C2-інтеграція CJTF: мережеві мости та обмін даними

Об'єднана спільна цільова група (CJTF) — тимчасове багатонаціональне формування, зібране з сил кількох держав і кількох видів збройних сил для виконання конкретного завдання. Виклик командування та керування, який вона ставить, унікальний: штаб, який має видавати накази через національні кордони, одночасно експлуатує кілька доменів класіфікації, покладається на дані в несумісних національних системах C2 і залежить від ліній зв'язку, що належать різним державам. Побудова злагодженої C2-інтеграції в цих умовах — менше проблема вибору продукту, ніж проблема архітектури, — і архітектура торкається мережевої інженерії, політики безпеки, юридичних угод та керування ідентичністю одночасно. Ця стаття охоплює технічні й організаційні елементи, які роблять C2-інтеграцію CJTF дієвою, та шаблони, що виникли з повторюваного операційного досвіду. Щодо ширшого погляду на те, як ці елементи вписуються в рамки інтероперабельності альянсу, дивіться наш посібник НАТО з інтероперабельності.

Архітектура CJTF: багатонаціональний виклик C2

Структурна складність C2-інтеграції CJTF починається з повноважень командування. Штаб CJTF здійснює операційне командування силами, які залишаються, з адміністративних і національних причин, під національним командуванням. Це означає, що штаб не може диктувати технічні стандарти національних систем C2, від яких він залежить, — він може лише визначити, що ці системи мають вміти обмінюватися з коаліцією, а потім побудувати міст. Результат — архітектура, яка має одночасно вміщувати національні системи, побудовані за різними стандартами, водночас забезпечуючи шар, обернений до коаліції, достатньо внутрішньо узгоджений, щоб бути операційно корисним.

Командування складових — сухопутні, морські, повітряні, спеціальних операцій — кожне експлуатує власні системи C2, часто закуплені національно, і під'єднуються до коаліційної мережі місії на визначених точках агрегації. Модель власності мережі тут має велике значення: у CJTF під проводом НАТО мережею місії зазвичай керує директорат зв'язку та інформаційних систем (CIS) штабу, але фізична інфраструктура (супутникові канали, наземні лінії, вузли зв'язку) може бути надана окремими державами. Цей поділ між адміністративною власністю мережі та фізичною власністю інфраструктури створює залежності координації, які слід вирішити до того, як мережу можна експлуатувати як цілісне ціле.

Ключова планова відмінність — між національним хребтом і коаліційною мережею місії. Кожна держава-учасниця експлуатує власний національний хребет зв'язку C2, під'єднаний до національної інфраструктури тилових районів, що несе дані на національних рівнях класифікації. Коаліційна мережа місії — окрема, спеціально побудована мережа, яка несе лише інформацію, доступну для поширення в коаліції, на погодженому коаліційному рівні класифікації. Жодна система не під'єднується до обох без міждоменного рішення (CDS), що забезпечує межу між ними. Планування має явно моделювати національний хребет кожної держави-учасниці, точку межі CDS та топологію коаліційної мережі — три шари, які мають правильно взаємодіяти до того, як потечуть будь-які операційні дані.

Архітектура мережі місії

Коаліційна мережа місії для CJTF побудована навколо архітектури CIS, яка зазвичай дотримується встановлених шаблонів НАТО для розгорнутих штабів. Основне референтне джерело — модель архітектури CIS TOPFAS (Tool for Operational Planning, Force Activation and Simulation), яка визначає типи вузлів, рівні сервісів і вимоги до зв'язності для штабу CJTF стандарту НАТО. На практиці кожен CJTF адаптує цю модель на основі держав-учасниць, доступної інфраструктури та операційних вимог, але базова лінія TOPFAS запобігає повторному винаходу базових архітектурних рішень на кожному розгортанні.

