9.5. Брандмауэры

Брандмауэр можно определить как набор аппаратно-программных средств, предназначенных для предотвращения доступа в сеть извне и за контролем над данными, поступающими в сеть и исходящими из нее. Брандмауэры получили всеобще признание с начала 1990-х годов, что связанно, в основном, с быстрым развитием сети Internet. Начиная с этого времени, разработано и используется на практике большое количество продуктов, называемых брандмауэрами. Брандмауэры могут защищать корпоративную сеть от НСД из Internet или из другой корпоративной сети.

Брандмауэр устанавливается на границе защищаемой сети, и фильтрует все входящие и исходящие данные, пропуская только разрешенные пакеты и предотвращая попытки проникновения в сеть. Правильно настроенный брандмауэр пропустит (или не пропустит) конкретный пакет и позволит (или не позволит) организовать конкретный сеанс связи в соответствии с установленными правилами. Для эффективной работы брандмауэров важно соблюдение трех условий:

• весь трафик должен проходить через одну точку;

• брандмауэр должен контролировать и регистрировать весь проходящий трафик;

• сам брандмауэр должен быть неприступен для внешних атак;

Если рассматривать работу брандмауэра по отношению к модели OSI, то их условно можно разделить на следующие категории:

• брандмауэры с фильтрацией пакетов (packet-filtering firewall);

• шлюзы сеансового уровня (circuit-level gateway);

• шлюзы прикладного уровня (application-level gateway);

• брандмауэры экспертного уровня (stateful inspection firewall).

Наибольшее распространение получили брандмауэры с фильтрацией пакетов, реализованные на маршрутизаторах, и сконфигурированные таким образом, чтобы фильтровать входящие и исходящие пакеты.

Фильтры пакетов просматривают поля поступающих IP-пакетов, а затем пропускают или удаляют их в зависимости, например, от IP-адресов отправителя и получателя, номеров портов отправителя и получателя протоколов TCP и UDP и других параметров. Фильтры сравнивают полученную информацию со списком правил фильтрации для принятия решения о разрешении или запрещении передачи пакетов. Список правил фильтрации содержит разрешенные IP-адреса, типы протоколов, номера портов отправителей и номера портов получателей. Фильтр пакетов проверяет только заголовок пакета, но не данные внутри него.

Технология фильтрации пакетов является самым «дешевым» способом реализации брандмауэра. Такой брандмауэр может проверять пакеты различных протоколов, причем с большой скоростью, так как он просто просматривает информацию о пакете (заголовок пакета), что бы принять решение о дальнейшей судьбе. Фильтр анализирует пакеты на сетевом уровне и не зависит от используемого приложения. Именно эта «свобода» обеспечивает хорошую производительность.

К недостаткам такого брандмауэра можно отнести возможность идентификации пакетов при имитации IP-адресов и невозможность слежения за конкретным сетевым адресом.

Имитация означает, что если воспользоваться IP-адресом законного пользователя, то можно беспрепятственно проникнуть в защищаемую сеть и получить доступ к ее ресурсам. Фильтр пакетов пропустит этот пакет в сеть вне зависимости от того, откуда инициирован сеанс и кто скрывается за адресом. Существует усовершенствованная версия фильтрации пакетов, которая называется динамической фильтрацией пакетов. При этом анализируется адрес, с которого производится попытка доступа (возможно, затем она будет признана несанкционированной), и производится ping по этому адресу для его проверки. Как легко понять, если внутренний IP-адрес используется извне, то ping не достигнет отправителя пакета. В этом случае попытка доступа будет отвергнута, и сеанс будет установлен. В настоящее время фильтры пакетов заняли достаточно заметное место в системе безопасности сети. Они мало подходят для защиты внешней сети. Но из-за того, что такие фильтры обеспечивают высокую производительность и имеют низкую цену, они хорошо подходят для обеспечения безопасности внутри сети. Организация с их помощью может разбить сеть на сегменты и установить брандмауэр в каждом из сегментов, отделив, таким образом, например, бухгалтерию от отдела продаж.