ПРОГРАММНАЯ РЕАЛИЗАЦИЯ И ИССЛЕДОВАНИЕ СИСТЕМЫ ИНТЕЛЛЕКТУАЛЬНО-АДАПТИВНОГО УПРАВЛЕНИЯ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРОЙ ПРЕДПРИЯТИЯ

ВЕСТН. САМАР. ГОС. ТЕХН. УН-ТА. СЕР. ТЕХНИЧЕСКИЕ НАУКИ. 2020. № 1 (65)

Информатика, вычислительная техника и управление

УДК 004.89

ПРОГРАММНАЯ РЕАЛИЗАЦИЯ И ИССЛЕДОВАНИЕ СИСТЕМЫ ИНТЕЛЛЕКТУАЛЬНО-АДАПТИВНОГО УПРАВЛЕНИЯ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРОЙ ПРЕДПРИЯТИЯ

Е.А. Басыня

Новосибирский государственный технический университет,

Научно-исследовательский институт информационно-коммуникационных технологий Россия, 630073, г. Новосибирск, пр-т К. Маркса, 20

Аннотация. Описывается проблематика информационно-коммуникационного взаимодействия технических объектов и систем. Анализируются уязвимости стека протоколов TCP/IP, несовершенство операционных систем и прикладного программного обеспечения, сложность полноценной взаимной интеграции различных систем. Излагается следствие экономии вендоров сетевых решений на вычислительных мощностях в виде архитектурных ограничений и уязвимостей. Рассматривается проектирование, программная реализация и экспериментальное исследование авторской системы интеллектуально-адаптивного управления информационной инфраструктурой предприятия, функционирующей на основе ранее представленного одноименного метода. Применяется современный стек технологий в сочетании с гибкой методологией разработки. Научная новизна работы заключается в предлагаемой архитектуре комплексного программного продукта по управлению информационной инфраструктурой предприятия. Повышение эффективности, надежности, безопасности и отказоустойчивости функционирования технических объектов и систем достигается применением платформы автоматизации развертывания и управления приложениями в среде многослойной виртуализации. Осуществляется изоляция рабочих сервисов с возможностью автоматического перезапуска любого компонента без нарушения штатного режима работы инфраструктуры. Снимается ряд ограничений, присущих существующим решениям: число одновременно поддерживаемых VPN-подключений, задаваемых политик, правил. Повышение уровня конфиденциальности сетевого взаимодействия, как и противодействия анонимным несанкционированным возмущениям, достигается полноценной интеграцией с оверлейными технологиями и сетями, поддержкой широкого спектра современных криптоустойчивых алгоритмов шифрования с возможностью многослойной инкапсуляции. Для оценки эффективности разработанной системы приводится экспериментальный сравнительный анализ с различными существующими решениями: комплексными межсетевыми экранами, маршрутизаторами, системами обнаружения и предотвращения вторжений, а также другими инструментами управления трафиком.

Басыня Евгений Александрович (к.т.н.), доцент Новосибирского государственного технического университета, директор Научно-исследовательского института информационно-коммуникационных технологий. 6

SIEM, UTM, NGFW.

Введение

Автоматизацию бизнес-процессов любого предприятия не стоит рассматривать без учета аспектов информационной безопасности, актуальность которых непрерывно возрастает. Только за первые восемь месяцев 2019 года количество зарегистрированных киберпреступлений в России показало годовой рост на 66,8 % по данным Генпрокуратуры.

