ПАК «С-Терра Шлюз» (далее – С-Терра Шлюз, Продукт) выполняет функции межсетевого экрана, средства криптографической защиты информации и маршрутизатора.
ПАК «С-Терра Шлюз» обеспечивает создание виртуальных защищенных сетей (VPN), защиту транзитного трафика между различными узлами сети, защиту трафика самого шлюза безопасности, а также stateless фильтрацию IP-трафика и stateful фильтрацию для протоколов TCP, UDP и FTP.
Основные возможности С-Терра Шлюз:
• защита трафика на уровне аутентификации/шифрования сетевых пакетов по протоколам IPsec AH и/или IPsec ESP;
• поддержка протоколов IKE и IKEv2;
• реализация новых криптографических алгоритмов;
• пакетная фильтрация трафика по адресам, протоколам, портам, по любым полям заголовка IP-пакета;
• контекстная фильтрация трафика для протоколов TCP, UDP и FTP;
• работа по расписанию для правил пакетной фильтрации;
• различные наборы правил обработки трафика на разных интерфейсах;
• возможность задания независимых правил для входящего и исходящего трафиков на каждом интерфейсе, как для пакетной, так и контекстной фильтрации трафика;
• поддержка качества обслуживания QoS (приоритет по полю TOS, управление очередями, фрагментацией пакетов, сеансами TCP, классификация, защита от перегрузки);
• поддержка в качестве IKECFG-сервера – выдача адресов из локальной подсети, адресов DNS-серверов, DNS-суффиксов партнеру;
• поддержка дополнительной аутентификации (XAuth) удаленных пользователей с использованием RADIUS-сервера, возможность работать без списка CRL;
• статическая и динамическая маршрутизация (по протоколам RIP, OSPF, BGP);
• трансляция сетевых адресов NAT/PAT;
• шифрование трафика на канальном уровне (Ethernet, в том числе MPLS/802.1q/Q-in-Q) с использованием Программного продукта «С-Терра L2» (по умолчанию входит в состав С-Терра Шлюз);
• интеграция с Системой обнаружения вторжений (Программный комплекс «С-Терра СОВ». Версия 5.0);
• событийное протоколирование по протоколу syslog с возможностью объединять события в группы и задавать для каждой группы свой независимый уровень протоколирования;
• сбор статистики для мониторинга по протоколу SNMP;
• использование RADIUS-сервера в качестве средства мониторинга – сбор и анализ статистической информации по защищенным соединениям с партнерами;
• создание кластера на основе протокола VRRP в режиме горячего резервирования;
• синхронизация системного времени с NTP-сервером;
• работа с криптостойкими предварительно распределёнными ключами (PSK);
• взаимодействие с устройствами квантового распределения ключей (КРК) (QKD). Партнерам по защищенному соединению предоставляется общий ключ, который используется для обеспечения устойчивости IPsec SA от взлома на основе вычислений квантовых компьютеров.
ПАК «С-Терра Шлюз» в качестве МЭ обеспечивает:
• возможность осуществлять фильтрацию сетевого трафика для отправителей информации, получателей информации и всех операций перемещения контролируемой МЭ информации к узлам информационной системы и от них;
• возможность обеспечения фильтрации для всех операций перемещения через МЭ информации к узлам информационной системы и от них;
• возможность осуществлять фильтрацию, основанную на следующих типах атрибутов безопасности субъектов: сетевой адрес узла отправителя; сетевой адрес узла получателя; интерфейс МЭ (на уровне сетевого адреса), через который проходит пакет;
• возможность осуществлять фильтрацию, основанную на следующих типах атрибутов безопасности информации: сетевой протокол, который используется для взаимодействия; атрибуты, указывающие на фрагментацию пакетов; транспортный протокол, который используется для взаимодействия, порты источника и получателя в рамках сеанса (сессии); разрешенные (запрещенные) команды, разрешенный (запрещенный) мобильный код;
• возможность явно разрешать информационный поток, базируясь на устанавливаемых администратором МЭ наборе правил фильтрации, основанном на идентифицированных атрибутах;
• возможность явно запрещать информационный поток, базируясь на устанавливаемых администратором МЭ наборе правил фильтрации, основанном на идентифицированных атрибутах;
• возможность блокирования всех информационных потоков, проходящих через нефункционирующий или функционирующий некорректно МЭ;
• возможность осуществлять политику фильтрации пакетов с учетом управляющих команд от взаимодействующих с МЭ средств защиты информации других видов;
• возможность осуществлять проверку каждого пакета по таблице состояний для определения того, не противоречит ли состояние (статус, тип) пакета ожидаемому состоянию;
• возможность осуществлять проверку использования пользователями отдельных команд, для которых администратором МЭ установлены разрешительные или запретительные атрибуты безопасности;
• возможность осуществлять проверку использования сетевых ресурсов, содержащих мобильный код, для которого администратором МЭ установлены разрешительные или запретительные атрибуты безопасности;
• возможность осуществлять фильтрацию, основанную на атрибутах: разрешенные/ запрещенные протоколы прикладного уровня;
• возможность разрешать информационный поток, основываясь на результатах проверок;
• возможность запрещать информационный поток, основываясь на результатах проверок;
