Способ обработки информационных сообщений телекоммуникационных сетей Российский патент 2018 года по МПК H04L29/02 H04L12/22 

Изобретение относится к вычислительной технике и может быть использовано для управляемого взаимодействия различных телекоммуникационных сетей между собой, а также принятия решения и выполнения предопределенных алгоритмов по результатам анализа соответствия поступившей от одной из телекоммуникационных сетей информации установленным шаблонам.

Под информационным сообщением (ИС) понимаются: команда, запрос, сообщение электронной почты.

Любое ИС состоит из заголовка и тела сообщения. В теле сообщения находится целевая (предназначенная для получателя) информация.

Область применения изобретения

1. Многопользовательские автоматизированные системы, предполагающие разграничение пользователей по уровню доступа к защищаемой информации.

2. Выполнение функций управляемого интерфейса информационного взаимодействия различных телекоммуникационных сетей, включая:

- контроль содержания информационных сообщений;

- верификацию ИС форматам, принятым в сетях;

- разграничение доступа к данным различного уровня конфиденциальности;

- преобразование ИС первичной сети, при разрешенных формах и адресатах, к виду, используемому во вторичной сети и обратно.

В настоящее время существуют различные способы идентификации объектов по отдельным признакам - адресу отправителя, адресу получателя, размеру сообщения, виду информации.

В известных способах идентификации:

- не используется анализ сообщения по совокупности идентификационных признаков - формату и заданному набору допустимых значений;

- не предполагается выбор алгоритма обработки сообщения в зависимости от результата анализа признаков сообщения.

Предлагаемый способ анализа сообщения предполагает использование локальных баз данных, содержащих таблицы признаков сообщений с категориями:

- признаки по адресу отправителя: «только от», «от всех, кроме», «от всех»;

- признаки по адресу получателя: «для любого», «только для», «для всех, кроме»;

- признаки по виду сообщения, например, «только текстовые», «только текстовые, содержащие только цифры», «только видео», «любые» и так далее;

- признаки по размеру сообщения: «не более», «не менее», «не менее и не более»;

- синтаксис сообщения;

- нахождение значений передаваемых параметров в определенных пределах;

- иные признаки, обусловленные решаемой задачей.

После проведения анализа могут приниматься решения о доставке сообщения получателю, об отказе в доставке сообщения, о переформатировании сообщения, о формировании на основе полученного сообщения нового.

В качестве аналога может быть использована заявка US 2013/0198798 A1, «E-MAIL FIREWALL WITH POLICY-BASED CRYPTOSECURITY» (близкий к подстрочному перевод - «МЕЖСЕТЕВОЙ ЭКРАН ЭЛЕКТРОННОЙ ПОЧТЫ С ПОЛИТИКОЙ, ОСНОВАННОЙ НА ШИФРОВАНИИ»).

Однако в данной заявке идет речь исключительно о «сообщениях электронной почты», об организации централизованного обмена почтовыми сообщениями, входящими/исходящими в/из организации, защищаемой локальной информационной сети путем их дешифрования/шифрования. В тексте Д1 именно процесс шифрования/дешифрования называется «переформатированием». В абзаце 0043 приводится пример использования почтового средства защиты.

Предлагаемый способ значительно шире - он охватывает все разрешенные взаимодействия телекоммуникационных сетей, без ссылок на конкретные протоколы.

Переформатирование информационного сообщения в предлагаемом способе не означает исключительно его шифрование/дешифрование, а может означать использование другого протокола, добавление/исключение части сообщения и иные способы. Формирование нового сообщения на основе первичного расширяет область применения способа - возможны изменение адреса получателя, подмена адреса отправителя, сокращение сообщения до уровня команды (1 байт) и иные, то есть предлагаемый способ не ограничивается обработкой только «сообщений электронной почты» - он охватывает все разрешенные взаимодействия телекоммуникационных сетей, без привязки к конкретным протоколам.