Одной из ключевых проблем в этой области является отсутствие комплексного подхода к безопасному системному анализу, обработке и управлению данными в рамках информационной инфраструктуры предприятия. Мировые вендоры инфокоммуникационных решений реализуют стек управляемого сетевого оборудования от коммутаторов до межсетевых экранов. Другие компании предоставляют продукты в области системного и сетевого администрирования. Третьи - в области информационной безопасности. Четвертые - в области автоматизации бизнес-процессов. Данный перечень включает десятки наименований. Анализ проблематики предметной области выводит на первый план ряд существенных недостатков индустрии:

- уязвимости стека протоколов TCP/IP [1, 2] (жесткая логика функционирования, отсутствие проверки подлинности субъектов взаимодействия в базовых протоколах и мн. др. В качестве примера стоит привести возможность подмены DHCP сервера <англ. Dynamic Host Configuration Protocol - протокол динамической настройки узла> через фальсификацию первого ответа);

- несовершенство программного обеспечения [3, 4] (неотлаженные технологические процессы разработки программных продуктов в ряде компаний: отсутствие корректного применения гибкой методологии с инспекцией / рецензированием кода, проверкой всех технических параметров автотестами и осуществлением непрерывной интеграции <англ. Continuous Integration Continuous Delivery, CI/CD>);

- несовершенство операционных систем (помимо проблем предшествующего пункта стоит выделить возможность наличия бэкдоров <скрытых инструментов несанкционированного управления и сбора данных об объекте> в проприетарных продуктах с закрытым исходным кодом, а также сложность распределенной разработки решений с открытым исходным кодом на энтузиазме. В качестве примера стоит привести уязвимость в командной оболочке bash CVE-2014-6271, эксплуатирующую некорректное определение функций и обработку переменных окружения. Она просуществовала 22 года, позволяя удаленно выполнять код);

- сложность полноценной взаимной интеграции продуктов [5, 6] (даже внутри одного модельного ряда крупной компании встречаются разные версии решений с различными ^задокументированными программными интерфейсами приложений <англ. Application programming interface>. Это связано с отсутствием системы контроля версий при использовании аутсорсинга в разных компаниях);

- экономия на вычислительных мощностях (использование слабой аппаратной базы MIPS/ARM <англ. Microprocessor without Interlocked Pipeline Stages и Advanced RISC Machine> приводит к вынужденному применению устаревших компонентов программной реализации, а также алгоритмов шифрования с низкой криптографической стойкостью [7-10]. Например, DES или 3DES <англ. Triple Data Encryption Standard> вместо AES <Advanced Encryption Standard>);

- архитектурные уязвимости [11, 12]: неправильный выбор стека технологий и компонентов, отсутствие изоляции модулей, отсутствие корректной интеграции компонентов (следствие: ограничение на количество задаваемых политик, размер адресного пула правил, скорость обработки данных, порог надежности и отказоустойчивости систем);

- ограничения законодательства различных стран (навязывание устаревших алгоритмов, низкой битности шифрования, интеграции сторонних обфусцирован-ных модулей при сертификации).

Большинство проблем обусловлены погоней корпораций за рентабельностью, которая часто включает плагиат решений с открытым исходным кодом в нарушение открытого лицензионного соглашения (англ. GNU General Public License) -полученные результаты продаются, а не передаются в общественную собственность.

Описанные ключевые недостатки имеют общий существенный признак -жесткую логику функционирования, не адаптированную под нештатные незадекларированные внутренние и внешние возмущения. Важно отметить, что с технической точки зрения требуется учитывать проблемы «нулевого дня», приводящие к нарушениям штатной работы объектов, но ранее не опубликованные в общем доступе [13, 14]. Сбой одного компонента системы может повлечь за собой крах всей критической инфраструктуры.

Цель работы

Целью данной работы являлось проектирование, программная реализация и исследование системы интеллектуально-адаптивного управления информационной инфраструктурой предприятия (далее - Система или СИАУ ИИП), функционирующей на основе ранее представленного одноименного метода [15].