• возможность осуществлять фильтрацию пакетов с учетом управляющих команд от взаимодействующих с МЭ средств защиты информации других видов, основанную на атрибутах, указывающих на признаки нарушения безопасности в информации сетевого трафика;
• возможность разрешать информационный поток, если значения атрибутов безопасности, установленные взаимодействующими средствами защиты информации для контролируемого сетевого трафика, указывают на отсутствие нарушений безопасности информации;
• возможность запрещать информационный поток, если значения атрибутов безопасности, установленные взаимодействующими средствами защиты информации для контролируемого сетевого трафика, указывают на наличие нарушений безопасности информации;
• возможность осуществлять фильтрацию при импорте (перехвате) информации сетевого трафика из-за пределов МЭ;
• возможность осуществлять МЭ передачу информационных потоков с переназначением сетевых адресов отправителя и (или) получателя (трансляция адресов и посредничество в передаче), фильтрацию при экспорте (передаче от своего имени) информации сетевого трафика за пределы МЭ;
• возможность экспортировать (передавать от своего имени) информацию сетевого трафика при положительных результатах фильтрации и других проверок;
• возможность осуществлять посредничество в передаче информации сетевого трафика, основанное на типе сетевого трафика;
• возможность маскирования наличия МЭ способами, затрудняющими нарушителям его выявление;
• возможность регистрации и учета выполнения проверок информации сетевого трафика;
• возможность читать информацию из записей аудита уполномоченным администраторам;
• возможность выбора совокупности событий, подвергающихся аудиту, из совокупности событий, в отношении которых возможно осуществление аудита;
• возможность оповещения уполномоченных лиц о критичных видах событий безопасности, в том числе сигнализация о попытках нарушения правил межсетевого экранирования;
• возможность выборочного просмотра данных аудита (поиск, сортировка, упорядочение данных аудита);
• возможность регистрации возникновения событий, которые в соответствии с национальным стандартом Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности» включены в базовый уровень аудита;
• возможность идентификации администратора МЭ до разрешения любого действия (по администрированию), выполняемого при посредничестве МЭ от имени этого администратора;
• возможность аутентификации администратора МЭ до разрешения любого действия (по администрированию), выполняемого при посредничестве МЭ от имени этого администратора;
• возможность осуществления идентификации субъектов межсетевого взаимодействия до передачи МЭ информационного потока получателю;
• поддержка определенных ролей по управлению МЭ;
• возможность со стороны администраторов управлять режимом выполнения функций безопасности МЭ;
• возможность со стороны администраторов управлять данными МЭ, используемыми функциями безопасности МЭ;
• возможность со стороны администраторов управлять атрибутами безопасности;
• возможность поддержки списка типов сетевого трафика для осуществления посредничества в передаче, предусматривающего разделение трафика по типам;
• обеспечение ассоциации типов сетевого трафика из списка с конкретным сетевым трафиком для осуществления посредничества в передаче и обработки соответствующих типов сетевого трафика прокси- агентами;
• возможность изменения области значений информации состояния соединения со стороны администраторов МЭ;
• возможность присвоения информации состояния соединения допустимых значений, таких как установление соединения, использование соединения, завершение соединения и других;
• возможность ведения для каждого соединения таблицы состояний, основанной на информации состояния соединения;
• предоставление возможности администраторам МЭ модифицировать, удалять разрешительные и (или) запретительные атрибуты безопасности для используемых пользователями отдельных команд для осуществления МЭ фильтрации;
• предоставление возможности администраторам МЭ модифицировать, удалять разрешительные и (или) запретительные атрибуты безопасности использования сетевых ресурсов, содержащих отдельные типы мобильного кода, для осуществления МЭ фильтрации;
• возможность обеспечения надежных меток времени при проведении аудита безопасности;
• возможность тестирования (самотестирования) функций безопасности МЭ (контроль целостности исполняемого кода МЭ);
• возможность сохранения штатного функционирования МЭ при некритичных типах сбоев;
• возможность согласованно интерпретировать управляющие команды, атрибуты сетевого трафика и иные данные, получаемые от взаимодействующих с МЭ средств защиты информации других видов;
• поддержка правил интерпретации данных, получаемых от взаимодействующих с МЭ средств защиты информации других видов;
• возможность обеспечения перехода в режим аварийной поддержки, который предоставляет возможность возврата МЭ к штатному режиму функционирования;
• возможность кластеризации МЭ;
• возможность приоритизации контроля и фильтрации разных информационных потоков, а также выделения ресурсов, доступных для разных информационных потоков, обрабатываемых одновременно (в течение определенного периода времени).