Задачей изобретения является исключение несанкционированных информационных взаимодействий между телекоммуникационными сетями (ТС) (различными секторами одной сети), обеспечение возможности переформатирования (декодирования и преобразования к иному виду) сообщения при трансляции в другую сеть, обеспечение возможности доставки сообщения целевому получателю после переформатирования. Тем самым повышается безопасность телекоммуникационных сетей. При этом могут быть допущены только те взаимодействия между ТС, которые разрешены в явном виде.

Поставленная задача решается тем, что способ обработки информационных сообщений телекоммуникационных сетей включает анализ информационных сообщений с выделением идентификационных признаков, при этом вначале создают шаблоны, представляющие собой описания разрешенных взаимодействий телекоммуникационных сетей и содержащие перечисление допустимых значений для параметров информационного сообщения, проверяют информационное сообщение на соответствие шаблону и при совпадении значений параметров информационного сообщения с допустимыми значениями параметров шаблона принимают решение о допустимости передачи информационного сообщения на следующие этапы обработки информационного сообщения и определяют алгоритм обработки информационного сообщения на указанных этапах, причем возможными процессами обработки информационного сообщения на указанных этапах являются переформатирование информационного сообщения, пересылка информационного сообщения получателю и формирование нового информационного сообщения на основании первичного.

Способ включает в себя несколько последовательных процессов обработки:

- идентификация информационного сообщения по совокупности параметров, проверка его правильности, принятие решения о дальнейшем алгоритме обработки, переформатирование сообщения, переадресация сообщения, направление сообщения в одну из телекоммуникационных сетей. При этом также используют данные в зависимости от текущего состояния для идентификации сообщения, для пополнения локальной базы данных, для обнаружения сообщения, для диагностики ошибок.

Для анализа используют вносимые в локальную базу данных шаблоны, предназначенные для сравнения с ними поступившего сообщения и, по результатам сравнения, принятия решения об алгоритме обработки сообщения. Порядок следования процессов может варьироваться. Описания разрешенных взаимодействий (шаблоны) формулируются на определенный отрезок времени и могут изменяться.

Каждое сообщение обладает совокупностью параметров А. Ai=(Ai1,…Ain). Для каждого параметра может быть определено множество допустимых значений В(А). Bj(Ai)=(Bj1(Ai),…Bjm(Ai)). Каждый шаблон С содержит перечисление допустимых значений параметра (каждого или некоторых). Ci=(Ai, Bj(Ai)).

Первый процесс заключается в проверке соответствия ИС шаблону С. При совпадении значений параметров А ИС шаблону С принимается решение о допустимости его передачи на следующие этапы обработки и определяется их алгоритм.

Возможные процессы обработки ИС на последующих этапах:

- переформатирование сообщения;

- пересылка ИС получателю;

- формирование нового ИС на основании первичного.

Предложенный способ, используя уникальный ряд известных ранее методик, придает системам новое качество - возможность обеспечить защищенное от несанкционированного доступа контролируемое взаимодействие телекоммуникационных сетей, в которых обрабатываются данные с различным уровнем конфиденциальности, на основе интегрального анализа циркулирующих в сетях информационных сообщений, предполагаемых к передаче во взаимодействующую сеть.

Пример реализации способа

Предлагаемый пример основан на использовании шаблонов, содержащих признаки сообщений с категориями:

- признак «сообщение фиксированного вида» «от источника А» «для получателя Б»;

- сообщение содержит строку вида «АААА ВВВВ СССС XXX»;

- значения А, В, С - буквенные, присущие только латинскому алфавиту;

- значение XXX - числовое, находящееся в пределах от «013» до «132».

После проведения анализа могут приниматься решения о доставке сообщения получателю, об отказе в доставке сообщения, о переформатировании сообщения, о формировании на основе полученного сообщения нового.

В отличие от известных способов защиты заявленный способ не ставит перед собой задачи разработки адаптивного метода защиты сети от несанкционированного доступа, а делает упор на многоуровневую систему защиты и принципиальное отсутствие прямого доступа из открытой сети в защищенную. Т.е. используемая фильтрация информации играет роль не ретранслятора, а анализатора и интерпретатора поступающей из внешней сети информации.

