21. Средства сетевой защиты. Межсетевые экраны.

Многие организации принимают решение о включении своей локальной сети в Internet. Однако при этом возникает ряд проблем: как защитить локальную сеть от несанкционированного доступа, как скрыть информацию о структуре своей сети от внешнего пользователя, как разграничить права доступа внутренних пользователей, запрашивающих сервисы сети. Для решения задач защиты данных организации используют межсетевые экраны (FireWall, брандмауэры).

МЭ – это компьютер со специальным программным обеспечением, который препятствует несанкционированному доступу к информационным ресурсам предприятия, кроме того, МЭ защищает от поступления из внешней среды нежелательной информации без ведома пользователей.

Обычно МЭ функционирует на какой-либо UNIX-платформе, реже DOS, Windows NT. Как правило, в операционную систему, под управлением которой работает МЭ, вносят изменения, цель которых повысить защиту самого МЭ. Эти изменения затрагивают как ядро ОС, так и соответствующие файлы конфигурации. На МЭ не разрешается иметь разделов пользователей, может быть только раздел администратора.

Решение о том, что фильтровать с помощью МЭ, зависит от принятой в организации политики сетевой безопасности (ПСБ). ПСБ включает две составляющие:

- политика доступа к сетевым сервисам;

- политика реализации межсетевых экранов.

Политика доступа к сетевым сервисам обычно основана на одном из следующих принципов:

1.запретить доступ из Internet во внутреннюю сеть, но разрешить доступ из внутренней сети в Internet;

2.разрешить ограниченный доступ во внутреннюю сеть, обеспечивая работу только отдельных, «авторизованных» систем, например, почтовых серверов.

В соответствии с политикой реализации МЭ определяются правила доступа к ресурсам внутренней сети, которые основаны на одном из следующих принципов:

1.запрещать все, что не разрешено в явной форме;

2.разрешать все, что не запрещено в явной форме;

Реализация МЭ на основе первого принципа обеспечивает значительную защищенность, однако такие жесткие условия доставляют неудобства пользователям и реализация таких правил обходится довольно дорого. При реализации второго принципа внутренняя сеть оказывается менее защищенной, однако пользоваться ею более удобно и потребуется меньше затрат.

Основные типы межсетевых экранов

1. Фильтрующие маршрутизаторы представляет собой маршрутизатор или работающую на сервере программу, построенную таким образом, чтобы фильтровать входящие и выходящие пакеты. Фильтрация пакетов выполняется на основе информации в TCР и IP- заголовках пакетов. ФМ может фильтровать IP-пакеты на основе:

-IP- адрес отправителя; порт отправителя;

-IP- адрес получателя; порт получателя.

Порт – это программное понятие, которое используется клиентом или сервером для посылки или приема сообщений; порт обозначается 16-тибитовым числом.

МЭ с фильтрацией пакетов, работающий только на канальном уровне эталонной модели взаимодействия открытых систем, обычно проверяет только информацию в IP-заголовках пакетов. Поэтому обмануть его не сложно: нарушитель создает заголовок, который удовлетворяет разрешающим правилам фильтрации. Практика показывает, что подобный вид нападения, называемый подменой адреса, довольно широко распространен в Internet и часто оказывается эффективным.

+:-сравнительно невысокая стоимость;

-гибкость в определении правил фильтрации;

-небольшую задержку при прохождении пакетов.

–:-внутренняя сеть видна (маршрутизируется) из Internet;

-правила фильтрации трудны в описании и требуют очень хороших знаний технологий TCP и UDP;

-при нарушении работоспособности межсетевого экрана с фильтрацией пакетов все компьютеры за ним становятся полностью незащищенными или недоступными;

-аутентификацию с использованием IP-адреса можно обмануть путем подмены IР-адреса;

отсутствует аутентификация на пользовательском уровне.

2. Шлюзы сеансового уровня

Шлюз сеансового уровня по-другому называют системой трансляции сетевых адресов или шлюзом сетевого уровня модели OSI. Шлюз сеансового уровня принимает запрос доверенного клиента на конкретные услуги, и после проверки допустимости запрошенного сеанса устанавливает соединение с внешним хост-компьютером. После этого шлюз копирует ТСР-пакеты в обоих направлениях, не осуществляя их фильтрации. По окончании сеанса шлюз разрывает цепь, использованную в данном сеансе. Для копирования и перенаправления пакетов в шлюзах сеансового уровня применяются специальные приложения, которые называются канальными посредниками, поскольку они устанавливают между двумя сетями виртуальную цепь или канал, а затем разрешают пакетам, которые генерируются приложениями TCP/IP проходить по этому каналу.

Шлюз сеансового уровня выполняет еще одну важную функцию защиты: он используется в качестве сервера посредника. Сервер-посредник выполняет процедуру трансляции адресов, при которой происходит преобразование внутренних IP-адресов в единственный IP-адрес, т.е. IP-адрес сеансового шлюза становится единственно активным IP-адресом, который попадает во внешнюю сеть. Таким способом шлюз сеансового уровня и другие серверы-посредники защищают внутренние сети от нападения типа подмены адресов.

"–":не обеспечивается контроль и защита содержимого пакетов сообщений;

-не поддерживается аутентификация пользователей и конечных узлов.

3. Шлюзы прикладного уровня

Для проверки содержимого пакетов, формируемых определенными сетевыми службами типа Telnet, FЕP, МЭ используют дополнительные программные средства. Такие программные средства называются полномочными серверами-посредниками, а компьютер, на котором они выполняются – шлюзами прикладного уровня. ШПУ исключает прямое взаимодействие между авторизованным клиентом и внешним хост-компьютером. ШПУ фильтруют все входящие и исходящие пакеты на прикладном уровне. Например, они могут фильтровать FTP-соединения и запрещать прохождение команды PUT, что не позволит пользователям записывать информацию на анонимный FTP-сервер.

В дополнение к фильтрации пакетов многие ШПУ регистрируют все выполняемые сервером действия и предупреждают сетевого администратора о возможных нарушениях защиты.

"+":-невидимость структуры внутренней сети, т.к. ШПУ может быть единственной машиной, имя которой известно внешним системам;

-надежная аутентификация и регистрация, т.к. прикладной трафик может быть аутентифицировать, прежде чем он достигнет внутренних компьютеров, и может быть зарегистрирован более эффективно, чем с помощью стандартной регистрации через пароли;

-оптимальное соотношение между ценой и эффективностью;

-простые правила фильтрации;

-возможность организации большого числа проверок, что снижает вероятность взлома с использованием «дыр» в программном обеспечении.

"-": более низкая производительность и более высокая стоимость по сравнению с ФМ.

Для достижения более высокого уровня безопасности и гибкости ШПУ и ФМ могут быть объединены в одном комплексном межсетевом экране.