Управление ПАК "С-Терра Шлюз" осуществляется:
• централизованно-удаленно посредством ПК «С-Терра ГСУ». Версия 5.0, используемого для управления Продуктами компании «С-Терра СиЭсПи» и мониторинга;
• локально и удаленно по протоколу SSH с использованием интерфейса командной строки. В интерфейсе командной строки в основном используются команды Cisco IOS, что облегчает управление администраторам, имеющим опыт настройки шлюзов безопасности и межсетевых экранов Cisco Systems.
На ПАК "С-Терра Шлюз" используется встроенная криптографическая библиотека, разработанная компанией «С-Терра СиЭсПи».
Криптобиблиотека, разработанная компанией «С-Терра СиЭсПи», реализует российские криптографические алгоритмы:
• ГОСТ 28147-89, ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015), ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) – алгоритмы шифрования для IKE-соединения и протокола ESP;
• ГОСТ 28147-89, ГОСТ Р 34.11-94, ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015), ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) – алгоритмы имитозащиты для протоколов ESP и AH;
• ГОСТ Р 34.11-94, ГОСТ 34.11-12 – алгоритмы хэширования для ISAKMP SA и IKEv2 SA;
• ГОСТ 34.10-2018 (ГОСТ Р 34.10-2012) – алгоритмы формирования и проверки электронной подписи;
• VKO ГОСТ Р 34.10-2001, VKO ГОСТ Р 34.10-2012 – алгоритмы согласования сессионных ключей для ISAKMP SA, IKEv2 SA и IPsec SA (PFS).
Также реализована генерация случайных чисел.
Внимание! |
В связи с неактуальностью применения алгоритма ГОСТ 28147 политики безопасности, в которых применяется данный алгоритм и преобразования на основе ГОСТ 28147-89, необходимо обновить. Рекомендуется использовать более новые алгоритмы, например, алгоритм "Кузнечик" или "Магма" по ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015). |
ПАК "С-Терра Шлюз" работает не только с криптоалгоритмами ГОСТ, но и с международными криптоалгоритмами:
• 3DES, AES, DES – алгоритмы шифрования для IKE-соединения и протокола ESP;
• MD5, SHA – алгоритмы имитозащиты для протоколов ESP и AH;
• MD5, SHA – алгоритмы хэширования для ISAKMP SA и IKEv2 SA;
• RSA - алгоритмы формирования и проверки электронной подписи.
• Группы Диффи-Хеллмана (1, 2, 5, 14, 15, 16, 17, 18) – алгоритмы согласования сессионных ключей для ISAKMP SA, IKEv2 SA и IPsec SA (PFS).
ПАК "С-Терра Шлюз" совместим со следующими токенами:
• JaCarta PKI, JaCarta-2 ГОСТ, JaCarta-2 PKI/ГОСТ;
• Рутокен Lite, Рутокен ЭЦП 2.0, Рутокен ЭЦП 3.0 (3100, 3220).
Защиту трафика С-Терра Шлюз осуществляет в рамках международных стандартов IKE(v2)/IPsec:
• RFC 2401/4301 - Security Architecture for the Internet Protocol (IPSec);
• RFC 2406 - IP Encapsulating Security Payload (ESP);
• RFC 3948 - UDP Encapsulation of IPsec ESP Packets;
• RFC 2402 - IP Authentication Header (AH).
