Потенциальные угрозы

Если система, ее элементы и линии связи недостаточно хорошо защищены, могут возникнуть следующие преднамеренные (нефизические угрозы).

Нелегальное проникновение в сеть (подлог) пользователя или системного элемента: объект может намеренно выступить в качестве другого объекта; это может послужить базой для возникновения других угроз, таких как несанкционированный доступ или подделка.

Несанкционированный доступ к элементам ИС: попытки объекта проникнуть в данные, что противоречит политике защиты.

Подслушивание на линиях связи: нарушение конфиденциальности, связанное с несанкционированным контролем сообщений.

Фальсификация информации: сохранность передаваемой информации подвергается опасности из-за несанкционированного удаления, вставки, модификации, переупорядочения, повторного проигрывания или задержки.

Отказ от подтверждения факта: объект, участвовавший в коммуникационном обмене, затем отказывается признать данный факт.

Подделывание: объект подделывает информацию и заявляет, что данная информация была получена от другого объекта или отправлена другому объекту.

Отказ от услуги: объект не в состоянии выполнить свою функцию или мешает другим объектам выполнить их функции.

Данные угрозы относятся к элементам ИС, а также к линиям связи. Потенциальное расположение данных угроз показано, в качестве примера, на рисунке 16, что касается управления ИС, и на рисунке 17, что касается использования услуг ИС.

Рис.16. Потенциальные угрозы системы управления ИС

На рисунке 16 SMP (узел администрирования услуг), например, может быть напрямую связан через LAN или ISDN с подписчиками, провайдерами услуг или Web-сервером. В связи с этим, возникает угроза нелегального проникновения подписчика, провайдера услуг или Web-сервера, которые могут получить доступ к данным SMP несанкционированным способом. Передаваемая информация может быть подслушана или модифицирована.

Подписчик может связаться через Интернет с Web-сервером для контроля своих услуг ИС. Поэтому, возникает угроза нелегального проникновения подписчика или данные этого подписчика могут быть подслушаны или модифицированы в Интернет. Сеть управления (TMN) ИС включает управление конфигурациями, ошибками и рабочими характеристиками. Если во время передачи аварийный сигнал, являющийся частью данных управления ошибками, модифицируется, возникает возможность отказа от услуг ИС. Несанкционированный доступ к данным управления конфигурациями может привести к модификации конфигурации ИС для того, чтобы подключить враждебный SMP.

Во многих существующих системах ИС используется только PIN для определения подлинности подписчика услуг ИС. Данная "слабая идентификация" является крайне ненадежной, поскольку велика вероятность подслушивания или замены PIN.

Нелегальное проникновение SCP в SSP может иметь опасные последствия, такие, как фальшивые звонки, неправильные счета на оплату или отказ в предоставлении услуг ИС.

Рис.17. Потенциальные угрозы для услуг использования ИС

Перед внедрением механизмов защиты против потенциальной угрозы, данная угроза должна быть тщательно изучена. Всегда необходимо учитывать:

• Какова вероятность угрозы (вероятность возникновения)?

• Каков потенциальный ущерб (влияние)?

• Какова стоимость предотвращения угрозы посредством СЗ?

Вероятность возникновения и влияние можно подразделять по трем категориям: категория 1 - низкая, категория 2 - средняя, категория 3 - высокая. Риск является следствием вероятности возникновения и влияния.

Только если риск представляется высоким, а потенциальный ущерб превышает стоимость адекватного решения СЗ против данной угрозы, данное решение будет приведено в действие.

Риск потенциальной угрозы сильно зависит от конкретной реализации ИС, а также от индивидуальной услуги ИС и от реализаций механизмов защиты (например, PIN или сложная идентификация, расположение идентификации, ключевое управление и т.д.).

На практике риск может возникнуть при частых попытках нарушения защиты сети и ее злоумышленного использования. Поэтому, можно определить следующие угрозы, представляющие собой наиболее опасные варианты риска: нелегальное проникновение другого пользователя (особенно с точки зрения оплаты услуг!), подслушивание секретной информации (например, PIN), модификация данных пользователя.

Выбор механизмов защиты может зависеть от индивидуальной услуги ИС, ввода в работу системы ИС, физического окружения, в котором находятся элементы системы, а также от взаимного доверия и отношений между задействованными организациями. Однако общее решение должно быть принято в кратчайшие сроки.

Группы стандартизации, а также производители рассматривают данный вопрос с целью улучшения защищенности систем ИС. Несмотря на то, что многие модификации уже внедрены, например, безопасный доступ к SCP и SMP, новые услуги и новые концепции построения всегда требуют нового рассмотрения и оценки угроз, и если необходимо, дополнительных модификаций.

