8.9.6 Проблемы безопасности доступа

Так же как неисправные сегменты сети или отказавшее оборудование могут помешать IP-пакетам дойти до узла на значения, помешать соединению могут также конфигурации маршрутизатора или сервера. Часто в целях защиты от не санкционированного доступа службы администратора системы устанавливают множество фильтров или фаэрволов [8, 28], чтобы предотвратить возможность подключения к сети неавторизованных пользователей. Эти средства безопасности могут также мешать и зарегистрированному пользователю получать доступ к сети. Рассмотрим эти ситуации.

Фильтрование маршрутизатором. Ряд современных маршрутизаторов обладает возможностями фильтрации. Эти фильтры могут быть основаны на IP-адресах или на протоколах более высокого уровня и портах сервисов. Фильтрование маршрутизатором вероятно стоит на первом месте из всех средств контроля НСД в сети. Однако важно отметить, что они не используются для замены компьютерных или прикладных средств контроля безопасности.

Наиболее частая ошибка в установке фильтров — это не полное понимание иерархии фильтров и битового маскирования, что часто бывает необходимо. Правильно сконфигурированные и протестированные фильтры предназначены для того, чтобы обойти разрушение сетевых сервисов.

Утилиты Traceroute и Ping — это достаточно эффективные средства, чтобы определить, включено ли фильтрование в целях безопасности на маршрутизаторах или нет. Утилита Traceroute покажет, отбрасывает (отвергает) ли маршрутизатор IP-пакеты. Утилита Ping удобна для рассылки IP-пакетов на разные интерфейсы маршрутизатора, чтобы определить на ка ких из них включены фильтры.

Часто контроль безопасности в результате ничего не запрещает неавторизованным пользователям. Такие утилиты, как Ping и Traceroute, являются эффективными методами тестирования фильтрования на IP-уровне в маршрутизаторах и позволяют удостовериться, что установленный контроль безопасности корректен.

Фильтрование на сервере. Так же как и маршрутизаторы, многие серверы, особенно серверы UNIX, могут фильтровать пакеты. Контроль доступа к данным в комбинации с другими методами контроля может эффективно отслеживать, кто подключился к системе и к каким именно приложениям он подключился.

Фильтрование по IP-адресу. Фильтры по адресу предоставляют список, показывающий, какие хосты или какие IP-сети разрешены для доступа. В этих списках, кроме того, можно отмечать, какие сетевые приложения разрешены, например, FTP. Так же как и в специализированных маршрутизаторах, наиболее распространенные ошибки возникают из-за отсутствия понимания, как правильно настроить фильтры.

Вход в систему или защита паролем. После того как IP-пакет пришел и был передан для обработки сетевой операционной системе, ОС запрашивает пароль или использует некоторые другие варианты авторизации и аутентификации пользователей (см. главу 6) до того, как будет предоставлен доступ. Фактически многие приложения, в свою очередь, предлагают похожую защиту с помощью пароля.

Многие сетевые операционные системы и системы управления разрешают администраторам блокировать пользователей, вводивших 2 и более раз подряд неверный пароль. Важно правильно поставить в NMS низкий уровень для сообщений о тревоге, чтобы администратор системы мог быстро обнаружить попытку взлома пользователя. Прежде чем подозревать умышленное нарушение правил, необходимо убедиться, что пользователь не испытывает проблем входа в систему, что пользователь действителен и не заблокирован.