Научная новизна работы заключается в создании комплексного универсального решения по управлению информационной инфраструктурой предприятия, повышающего эффективность, надежность, безопасность и отказоустойчивость функционирования технических объектов и систем за счет созданной программной архитектуры с применением платформы автоматизации развертывания и управления приложениями в среде многослойной виртуализации. Данная архитектура позволила снять ряд ограничений, присущих межсетевым хостам: число одновременно поддерживаемых VPN подключений, задаваемых политик, правил. Повышение уровня конфиденциальности сетевого взаимодействия, как и противодействия анонимным несанкционированным возмущениям, достигается полноценной интеграцией с оверлейными технологиями и сетями, поддержкой широкого спектра современных криптоустойчивых алгоритмов шифрования с возможностью многослойной инкапсуляции. Прогнозирование реакции систем и сервисов на различные внешние воздействия обеспечивается виртуализацией и многослойной изоляцией модельных объектов. Это, в свою очередь, позволяет осуществлять изоляцию рабочих сервисов с возможностью автоматического перезапуска любого компонента без нарушения штатного режима работы инфраструктуры.

В рамках программной инженерии архитектура авторской системы интеллектуально-адаптивного управления информационной инфраструктурой предприятия была выполнена с использованием платформы автоматизации развертывания

и управления приложениями в среде виртуализации, что обеспечивает дополнительную надежность и отказоустойчивость решения с изоляцией его компонентов (рис. 1 и 2).

Рис. 1. Архитектура СИАУ ИИП (часть 1)

Контроллер платформы (англ. Platform controller) - это средство достижения инкапсуляции, изоляции и управления информационными потоками между модулями системы. Взаимодействие системы с пользовательскими ЭВМ, сетевым оборудованием, серверными решениями на базе гипервизора и физических серверов проиллюстрировано на рис. 2.

Рис. 2. Архитектура СИАУ ИИП (часть 2)

Рассмотрим реализацию отдельных компонентов системы с аргументацией выбора стека технологий:

множество задач управления и развертывания, разделяемых на следующие группы: работа с облачными сервисами, управление базами данных, управление информационной инфраструктурой, работа с системными ресурсами, работа с файлами, в том числе выполнение их шаблонизации, реализация оповещений о процессе применения плейбуков и т. д.;

Основными компонентами программной реализации системы, взаимодействие которых обеспечено с помощью zeromq message broker, являются:

реализован неинтерактивный режим работы утилит управления и настройки из шаблонов;

Была осуществлена интеграция с авторскими наукоемкими решениями (от автоматизированной системы сетевого и системного администрирования операционных систем семейства Windows и Linux до системы интеллектуального контроля и управления доступом к информационным ресурсам персонального компьютера).

Все компоненты были проименованы в соответствии с выполняемым функционалом, написаны на языках программирования Python, C++, C, C#, серверные модули контейнеризованы, а в некоторых случаях и расположены на отдельных виртуальных машинах гипервизора.

Их сетевое взаимодействие осуществляется с использованием API внутри защищенных виртуальных каналов связи. Основные операционные системы серверной части (в том числе управляемого сетевого оборудования) - Centos и AlpineLinux, клиентской части - пользовательские версии семейства Linux, Windows и MacOS.

Для проверки работоспособности было выполнено ручное и автоматизированное тестирование программной реализации авторской системы интеллектуально-адаптивного управления информационной инфраструктурой предприятия (пример представлен на рис. 3).

Было произведено тестирование всех разработанных ролей Ansible. В ходе данного процесса были выполнены следующие действия:

=============================== test session starts ==============================

platforn linux -- Python 3.6.8, pytest-5.0.9, py-l.8.0, pluggy-O.12,0 rootdir: /hone/ /workspace/arkgateway/netstackcontroller

collected 1115 itens

========================== 1115 passed in 166.34 seconds ========================

Рис. 3. Результат примера выполнения части юнит-тестов Системы с использованием фреймворка pytest

В целях тестирования веб-приложений информационной системы использовался инструмент Selenium для автоматизации действий веб-браузера.

