Обеспечение Firewall.

После определения политики безопасности необходимо рассмотреть ряд вопросов, связанных с обеспечением Firewall. Многие из этих вопросов аналогичны тем, которые возникают в других системах программного обеспечения, поэтому некоторые этапы разработки Firewall,такие, например, как определение требований, их анализ и спецификация, являются стандартными.

Как только принято решение об использовании Firewall-технологии для реализации политики безопасности организации, следующим шагом является выбор такогоFirewall,который обеспечил бы подходящий уровень защиты с наименьшими затратами. Так как эта задача чрезвычайно сложна и еще недостаточно исследована, то можно воспользоваться общими рекомендациями. В общем случае необходимо, чтобы Firewallобладал следующими свойствами или атрибутами:

Firewallдолжен иметь возможность поддерживать политику доступа, запрещающую все, что не разрешено, даже если используется другая политика.

Firewallдолжен поддерживать политику безопасности, используемую в организации.

Firewallдолжен быть гибким, он должен иметь возможность приспосабливаться к появлению новых служб и требований и изменению политики безопасности сети.

Firewallдолжен содержать средства усиленной аутентификации или иметь возможность быстрой инсталляции этих средств.

Firewallдолжен использовать методики фильтрации для разрешения или отказа в обслуживании определенным хост-системам в зависимости от заданных требований.

Язык, на котором задаются правила фильтрации IP должен быть гибким, дружественным и должен оперировать с как можно большим числом критериев ( в том числе, с адресом источника и приемника, типом протокола, портом TCP/UDPисточника и приемника и с входным и выходным интерфейсом).

Firewallдолжен обязательно использовать полномочные службы для таких служб как FTPи TELNET,чтобы можно было использовать сосредоточенные в Firewallсредства усиленной аутентификации. Если требуются такие службы как NNTP, X, httpили gopher,то Firewallдолжен содержать соответствующие им полномочные службы.

Firewallдолжен иметь возможность централизованногоSMTPдоступа, чтобы уменьшить число прямых SMTP-связей между сетью и удаленными системами. В результате, управление электронной почтой сети будет осуществляться централизованно.

Firewallдолжен так организовать открытый доступ к сети, чтобы открытые информационные серверы были защищены Firewall,но, в то же время, чтобы их можно было отличить от остальных систем сети.

Firewallдолжен иметь возможность концентрировать и фильтровать доступ через модемы.

Firewallдолжен содержать механизмы для регистрации трафика и подозрительной деятельности, а также для обработки регистрационных записей.

Если для Firewallнужна операционная система типаUNIX,то в его состав необходимо включить защищенную версию операционной системы, а также другие средства для обеспечения целостности самого Firewall.В такой операционной системе не должно быть "лазеек".

Firewallдолжен быть разработан таким образом, чтобы можно было проверить его надежность и корректность. Структура его должна быть простой для понимания и обслуживания.

Firewallи все соответствующие системы необходимо своевременно корректировать при обнаружении "лазеек" и "дыр".

На самом деле существует гораздо больше проблем и требований, однако многие из них характерны только для конкретных сетей. Тщательное определение требований и точная оценка риска зависят от требований сети, однако, не следует забывать, что Internetпостоянно меняется. Могут возникать новые проблемы, а ввод новых и усовершенствование старых служб могут представлять определенные трудности для каждой конкретной установки Firewall.