Защита территориально распределенных сетей

Компания открывает новый филиал, и вместе с ним появляется еще один канал связи с главным офисом. Такой канал остается уязвимым местом, пока трафик идет без шифрования, а доступ к сети остается без контроля. Слабая защита одной площадки открывает путь к ресурсам всей компании. В статье расскажем, как выстроить защиту территориально распределенных сетей, какие технологии для этого применяют и по каким критериям выбирать решение.

Что такое защита распределенных сетей и почему она важна для бизнеса

ИТ-инфраструктура с несколькими филиалами, офисами, складами и удаленными объектами относится к территориально распределенным сетям. Локальные сети площадок соединяются через интернет, выделенные линии или спутниковые каналы и работают как единая корпоративная сеть предприятия. Главная особенность такой инфраструктуры заключается в каналах между площадками. Внутри здания трафик идет по оборудованию компании, а между городами он проходит по линиям связи операторов, которыми компания не управляет.

Защитой распределенной сети называют набор мер, которые обеспечивают безопасность данных на всем пути между площадками и на самих точках подключения. Ниже перечислены четыре составляющие такой защиты.

• Шифрование трафика делает данные нечитаемыми для любого, кто перехватит их на пути между площадками.
• Фильтрация обращений пропускает только разрешенные соединения и отсекает остальные.
• Контроль пользователей проверяет, кто и с какого устройства подключается.
• Единое управление политиками безопасности позволяет задавать правила для всех площадок из одного места и менять их одновременно.

Когда перечисленные меры работают согласованно, защита территориально распределенных сетей перестает зависеть от города, где находится филиал, и от канала, по которому он подключен. Компания получает одинаковый уровень безопасности для главного офиса, региональных филиалов и удаленных объектов. Новые площадки можно подключать по тем же правилам.

Кроме простоя, компании грозит утечка данных. Между площадками передаются персональные данные, коммерческая тайна и обращения к государственным информационным системам, а их перехват или подмена ведут к штрафам и потере доверия клиентов. 152-ФЗ, 187-ФЗ и стандарты ФСТЭК и ФСБ обязывают защищать такие сведения средствами, соответствующими требованиям регуляторов.

Основные угрозы

Главная угроза возникает там, где данные покидают контролируемую зону. Между филиалом и центральным офисом трафик идет по открытым сетям. Без шифрования любой, кто подключился к соединению, может прочитать или изменить передаваемые сведения. Шифрование делает перехваченные данные нечитаемыми, а проверка подлинности не позволяет подставному узлу выдать себя за филиал или центральный офис.

Кроме перехвата трафика, территориально распределенные сети сталкиваются и с другими рисками. Рассмотрим угрозы, которые чаще остальных встречаются в компаниях с удаленными площадками.

• Несанкционированный доступ через удаленное рабочее место, откуда нарушитель продвигается к центральным ресурсам компании.
• Потеря или кража устройства сотрудника, на котором хранятся ключи, сертификаты и доступ к корпоративным ресурсам.
• Ошибки конфигурации сети и просроченные сертификаты, из-за которых защищенный канал перестает работать или остается без проверки подлинности.
• Вредоносное ПО, фишинг и программы-вымогатели, которые распространяются между площадками по общим каналам связи.

Масштаб последствий в территориально распределенных локальных сетях зависит от того, насколько сеть сегментирована и как централизованно ею управляют. Если у каждого филиала собственные настройки и собственные ключи, администраторам трудно вовремя заметить сбой или компрометацию. Единая политика безопасности и общий центр управления сокращают число слепых зон.

Слабое звено определяет прочность всей цепи

Один незащищенный филиал открывает нарушителю путь ко всем ресурсам компании, даже если остальные площадки защищены безупречно. Поэтому уровень защиты сети равен уровню защиты ее самого слабого участка, а не среднему по всем офисам.

Команда Solar

Методы защиты распределенных сетей

Надежная защита строится из нескольких слоев, и каждый закрывает свой класс угроз. Основу составляет защита каналов связи с помощью шифрования, после которого перехваченный трафик теряет ценность для злоумышленника. Поверх нее работает межсетевой экран, который фильтрует обращения и не пропускает лишние соединения между сегментами. Более глубокий контроль обеспечивают решения класса NGFW, которые анализируют трафик сверх обычной фильтрации. Аутентификация пользователей и устройств подтверждает, что к ресурсам подключается только тот, кому это разрешено.