Важно отметить, что не существует полноценного аналога предлагаемого решения, на рынке представлены лишь аппаратно-программные объекты, выполняющие атомарный функционал представленного комплекса. Для исследования эффективности работы СИАУ ИИП был произведен экспериментальный сравнительный анализ с различными существующими решениями: комплексными межсетевыми экранами и маршрутизаторами D-LINK DFL-870, ZYXEL USG210, CISCO ASA5550-DC-K8, Juniper SRX345, Advantech FWA-660, FP-Stonesoft 1100-c1, HN SG-6000-E1600, FG-51E, Sangfor M4500, M5100, MikroTik CCR1036-8G-2S+EM, Huawei USG2260, Kerio Control, часто именуемыми маркетологами NGFW (англ. Next generation firewall) и UTM (англ. Unified threat management), системами обнаружения и предотвращения вторжений Suricata, Bro с общедоступными базами знаний, различными проприетарными инструментами NGIPS (англ. Next-Generation IPS), а также другими инструментами управления трафиком.

Рассматриваемая СИАУ ИИП продемонстрировала отсутствие ограничений на число одновременно поддерживаемых VPN подключений, за исключением лимита вычислительных мощностей сервера, подтвердила отсутствие ограничений на число задаваемых политик и правил. Важно отметить, что практически все альтернативные решения имеют ограничения на количество VPN-туннелей и политик

фильтрации порядка 200 и 2000 соответственно. В авторской Системе эти ограничения снимаются посредством спроектированной архитектуры, выдерживающей высокие нагрузки, а также применением технологии нулевой маршрутизации. Существенными недостатками ряда конкурентов выступали: некриптоустойчивое шифрование (по типу устаревшего алгоритма DES), отсутствие интеграции с оверлейными технологиями и сетями, составление сигнатур и черных списков на стороне серверов правообладателя с последующей синхронизацией перед фильтрацией трафика и многое другое. Это не выдерживает сравнения с авторским гибким многослойным инкапсулированным шифрованием на базе криптоустойчивых алгоритмов, полноценной интеграцией с оверлейными технологиями и автоматическим составлением черных списков с самообучением системы.

В рамках проведения следующего эксперимента были задействованы инструменты пассивного и активного анализа информационных систем: сканеры, зон-деры и инструменты пентеста. Настройки СИАУ ИИП проиллюстрированы на рис. 4.

Информационная безопасность

Авторские инструменты противодействия механизмам активного и пассивного анализа траффика

и информационных ресурсов посредством фальсификации серверных ответов.

Сценарии имитации

Выберите сценарии и задайте ширину диапазона реагирования (0 -100%).

Активные сценарии

Сценарий Вероятность

а Ubuntu 18.04 5% S 0

а macOS High Sierra 10.13.6 19% s 0

® Windows Server 2008 R2 32% s 0

@ Windows Server 2012 R2 9% s 0

и Windows 7 11% s 0

Рис. 4. Настройка противодействия СИАУ ИИП несанкционированным исследованиям

Использовались следующие программные продукты: Nmap, Nessus, Rapid 7 NeXpose, OpenVAS, X-Scan, XSpider 7, Microsoft BSA, GFI LANguard, RetinaNSA, SAINT и другие средства. Жесткая логика поведения существующих решений позволила идентифицировать их вплоть до версии прошивки и актуальных уязвимо-стей. Например, обхода аутентификации (CVE-2019-1912). Соответственно, не составляло труда осуществить нарушение штатного режима работы исследуемого узла. СИАУ ИИП была настроена на противодействие подобным нештатным возмущениям.

Для множественных итераций исследования со стороны одного хоста осуществлялась эмуляция однотипного сценария фальсификации - Windows Server 2008 R2. В целях усложнения эксперимента сканирование и зондирование осуществлялось одним источником с использованием смены личностей (выходных IP-адресов) оверлейной сети TOR (англ. The Onion Router).

При этом СИАУ ИИП однозначно идентифицировала воздействия посредством корреляционного анализа пула адресных пространств, типов исследований, процентов их исчерпания, временных задержек и другой метаинформации. Пример протокола результатов анализа разработанной системы представлен на рис. 5.

CVSS Plugin Name

N/A 10114 ICMP Timestamp Request Remote Date Disclosure

N/A 10150 Windows NetBIOS / SMB Remote Hostinformation Disclosure

N/A 10287 Traceroute Information

N/A 10394 Microsoft Windows SMB Log In Possible

N/A 10736 DCE Services Enumeration

N/A 10785 Microsoft Windows SMB NativeLanManager Remote System Information Disclosure

N/A 11011 Microsoft Windows SMB Service Detection

N/A 11219 Nessus SYN scanner

N/A 11936 OS Identification

N/A 12053 Host Fully Qualified Domain Name (FQDN) Resolution

Рис. 5. Пример протокола результатов анализа разработанной системы

Таким образом, источник несанкционированных исследований Системы идентифицировал операционную систему Windows Server 2008 R2 с двумя критическими уязвимостями, подозрений о дезинформации у него и не могло возникнуть. При последующих враждебных действиях он был бы перенаправлен на соответствующий изолированный объект блока фальсификации с отслеживанием действий, автоматическим изучением потенциально новой злоумышленной активности и выработкой стратегии по ее упреждению.

Очередным интересным экспериментом выступила генерация более 5000 распределенных сетевых атак различных типов, совмещенных с полезными тестовыми сигналами, на каждый рассматриваемый продукт в отдельности. Пропускная способность канала связи составляла 1 Гбит/с. При этом применялись оверлейные технологии, сервисы анонимизации (прокси и VPN) и другие инструменты для усложнения анализа и обработки возмущений системами защиты. Таким образом, задействовалось более 20 000 «белых» IP-адресов глобальной сети Интернет. Диаграмма пропускной способности канала связи в интервале проведения атак с 10-й по 50-ю секунды представлена на рис. 6. В рамках соблюдения принципов и норм научной этики существующие альтернативные решения в области управления трафиком, с которыми производилось сравнение, проименованы на диаграмме латинскими буквами: A, B, C, D, E, F, G (было выбрано 7 решений в ценовом диапазоне от 40 000 до 600 000 рублей с учетом аппаратной части).

„ 100,00 s

« 80,00 е;

ш 70,00

ja 60,00

£ 50,00

о. 0,00

Рис. 6. Сводная диаграмма загрузки канала связи

Разработанная система обеспечила бесперебойную обработку полезных тестовых сигналов в штатном режиме, оптимизировав загрузку каналов связи посредством выработки оптимальных стратегий реагирования на несанкционированные внешние возмущения различных типов и уровней рисков. Даже в штатном режиме работы СИАУ ИИП имитирует работу различных сервисов и служб, генерируя фальшивый трафик в качестве ловушек. По умолчанию процентное отношение такого рода информационных потоков к общему объему трафика не может превышать 2 % (значение в данном интервале выбирается стохастически). Данный

СИАУ СИП л

iVA^ /чл t -ij

\\Г< -1 * \\\\ D 1/

Т- \\ в J f

G 1 " Л> LЕ ji

Т, сек.

—СИАУ СИП --А - В -С D Е --F —G

параметр корректируется через панель администрирования. Таким образом, избыточность объема трафика в нормальном режиме работы выступает одним из компонентов стоимости эффективности работы Системы при обработке непредвиденных ситуаций.

Обсуждение результатов и заключение

В ходе работы была спроектирована, программно реализована и исследована система интеллектуально-адаптивного управления информационной инфраструктурой предприятия [16]. Функционирование данной системы осуществляется на основе ранее представленного одноименного метода. СИАУ ИИП обеспечивает надежную, отказоустойчивую и качественную работу ее технических объектов и систем в едином стеке с оптимизацией загрузки каналов связи при различных типах воздействий и инцидентах, самообучается и предоставляет интеллектуальную поддержку при принятии управленческих решений в технических системах в условиях неопределенности.

В рамках ноу-хау программной инженерии ее архитектура была выполнена с использованием платформы автоматизации развертывания и управления приложениями в многослойных инкапсулированных средах виртуализации и изоляции с аналогичным подходом к шифрованию объектов, что обеспечивает дополнительную надежность и отказоустойчивость решений с моментальным восстановлением работоспособности любого компонента даже в случае технического сбоя без последствий для информационной инфраструктуры.

