ЗАЩИТА ДАННЫХ

Цель этой статьи - рассказать о проблемах защиты электронных систем межкорпоративных расчетов “business-to-business” и наметить возможные пути их решения

Сейчас основные обороты электронной коммерции приходятся на сектор бизнес - бизнес (business-to-business, B2B), и в будущем, по прогнозу аналитиков, эта тенденция будет только усиливаться.

Однако B2B-системы - это не просто средства заключения сделок между фирмами, а технологии поддержки межкорпоративных отношений. Они обеспечивают двусторонний информационный обмен между сложившейся группой партнеров, преимущества которого нельзя недооценивать. Вот некоторые из них:

- можно легко организовать модель взаимодействия “многие-со-многими”, а для повышения эффективности рынка задействовать механизмы динамического ценообразования, создавая биржи или аукционы;

- возможны различные варианты технической реализации B2B-взаимодействия. Торговые площадки (marketplace) могут размещаться как на оборудовании и каналах провайдеров услуг Интернета, так и непосредственно у каждого из участников рынка;

- все участники рынка получают возможность доступа к широкой аудитории клиентов и партнеров и могут полностью управлять своим торговым процессом;

- в рынок B2B-систем вкладываются значительные средства, и именно на нем происходит почти 80%-ный ежегодный прирост оборота. По разным оценкам, общемировой оборот B2B-систем электронной коммерции к 2004 г. составит от 1,5 до 2,5 трлн. долл.

Однако вместе с преимуществами открытость B2B-систем таит в себе и ряд опасностей для каждого из участников межкорпоративных отношений. Компаниям, использующим системы B2B или участвующим в торгах на электронных площадках, приходится делать доступной часть своих внутренних ресурсов для партнеров или клиентов онлайновых площадок. Проблема защиты информации становится крайне актуальной. При недостаточно продуманном построении системы защиты информации корпоративные сети компаний оказываются подключенными к торговым площадкам таким образом, что конкуренты или иные посторонние лица могут при желании добывать конфиденциальную информацию с корпоративных компьютеров. Ущерб от такой деятельности, как материальный, так и моральный, огромен. Утечки конфиденциальной информации могут внести существенный дисбаланс в сложившиеся рыночные отношения и, естественно, негативным образом сказаться даже на отношении к электронным торговым площадкам в целом.

Требования к защите

Спектр опасных и потенциально опасных для B2B-систем действий достаточно широк. Необходимость взаимодействия корпоративной информационной системы (системы управления ресурсами предприятия) с торговой площадкой или даже их интеграция существенно ужесточает требования к подсистеме защиты информации от несанкционированного доступа. Работа подсистем защиты информации онлайновых торговых площадок должна основываться на процедурах строгой идентификации, аутентификации, разграничения доступа к данным и криптографической защиты транзакций. Наряду со стандартными средствами защиты Web-ресурса должны использоваться технологии, обеспечивающие безопасность Интернет-платежей и электронных документов. Еще одной особенностью ресурсов электронного бизнеса является необходимость предоставления неаутентифицированного “гостевого” доступа к выделенной части информации.

Кроме различных типов несанкционированного доступа к информации онлайновые ресурсы чувствительны к атакам DoS. Так, например, онлайновый аукцион Andale в период с 9 по 21 марта подвергся четырем DoS-атакам. Первый раз его сайт был заблокирован 9 марта, и аукцион не работал около 12 часов. Затем атаки предпринимались 15 и 18 марта, и сайт аукциона снова был недоступен для клиентов. DoS-атаки становятся все популярнее, что объясняется относительной простотой их реализации. В январе этого года таким атакам подвергались сайты Microsoft, и специалисты компании в течение двух суток ликвидировали их последствия. В 2000 г. DoS-атаки были предприняты против сайтов восьми крупнейших Интернет-компаний, включая Yahoo!, eBay и CNN.com (данные C-News). Не стоит и говорить о том, во что обходится минута простоя онлайновых ресурсов подобного масштаба.

Подсистема защиты информации совмещает в себе комплексность, всесторонний охват уязвимых мест как снаружи ее, так и изнутри, гибкое сочетание программно-технических и организационных мер защиты. Создание любого решения для работы в системе начинается с проработки организационного построения всей системы отношений B2B, а также подсистемы защиты информации в частности.

Построение комплексной системы защиты подразумевает не просто ее сборку из “кирпичиков” от различных производителей, подгонку их друг к другу и тонкую настройку, а реализацию единой концепции информационной безопасности. Только всесторонний концептуальный анализ информационной системы позволяет выработать оптимальную политику информационной безопасности.

Обоснованное распределение функций между торговой площадкой и корпоративной системой позволяет сформировать четко ограниченный набор формализованных процедур, доступных каждой категории пользователей.

