- •Политика безопасности брандмауэров
- •1. Основы и цель
- •2. Аутентификация
- •3. Анализ возможностей маршрутизации и прокси-серверов
- •3.1. Маршрутизация источника
- •4. Типы брандмауэров
- •4.1 Шлюзы с фильтрацией пакетов
- •4.2. Прикладные шлюзы
- •4.3. Гибридные или сложные шлюзы
- •4.4. Рейтинг
- •5. Архитектуры брандмауэра
- •5.1. Хост, подключенный к двум сегментам сети
- •5.2. Экранированный хост
- •5.3. Экранированная подсеть
- •6. Интранет
- •7. Администрирование брандмауэра
- •7.1. Квалификация администратора брандмауэра
- •7.2. Удаленное администрирование брандмауэра
- •8. Доверительные взаимосвязи в сети
- •9. Виртуальные частные сети (vpn)
- •10. Отображение имен в адреса с помощью dns
- •11. Целостность системы
- •12. Документация
- •13. Физическая безопасность брандмауэра
- •14. Действия при попытках нарушения безопасности
- •15. Восстановление сервисов
- •16. Усовершенствование брандмауэра
- •17. Пересмотр политики безопасности для брандмауэра
- •18. Системные журналы (сообщения о событиях и итоговые отчеты)
- •19. Примеры политик
- •20. Примеры специфических политик для отдельных сервисов
4.3. Гибридные или сложные шлюзы
Гибридные шлюзы объединяют в себе два описанных выше типа брандмауэра и реализуют их последовательно, а не параллельно. Если они соединены последовательно, то общая безопасность увеличивается, с другой стороны, если их использовать параллельно, то общая безопасность системы будет равна наименее безопасному из используемых методов. В средах со средним и высоким риском, гибридные шлюзы могут оказаться идеальной реализацией брандмауэра.
4.4. Рейтинг
Ниже приводятся рейтинги различных типов брандмауэров.
4 |
Рекомендованный вариант |
3 |
Эффективный вариант |
2 |
Допустимый вариант |
1 |
Минимальная безопасность |
0 |
Неприемлемо |
Table 6.1. Риски безопасности брандмауэра
Архитектура брандмауэра (если один из типов, указанных ниже реализован) |
Среда с высоким риском, например банк |
Среда со средним риском, например университет |
Среда с низким риском, например мелкий магазин |
Фильтрация пакетов |
0 |
1 |
4 |
Прикладные шлюзы |
3 |
4 |
2 |
Гибридные шлюзы |
4 |
3 |
2 |
5. Архитектуры брандмауэра
Брандмауэры могут быть сконфигурированы в виде одной из нескольких архитектур, что обеспечивает различные уровни безопасности при различных затратах на установку и поддержание работоспособности. Организации должны проанализировать свой профиль риска и выбрать соответствующую архитектуру. Следующие разделы описывают типичные архитектуры брандмауэра и приводят примеры политик безопасности для них.
5.1. Хост, подключенный к двум сегментам сети
Это такой хост, который имеет более одного интерфейса с сетью, причем каждый интерфейс с сетью подключен физически к отдельному сегменту сети. Самым распространенным примером является хост, подключенный к двум сегментам.
Брандмауэр на основе хоста, подключенного к двум сегментам сети - это брандмауэр сдвумя сетевыми платами, каждая из которых подключена к отдельной сети. Например, одна сетевая плата соединена с внешней или небезопасной сетью, а другая - с внутренней или безопасной сетью. В этой конфигурации ключевым принципом обеспечения безопасности является запрет прямой маршрутизации трафика из не доверенной сети в доверенную - брандмауэр всегда должен быть при этом промежуточным звеном.
Маршрутизация должна быть отключена на брандмауэре такого типа, чтобы IP-пакеты из одной сети не могли пройти в другую сеть.
Примечание переводчика. Такая конфигурация, наверное, является одной из самых дешевых и распространенных при коммутируемом подключении ЛВС организации к Интернету. Берется машина, на которую устанавливается FreeBSD, и на ней запрещается маршрутизация, кроме того, соответствующим образом конфигурируется встроенный в ядро пакетный фильтр (ipfw).
5.2. Экранированный хост
При архитектуре типа экранированный хост используется хост (называемый хостом-бастионом), с которым может установить соединение любой внешний хост, но запрещен доступ ко всем другим внутренним, менее безопасным хостам. Для этого фильтрующий маршрутизатор конфигурируется так, что все соединения с внутренней сетью из внешних сетей направляются к хосту-бастиону.
Если шлюз с пакетной фильтрацией установлен, то хост-бастион должен быть сконфигурирован так, чтобы все соединения из внешних сетей проходили через него, чтобы предотвратить прямое соединение между сетью организации и Интернетом.