Набор методов зависит от задач компании, однако общий принцип остается одинаковым. Международные стандарты обеспечивают совместимость оборудования разных производителей, а российские алгоритмы шифрования позволяют учитывать требования регуляторов. От сочетания этих двух условий зависит, насколько свободно компания сможет наращивать сеть в будущем. Оба условия выполняет семейство продуктов «ЗАСТАВА».

Схемы работы и характеристики «ЗАСТАВЫ» в одной презентации. Скачайте материал и узнайте, как устроена защита каналов связи и удаленного доступа, какими возможностями обладает решение и как проходило внедрение у заказчиков.

Скачать презентацию

Site-to-Site VPN и IPsec как основа объединения офисов

VPN позволяет создать защищенное соединение поверх открытых сетей, например интернета. Если оно постоянно действует между шлюзами двух площадок, его называют Site-to-Site VPN. Шифрование выполняют сами шлюзы, поэтому сотрудникам не нужны отдельные программы. Так объединение офисов в единую сеть проходит незаметно для пользователей, а общие ресурсы, почта и внутренние сервисы доступны в любом филиале. Принципы работы подробно разобраны в материале о том, как устроен VPN.

Основу большинства корпоративных туннелей в территориально распределенных сетях составляет IPsec, набор протоколов, который работает на сетевом уровне и защищает IP-пакеты. Протокол ESP обеспечивает конфиденциальность и целостность данных, а IKEv2 согласует параметры соединения, обменивается ключами и проверяет подлинность сторон. Архитектура IPsec описана в RFC 4301, а IKEv2 в RFC 7296.

ГОСТ VPN: соответствие требованиям ФСБ и ФСТЭК

Международный стандарт IPsec обеспечивает совместимость сетевых устройств разных производителей, однако для российских организаций этого может быть недостаточно. Государственные информационные системы, системы персональных данных и значимые объекты КИИ должны использовать криптографию, которая соответствует национальным стандартам.

Выбор средств защиты должен учитывать предписания разных регуляторов. ФСБ России задает требования к средствам криптозащиты информации (СКЗИ), отвечающим за шифрование каналов связи и применение криптографических алгоритмов. ФСТЭК России определяет требования к средствам защиты информации, включая межсетевые экраны, которые обеспечивают контроль сетевого взаимодействия и фильтрацию трафика.

Если решение совмещает функции криптографической защиты каналов связи и межсетевого экранирования, необходимо учитывать наличие сертификатов, подтверждающих соответствие требованиям по каждому направлению. Это упрощает построение защищенной сетевой архитектуры, поскольку одна платформа закрывает задачи шифрования соединений и контроля проходящего между сегментами трафика.

Как выбрать решение для защиты распределенной сети

Выбор решения для защиты территориально распределенных сетей начинается с анализа инфраструктуры: количества площадок, типа защищаемых систем и требований к безопасности. Дополнительно оценивают стоимость владения, включая лицензии, обслуживание и техническую поддержку. Основные критерии выбора приведены в таблице.

Когда речь идет о распределенных информационных сетях с сотнями площадок, особое значение получает масштабирование управления. Если каждый шлюз настраивается вручную, число ошибок растет вместе с ИТ-инфраструктурой. Единая консоль с политиками на уровне ролей и бизнес-объектов снимает эту нагрузку с администраторов. Также стоит проверить, как решение сочетается с межсетевым экраном нового поколения и с системами мониторинга.

АПК «ЗАСТАВА» — отказоустойчивое решение для распределенных сетей

АПК «ЗАСТАВА» создан экспертами АО «ЭЛВИС-ПЛЮС», которое входит в ГК «Солар» и с 1997 года защищает данные крупных корпораций и государственных структур. Специалисты компании входят в число соавторов международного стандарта IPsec и участвуют в работе Международного союза электросвязи.

В основе решения лежат шифрование трафика по IPsec и распределенные межсетевые экраны, а функции шифрования и межсетевого экранирования выполняются на одном устройстве. С помощью комплекса строится защищенная территориально распределенная сеть, где управление всеми шлюзами и клиентами ведется из единого центра.