Мережеві шари, які співіснують у типовому середовищі CIS CJTF:

• NATO SECRET (NS): основна коаліційна мережа місії, що несе операційне планування, накази, продукти розвідки та дані ситуаційної обізнаності, доступні всім допущеним учасникам коаліції.
• Спільноти CENTRIXS: засновані США коаліційні мережі для конкретних груп партнерів, що працюють на рівні SECRET REL TO для відповідного набору партнерів. CJTF за участі сил США зазвичай включає одну або кілька мереж CENTRIXS (специфічних для спільноти, як-от CENTRIXS-ISAF або CENTRIXS-J), які несуть дані, недоступні на NS, але доступні для поширення в межах конкретної групи партнерів.
• BICES (Battlefield Information Collection and Exploitation Systems): мережа обміну розвідданими НАТО, яку використовують для обміну продуктами розвідки в коаліції на більш контрольованому рівні поширення, ніж NS. Доступ до BICES специфічний для держав і не є універсальним серед учасників коаліції.
• Національні мережі SECRET: власна інфраструктура SECRET кожної держави-учасниці, що несе дані на національних рівнях класифікації, під'єднана до коаліційної мережі лише через CDS.

Виділення пропускної здатності між цими шарами потребує навмисного планування. WAN-канали мережі місії — супутникові, наземні або гібридні, — мають бути поділені між шарами з політиками якості обслуговування (QoS), які захищають часокритичний трафік C2 (оновлення треків, накази, сповіщення) від витіснення масовими передачами даних (зображення, відео безперервної зйомки, логістичні звіти). Типова помилка — розглядати WAN мережі місії як одну спільну трубу без сегментації QoS: під операційним навантаженням масові дані з розвідувальних потоків насичують трубу, і часокритичний трафік командування зазнає неприйнятної затримки. Канал міждоменних передач CDS також має отримати захищений зріз пропускної здатності, бо вузькі місця пропускної здатності CDS мають множильний ефект на всі міждомні потоки даних.

Міждоменні рішення між національними мережами

Міждоменні рішення — технічна точка застосування правил розкриття інформації, які встановлюють угоди про обмін даними. У CJTF кожен елемент даних, що рухається з національної мережі в коаліційну мережу місії, або навпаки, проходить через CDS, який оцінює мітку безпеки елемента проти відповідної політики поширення і вирішує, чи передати, чи утримати, чи відхилити її. Розуміння архітектури CDS тому центральне для розуміння C2-інтеграції CJTF, бо межа CDS — там, де зустрічаються національний і коаліційний домени безпеки.

Реалізації CDS поділяються на дві категорії. Апаратні охоронці даних — спеціалізовані пристрої рівня апліансу із захищеною від підробки фізичною безпекою, схвалені для високонадійних міждоменних передач на національному рівні кожним національним органом акредитації. Вони реалізовують фільтрацію вмісту, розриви протоколів і перевірку міток в апаратному чи мікропрограмному забезпеченні, а їхня основа сертифікації — зазвичай Common Criteria на EAL 5 або вище. Продукти CDS на основі програмного забезпечення реалізовують еквівалентну функціональність у програмному стеку, часто працюючи на комерційному апаратному забезпеченні зі зміцненою операційною системою; їх зазвичай швидше конфігурувати й оновлювати, але вони несуть інші вимоги акредитації. У CJTF вибір між апаратним і програмним CDS часто визначає національний орган акредитації кожної держави, а не коаліція, бо захищається саме національний домен.

Проєктування політики фільтрів CDS — там, де відбувається найскладніша інженерна робота. Політика фільтра має реалізовувати правила поширення з усіх відповідних угод про обмін даними, виражені в термінах атрибутів міток безпеки, які з'являються на вихідних даних. Основні атрибути міток для коаліційного C2 НАТО визначені в STANAG 4774 (NATO Confidentiality Label Syntax) і STANAG 4778 (Metadata Binding) — рівень класифікації, список можливості поширення та будь-які застереження, що обмежують подальше розповсюдження. Політика фільтра зіставляє комбінації цих атрибутів із рішеннями про поширення: дані, позначені SECRET REL TO ISAF (гіпотетично), поширюються в мережу місії ISAF; дані, позначені SECRET NOFORN, утримуються на національній межі; дані із застереженням розвідувальної спільноти (наприклад SI, TK) спрямовуються в окрему чергу людського перегляду, а не поширюються автоматично.

