2.3 Конфигурации установки межсетевых экранов

Помимо случая, когда МЭ представлен отдельной системой (фильтрующим маршрутизатором или шлюзом), возможны и более сложные конфигурации, которые чаще всего и используются в реальной практике. Чаще всего используются следующие три конфигурации МЭ.

1. МЭ с экранированным одноточечным бастионным узлом (рис.1). В этом случае МЭ состоит из двух систем: фильтрующего маршрутизатора и бастионного узла. Как правило, маршрутизатор при этом настраивается следующим образом: а) из потока данных из внешней сети во внутреннюю пропускаются только пакеты, предназначенные для бастионного узла б) из потока данных из внутренней сети во внешнюю пропускаются только пакеты, исходящие из бастионного узла. Бастионный узел выполняет задачи аутентификации и функции прокси-сервера. Нарушителю для вторжения во внутреннюю сеть приходится преодолевать защиту двух отдельных систем.

2. МЭ с экранированным двухточечным бастионным узлом (рис.2). Если в случае с одноточечным бастионом будет взломана защита фильтрующего маршрутизатора, поток данных может пойти из внешней сети прямо в узлы внутренней сети, минуя бастион. Конфигурация с двухточечным бастионом создана, чтобы физически исключить возможность появления такой бреши. Все преимущества системы с одноточечным бастионом при этом остаются в силе. В этом случае все узлы внутренней сети в принципе не могут быть подключены к внешней сети, минуя сетевой адаптер.

3. Брандмауэр с экранированной подсетью (рис.3). В этой конфигурации два фильтрующих маршрутизатора: один между бастионным узлом и глобальной сетью, второй – между бастионным узлом и внутренней сетью. Такая конфигурация создает изолированную подсеть, которая может состоять из одного бастионного узла, но может включать и другие узлы (согласно принятой политике безопасности). Такая изолированная подсеть называется еще демилитаризованной зоной (DMZ). Из всех рассмотренных вариантов такая конфигурация создает самую надежную защиту. Она предусматривает три уровня защиты от нарушителей. Внешний маршрутизатор объявляет в Интернет только о существовании одной экранированной подсети, внутренняя сеть остается невидимой. Точно так же внутренний маршрутизатор сообщает узлам внутренней сети только о существовании экранированной подсети, и внутренние узлы не имеют возможности прямого выхода в Интернет. В DMZ часто располагают серверы: FTP, SMTP, DNS.

Пример брандмауэра

Для организации серьезной профессиональной защиты специалисты рекомендуют межсетевой экран PIX Firewall 525 компании Cisco Systems. Это аппаратно-программный брандмауэр, реализованный как отдельное устройство. Устройство снабжено собственной операционной системой. Характеристики брандмауэра:

• Высокая производительность и пропускная способность до 170 Мб/с

• Возможность поддержки до 256 000 одновременных ТСР-соединений

• Объединение пакетного и прикладного шлюзов

• Простота и надежность в эксплуатации

• Возможность обеспечения качества услуг посредством протокола резервирования ресурсов

Данный вариант защиты обладает высокой эффективностью и достаточной безопасностью. Стоимость от 4500$.

Распределенные межсетевые экраны

Распределенные межсетевые экраны – это дополнительное программное обеспечение, распределенное по всем корпоративным серверам. Необходимость в них появилась в связи с тем, что при росте локальной сети производительность традиционного брандмауэра может стать «узким местом», ограничивающим скорость передачи данных. Кроме того, распределенные межсетевые экраны, как правило, обладают значительно меньшей стоимостью.

Технология распределенных экранов появилась недавно. Пример такого экрана – CyberwallPLUS. Эти межсетевые экраны обеспечивают дополнительный уровень защиты платформ под управлением Windows NT/2000. Существуют версии этого экрана для сервера и рабочей станции: CyberwallPLUS-SV и CyberwallPLUS-WS.

CyberwallPLUS-SV позволяет закрыть все неиспользуемые порты сервера. Он обеспечивает обнаружение известных типов атак, предотвращает DoS-атаки и сканирование портов.

Распределенные межсетевые экраны рекомендуется применять помимо основного, расположенного на бастионном хосте.

Сертификация межсетевых экранов

Для коммерческого применения межсетевой экран должен пройти сертификацию. Осуществляет это Международная ассоциация компьютерной безопасности. Список МЭ, сертифицированных этой организацией, можно найти по адресу: www.icsa.net.

В России сертификацию средств защиты осуществляет Гостехкомиссия при Президенте РФ. Существует руководящий документ Гостехкомиссии при Президенте РФ по межсетевым экранам. Он вышел в 1997 г. Его полный текст можно найти на узле www.infotecs.ru/gtc/RD_ekran.htm. В этом документе дана классификация МЭ в зависимости от степени обеспечиваемой ими защиты от несанкционированного доступа.

Согласно этому документу, устанавливается 5 классов защищенности МЭ: самый низкий 5, самый высокий 1. В Руководящем документе есть статьи, регламентирующие правила хранения секретной государственной информации. Например, информация с грифом «секретно» должна размещаться в сетях, защищенных МЭ с классом защиты не ниже 3, «совершенно секретно» - не ниже 2, «особой важности» - не ниже 1-го класса защиты.