Взаимодействие пользователей осуществляется только путем передачи стандартизованных сообщений. Каждое сообщение состоит из заголовка и команды с параметрами. В заголовке указываются внутренние имена отправителя и получателя сообщений, список которых заранее известен. Команда задается ее кодом и набором присущих ей параметров (числовые, строковые и бинарные данные). Формат всех команд и данных зафиксирован и заранее известен. Кроме того, имеется возможность задать список допустимых команд для каждого типа пользователей (роли).

При получении нового сообщения проверяются имена отправителя и получателя в списке допустимых имен. При отсутствии какого-либо имени в списке сообщение игнорируется. Затем проверяется фактический IP адрес отправителя и его присутствие в списке разрешенных адресов для данного отправителя. В случае отсутствия такого адреса сообщение дальше не проходит.

Затем анализируется синтаксис команды и ее параметров. Если команда имеет неверный формат, то она отвергается. Наконец, если всем вышеуказанным критериям сообщение удовлетворяет. Проверяется доступность данной команды (код) имеющимся ролям отправителя и получателя. В случае успеха сообщение обрабатывается и затем передается в защищенную сеть в виде команды, сигнала, сообщения или SQL-запроса в зависимости от типа получателя в защищенной сети. При этом даже теоретическая возможность прямой передачи сетевых пакетов из открытой системы в защищенную, минуя блок анализа и интерпретации, исключена, поскольку открытая и защищенная сети подключены к разным сетевым адаптерам, не имеющим прямого программно-аппаратного соединения.

Таким образом, техническим результатом является обеспечение только санкционированного доступа к ресурсам закрытой вычислительной сети. Любое несанкционированное сообщение будет остановлено и не сможет нанести вред вычислительным средствам защищенной сети.

Изобретение относится к области вычислительной техники. Техническим результатом является исключение несанкционированных информационных взаимодействий между телекоммуникационными сетями (ТС), обеспечение возможности переформатирования сообщения при трансляции в другую сеть, обеспечение возможности доставки сообщения целевому получателю после переформатирования, а также обеспечение только санкционированного доступа к ресурсам закрытой вычислительной сети. Раскрыт способ обработки информационных сообщений телекоммуникационных сетей, включающий анализ информационных сообщений по заранее определенным параметрам с выделением идентификационных признаков, при этом создают шаблоны, представляющие собой описания разрешенных взаимодействий телекоммуникационных сетей и содержащие перечисление допустимых значений для параметров информационного сообщения, проверяют информационное сообщение на соответствие шаблону и при совпадении значений параметров информационного сообщения с допустимыми значениями параметров шаблона принимают решение о допустимости передачи информационного сообщения на следующие этапы обработки информационного сообщения, определяют алгоритм обработки информационного сообщения на указанных этапах, при этом возможными процессами обработки информационного сообщения на указанных этапах являются переформатирование информационного сообщения, пересылка информационного сообщения получателю и формирование нового информационного сообщения на основании первичного.

Способ обработки информационных сообщений телекоммуникационных сетей, включающий анализ информационных сообщений по заранее определенным параметрам с выделением идентификационных признаков, отличающийся тем, что создают шаблоны, представляющие собой описания разрешенных взаимодействий телекоммуникационных сетей и содержащие перечисление допустимых значений для параметров информационного сообщения, проверяют информационное сообщение на соответствие шаблону и при совпадении значений параметров информационного сообщения с допустимыми значениями параметров шаблона принимают решение о допустимости передачи информационного сообщения на следующие этапы обработки информационного сообщения, определяют алгоритм обработки информационного сообщения на указанных этапах, при этом возможными процессами обработки информационного сообщения на указанных этапах являются переформатирование информационного сообщения, пересылка информационного сообщения получателю и формирование нового информационного сообщения на основании первичного.