ГОСТ Р 56498—2015
В этой модели защиты периметр ICN защищен шлюзом внешних подключений (ECG) и воротами
физического доступа (PAG).
Шлюз ECG является выделенным шлюзом безопасности (SGW) с дополнительным функциона
лом. удовлетворяющим требованиям конкретной политики, например, для внешних устройств.
PAG представляют собой пункт физического доступа, который должно пройти устройство при
вносе/выносе через периметр безопасности ICN. гарантирующий, что политики безопасности ICS не
будут нарушены, например, из-за передачи конфиденциальной информации или вноса вредоносного
программного обеспечения.
Могут использоваться дополнительные сегменты от подсетей до конкретных устройств с усилен
ной защитой, рассматриваемые как сегмент.
Примеры
- защищенный хост сети управления;
- принцип управления сетью на верхнем/нижнем уровне;
- сеть внутри ICN, содержащая все хосты с операционными системами общего назначения;
-
к
он
к
ретные устройства с усиленной защ итой (например, хосты ), для
к
оторы х сегмент со о т
в е тств уе т одному устройству. Данные устройства формируют защ итный периметр.
5.6.3 Общие меры защиты внешнего доступа
С точки зрения ICN любая EN является ненадежной поотношению к типам и объему сетевого тра
фика. а также к намерениям и возможностям пользователя. Поэтому в настоящем стандарте описаны
отдельные меры защиты сетидля внешней границы ICN. выходящие за рамки мер. принимаемых внут ри
сети.
Хосты или устройства могут пытаться использовать общий внешний доступ, который обычно
означает использование незащищенных сервисов интернета, например, использование браузера,
электронной почты (e-mail), передачи файлов и т. д. Общие внешние сервисы могут пытаться подклю
читься к незащищенным общим сервисам ICN.
Внутри ICS имеется два компонента, которые могут реагировать или отвечать на общий внешний
доступ (см. рисунок 9):
- средства обеспечивающие соединения при связи, в том числе интерфейсы, протоколы исерви
сы (входящие и исходящие для ICS) на ECG:
- соответствующее внутреннее оборудование и приложения внутри ICS.
Внутри корреспондентом может быть оборудование источника или назначения, связывающееся с
внешней сетью напрямую или через оператора, или через промежуточный прокси-сервер.
Снаружи партнеры по связи могут быть различными — от надежных до подозрительных.
П р и м е ч а н и е — Общий внешний доступ не включает в себя специальных внешних промышленных кли
ентов управления, которые рассмотрены в 5.6.4.
Установленный общий внешнийдоступ и новые запросы этого типа соединенийдолжны быть рас
смотрены в целях безопасности, например, является ли абсолютно необходимым общий web-доступ
внутри ICN.
Даже при специальной связи с надежными внешними партнерами и соответствующим образом
выполненными бизнес-требованиями требуются ECG. гарантирующие поддержку только требуемых
сервисов и усиленные привилегии внешнего доступа.
5.6.4 Защита внешнего клиента
Если для работы с ICS требуется связь с удаленными (внешними) клиентами, связь с внешними
сетями должна быть защищена. Внешние сети EN с точки зрения ICS являются ненадежны
ми (см. 5.6.3). Безопасностьдолжна быть распространена на архитектуру, реализацию и работусоеди
нения.
Меры по защите внешнегоклиента применяются наобщих основаниях к сценариям, при которых:
- операторы и внутренние устройства ICS могут нуждаться в доступе к внешним ресурсам, напри
мер. для обновления или для получения информации управления;
- внешние операторы и устройства ICS могут получать доступ к ICN. например, для целей диаг
ностики. обслуживания и/или управления.
В частности, политика ICS применима к защите внешнего клиентского оборудования и его прило
жений. Она также применима к важной проблеме оборудования, временно находящегося снаружи ICS
и доставляемого на завод для прямого или косвенного подключения к ICN. например, портативных
устройств для обслуживания и носителей для обновления программного обеспечения.
18