностями представлено в сценарии «Резервирование каналов связи при помощи сервиса MultiWAN», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
поддержка inside VRF совместно с stVTI интерфейсами для сценариев применения в локальной сети. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Построение VPN соединения при наличии подсетей с пересекающимся адресным пространством и отказоустойчивостью», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
поддержка протоколов PPPoE, PPTP для подключения к глобальным сетям. Возможна настройка С-Терра Шлюз как клиента для подключения к серверу провайдера. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Построение VPN туннеля с PPPoE/PPTP соединением между двумя подсетями, защищаемыми шлюзами безопасности «С-Терра Шлюз», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
выделение отдельной QoS очереди для обработки приоритетного трафика. Регулируется параметром IPsec-драйвера use_priority_queue, который задается в конфигурационном файле /etc/modprobe.d/vpndrvr.conf;
поддержка криптостойких предварительно распределённых ключей. Использование данных ключей возможно в производственной эксплуатации, в отличие от стандартных PSK, использование которых возможно только в тестовых целях;
возможность использования С-Терра Шлюз как коммутатора (bridge) с возможностью фильтрации трафика на портах коммутатора средствами утилиты EBtables (transparent firewall). Описание процесса настройки с перечисленными возможностями представлено в «Использование утилиты «ebtables-legacy»», размещенной на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0».

Управление ПАК «С-Терра Шлюз» осуществляется:

локально и удаленно по протоколу SSH с использованием интерфейса командной строки. В интерфейсе командной строки в основном используются команды cs_console.

На ПАК «С-Терра Шлюз» используется встроенная криптографическая библиотека, разработанная компанией «С-Терра СиЭсПи».

Криптобиблиотека, разработанная компанией «С-Терра СиЭсПи», реализует российские криптографические алгоритмы:

ГОСТ 28147-89, ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015), ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) – алгоритмы шифрования для IKE-соединения и протокола ESP;
ГОСТ 28147-89, ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015), ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) – алгоритмы имитозащиты для протокола ESP;
ГОСТ Р 34.11-94, ГОСТ 34.11-12 – алгоритмы хэширования для ISAKMP SA и IKEv2 SA;
ГОСТ 34.10-2018 (ГОСТ Р 34.10-2012) – алгоритмы формирования и проверки электронной подписи;
VKO ГОСТ Р 34.10-2001, VKO ГОСТ Р 34.10-2012, – алгоритмы согласования сессионных ключей для ISAKMP SA, IKEv2 SA и IPsec SA (PFS).

ПАК «С-Терра Шлюз» не работает с международными криптоалгоритмами.

ПК «С-Терра Шлюз КВ ST». Версия 5.0 работает только с контейнерами формата PKCS#15.

Защиту трафика С-Терра Шлюз осуществляет в рамках национальных стандартов:

ГОСТ 34.11-2018 (ГОСТ Р 34.11-2012) Информационная технология. Криптографическая защита информации. Функция хэширования.
ГОСТ 34.10-2018 (ГОСТ Р 34.10-2012) Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи.
ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015) Информационная технология. Криптографическая защита информации. Блочные шифры.
ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров.
Р 1323565.1.026–2019 Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров, реализующие аутентифицированное шифрование.
Р 1323565.1.024–2019 Информационная технология. Криптографическая защита информации. Параметры эллиптических кривых для криптографических алгоритмов и протоколов.
Р 1323565.1.005-2017 Информационная технология. Криптографическая защита информации. Допустимые объемы материала для обработки на одном ключе при использовании некоторых вариантов режимов работы блочных шифров в соответствии с ГОСТ Р 34.13-2015.
Р 50.1.110–2016 Информационная технология. Криптографическая защита информации. Контейнер хранения ключей.
RFC 4357, глава 5.2, «VKO GOST R 34.10-2001» – Additional Cryptographic Algorithms for Use with GOST 28147-89, GOST R 34.10-94, GOST R 34.10-2001, and GOST R 34.11-94 Algorithms;
Р 1323565.1.048–2023 Информационная технология. Криптографическая защита информации. Использование российский криптографических алгоритмов в протоколе обмена ключами в сети Интернет версии 2 (IKEv2).

Для IPv6 используются:

RFC 1981/8201 - Path MTU Discovery for IP version 6;
RFC 2401/4301 - Security Architecture for the Internet Protocol;
RFC 2406/4303 - IP Encapsulating Security Payload (ESP);
RFC 2428 - FTP Extensions for IPv6 and NATs;
RFC 2460/8200 - Internet Protocol, Version 6 (IPv6);
RFC 2461/4861 - Neighbor Discovery for IP version 6 (IPv6);
RFC 2675 - IPv6 Jumbograms;
RFC 3168 - The Addition of Explicit Congestion Notification (ECN) to IP;
RFC 4291 - IP Version 6 Addressing Architecture;
RFC 4443 - Internet Control Message Protocol (ICMPv6) for the Internet Protocol Version 6 (IPv6);
RFC 5952 - A Recommendation for IPv6 Address Text Representation;
RFC 6437 - IPv6 Flow Label Specification;
RFC 6936 - Applicability Statement for the Use of IPv6 UDP Datagrams with Zero Checksums;
RFC 7112 - Implications of Oversized IPv6 Header Chains;
RFC 8021 - Generation of IPv6 Atomic Fragments Considered Harmful;
RFC 8415 - Dynamic Host Configuration Protocol for IPv6 (DHCPv6).