16.3.3 Резервное копирование, обновление и установка исправлений
Актуальные обновления в соответствии с новейшими разработками обеспечивают более эффективную защиту от сетевых атак. По мере появления новых вредоносных программ предприятиям рекомендуется постоянно следить за обновлением антивирусного программного обеспечения до последних версий.
Наиболее действенный метод минимизации последствий атаки вируса-червя — загрузить обновления для системы безопасности с сайта поставщика операционной системы и установить соответствующие обновления на все уязвимые копии систем. Управление несколькими системами включает в себя создание образа стандартного программного обеспечения (операционные системы и подтвержденные приложения, авторизованные для использования в клиентских системах), развертывание которых выполняется в новых или обновленных системах. Тем не менее, требования к безопасности меняются, и для развернутых систем может потребоваться установка обновленных исправлений безопасности.
Одно из решений для управления критически важными исправлениями безопасности заключается в том, чтобы убедиться, что все конечные системы автоматически загружают обновления, как показано на рисунке для Windows 10. Исправления безопасности загружаются и устанавливаются автоматически без вмешательства пользователя.
16.3.4 Аутентификация, авторизация и учет
Все сетевые устройства должны быть надежно настроены для предоставления доступа только авторизованным лицам. Такие службы по обеспечению сетевой безопасности, как аутентификация, авторизация и учет (Authentication, authorization, and accounting, ААА), являются базовой инфраструктурой, которая устанавливает средства контроля доступа на каком-либо сетевом устройстве.
Сочетание служб аутентификации, авторизации и учета — это метод, позволяющий контролировать вход разрешенных пользователей (аутентификация), какие действия они могут выполнять, находясь в сети (авторизация), а также следить за их действиями во время доступа к сети (учет).
Концепция служб аутентификации, авторизации и учета (AAA) похожа на использование кредитной карты. Кредитная карта определяет, кто может ею пользоваться, какую сумму можно потратить, а также ведет учет товаров, на которые пользователь тратит деньги, как показано на рисунке.
16.3.5 Межсетевые экраны
Межсетевой экран — одно из наиболее эффективных средств безопасности для защиты пользователей сети от внешних угроз. Межсетевой экран защищает компьютеры и сети, предотвращая нежелательный трафик при входе в внутренние сети.
Межсетевой экран ставится между двумя (или более) сетями и контролирует трафик между ними, а также позволяет предотвратить несанкционированный доступ. Например, в верхней топологии на рис. 1 показано, как межсетевой экран разрешает трафик от хоста внутренней сети, чтобы выйти из сети и вернуться во внутреннюю сеть. В нижней топологии показано, как трафик, инициированный внешней сетью (например, Интернет), получает доступ к внутренней сети.
Принцип работы межсетевого экрана
Брандмауэр позволяет внешним пользователям контролировать доступ к определенным службам. Например, серверы, доступные внешним пользователям, обычно размещаются в специальной сети, которая называется демилитаризованной зоной (DMZ), как показано на рисунке. DMZ позволяет сетевому администратору применять определенные политики для хостов, подключенных к этой сети.
Топология брандмауэра с DMZ