Автоматизація розкриття інформації (ROI) — здатність, яка робить це керованим на операційних обсягах даних. Ручний перегляд кожної міждоменної передачі даних можливий для малого елемента зв'язку, але абсолютно непрактичний для CJTF розміру дивізії, що генерує тисячі оновлень треків, повідомлень і звітів датчиків за годину. Автоматизація ROI використовує мітку безпеки на кожному елементі даних, щоб застосувати рішення про поширення без людського втручання для елементів, що чітко відповідають політиці. Елементи, які потрапляють у прогалини політики, — немарковані дані, дані з невизнаними застереженнями, дані на межі класифікації, — утримуються для людського перегляду. Якість автоматизації тому прямо пропорційна якості маркування на вихідних даних: погано марковані дані створюють чергу людського перегляду, яка руйнує мету автоматизації і вносить затримку в коаліційну картину.

Щодо глибшого розгляду технології CDS та її ролі в архітектурах оборонних мереж, дивіться нашу статтю про міждоменні рішення в обороні.

Угоди про обмін даними та еквівалентність класифікацій

Угода про обмін даними (DSA) — юридичний і політичний інструмент, який уповноважує одну державу ділитися класифікованою інформацією з іншою або з коаліцією. У CJTF угоди DSA визначають умови обміну — які категорії інформації охоплено, на яких рівнях класифікації, з якими обмеженнями і під яким наглядом, — і їхня наявність є передумовою для експлуатації політик розкриття інформації CDS, які реалізовують обмін. CDS не може поширювати дані в коаліцію без чинної угоди DSA, що надає уповноваження на поширення.

Угоди DSA можуть бути структуровані двосторонньо (між двома державами) або багатосторонньо (в усій коаліції). Двосторонні угоди DSA зазвичай точніші щодо того, чим діляться і за яких умов, але вони не масштабуються на велику коаліцію — CJTF із п'ятнадцяти держав потребував би до 105 двосторонніх інструментів, багато з яких треба вести індивідуально на високому урядовому рівні. Багатосторонні рамки угод DSA, як-от політика безпеки НАТО та пов'язані технічні й імплементаційні директиви з інформаційної безпеки, встановлюють базові умови, за якими всі держави-члени НАТО обмінюються інформацією між собою, зменшуючи навантаження переговорів на операцію для держав-членів. Партнери місії (держави поза НАТО, які беруть участь у конкретній операції) зазвичай потребують окремих двосторонніх угод, які зіставляють їхні національні правила безпеки з рамкою НАТО.

Еквівалентність класифікацій — серед найбільш технічно наслідкових елементів угоди DSA. Кожна держава використовує власну національну систему класифікації, зі своїм словником міток, своїми правилами поводження з класифікованими матеріалами і своїми припущеннями про те, що означає SECRET щодо поширення під контролем ініціатора. Багатонаціональний CJTF має встановити таблицю зіставлення, яка визначає, як національні рівні класифікації кожної держави відповідають коаліційним рівням (NATO UNCLASSIFIED, NATO RESTRICTED, NATO CONFIDENTIAL, NATO SECRET, COSMIC TOP SECRET) для цілей обміну інформацією. Це зіставлення рідко є досконалою еквівалентністю — те, що одна держава класифікує як SECRET, може бути значно вище або нижче за те, що інша вважає SECRET, — і вибори зіставлення впливають як на безпеку інформації, так і на операційну доступність даних у коаліційній мережі.