IKE:
• RFC 2409 - The Internet Key Exchange (IKE);
• RFC 2408 – Internet Security Association and Key Management Protocol (ISAKMP);
• RFC 2407 - The Internet IP Security Domain of Interpretation for ISAKMP (DOI);
• RFC 3947 - Negotiation of NAT-Traversal in the IKE;
• RFC 3948 - NAT-Traversal согласно разделу 4;
• draft-nagayama-ipsecme-ipsec-with-qkd-01.txt - IKE for IPsec with QKD.
IKEv2:
• RFC 7296 - Internet Key Exchange Protocol Version 2 (IKEv2);
• RFC 7383 - Internet Key Exchange Protocol Version 2 (IKEv2) Message Fragmentation;
• RFC 7427 - Signature Authentication in the Internet Key Exchange Version 2 (IKEv2).
Также используются национальные стандарты:
• ГОСТ 34.11-2018 (ГОСТ Р 34.11-2012). Информационная технология. Криптографическая защита информации. Функция хэширования.
• ГОСТ 34.10-2018 (ГОСТ Р 34.10-2012). Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи.
• ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015) Информационная технология. Криптографическая защита информации. Блочные шифры.
• ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров.
• Р 1323565.1.026–2019 Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров, реализующие аутентифицированное шифрование.
• Р 1323565.1.024–2019 Информационная технология. Криптографическая защита информации. Параметры эллиптических кривых для криптографических алгоритмов и протоколов.
• Р 1323565.1.005-2017 Информационная технология. Криптографическая защита информации. Допустимые объемы материала для обработки на одном ключе при использовании некоторых вариантов режимов работы блочных шифров в соответствии с ГОСТ Р 34.13-2015.
• Р 50.1.110–2016 Информационная технология. Криптографическая защита информации. Контейнер хранения ключей.
• RFC 4357, глава 5.2, «VKO GOST R 34.10-2001» – Additional Cryptographic Algorithms for Use with GOST 28147-89, GOST R 34.10-94, GOST R 34.10-2001, and GOST R 34.11-94 Algorithms;
• Р 1323565.1.048–2023 Информационная технология. Криптографическая защита информации. Использование российский криптографических алгоритмов в протоколе обмена ключами в сети Интернет версии 2 (IKEv2).
Для IPv6 используются:
• RFC 1981/8201 - Path MTU Discovery for IP version 6;
• RFC 2401/4301 - Security Architecture for the Internet Protocol;
• RFC 2406/4303 - IP Encapsulating Security Payload (ESP);
• RFC 2428 - FTP Extensions for IPv6 and NATs;
• RFC 2460/8200 - Internet Protocol, Version 6 (IPv6);
• RFC 2461/4861 - Neighbor Discovery for IP version 6 (IPv6);
• RFC 2675 - IPv6 Jumbograms;
• RFC 3168 - The Addition of Explicit Congestion Notification (ECN) to IP;
• RFC 4291 - IP Version 6 Addressing Architecture;
• RFC 4443 - Internet Control Message Protocol (ICMPv6) for the Internet Protocol Version 6 (IPv6);
• RFC 5952 - A Recommendation for IPv6 Address Text Representation;
• RFC 6437 - IPv6 Flow Label Specification;
• RFC 6936 - Applicability Statement for the Use of IPv6 UDP Datagrams with Zero Checksums;
• RFC 7112 - Implications of Oversized IPv6 Header Chains;
• RFC 8021 - Generation of IPv6 Atomic Fragments Considered Harmful;
• RFC 8415 - Dynamic Host Configuration Protocol for IPv6 (DHCPv6).
Продукт «С-Терра Шлюз» исполнения класса защиты КС1 обеспечивает защиту конфиденциальной информации от внешнего нарушителя.
Продукт «С-Терра Шлюз» исполнения класса защиты КС2 и сертифицированное средство доверенной загрузки обеспечивают защиту конфиденциальной информации от внутреннего нарушителя, который может находиться в помещении, где размещено СКЗИ.
Продукт «С-Терра Шлюз» исполнения класса защиты КС3 со специализированным модулем для создания и контроля замкнутой программной среды, совместно с сертифицированным средством доверенной загрузки обеспечивают защиту конфиденциальной информации от внутреннего нарушителя, который может получить непосредственный доступ к СКЗИ.