4.7.2. Хост, підключений до двох сегментів мережі

4.7.2.1. Хост, підключений до двох сегментів мережі - це такий хост, який має більше одного інтерфейсу з мережею, причому кожний інтерфейс з мережею підключений фізично до окремого сегмента мережі. Найпоширенішим прикладом є хост, підключений до двох сегментів.

4.7.2.2. Брандмауер на основі хоста, підключеного до двох сегментів мережі – це брандмауер з двома мережними платами, кожна з яких підключена до окремої мережі. Наприклад, одна мережна плата з’єднана із зовнішньою або небезпечною мережа, а інша – з внутрішньою або безпечною мережа. В цій конфігурації ключовим принципом забезпечення безпеки є заборона прямої маршрутизації трафика з недовіреної мережа в довірену – брандмауер завжди повинен бути при цьому проміжною ланкою.

4.7.3. Екранований хост

4.7.3.1. При архітектурі типу екранований хост використовується хост (званий хостом-бастіоном), з яким може встановити з'єднання будь-який зовнішній хост, але заборонений доступ всім іншим внутрішнім, менш безпечним хостам. Для цього фільтруючий маршрутизатор конфігурується так, що всі з'єднання з внутрішньою мережею із зовнішніх мереж прямують до хосту-бастіону.

4.7.3.2. Якщо встановлений шлюз з пакетною фільтрацією, то хост-бастіон повинен бути конфігурований так, щоб всі з'єднання із зовнішніх мереж проходили через нього, щоб запобігти прямому з'єднанню між мережею організації і Інтернетом.

4.7.4. Екранована підмережа

4.7.4.1. Архітектура екранованої мережі по суті співпадає з архітектурою екранованого хоста, але додає ще одну лінію захисту, за допомогою створення мережі, в якій знаходиться хост-бастіон, відокремленій від внутрішньої мережі.

4.7.4.2. Екранована підмережа повинна впроваджуватися за допомогою додавання мережі-периметра для того, щоб відділити внутрішню мережу від зовнішньої. Це гарантує, що навіть при успіху атаки на хост-бастіон, атакуючий не зможе пройти далі мережі-периметру через те, що між внутрішньою мережею і мережею-периметром знаходиться ще один екрануючий маршрутизатор.

4.7.5. Інтранет

4.7.5.1. У великих організаціях брандмауери часто використовуються для створення різних підмереж в мережі, часто званій Інтранетом. Брандмауери в Інтранеті розміщуються для ізоляції окремої підмережі від решти корпоративної мережі.. Прикладом може бути брандмауер для плново-виробничого відділу або бухгалтерії в організації.

4.7.5.2. Для всіх систем організації, на яких розміщені критичні додатки або які надають доступ до критичної або конфіденційної інформації, повинні використовуватися внутрішні брандмауери і фільтруючі маршрутизатори для забезпечення строгого управління доступом і аудитування. Ці засоби захисту повинні використовуватися для розділення внутрішньої мережі організації для реалізації політик управління доступом, розроблених власниками інформації (або відповідальними за неї).

4.7.6. Адміністрування брандмауера

4.7.6.1. Для управління брандмауером відповідальним, за інформаційну безпеку в організації повинно бути призначено двох адміністраторів брандмауера (основний і заступник) і вони повинні відповідати за працездатність брандмауера.

4.7.6.2. Основний адміністратор повинен проводити зміни в конфігурації брандмауера, а його заступник повинен проводити будь-які дії тільки у відсутність основного, щоб не виникало суперечливих установок.

4.7.6.3. Кожний адміністратор брандмауера повинен повідомити свій домашній телефонний номер, номер пейджера, стільникового телефону або іншу інформацію, необхідну для того, щоб зв'язатися з ним у будь-який час. Інформація про кожного адміністратора повинна бути представлена обов'язково письмово, щоб можна було швидко зв'язатися з ними при виникненні проблем.