В состав «ЗАСТАВЫ» входят компоненты, которые объединяют территориально распределенные локальные сети в единую защищенную инфраструктуру:

• «ЗАСТАВА-Управление» — централизованное управление политиками безопасности через веб-интерфейс. Настройки задаются на уровне бизнес-объектов и ролей.
• АПК «ЗАСТАВА-150», «ЗАСТАВА-1500», «ЗАСТАВА-6000» и «ЗАСТАВА-10000» — аппаратные криптографические шлюзы, которые обеспечивают шифрование каналов связи по IPsec и фильтрацию сетевого трафика.
• «ЗАСТАВА-Офис» — программные исполнения криптографических шлюзов для подключения средних и малых офисов, включая виртуальные среды.
• «ЗАСТАВА-Клиент» — программное средство для защищенного подключения удаленных пользователей к корпоративным ресурсам.
• «ЗАСТАВА-ТК» — готовое типовое рабочее место для ГИС и МИС.

Для шифрования каналов связи между площадками предусмотрено резервирование в режиме Active-Passive, а для защищенного удаленного доступа шлюзы масштабируются в режиме Active-Active с распределением нагрузки. Устройства объединяются в кластеры, а клиенты автоматически распределяются между криптошлюзами.

Объедините филиалы в защищенную сеть

Получите бесплатную консультацию эксперта и обсудите, как «ЗАСТАВА» защитит ваши площадки.

Запросить консультацию

Ключевые преимущества АПК «ЗАСТАВА»

АПК «ЗАСТАВА» закрывает ключевые задачи защиты территориально распределенных сетей: интеграцию в существующую инфраструктуру, централизованное управление, выполнение требований регуляторов, масштабирование и отказоустойчивую работу. Ниже рассмотрим основные возможности решения и их значение для сети филиалов.

• Совместимость с протоколами IPsec и IKEv2 позволяет встроить решение в существующую сеть и связать его с оборудованием Cisco, Palo Alto, Check Point и других производителей.
• Управление всей сетью шлюзов и клиентов выполняется из одной точки. В проектах заказчиков один сервер управления «ЗАСТАВА» контролирует более 10 000 агентов.
• Сертификаты ФСТЭК России позволяют защищать ГИС 1-го класса защищенности, ИСПДн 1-го уровня доверия и значимые объекты КИИ 1-й категории, а сертификаты ФСБ России подтверждают соответствие средств криптографической защиты требованиям к СКЗИ классов КС1–КС3.
• Один шлюз одновременно поддерживает туннели на уровнях L2 и L3 и взаимодействует со сторонними средствами защиты информации.
• Стоимость эксплуатации ниже рыночной на 10–15%, а число туннелей, соединений и серверов управления на цену не влияет.

Стандартная техническая поддержка оказывается дистанционно в режиме 8/5 со временем реакции от 4 часов. Расширенная поддержка принимает критичные запросы в режиме 24/7 с реакцией от 2 часов, а VIP-поддержка строится на индивидуальных SLA. Стандартная техническая поддержка и гарантия на аппаратную платформу сроком на 1 год входят в стоимость продуктов «ЗАСТАВА».

Примерно 95% обращений в техническую поддержку не связаны со сбоями продукта. Чаще всего причиной становятся просроченные сертификаты, неверная конфигурация сети или ошибки персонала, поэтому за сроками действия сертификатов и настройками сети стоит следить с самого запуска.

От отдельных каналов к единой защищенной сети

С каждым новым филиалом растет число каналов, ключей и точек управления, поэтому территориально распределенные сети нуждаются в единой политике безопасности. Чем раньше компания вводит такую политику, тем проще ей масштабировать инфраструктуру. Шифрование по IPsec с российскими алгоритмами, межсетевое экранирование и централизованное управление образуют основу, на которой строится защита каналов связи между филиалами и удаленного доступа сотрудников.

АПК «ЗАСТАВА» собирает шифрование каналов, межсетевое экранирование и управление из единого центра в одном решении. Оно работает на протоколах IPsec и IKEv2, поддерживает алгоритмы ГОСТ и рассчитано на инфраструктуру любого масштаба. Эксперты Solar обсудят задачи вашей сети, проведут демонстрацию и рассчитают стоимость проекта.

Частые вопросы и ответы