Требования к системе защиты

На основе определенных целей, описанных угроз и вариантов риска, функциональные требования к системе защиты представлены для тех элементов и соединений, потенциальный риск которых оценивается как наиболее высокий. Данные требования показаны в таблице 7.

Табл.7. Требования к системе защиты

В таблице 8 представлена зависимость между угрозами и функциональными требованиями к СЗ. Она составлена на основе результатов Группы защиты ETSI TMN.

Табл.8. Угрозы и требования к системе защиты

Примечание: ХД - хранимые данные, КД - коммуникационные данные

Услуги и механизмы работы системы защиты

Каждое требование к СЗ должно быть выполнено посредством одной услуги защиты, из обозначенных в таблице 9.

Табл.9. Услуги защиты

Каждая услуга осуществляется за счет одного из механизмов СЗ. Например, механизмы экспертной идентификации объекта могут быть основаны на замене защищенного пароля, секретного ключа, общедоступного ключа или хэшированных технологий. Механизм индивидуальной идентификации применим к односторонней и взаимной идентификации. Односторонняя идентификация означает, что только одна из двух взаимодействующих сторон (вызывающая сторона) идентифицирована для другой стороны (принимающей стороны). При взаимной идентификации обе стороны идентифицируют друг друга.

Каждый механизм СЗ может использовать определенный алгоритм. Например, механизм идентификации, основанный на секретных ключах, может использовать один из следующих алгоритмов: DES, тройной DES или алгоритм FEAL и т.д.

Кроме того, могут быть полезными чисто организационные меры, например, управление качеством, контролируемый вход в помещение, ответственность сторон, оговоренная в контракте. Если риск продолжает представлять большую опасность, количество услуг должно быть уменьшено, а платежи ограничены определенными суммами.

Решения для системы защиты управления ИС

Решения СЗ, представленные на рисунке 18, основываются на следующих предположениях:

• SMP, SCP и OS (Operation System) вводятся в действие на стандартной платформе UNIX с элементами защиты UNIX.

• На используемых линиях передачи (через LAN, ISDN, Интернет) не были реализованы услуги конфиденциальности и сохранности информации.

Для обеспечения безопасной связи между подписчиками / провайдерами услуг и SMP, можно использовать существующие криптоблоки.

Рис.18. Решения системы защиты для управления ИС

Для идентификации пользователя допустимо заменить защищенные пароли или smart карты с проверкой местного PIN.

Эквивалентная идентификация объекта Web-сервера может быть осуществлена использованием повторяемых защищенных паролей, секретных ключей, общедоступных ключей или механизмами, основанными на хэш-технологиях.

Передачу информации в сетях общего пользования возможно защитить, используя защиту транспортного уровня (TLS).

Чего нет в CS-1?

Многочисленные статьи по тематике Интеллектуальной сети в основном были посвящены тому, что дает IN и набор возможностей CS-1, как первый этап продвижения к долговременной целевой архитектуре IN (LTA). Именно LTA должна будет обеспечить реализацию всех свойств, декларируемых концепцией IN - независимость платформы от услуг, независимость реализации услуг от архитектуры сети и независимость от производителя оборудования. Отметим, какие аспекты LTA не удалось включить в стандарты по CS-1, и как это отражается на практическом внедрении платформы у операторов сетей связи.

В наборе CS-1 не стандартизованы интерфейсы между SCEP и SMP, а также интерфейсы SMP-SSP и SMP-SCP. Следствием этого является то, что оборудование для создания услуг, для их загрузки в SCP, как и сам SCP, должны быть изготовлены одним производителем.

Не стандартизовано взаимодействие между SCP разных сетей. Данное обстоятельство не позволяет использовать услуги, абоненты которых и/или пользователи которыми находятся в разных сетях IN. Не поддерживаются услуги, которые требуют управления несколькими участниками связи, из-за чего отсутствует возможность динамически подключать и отключать участников многосторонней конференцсвязи.

Отсутствует поддержка функций мобильности терминала. Это связано с тем, что в CS-1 не обеспечена поддержка "роуминга" услуг, совершенно необходимая для абонентов сетей подвижной связи. Работы в этом направлении ведутся ETSI, однако исчерпывающее решение проблемы ожидается только в CS-4.

Решение задач поддержки широкополосных услуг и услуг мультимедиа также ожидается только в CS-4. Модель базового процесса обслуживания вызова (ядро концепции IN) для широкополосных сетей заметно отличается от модели, использованной в CS-1 и CS-2 и ориентированной на возможности существующих узкополосных коммутационных систем стационарных сетей связи. Кроме того, спецификации систем сигнализации для широкополосных сетей ISDN (B-ISDN - Broadband ISDN) лишь сравнительно недавно стали обретать ту стабильность, которая необходима для использования в качестве основы новой модели процесса обслуживания вызова.