8 Лекция (09.12.2024)
Классификация МЭ:
По функционированию на уровнях модели OSI:
пакетный фильтр (экранирующий маршрутизатор-screening router)
шлюз сеансового уровня (экранирующий транспорт)
прикладной шлюз (application gateway)
шлюз экспертного уровня (stateful inspection)
По используемой технологии:
контроль состояния протокола (stateful inspection-экспертный уровень)
на основе модулей посредников (proxy)
По исполнению:
аппаратный (в виде специализированного устройства, достоинством данного исполнения является простота ввода в эксплуатацию, за счет наличия типовых шаблонов настройки, а к недостаткам можно отнести меньшую по сравнению с программными аналогами масштабируемость и трудность обеспечения взаимодействия с программными продуктами сторонних фирм)
программно-аппаратный (в виде модуля к маршрутизатору или коммутатору, или специально выделенного сервера)
программный (в виде программного приложения или усеченной ОС, недостатком программного исполнение, является потребления ресурсов, а также уязвимость самих ОС).
По схеме подключения:
схема единой защиты сети
схема с защищаемым закрытым и не защищаемым открытым сегментами сети
схема с раздельной защитой закрытого и открытого сегментов сети.
По расположению в сети:
традиционные межсетевые экраны (используются для защиты корпоративных сетей)
персональные межсетевые экраны (контролируют весь входящий и исходящий трафик независимо от прочих системных защитных средств на персональном компьютере. При этом поддерживается доступность сетевых сервисов, уменьшается нагрузка, индуцированная внешней активностью)
Фильтрация трафика
Фильтрация информационных потоков состоит в их выборочном пропускании через экран, возможно, с выполнением некоторых преобразований и извещением отправителя о том, что его данным в пропуске отказано. Фильтрация осуществляется на основе набора правил, предварительно загруженных в экран и являющихся выражением сетевых аспектов принятой политики безопасности. Поэтому, межсетевой экран удобно представлять как последовательность фильтров (рис.2), обрабатывающих весь информационный поток.
Рис. 2 – Структура МЭ
Каждый из фильтров предназначен для интерпретации отдельных правил фильтрации путём выполнения следующих стадий:
Анализа информации по заданным в интерпретируемых правилах критериям, например, по адресам получателя и отправителя или по типу приложения, для которого эта информация предназначена.
Принятия на основе интерпретируемых правил одного из следующих решений:
не пропустить данные
обработать данные от имени получателя и возвратить результат отправителю
передать данные на следующий фильтр для продолжения анализа
пропустить данные, игнорируя следующие фильтры
Правила фильтрации могут задавать и дополнительные действия, которые относятся к функциям посредничества, например, преобразование данных, регистрация событий и др. Правила фильтрации определяют перечень условий, по которым с использованием указанных критериев анализа осуществляется:
разрешение или запрещение дальнейшей передачи данных
выполнение дополнительных защитных функций
В качестве критериев анализа информационного потока могут использоваться следующие параметры:
служебные поля пакетов сообщений, содержащие сетевые адреса, идентификаторы, адреса интерфейсов, номера портов и другие значимые данные
непосредственное содержимое пакетов сообщений, проверяемое, например, на наличие компьютерных вирусов
внешние характеристики потока информации, например, временные, частотные характеристики, объем данных и т. д.
Используемые критерии анализа зависят от уровней модели OSI, на которых осуществляется фильтрация. В общем случае, чем выше уровень модели OSI, на котором брандмауэр фильтрует пакеты, тем выше и обеспечиваемый им уровень защиты.