Защита сетей с помощью брандмауэра.

Брандмауэром называют специальный программно-аппаратный комплекс, обеспечивающий защиту локальной сети от вторжений из глобальной сети, например, Интернета, в точке их соединения. Брандмауэры – это важнейший компонент системы безопасности локальных сетей или отдельных компьютеров, подсоединенных к глобальной сети. Брандмауэры позволяют пропускать через сетевое подсоединение только авторизованный трафик, контролируя тем самым сетевое взаимодействие между компьютерами глобальной и локальной сети.

Например, брандмауэры позволяют управлять доступом сетевых пользователей к различным сетевым службам. Эта задача решается конфигурированием брандмауэра, при котором можно разрешать или блокировать доступ к отдельной службе локальной сети с помощью списков контроля доступа (ACL – Access Control List). Списки ACL предоставляют гибкие возможности управления доступом, поскольку с их помощью можно, скажем, разрешать доступ к отдельным службам и запрещать доступ ко всем остальным службам или, альтернативно, блокировать доступ к отдельным службам и разрешать доступ ко всем остальным службам. Администратор системы сам может выбрать наиболее удобный ему метод, ориентируясь на размер сети и число исполняемых служб.

Высокоразвитые брандмауэры позволяют выполнять очень точную настройку доступа к сетевым службам, предоставляя для этого удобный графический интерфейс. Хорошо настроенный брандмауэр не просто блокирует неавторизованные запросы со стороны внешних компьютеров, но и пытается идентифицировать авторов запроса вместе с немедленным уведомлением администратора системы о попытках таких запросов. Функции брандмауэра весьма обширны.

Маскирование сетевых адресов.

Брандмауэры позволяют маскировать IP-адреса компьютеров локальной сети с помощью операции, называемой трансляцией сетевых адресов. (NAT – Network Address translation).

Маскированные IP-адреса становятся невидимыми для внешних пользователей, которые, например, для отправки почтового сообщения внутреннему пользователю направляют его на почтовый шлюз, который переправляет его адресату.

Управление внутрисетевым трафиком.

Брандмауэры позволяют управлять сетевым трафиком, проходящим внутри локальной сети. С помощью брандмауэров можно разделить локальную сеть на домены безопасности – группы компьютеров с одним уровнем защищенности. На компьютерах наиболее защищенного домена следует хранить конфиденциальную информацию, например учетные записи пользователей, документы финансовой отчетности и сведения о текущей производственной деятельности и т.д.

Это тем более важно, если персонал организации потенциально может быть вовлечен в кражу конфиденциальных сведений (весьма распространенное явление). Разделение доступа пользователей к сетевым ресурсам разной степени секретности уже само по себе резко повышает уровень безопасности сети. Если к тому же настроить брандмауэр так, чтобы доступ к выделенному сетевому сегменту был максимально ограниченным, то можно в значительной степени обезопасить хранимую в сегменте информацию от раскрытия конфиденциальности.

Компоненты брандмауэра.

Брандмауэры отнюдь не являются чем-то единым и неделимым – они состоят из набора аппаратных и программных компонентов, в число которых входят следующие:

• Бастионный хост, представляющий собой компьютер, подсоединенный и к локальной, и к глобальной сети. На бастионном компьютере устанавливаются все прочие компоненты брандмауэра .Примером бастионного хоста является компьютер с двумя сетевыми платами, каждая из которых подсоединена к отдельной сети.

• Маршрутизатор с фильтрацией пакетов. Как вы знаете, обычный маршрутизатор просто пересылает поступающие IP-пакеты по указанному адресу. Маршрутизатор с фильтрацией пакетов выполняет дополнительную функцию проверки поступающих IP-пакетов. Маршрутизаторы с фильтрацией пакетов контролируют IP-адреса источника и получателя пакета, используемые протоколы, службы, порты и другую информацию, указанную в списке ACL.

• Шлюзы приложений (иногда называемые прикладными шлюзами), которые исполняются на бастионном хосте и ограничивают подсоединения к отдельным приложениям, например почтовым клиентам. Для этой цели используются службы-посредники, которые устанавливаются на шлюзе отдельно для каждого приложения, которому разрешено сетевое взаимодействие через брандмауэр. Только те сетевые службы, для которых установлены службы-посредники, могут получать и отправлять сетевой трафик через шлюзы приложений, причем службы-посредники можно настроить на разрешение доступа лишь к определенному, ограниченному набору средств приложения. Таким образом, шлюзы приложений значительно усиливают возможности создания такой политики безопасности, которая обеспечит аутентификацию сетевых пользователей и ведение журнала регистрации. Примером шлюза прикладного уровня является прокси-сервер, управляющий сетевым трафиком и выполняющий аутентификацию пользователей.

• Канальные шлюзы, связывающие сетевой компьютер с портами TCP/IP бастионного хоста. Такие шлюзы не выполняют никакой проверки сетевого трафика и используется для передачи исходящих сообщений от внутренних пользователей. При этом для входящих сообщений по-прежнему используются

• шлюзы приложений. Канальные шлюзы позволяют защитить сеть от вторжений и в то же самое время ускорить работу системы. Бастионный хост должен быть спроектирован так, чтобы он мог эффективно противостоять атакам хакеров. Для этого может быть применен целый набор технических приемов. Например, компьютер, реализующий бастионный хост, должен использовать защищенную версию операционной системы. Также на бастионном хосте следует устанавливать только существенно необходимые службы, поскольку при отсутствии службы ее нельзя использовать для проникновения в систему. Наиболее распространенным типом брандмауэра является маршрутизатор с фильтрацией пакетов, которые выполняют свои функции, опираясь на правила фильтрации пакетов.