Опрацювання застережень — паралельна проблема. Держави застосовують національні застереження — NOFORN, REL TO конкретним спискам, обмеження лише для національних очей, компартментні застереження, — які слід поважати навіть коли інформація переходить у коаліційний домен. Угода DSA має визначати, як опрацьовувати кожне застереження: дотримуватися як є (застереження подорожує з даними в коаліційну мережу), знімати за визначених умов (ініціатор дозволяє зняття застереження для коаліційного використання) або використовувати як критерій блокування (дані з цим застереженням взагалі не можна поширювати в коаліцію). Реалізація політики фільтрів CDS безпосередньо випливає з цих правил опрацювання застережень, тому переговори щодо DSA та проєктування політики CDS мають відбуватися в тісній координації, а не послідовно.

Гармонізація STANAG для коаліційного обміну даними

STANAG (NATO Standardization Agreements) визначають технічні стандарти, які коаліційні системи C2 використовують для обміну даними. Відповідні STANAG для C2-інтеграції CJTF охоплюють маркування, обмін повідомленнями, тактичні лінії даних та інформаційну модель C2. Інженерний виклик у тому, що держави реалізовують STANAG з національними профілями реалізації — вони обирають різні версії, вмикають різні необов'язкові поля, використовують різні кодування і тлумачать неоднозначні положення по-різному. CJTF має або гармонізувати ці національні профілі, або побудувати медіацію, яка з'єднує їх на коаліційному шлюзі.

Найбільш безпосередньо пов'язані STANAG для коаліційного обміну даними включають:

• STANAG 4774 / 4778: визначають NATO Confidentiality Label Syntax і Metadata Binding для прикріплення міток безпеки до повідомлень та об'єктів даних. Держави, які реалізовують різні версії або необов'язкові розширення цих STANAG, породжують мітки, які можуть не аналізуватися CDS іншої держави, — прямий збій інтероперабельності з наслідками для безпеки.
• STANAG 5048: Military Message Handling System (MMHS), коаліційний стандарт формальних повідомлень між штабами. Національні реалізації MMHS розходяться в опрацюванні наборів символів, кодуванні полів заголовків і необов'язкових конструкціях маршрутизації.
• STANAG 5516 (і пов'язаний ADatP-3): формати тактичного обміну даними. Держави реалізовують Link 16 і його стандарти повідомлень з національними розширеннями та відмінностями версій, які потребують трансляції на шлюзі, коли дані тактичної картини перетинають національні кордони.
• STANAG 2534 / MIP (Multilateral Interoperability Programme): визначає модель обміну даними C2 (C2IEDM / JC3IEDM / MIM) для наземних систем C2. Національні системи C2 реалізовують різні версії MIP, і міграція від раніших версій до MIP4 не завершена в усьому альянсі, створюючи вимоги мостові між версіями.

Узгодження словників даних — копіткий порівняльний процес: поле за полем звіряють національні профілі впровадження, виявляють розбіжності та вирішують, як із ними вчинити. Для полів, де обидві сторони використовують однакове кодування й однакову семантику, міст не потрібен. Для полів, де одна сторона застосовує необов'язкове розширення, якого немає в іншої, слід визначити відображення або значення за замовчуванням. Для полів, де дві країни справді мають різні семантичні моделі однієї сутності (наприклад, різні способи подання операційного статусу підрозділу), потрібно написати змістовне правило перекладу й перевірити його на реальних даних. Зазвичай цю роботу виконують на перед-розгортальному інтеграційному заході — ідеально на коаліційному випробуванні типу CWIX — а залишкові прогалини фіксують як визнані обмеження на час операції.

Узгодження форматів повідомлень на коаліційному шлюзі перекладає дані між національними форматами та базовим коаліційним профілем для кожного STANAG. Посередницький сервіс отримує повідомлення в профілі кожної країни-учасниці, застосовує відображення узгодження та повторно публікує повідомлення в базовому коаліційному профілі для інших учасників. Посередника слід перевіряти на всьому діапазоні типів повідомлень і комбінацій полів, які системи кожної країни-учасниці реально генерують, — не лише на канонічних прикладах зі специфікації STANAG, бо національні впровадження часто експлуатують крайові випадки, які лабораторні тести не ловлять.

