- •Политика безопасности брандмауэров
- •1. Основы и цель
- •2. Аутентификация
- •3. Анализ возможностей маршрутизации и прокси-серверов
- •3.1. Маршрутизация источника
- •4. Типы брандмауэров
- •4.1 Шлюзы с фильтрацией пакетов
- •4.2. Прикладные шлюзы
- •4.3. Гибридные или сложные шлюзы
- •4.4. Рейтинг
- •5. Архитектуры брандмауэра
- •5.1. Хост, подключенный к двум сегментам сети
- •5.2. Экранированный хост
- •5.3. Экранированная подсеть
- •6. Интранет
- •7. Администрирование брандмауэра
- •7.1. Квалификация администратора брандмауэра
- •7.2. Удаленное администрирование брандмауэра
- •8. Доверительные взаимосвязи в сети
- •9. Виртуальные частные сети (vpn)
- •10. Отображение имен в адреса с помощью dns
- •11. Целостность системы
- •12. Документация
- •13. Физическая безопасность брандмауэра
- •14. Действия при попытках нарушения безопасности
- •15. Восстановление сервисов
- •16. Усовершенствование брандмауэра
- •17. Пересмотр политики безопасности для брандмауэра
- •18. Системные журналы (сообщения о событиях и итоговые отчеты)
- •19. Примеры политик
- •20. Примеры специфических политик для отдельных сервисов
7.2. Удаленное администрирование брандмауэра
Брандмауэры - первая линия обороны, видимая для атакующего. Так как брандмауэры в общем случае тяжело атаковать напрямую из-за их назначения, атакующие часто пытаются получить логин администратора на брандмауэре. Имена и пароли административных логинов должны быть серьезно защищены.
Наилучшим методом защиты от такой формы атаки является серьезная физическая
безопасность самого брандмауэра и администрирование брандмауэра только с локального терминала. Но в повседневной жизни часто требуется некоторая форма удаленного доступа для выполнения некоторых операций по администрированию брандмауэра. В любом случае удаленный доступ к брандмауэру по небезопасным сетям должен осуществляться с использованием усиленной аутентификации. Кроме того, для предотвращения перехвата сеансов должно использоваться сквозное шифрование всего трафика удаленного соединения с брандмауэром.
Низкий риск
Любой удаленный доступ по небезопасным сетям для администрирования брандмауэра должен использовать усиленную аутентификацию, такую как одноразовые пароли и смарт-карты.
Средний риск
Предпочтительным методом администрирования брандмауэра является работа с локального терминала. Физический доступ к терминалу брандмауэра должен быть разрешен только администратору брандмауэра и администратору архивных копий.
Когда требуется удаленный доступ для администрирования брандмауэра, он должен осуществляться только с других хостов внутренней сети организации. Такой внутренний удаленный доступ требует усиленной аутентификации, такой как одноразовые пароли и смарт-карты. Удаленный доступ по небезопасным сетям, таким как Интернет, требует использования сквозного шифрования всего трафика соединения и усиленной аутентификации.
Высокий риск
Все администрирование брандмауэра должно осуществляться только с локального 1срминила - работа с брандмауэром путем удаленного доступа запрещена. Физический доступ к терминалу брандмауэра разрешен только администратору брандмауэра и администратору архивных копий.
7.3. Зарегистрированные пользователи
Брандмауэры никогда не должны использоваться как сервера общего назначения. Единственными зарегистрированными пользователями на брандмауэре могут быть только администратор брандмауэра и администратор архивных копий. Кроме того, только эти администраторы должны иметь привилегии для модификации загрузочных модулей программ на нем.
Только администратор брандмауэра и администраторы архивных копий должны иметь логины на брандмауэре организации. Любая модификация системных программ на брандмауэре должна осуществляться администратором или администратором архивных копий с разрешения ответственного за сетевые сервисы (или начальника отдела автоматизации).
7.3.1. Архивные копии брандмауэра
Для обеспечения возможности восстановления после сбоя или стихийного бедствия, брандмауэр, как и любой другой сетевой хост, должен иметь политику относительно создания архивных копий. Для всех файлов данных, а также системных файлов конфигурации должен иметься некоторый план создания архивных копий.
Для брандмауэра (его системных программ, конфигурационных файлов, баз данных и т.д.) должны создаваться ежедневные, еженедельные и ежемесячные архивные копии, чтобы в случае сбоя можно было восстановить данные и файлы конфигурации. Архивные копии должны храниться в безопасном месте на носителе, с которого можно только считать информацию, чтобы их случайно не затерли, которое должно быть заперто, чтобы носители были доступны только соответствующим сотрудникам.
Другой альтернативой будет иметь запасной брандмауэр, сконфигурированный как основной, и поддерживаемый в холодном резерве, чтобы в случае сбоя основного, запасной мог быть включен и использован вместо него, пока основной брандмауэр восстанавливается.
По крайней мере, один брандмауэр должен быть сконфигурирован и держаться в холодном резерве, чтобы в случае сбоя брандмауэра, он мог быть включен вместо него для защиты сети.