Сертификационные испытания межсетевых экранов, как правило, проводятся на соответствие требованиям руководящего документа «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (Гостехкомиссиия России, 1997 г., далее по тексту РД МЭ). Особенностью данного типа сертификации является предъявление указанным руководящим документом единых требований защищенности ко всем существующим типам межсетевых экранов (фильтрам пакетов, прокси-серверам, шлюзам приложений). При этом межсетевой экран (МЭ), отвечающий требованиям второго класса защищенности указанного руководящего документа, должен сочетать в себе функции всех трех типов МЭ. Данная особенность формулирует особые требования к стенду сертификационных испытаний, поскольку стенд должен быть собран таким образом, чтобы эксперт, проводящий сертификационные испытания, имел возможность проверки всех требований РД МЭ и однозначной трактовки результатов испытаний для всех типов МЭ.
Основным назначением МЭ является фильтрация данных (пакетов и соединений) на различных уровнях семиуровневой модели OSI (от сетевого уровня до уровня приложений) на основании тех или иных параметров. В связи с этим, стенд сертификационных испытаний должен предоставлять эксперту возможность генерации пакета (установления соединения) с произвольными параметрами и проводить анализ влияния настроек МЭ на результат испытаний (пропущен ли пакет через МЭ или установлено ли соединение). МЭ, в соответствии с определением, приведенным в РД МЭ, обеспечивает взаимодействие как минимум двух вычислительных сетей (далее по тексту – ВС). Таким образом, в процессе выполнения сертификационных испытаний эксперту необходимо осуществлять генерацию и анализ результата прохождения пакета или установления соединения «по разные стороны» МЭ (то есть генератор пакетов и анализатор трафика должны располагаться в разных вычислительных сетях). Поэтому простейшая схема стенда сертификационных испытаний должна включать генератор пакетов (соединений), МЭ, анализатор трафика. Для проверки установления соединений, генератор пакетов должен иметь возможность установки соединений, а анализатор трафика – универсальный сервер, способный обслуживать любой произвольно заданный порт или прикладной сервис.
Для проведения сертификационных испытаний испытательной лабораторией ООО «М-СТАНДАРТ холдинг» используется комплекс тестирования МЭ, который включает в себя автоматизированное рабочее место эксперта, одновременно соединенное с генератором и анализатором трафика.
Комплекс тестирования МЭ предоставляет возможность выполнения тестов на сетевом, транспортном и прикладном уровнях модели TCP/IP. Основная задача комплекса тестирования МЭ – моделирование определенных сетевых событий и визуализация происходящих процессов. Причина такого решения в том, что корректно выполнить моделирование реальной сети можно только для множества наиболее общих проверок. Комплекс тестирования МЭ предоставляет средства генерации трафика по заданным экспертом параметрам, а также средства визуализации результата прохода трафика через тестируемое изделие. Комплекс позволяет просматривать общую статистику в виде круговой диаграммы (пример диаграммы приведен на рисинке 1), при формировании которой эксперту предоставляется возможность выбора параметров пакета, по которым будет осуществляться формирование диаграммы. Круговая диаграмма предоставляется отдельно для пакетов, полученных в той же ВС, где они были отправлены, и для пакетов, переданных МЭ. Если сравнение круговых диаграмм не дает однозначного ответа на вопрос, какие пакеты были пропущены через МЭ, а какие нет, эксперт имеет возможность сравнить списки пакетов с указание параметров заголовков и содержимого (данных). В списках каждый пакет может быть однозначно идентифицирован по полю «Packet ID».
На основе анализа полученных результатов прохождения тестового трафика через МЭ и их сопоставления с результатами, при которых изделие считается соответствующим определенному требованию, формируется вывод о корректности реализации в МЭ проверяемого механизма защиты.
Комплекс не предназначен для автоматического формирования заключения о выполнении МЭ заданных требований. Соответствующее решение принимает эксперт на основе анализа результатов тестирования и представленной документации.
Рисунок 1
Пример диаграммы статистики отправленных и полученных пакетов, формируемых комплексом тестирования МЭ
Использование комплекса облегчает тестирование, позволяя выполнять ряд тестов в автоматизированном режиме с использованием имеющегося в составе комплекса стандартного набора заданий на генерацию трафика и регистрацию результатов прохождения трафика. Также предусмотрена возможность подготовки отдельных заданий на генерацию трафика.