Федеративне керування ідентифікацією та доступом у CJTF

Керування доступом на коаліційній місійній мережі має враховувати користувачів, автентифікованих різними національними ідентифікаційними інфраструктурами, які отримують доступ до ресурсів із різними рівнями грифування та позначками можливості поширення, із систем у різних організаційних ролях. Централізований коаліцією перелік доступу для кожного користувача непридатний для великої CJTF, де списки змінюються, коли країни ротують війська. Рішення — федеративне керування ідентифікацією в поєднанні з керуванням доступом на основі атрибутів (ABAC).

Кожна країна-учасниця підтримує власну інфраструктуру відкритих ключів (PKI) — ієрархію центрів сертифікації, що видають цифрові сертифікати користувачам і системам. Щоб національна PKI була прийнятна для сторін, які покладаються на коаліційну мережу (сервери автентифікації, сервіси керування доступом, портали застосунків), сертифікат кореневого центру сертифікації країни має бути внесений до сховища кореневих сертифікатів довіри коаліції, а між двома PKI — діяти угода про взаємну сертифікацію. НАТО експлуатує власну PKI зі своєю ієрархією центрів сертифікації; країни-члени також мають національні PKI, і взаємна сертифікація між PKI НАТО та національними PKI є передумовою безперешкодної автентифікації в коаліції. Місійні партнери, які не входять до ланцюга довіри PKI НАТО, потребують окремих домовленостей про взаємну сертифікацію; їх слід завершити до початку операції. Докладніше про те, як федеративна ідентифікація працює в коаліційних мережах, — у нашій статті про федеративну ідентифікацію в коаліційних мережах.

Після встановлення ідентичності рішення про доступ ухвалюють політики ABAC, які оцінюють атрибути користувача — громадянство, рівень допуску, призначену роль, операційне призначення, організаційну посаду — проти атрибутів ресурсу (рівень грифування, застереження, позначки можливості поширення) та ухвалюють рішення про надання або відмову в доступі. Перевага ABAC над моделями на основі ролей для CJTF у тому, що політику можна написати один раз у термінах комбінацій атрибутів і застосовувати динамічно до будь-якого ресурсу, заздалегідь не перелічуючи пари «користувач — ресурс». Правило на кшталт «до ресурсу з позначкою SECRET REL TO [набір партнерів] має доступ будь-який користувач, чиє громадянство належить до [набір партнерів] і чий допуск — SECRET або вищий», покриває необмежену кількість користувачів і ресурсів без ручного адміністрування.

Практичне впровадження ABAC у розгорнутому середовищі CJTF вимагає, щоб інформація про атрибути була точною й актуальною. Атрибути рівня допуску, ролі та призначення мають надходити з авторитетних національних каталогів або постачальників ідентифікації та оновлюватися під час змін у списках. Користувач, чий атрибут ролі не оновили після призначення на нову посаду, може зберігати доступ до ресурсів, яких нова роль не дозволяє, або втрачати доступ, якого нова роль потребує. Керування атрибутами — операційний процес, а не одноразове налаштування, і директорат зв'язку та інформаційних систем коаліції має володіти відображенням «списки — атрибути» й підтримувати його узгодженим із кадровими органами кожної країни-учасниці.

# Illustrative ABAC policy rule (XACML-style pseudocode)
Rule: "Access SECRET REL TO partner-set resources"
  Effect: Permit
  Condition:
    resource.classification == "SECRET"
    AND resource.releasability.contains(subject.nationality)
    AND subject.clearanceLevel IN ["SECRET", "TOP_SECRET"]
    AND subject.assignment.operationalStatus == "ACTIVE"
  ObligationOnPermit:
    log_access(subject.id, resource.id, decision="PERMIT", timestamp=now())
            

Уроки реальних розгортань CJTF

Патерни, що простежуються в послідовних операціях CJTF, виявляють повторювані режими відмов, які є архітектурними, а не випадковими. Розуміння цих режимів — найпряміший шлях уникнути тих самих проблем у новому розгортанні.