Для подсистемы защиты информации B2B-системы нужно выделить следующие необходимые функции:

- защиту ресурсов корпоративных информационно-вычислительных систем и сетей от несанкционированного доступа из Интернета (межсетевое экранирование);

- выявление опасных и потенциально опасных воздействий из Интернета и внутренней сети (обнаружение атак);

- идентификацию и аутентификацию бизнес-партнеров и разграничение доступа к выделенным ресурсам корпоративной сети;

- защиту информационного обмена по открытым каналам;

- защиту ресурсов корпоративной сети от несанкционированного доступа изнутри (разграничение доступа для сотрудников компании и ограничение доступа в систему для третьих лиц);

- протоколирование событий в системе и анализ действий пользователей;

- антивирусную защиту.

Почти все из перечисленных функций подсистемы защиты информации являются классическими и для обычных подсистем защиты Web-ресурсов. Однако каждая функция имеет особенности, характерные именно для систем B2B.

Организация защиты

На рисунке представлен вариант возможного построения подсистемы защиты информации корпоративной B2B-системы. В рассматриваемом примере используется Web-сервер, выступающий в качестве посредника между партнерами по бизнесу. Этот сервер обрабатывает запросы, создает защищенные соединения, предоставляет интерфейс для работы с базами данных. На сервере создается фиксированный набор процедур и элементов пользовательского интерфейса, реализующих все необходимые различным категориям пользователей операции.

Интернет, демилитаризованная зона и внутренняя сеть разделяются межсетевыми экранами. Правильно сконфигурированный межсетевой экран в состоянии противостоять большинству известных атак. Однако существуют атаки принципиально не воспринимаемые межсетевым экраном. Поэтому необходимым элементом подсистемы защиты является система обнаружения атак, работающая в реальном масштабе времени. Такая система позволит обнаружить выход из строя межсетевого экрана, подмену IP-адресов, попытки подбора паролей. Повысить защищенность корпоративной сети можно с помощью аналогичной системы обнаружения атак внутри сети. Это позволит обнаружить попытки обхода межсетевого экрана через модемы во внутренней сети, а также атаки с внутренних узлов. Кроме того, IDS на границе с внешней сетью отследит атаки из доверенных сетей, например, удаленных филиалов организации.

Применение IDS внутри корпоративной сети на первый взгляд может показаться неоправданным. Однако существует статистика, согласно которой более 80% всех атак на корпоративные системы происходит изнутри самих систем, т. е. проводится легальными пользователями. Всем известно, что некоторые сотрудники по собственной инициативе устанавливают на своих рабочих местах модемы и работают в Интернете в обход существующих средств защиты, используя их не только для выхода во внешний мир, но и для доступа в корпоративную сеть извне.

Существенную проблему для межсетевых экранов и шлюзов, анализирующих трафик, представляют сессии протоколов IPSec, SKIP, SSL и иные криптографически защищенные протоколы. Трафик становится неанализируемым, и появляется дополнительная возможность проникновения опасного содержимого в информационную систему.

Важнейшее значение имеет процедура идентификации и аутентификации пользователей. Сегодня наиболее соответствуют требованиям B2B-системы идентификации по аппаратным ключам, защищенным PIN-кодом. Как правило, ключевой носитель содержит единицы или десятки килобайт защищенной энергонезависимой памяти для хранения парольно-ключевой информации и поддерживает аппаратно реализованные криптографические алгоритмы.

Пользователь идентифицирует себя, предъявляя свой носитель ключевой информации, получает доступ к ней, вводя PIN-код, затем аутентифицируется в системе, например, с помощью механизма сертификатов X.509.

Одним из перспективных направлений является биометрическая идентификация пользователей системы B2B. Биометрической информации может быть много, она уникальна и не воспроизводима иными известными способами. Такие свойства биометрических данных позволяют использовать их в различных приложениях. Защищенный биометрическим PIN-кодом пользовательский идентификатор не будет активизирован никем, кроме владельца. Дополнительным применением такой информации может быть генерация открытых ключей для защиты канала связи и других приложений.

Рынок систем B2B продолжает развиваться и требует актуальных и качественных решений по безопасности таких систем. Отсутствие подобных решений сдерживает развитие этого рынка. Руководство многих крупных компаний только сейчас начинает обращать внимание на проблемы информационной безопасности. А тем временем громкие хакерские скандалы сильно компрометируют онлайновую коммерцию. Агентство DataMonitor прогнозирует увеличение оборота сектора B2B-коммерции в США к 2005 г. до 5,9 трлн. долл. Однако такой рост возможен лишь при четком понимании участниками рынка необходимости защиты бизнес-процессов и транзакций, а также инвестиций в сферу информационной безопасности.

Сергей Ядыкин - ведущий специалист отдела систем информационной безопасности компании ЛАНИТ. С ним можно связаться по e-mail: security@lanit.ru или по телефону: (095) 265-3101. Дополнительно вопросы безопасности освещаются на сайте: www.isecurity.ru.