В целях проверки работоспособности было выполнено ручное и автоматизированное тестирование всего программного комплекса. Для исследования эффективности работы Системы был произведен экспериментальный сравнительный анализ с существующими решениями в области управления трафиком и обеспечения сетевой информационной безопасности, которые фактически выполняют лишь атомарный функционал системы (в связи с отсутствием полноценных аналогов).

В сравнении с альтернативными решениями загрузка канала связи в штатном режиме повышается на 0,0001-2 % (издержки противодействия несанкционированным идентификациям и исследованиям технических систем и объектов, параметр настраивается опционально в панели администрирования с выбором сценариев фальсификации доступных шаблонов), при массовых нештатных возмущениях среднего уровня риска снижается в среднем на 27,4 %, а при нештатных воздействиях высокого уровня риска не превышает 70 %, в то время как множество конкурентов переходят в состояние недоступности и не обрабатывают стандартные запросы. Таким образом, повышается пропускная способность для штатных информационных потоков.

Дополнительным преимуществом перед существующими решениями является объединение всей информационной инфраструктуры в единый стек, единую экосистему. Снимаются ограничения на количество задаваемых политик, размеры адресных пулов правил и многое другое.

Цена данных преимуществ - повышенные требования к вычислительным мощностям: DDR4 ECC от 16 ГБ вместо DDR3 2ГБ, Intel Core от i5 вместо i3, SSD 1 Тб вместо HDD 100 ГБ. Другим недостатком является избыточность информации: децентрализованный реестр событий дублируется на всех хостах.

Данные аспекты являются незначительными в сравнении с рентабельностью

внедрения Системы, которая выражается в повышения эффективности, надежности, отказоустойчивости и безопасности функционирования технических объектов даже в нештатных ситуациях.

БИБЛИОГРАФИЧЕСКИЙ СПИСОК

Статья поступила в редакцию 27 января 2020 года

SOFTWARE IMPLEMENTATION AND RESEARCH OF THE SYSTEM FOR INTELLECTUALLY ADAPTIVE MANAGEMENT OF THE ENTERPRISE INFORMATION INFRASTRUCTURE

E.A. Basinya

Novosibirsk State Technical University, Research Institute of Information and Communication Technologies 20, Prospekt K. Marksa, Novosibirsk, 630073, Russian Federation

Abstract. The paper describes the problems of information and communication interaction of technical objects and systems. The vulnerabilities of the TCP / IP protocol stack, the imperfection of operating systems and application software, the complexity offull mutual integration of various systems are analyzed. The consequence of saving vendors of network solutions on computing power in the form of architectural constraints and vulnerabilities is described. The design, software implementation and experimental study of the author&s system of intellectually adaptive management of the enterprise&s information infrastructure, which operates on the basis of the previously presented method of the same name, is considered. A modern technology stack is used in combination with a flexible development methodology. The scientific novelty of the work lies in the proposed architecture of a comprehensive software productfor managing the enterprise information infrastructure. Improving the efficiency, reliability, security and fault tolerance of the operation of technical objects and systems is achieved by using the automation platform for deploying and managing applications in a multi-layer virtualization environment. Isolation of work services is carried out with the ability to automatically restart any component without violating the normal operating mode of the infrastructure. A number of restrictions inherent in existing solutions, such as the number of simultaneously supported VPN connections, as well as defined policies and rules are removed. Increasing the level of confidentiality of network interaction, as well as countering anonymous unauthorized disturbances, is achieved by full integration with overlay technologies and networks, and also by supporting a wide range of modern cryptographic encryption algorithms with the possibility of multi-layer encapsulation. In order to evaluate the effectiveness of the developed system, an experimental comparative analysis is presented with various existing solutions: comprehensive firewalls, routers, intrusion detection and prevention systems, as well as other traffic management tools.

REFERENCES

Evgeny A. Basinya (Ph.D. (Techn.)), Associate Professor.