Основные типы межсетевых экранов

Концептуально системы firewall делятся на две категории:

• firewall сетевого уровня;

• firewall уровня приложений.

На практике системы обоих типов не так уж сильно отличаются друг от друга, к тому же современные технологии firewall еще больше стирают различия между ними, так что сложно сказать какая категория заведомо «лучше», а какая «хуже» для любой заданной задачи.

Firewall сетевого уровня принимает решение, опираясь на такие основные параметры, как адрес источника, адрес назначения и номера портов для каждого отдельного IP пакета. Примером традиционного firewall сетевого уровня может служить простой маршрутизатор, поскольку он не способен распознать, что данный пакет действительно означает в данном контексте или откуда на самом деле пакет пришел. Однако современные системы firewall сетевого уровня (например, маршрутизаторы фирмы Cisco) обладают все большей и большей степенью интеллекта, понимают протоколы более высокого уровня и способны отслеживать контекст соединений, проходящих через них. Самая важная черта firewall сетевого уровня – это то, что они маршрутизируют трафик, поэтому для их использования необходимо иметь блок официально зарегистрированных IP-адресов (такой блок, может быть, сложно получить). Firewall сетевого уровня обычно очень быстрые и прозрачные для пользователей.

Firewall уровня приложений – это обычно сервер с программой proxy (например, Socks proxy), запрещающий прямой трафик между сетями. Нередко термин proxy употребляют для обозначения именно firewall уровня приложений. Поскольку proxy является программным компонентом, это позволяет вести самый тщательный контроль доступа и протоколирование сессий пользователей. Firewall уровня приложений также очень часто содержат возможности для трансляции адресов из формата интранет в официальные адреса Интернет. При этом нескольким адресам интранет может соответствовать всего один адрес Интернет, таким образом, решая проблему регистрации больших блоков IP-адресов. Также многие продукты proxy позволяют кэшировать FTP и HTTP обращения наружу, снижая исходящий трафик и значительно ускоряя обращения (нередко в несколько раз – в случае больших организаций). Как правило, firewall уровня приложений менее прозрачен для пользователей, чем firewall сетевого уровня и требует дополнительных настроек клиентской части.

Безусловно, будущее firewall – за системами, которые будут представлять собой комбинацию обеих технологий. Опасайтесь, однако, гибридных (комплексных) firewall – систем, реализующих обе концепции защиты параллельно, а не последовательно. В этом случае надежность firewall определяется надежностью наименее стойкого компонента, что обычно приводит к неудовлетворительным результатам.

От чего защищает firewall

Говоря о безопасности в Интернете, важно отметить, что в наше время вопрос обеспечения безопасности не ограничивается только традиционной защитой секретной информации от неавторизованного доступа; очень важным является способность сервера работать 24 часа в сутки 7 дней в неделю. Атака извне может вызвать отказ сервиса (denial of service), например, за счет переполнения внутренних буферов сетевой операционной системы. Защита от таких атак является одной из функций firewall.

Обычно, правильно настроенный firewall способен защитить внутреннюю сеть от неавторизованного интерактивного доступа из Интернета. Поскольку firewall часто содержит функции для контроля и записи подробных протоколов сеансов связи, это помогает администратору вовремя получить предупреждение об атаке и отследить злоумышленника.

Сейчас находятся в экспериментальной стадии и скоро должны появиться на рынке продукты firewall, позволяющие проверять электронную «подпись» на Java-апплетах. Такой firewall содержит список тех электронных «подписей», которым организация доверяет. В момент загрузки апплета firewall сверяет «подписи», используя криптографические алгоритмы, и, основываясь на результате проверки, принимает решение блокировать апплет или пропустить.

Firewall не может защитить от атак, которые исходят изнутри организации: к сожалению, дискета или распечатка может быть использована с таким же успехом, чтобы похитить засекреченную информацию. Безграмотный пользователь или злоумышленник может передать информацию наружу по телефону или факсу.

Использование даже самой надежной системы firewall, неподкрепленное соответствующими административными мерами, – это все равно, что ставить дверь из нержавеющей стали на деревянный сарай.

Firewall не может защитить от вирусов и «троянских коней»: существует слишком много способов для упаковки и кодирования информации при пересылке. Чтобы обеспечить эффективную защиту от вирусов, необходим целый комплекс мер (как технических, так и административных), включая установку антивирусных программ на рабочие станции и файл-серверы, обучение сотрудников и выработку системы правил безопасности в офисе.