Билет 23

1.В чем суть политики безопасности магистрального уровня сетевой системы? Как используется список доступа для реализации политики безопасности уровня распределения? Приведите пример средств защиты сетевой безопасности на уровне доступа.

Применение политики безопасности на магистральном уровне увеличивает задержку в сети, а оборудование и программное обеспечение магистрального уровня должно пере давать пакеты настолько быстро, насколько это возможно. По этому администратор системы должен стараться реализовывать политику безопасности на более низких уровнях — уровне доступа и уровне распределения. А магистральный уровень должен полагаться на политику безопасности и фильтрования этих уровней. Например, компания Cisco рекомендует, чтобы политика безопасности магистрального уровня касалась только функций качества обслуживания (QoS), которые меньше всего за действуют процессор коммутатора. Такой подход гарантирует заданный уровень обслуживания для конкретного соединения и предотвращает перегрузку сети.

На уровне распределения политика безопасности сети реализуется с помощью следующих средств: —списков доступа; —ограничения доступа через управляющие программы эмуляции терминала (Telnet, SSH, HyperTerminal) к управляющей консоли устройства; —конфигурирования пользователей и паролей на физических устройствах; —ограничения доступа к средствам ОС коммутаторов с помощью уровней привилегий; —обеспечения безопасности доступа к порту коммутатора. Последние четыре способа могут быть реализованы на уровне распределения и на уровне доступа. Более подробно рассмотрим их реализацию именно на уровне доступа, где они применяются чаще всего.

Список доступа — это список условий, задаваемый средствами ОС сетевого устройства, которые управляют доступом к коммутатору или маршрутизатору. Списки доступа для про токолов IP, AppleTalk или IPX управляют доступом к различ ным сегментам сети. После того как список доступа создан, он может применяться на входящем или исходящем интерфейсе. Все, что не включено в список, — запрещено.

Список доступа обрабатывается в порядке его задания. Как только найдено совпадение, обработка списка прекращается.

Конфигурирование пользователей и паролей на физических устройствах. Пароли должны быть заданы для персонала служб администратора системы при любом способе доступа к коммутатору — через управляющую консоль или через эмуляторы консоли. Пароли должны быть зашифрованы средствами ОС коммутатора.

Ограничение доступа через программы эмуляции терминала (Telnet, SSH, HyperTerminal). Администратор системы должен задать тайм-аут для работы в этих продуктах. Операционная система коммутатора, не получая ввод символов от администратора в течение установленного времени, закрывает сессию и «выкидывает» пользователя администратора.

Ограничение доступа к средствам ОС коммутаторов с помощью уровней привилегий. Уровни привилегий могут быть назначены, чтобы разграничить функции администраторов системы. При этом АС должен дать кому-то из группы администраторов системный уровень для полного доступа к командам коммутатора с возможностью изменения кон фигурации и параметров. Другие лица получают пользовательский уровень с возможностью выполнять ограниченное подмножество команд, которое не включает команды изменения конфигурации или функций отладки.

Обеспечение безопасности порта подразумевает ограничение прав доступа к порту коммутатора (Port Based Network Access Control) и означает идентификацию пользователя и контроль доступа устройства к порту коммутатора на уровне доступа. Пользователь получает доступ к ресурсам сети, если проходит процесс идентификации.