Пресс-центр компании «Диполь»

Максим Писковацков,
руководитель направления измерительного оборудования общего назначения
mvp@dipaul.ru

В современных сетевых инфраструктурах большое внимание уделяется обеспечению надежности сети, высокой доступности и, прежде всего, безопасности. Кибербезопасность стала критической областью во всех сферах Интернета. На ее обеспечение компании ежегодно тратят миллионы. Тем не менее, до сих пор встречаются упущенные из виду области, в которых безопасность находится не на должном уровне. Одним из примеров такой области является время.

Как бы это странно ни звучало, время играет решающую роль в синхронизации основной деятельности бизнеса и сетевых систем. Время поддерживает протоколы аутентификации, а также точные лог-файлы, критически важные для контрольного следа, необходимого для любой кибер-программы судебной экспертизы. Таким образом, синхронизация нередко является обязательным требованием для стандартов сетевой безопасности, таких как стандарты безопасности данных индустрии платежных систем. К примеру, раздел 10.4 стандарта PCI DSS требует прослеживаемого источника времени для синхронизации систем электронной коммерции.

В настоящей статье кратко рассматриваются различия между источниками времени (внешнего и внутреннего) с точки зрения отслеживаемости при развертывании сети протокола сетевого времени (NTP).

NTP через Интернет увеличивает отклонение синхронизации

NTP является популярным сетевым протоколом, предназначенным для синхронизации локальной системы с сервером времени. Серверы времени NTP широко доступны в Интернете. Однако не будет лишним все внимательно проверить, если для решения ваших задач используется интернет-сервер. Даже у интернет-серверов времени, управляемых государством, такие как НИСТ или американская военно-морская обсерватория, которые базируются на высокоточных атомных часах, существует множество факторов, влияющих на прослеживаемость. По высказыванию ресурса ntp.org: «если организация или человеческая жизнь зависят от наличия правильного времени или могут пострадать от его неверного значения, то вам не следует «просто брать время из Интернета».

Одной из проблем синхронизации времени является изменчивость состояния сети. Нагрузка сети, множество маршрутов и настройки брандмауэра могут повлиять на качество времени локальной системы. Для иллюстрации этого эффекта можно воспользоваться функцией мониторинга качества времени сервера VelaSyncТМ производителя Spectracom. Он имеет встроенный GPS-приемник, который выступает в качестве эталона c точностью до десятков наносекунд. NTP используется для сравнения его с другим GPS-сервером времени в локальной сети. Смещение составляет около 15–20 мс (рис. 1).

Рис. 1. Сравнение качества времени двух GPS-серверов, находящихся в одной локальной сети

Сервер времени VelaSyncТМ был также подключен к нескольким из наиболее популярных серверов времени в Интернете. В результате смещение, как показано на рис. 2, достигло десятков миллисекунд, что в 1000 раз хуже, чем NTP в локальной сети. Если мы предполагаем, что все временные серверы являются точными, то различие происходит только из-за большей задержки в пути и других динамических условий.

Рис. 2. Сравнение интернет-серверов времени с локальным GPS-сервером. Шкала в 1000 раз больше, чем на рис. 1

Этого различия достаточно, чтобы подвергнуть сомнению прослеживаемость времени из Интернета.

Интернет препятствует прослеживаемости времени

С точки зрения обеспечения безопасности, крайне важно знать достоверность источника данных, используемого сервером для раздачи времени в локальной сети. GPS-сигнал признан наиболее точным, доступным и прослеживаемым источником времени. GPS-серверы времени — простые в обращении приборы, которые легко подключаются в локальную сеть. Даже когда разные GPS-серверы времени развернуты в разных местах, они будут обеспечивать идентичное время, независимо от географического расположения. Более того, GPS в качестве локального источника времени можно контролировать, следовательно, его лог-файлы могут является частью контрольного следа.
Интернет-серверы времени могут использовать GPS-сигналы (или другие точные источники), о достоверности которых вы никогда не узнаете. Чтобы проиллюстрировать эту точку зрения, мы можем использовать еще одну особенность программного обеспечения сервера времени VelaSyncТМ, известное как «Карта времени». Карта времени предоставляет информацию, доступную на источнике серверов времени (рис. 3).

Рис. 3. Карта времени показывает графическую схему серверов NTP с их источниками времени

Из семи интернет-серверов времени, контролируемых в течение 24-часового периода, было выявлено 20 различных источников времени. Менее половины этих источников могут быть идентифицированы напрямую с GPS. Так, в одном из случаев время GPS было роздано через три различных сервера времени. Наиболее успешной практикой использования пула NTP-серверов является та, когда существует больше источников, чем серверов времени. Пул серверов производит постоянную ротацию различных интернет-серверов времени (каждого со своим источником времени) для уменьшения вероятности появления одного неисправного или недоступного сервера времени, катастрофически влияющего на синхронизацию.

Однако это проблема для тех, кому требуется прослеживаемость, так как источник времени будет неизвестен или заранее предопределен.

Вывод

Неопределенная идентификация источника, неопределенное изменение точности и неспособность регистрации результатов синхронизации времени вызывает сомнение в использовании времени из Интернета. Более того, интернет-серверы подвержены подмене (недостоверные данные NTP, отправленные с подменным IP-адресом) и прямым атакам, включая отравление NTP-сервера через DNS, воспроизведение или отказ в обслуживании. Поэтому не полагайтесь на волю случая. Когда есть критически важная для бизнеса потребность проследить время до точного источника, грамотное решение — устройство на базе GPS-сервера времени, развернутое в локальной сети.

Справочная информация

Используемое оборудование:

Высокоскоростной сервер времени Spectracom VelaSyncTM.
ПО Time Keeper®.
ПК с операционной системой Linux 32-бит или 64-бит, Fedora Core, RedHat Enterprise, SuSE, Ubuntu Linux, CentOS, Windows 64-бит, Windows 7, Windows 8, Server 2012.

Область применения: