16. Cписки контролю доступу acl

    1. Використання списків контролю доступу

       1. Фільтрація трафіку

Безпека в корпоративній мережі відіграє важливу роль. Важливо запобігти несанкціонованому доступу та захистити мережу від різного роду атак. У випадку несанкціонованого доступу зловмисники можуть змінити, знищити чи викрасти конфіденційні дані. DoS-атаки перешкоджають доступу легітимних користувачів до ресурсів.

Фільтрація трафіку дозволяє адміністратору контролювати трафік у різних сегментах мережі. Фільтрація являє собою процес аналізу вмісту пакету з метою дозволу або блокування його передачі.

Фільтрація пакетів може бути простою чи складною і може забороняти або дозволяти трафік за такими критеріями, як: вихідна ІP-адреса, ІP-адреса призначення, MAC-адреса; протокол, тип додатку.

Фільтрацію пакетів можна порівняти з фільтрацією небажаної електронної пошти. Багато поштових додатків дозволяють користувачу налаштовувати автоматичне видалення повідомлень, що приходять з визначеної вихідної адреси. Фільтрація пакетів може здійснюватися схожим чином шляхом налаштування маршрутизатора на визначення небажаного трафіку.

Фільтрація пакетів дозволяє підвищити продуктивність мережі. Завдяки відхиленню небажаного чи забороненого трафіку близько до його джерела, трафік не передається по мережі і не споживає ресурси.

Фільтрація пакетів, яку іноді називають статичною фільтрацією пакетів, контролює доступ до мережі шляхом аналізу вхідних і вихідних пакетів та їх передачі або блокування на основі встановлених критеріїв.

Маршрутизатор діє як фільтр пакетів, коли пересилає або забороняє передачу пакетів відповідно до правил фільтрації. Коли пакет прибуває на маршрутизатор, який здійснює фільтрацію пакетів, маршрутизатор аналізує певну інформацію із заголовку пакету та приймає рішення відповідно до правил фільтрації. Фільтрація пакетів здійснюється на мережевому рівні моделі OSI, або Інтернет-рівні моделі TCP/IP.

Маршрутизатор використовує правила, щоб визначити: передавати чи заборонити трафік залежно від IP-адрес джерела і призначення, порту джерела і порту призначення, протоколу пакету. Ці правила визначаються за допомогою списків контролю доступу, або ACL на основі:

• IP-адреси джерела;

• IP-адреси отримувача;

• типу ICMP повідомлення.

ACL може також проаналізувати інфомацію вищого рівня та співставити зі своїми правилами. Інформація вищого рівня включає в себе:

• TCP / UDP порт джерела;

• TCP / UDP порт призначення.

До пристроїв, що найчастіше використовуються для фільтрації трафіку, входять:

• міжмережеві екрани, вбудовані в інтегровані маршрутизатори;

• виділені пристрої забезпечення безпеки;

• сервери.

Деякі з них фільтрують тільки трафік, що виникає у внутрішній мережі. Більш досконалі пристрої безпеки здатні розпізнавати і фільтрувати відомі типи атак із зовнішніх джерел.

Корпоративні маршрутизатори здатні розпізнавати шкідливий трафік і запобігати його проникненню в мережу та порушенню працездатності мережі. Практично всі маршрутизатори виконують фільтрацію трафіку по вихідних і кінцевих ІP-адресах пакетів. Вони також фільтрують визначені додатки і протоколи, такі як ІP, TCP, HTTP, FTP, Telnet та ін.