6.4. Антиспуфинг

Программа ViPNet Office Firewall обладает возможностями антиспуфинга, т.е. блокирования входящих IP-пакетов с запрещенным на данном сетевом интерфейсе IP-адресом отправителя.

IP-пакеты сначала проходят через механизм антиспуфинга, а затем уже попадают на обработку правилами фильтрации пакетов и правилами режимов.

Правила антиспуфинга позволяют задать для каждого сетевого интерфейса диапазоны IP- адресов, пакеты от которых допустимы на данном интерфейсе. При этом пакеты, которые не попадают в допустимый диапазон, будут блокироваться. Как видно из названия, основная задача антиспуфинга – это защита от так называемого «спуфинга», одного из видов сетевых атак. При спуфинге злоумышленник посылает какому-либо компьютеру пакет, в котором в качестве адреса отправителя указан не его собственный адрес, а какой-либо другой, который разрешен на данном МЭ. Например, таким образом можно послать пакет из Интернета через МЭ, задав в качестве адреса отправителя адрес частной внутренней сети, которая также подключена к данному МЭ. Правила антиспуфинга позволяют исключить такую возможность.

Т.о. для обеспечения лучшей безопасности сети рекомендуется, чтобы на Office Firewall были активизированы средства антиспуфинга. По умолчанию антиспуфинг выключен.

6.3.-6.8 Режимы безопасности сетевых интерфейсов

Правила, в соответствии с которыми производится фильтрация трафика, задаются пользователем в окне Сетевые фильтры.

Транзитный трафик, который не попал под действие ни одного из заданных в окне Сетевые фильтры фильтров, всегда блокируется.

Для локального трафика, для которого не определены правила фильтрации в окне Сетевые фильтры, можно определить правила выбором режима (2 или 3 режим) на некотором интерфейсе.

Кроме того выбором режима на интерфейсе можно независимо от фильтров блокировать весь трафик (1 режим) или пропустить весь локальный трафик (4 режим).

С учетом сказанного возможны следующие режимы работы: ·

• 1 режим (Блокировать IP-пакеты всех соединений) блокирует на сетевом интерфейсе все IP-пакеты.

• 2 и 3 режимы действуют только на локальный и широковещательный трафик и определяют действие – запретить или разрешить создание соединений, правила обработки которых, не заданы в локальных и широковещательных фильтрах:

• 2 режим (Блокировать все соединения кроме разрешенных) блокирует создание любых таких соединений (установлен по умолчанию).

• 3 режим (Пропускать все исходящие соединения кроме запрещенных) пропускает исходящие и блокирует входящие соединения.

• 4 режим (Пропускать все соединения) также действует только на локальный трафик. Это тестовый режим, в котором разрешается создание любых локальных соединений. Компьютер в этом режиме открыт для несанкционированного доступа, в связи с чем этот режим может использоваться только для кратковременного включения.

• 5 режим (Пропускать IP-пакеты на всех интерфейсах без обработки) на всех интерфейсах прекращает обработку трафика модулем ViPNet. Прекращаются любая фильтрация трафика, трансляция IP-адресов. Информация в канале, компьютер и защищаемые сети в этом режиме открыты для несанкционированного доступа. В связи с чем этот режим также может использоваться только для кратковременного тестового включения.

С целью исключения снижения уровня безопасности МЭ, обслуживающего локальную сеть, следует избегать установки на МЭ любых служб, особенно серверов, требующих взаимодействия с сетевыми ресурсами, как локальных, так и внешних сетей.

При выполнении данной рекомендации целесообразно: ·

• на всех интерфейсах МЭ устанавливать 2-й режим, который задан по умолчанию, ·

• не добавлять никаких локальных и широковещательных фильтров, ·

• при необходимости, следует задать фильтры в разделе Транзитных фильтров для разрешения создания транзитных соединений в нужном направлении для требуемых типов трафика между сетями за разными интерфейсами МЭ.

Если все же требуется взаимодействие МЭ с некоторыми службами в сети, то в локальных фильтрах следует стремиться задавать только фильтры для исходящих соединений для конкретных протоколов с конкретными IP-адресами.

Настройки режимов безопасности производятся в окне Свойства сетевых интерфейсов на вкладке Режим . Для вызова окна Свойства сетевых интерфейсов выберите сетевой интерфейс в окне Сетевые интерфейсы и воспользуйтесь пунктом главного меню Действия -> Сетевые интерфейсы (или контекстным меню Свойства…).

По умолчанию на всех интерфейсах установлен 2-й режим.

Для изменения режима безопасности выберете в списке Режим интерфейса нужный режим.

Для отключения обработки трафика (открытого и закрытого) модулем ViPNet установите флажок в опции Пропускать IP-пакеты на всех интерфейсах без обработки.

Во всех режимах (кроме последнего – Режим №5 Пропускать IP-пакеты на всех интерфейсах без обработки) МЭ осуществляет мониторинг трафика и отражает информацию о соединениях в соответствующих журналах IP-пакетов.

Замечание: Если на компьютере установлена ОС Windows XP (SP 2 и выше), то при включении на внешних интерфейсах 4 или 5 режима Windows Security Center1 (если не отключены настройки оповещения) сообщит об отключении ViPNet Firewall (т.е. защиты компьютера программным обеспечением ViPNet).