Средства обеспечения сетевой защиты: межсетевые экраны, системы обнаружения атак, системы анализа защищенности. (Леонов).
Многие организации принимают решение о включении своей локальной сети в Internet. Однако при этом возникает ряд проблем: как защитить локальную сеть от несанкционированного доступа, как скрыть информацию о структуре своей сети от внешнего пользователя, как разграничить права доступа внутренних пользователей, запрашивающих сервисы сети. Для решения задач защиты данных организации используют межсетевые экраны (FireWall, брандмауэры).
МЭ – это компьютер со специальным программным обеспечением, который препятствует несанкционированному доступу к информационным ресурсам предприятия, кроме того, МЭ защищает от поступления из внешней среды нежелательной информации без ведома пользователей.
Основные типы межсетевых экранов
1. Фильтрующие маршрутизаторы: представляет собой маршрутизатор или работающую на сервере программу, построенную таким образом, чтобы фильтровать входящие и выходящие пакеты. Фильтрация пакетов выполняется на основе информации в TCР иIP- заголовках пакетов.
2. Шлюзы сеансового уровня
3. Шлюзы прикладного уровня: Например, они могут фильтровать FTP-соединения и запрещать прохождение команды PUT, что не позволит пользователям записывать информацию на анонимный FTP-сервер.
Основные схемы сетевой защиты на базе межсетевых экранов
При подключении корпоративной или локальной сети к глобальным сетям администратор сетевой безопасности должен решить следующие задачи:
защита локальной сети от НСД со стороны внешней сети;
скрытие информации о структуре внутренней сети и ее компонентов от пользователей внешн сети;
разграничение доступа в защищаемую сеть из внешней сети и из внутренней сети во внешнюю.
Часто у организации возникает потребность иметь в составе внутренней сети несколько сегментов с разными уровнями защищенности:
свободно доступные сегменты (например, рекламный WWW-сервер);
сегмент с ограниченным доступом (например, для доступа сотрудникам организации с удаленных узлов);
закрытые сегменты (например, финансовая локальная сеть организации).
1. Межсетевой экран - Фильтрующий маршрутизатор
Это самый распространенный и наиболее простой способ организации МЭ. Фильтрующий маршрутизатор располагается между защищаемой сетью и Internet. ФМ сконфигурирован для блокирования или фильтрации входящих/исходящих пакетов на основе анализа их адресов и портов. Компьютеры, находящиеся в защищаемой сети, имеют прямой доступ с Internet, в то время как большая часть доступа к ним извне, блокируется.
Фильтрующий
маршрутизатор
Локальная сеть
2. Межсетевой экран с прикладным шлюзом и фильтрующим маршрутизатором.
Между ШПУи ФМ образуется внутренняя экранированная подсеть. Эту подсеть можно использовать для размещения доступных извне информационных серверов.В этой схеме ШПУ полностью блокирует трафик IP между Internetи защищаемой сетью. Только полномочные сервера-посредники,размещенные на ШПУ, могут предоставлять услуги и доступ пользователям. Данный вариант межсетевого экрана реализует политику безопасности по принципу «запрещено все, что не разрешено в явном виде», при этом пользователю недоступны все службы, кроме тех, для которых определены соответствующие полномочия. Такая схема обеспечивает высокий уровень безопасности, поскольку маршруты к защищенной подсети известны только межсетевому экрану и скрыты от внешних систем.
Информационный
сервер
Локальная сеть
ФМ
Прикладной шлюз
Межсетевой экран на основе экранированного шлюза
В этой схеме первичная безопасность обеспечивается ФМ. Пакетная фильтрация в ФМ может быть реализована одним из следующих способов:
позволять внутренним компьютерам открывать соединения с внешними компьютерами в сети Internet для определенных сервисов (разрешая доступ к ним средствами пакетной реализации);
запрещать все соединения от внутренних компьютеров (заставляя их использовать полномочные серверы-посредники на прикладном шлюзе).
Межсетевой экран – экранированная подсеть
Для создания экранированной подсети используются два экранирующих маршрутизатора.
Информационный
сервер
ФМ
ФМ
Локальная сеть
Прикладной шлюз
Экранированная
подсеть
Сервер электронной
почты