Приховування інформації — режим відмови з найбільшими операційними наслідками, і його послідовно фіксують у післяопераційних аналізах. Він виникає, коли національні контингенти відмовляються передавати дані в коаліційну мережу: політика розкриття інформації не врегульована, CDS не налаштований на відповідну DSA, або національні офіцери з розкриття застосовують надмірно обережне тлумачення, коли політика неоднозначна. Результат — спільна операційна картина коаліції помітно гірша за ту, що кожна окрема країна бачить у власній національній мережі, що погіршує здатність штабу планувати й керувати операціями. Запобігання — завершити узгодження DSA та налаштування політик CDS до початку операції, а не після, і провести перед-розгортальні тести, які перевіряють реальний потік даних, а не лише мережеву зв'язність. Прогалини в політиці, які виявляють лише тоді, коли операційні дані вже потекли, надзвичайно складно усунути під тиском часу.

Обмеження смуги пропускання — друга категорія відмов, і вона майже повсюдна в підрозділах, розгорнутих на передовій через тактичні супутникові канали. Трафік сучасних систем C2 — безперервні оновлення треків, багатошарові розвідувальні продукти, зображення високої роздільної здатності та відео в реальному часі з БпЛА — значно перевищує те, що здатні нести багато розгорнутих супутникових каналів. Режим відмови — поступова деградація: критичний за часом трафік C2 починає відчувати затримки, коли масові дані заповнюють доступну ємність, а коаліційна картина застаріває саме тоді, коли операційний темп зростає. Запобігання — поєднання примусового QoS (описано вище), стиснення даних на коаліційному шлюзі та свідомих рішень про те, які категорії даних допущені до місійної мережі та з якою частотою оновлення. Не все, що можна поділити, слід ділити; пріоритетне керування інформаційним простором — командне рішення, яке архітектура зв'язку та інформаційних систем має бути здатна реалізувати.

Вузькі місця CDS виникають, коли міждоменне рішення стає обмеженням пропускної здатності. Єдиний пристрій CDS, що обслуговує весь міждоменний трафік великої штаб-квартири CJTF, — типова початкова конфігурація в швидко зібраних операціях, — за зростання обсягів даних стає єдиною точкою відмови та вузьким місцем обробки. Типовий режим відмови — накопичення черги на CDS: вхідні розкриття з національних мереж очікують за пропускною здатністю перевірки CDS, вносячи затримку, яка для даних, критичних за часом (наприклад, оновлень повітряних треків), робить розкриті дані операційно застарілими до моменту їх появи в коаліційній мережі. Запобігання — розподілена архітектура CDS: кілька екземплярів CDS для різних функціональних потоків (розвідка, вогневе ураження, логістика, відстеження своїх військ) зі здатністю до перемикання між екземплярами. Це потребує більшої ємності CDS, але витрати виправдані операційним ризиком вузького місця в міждоменному шляху.

Рідше згадуваний, але практично значущий режим відмови — погіршення якості міток грифування протягом операції. На початку розгортання дисципліна маркування даних зазвичай найвища: системи налаштовані правильно, оператори навчені, дотримання перевіряють. Коли операція триває, а операційний темп змінюється, якість міток має тенденцію до спотворення: оператори застосовують загальні мітки замість конкретних позначок можливості поширення, автоматизовані системи генерують немарковані продукти, а винятки накопичуються. Наслідок — зростаючий обсяг даних, які CDS не може автоматично розкрити, бо мітка не відповідає політиці; це створює розгалужену чергу ручної перевірки та зменшує ефективне покриття автоматизації ROI. Підтримка якості міток потребує постійного операційного нагляду: періодичних аудитів шаблонів маркування, зворотного зв'язку з підрозділами-джерелами, чиї дані послідовно не проходять фільтр автоматичного розкриття, та інженерних засобів, що не дають немаркованим даним потрапити до ланцюга розподілу ще в системі-джерелі.