40. Назначения и функции компьютера бастиона.

Компьютеры-бастионы - это защищенные общедоступные компьютеры, расположенные на внешней стороне демилитаризованной зоны организации. Эта зона также известна как промежуточная подсеть. Чтобы свести к минимуму вероятность взлома, узлы-бастионы необходимо тщательно проектировать и настраивать.

Такие узлы часто используются как веб-серверы, DNS-серверы, FTP-серверы, SMTP-серверы и NNTP-серверы. Рекомендуется назначать узлам-бастионам только одну из указанных функций. Чем больше функций выполняет сервер, тем больше вероятность оставить незамеченным слабое место в системе безопасности. Обеспечить защиту одной службы на одном узле-бастионе проще, чем если таких служб несколько. Сетевая архитектура с несколькими узлами-бастионами предоставляет организациям дополнительные преимущества.

41. Понятие и назначение изолированного компьютера

Компьютер называется изолированным, если выполнены следующие условия:

• в нем установлена система BIOS, не содержащая программных закладок;

• операционная система проверена на наличие в ней закладок;

•  достоверно установлена неизменность BIOS и операционной системы для данного сеанса;

• на компьютере не запускалось и не запускается никаких иных программ, кроме уже прошедших проверку;

• исключен запуск проверенных программ в каких-либо иных условиях. кроме перечисленных выше, т. е. вне изолированного компьютера.

Для определения степени изолированности компьютера может использоваться модель ступенчатого контроля. Сначала проверяется, нет ли изменений в BIOS. Затем, если все в порядке, считывается загрузочный сектор диска и драйверы операционной системы, которые, в свою очередь, также анализируются на предмет внесения в них несанкционированных изменений. И наконец, с помощью операционной системы запускается драйвер контроля вызовов программ, который следит за тем, чтобы в компьютере запускались только проверенные программы.

Такой компьютер необходим в системах управления, где нарушение работоспособности системы недопустимо (например, атомная электростанция).

42. Экранирующий маршрутизатор

Экранирующие маршрутизаторы (и концентраторы) имеют дело с отдельными пакетами данных, поэтому иногда их называют пакетными фильтрами. Решения о том, пропустить или задержать данные, принимаются для каждого пакета независимо, на основании анализа адресов и других полей заголовков сетевого (канального) и, быть может, транспортного уровней. Еще один важный компонент анализируемой информации – порт, через который поступил пакет.

Экранирующие концентраторы являются средством не столько разграничения доступа, сколько оптимизации работы локальной сети за счет организации так называемых виртуальных локальных сетей. Последние можно считать важным результатом применения внутреннего межсетевого экранирования.

Современные маршрутизаторы позволяют связывать с каждым портом несколько десятков правил и фильтровать пакеты как на входе, так и на выходе. В принципе, в качестве пакетного фильтра может использоваться и универсальный компьютер, снабженный несколькими сетевыми картами.

Основные достоинства экранирующих маршрутизаторов – доступная цена (на границе сетей маршрутизатор нужен практически всегда, вопрос лишь в том, как задействовать его экранирующие возможности) и прозрачность для более высоких уровней модели OSI. Основной недостаток – ограниченность анализируемой информации и, как следствие, относительная слабость обеспечиваемой защиты.