7.3. Заходи захисту мережі від несанкціонованого доступу

Безпечна робота мережі кампусу залежить лише від адміністратора мережі, який захищає її програмно. Однак завжди з’являться ті, хто захоче в корисних цілях скористатися інформаційними ресурсами такої мережі. Це може бути і використання персональних даних користувачів і паролі до поштових скриньок та ін. Тому для забезпечення безпеки мережі від несанкціонованого доступу введено такі механізми і засоби захисту:

• DMZ зона для сховища даних. Демілітаризована зона, DMZ забезпечить захист інформаційного периметра, при якій сервери, що відповідають на запити з зовнішньої мережі, перебувають в особливому сегменті мережі і обмежені в доступі до основних сегментів мережі за допомогою брандмауера (фаєрвола ), з метою мінімізувати збиток, при зломі одного із загальнодоступних сервісів, який знаходиться в DMZ. У цій зоні також буде введено систему IPS та IDS.

• Мережеві екрани. Вони призначені для відділення всіх рівнів захищеної корпоративної мережі від інших незахищених мереж, наприклад, від мережі Інтернет. Налаштуємо мережеві екрани на відстеження і контроль трафіку. Фаєрвол може бути у вигляді окремого приладу (для даної мережі фаєрвол буде міститися у маршрутизаторі), або програмного забезпечення, що встановлюється на персональний комп’ютер чи проксі-сервер. Застосування

мережевих екранів як фільтрів, дозволить не пропускати (фільтрувати) пакети, що не підходять під критерії, визначені в конфігурації. Також мережеві екрани дадуть змогу відфільтровувати доступ до свідомо незахищених служб мережі ВНЗ (доступ до серверів сховища даних), забезпечуть контроль доступу до вузлів мережі.

• Системи запобігання вторгнень. Ці системи відстежуватимуть в мережі шкідливі процеси і попереджатимутьпро них мережевого адміністратора. Використовуємо систему IPS для виявлення проникнення несанкціонованого трафіку у приватну мережу

• Антивіруси. Вони призначені для вирішення проблем, яких не може вирішити мережевий екран . Зазвичай вони підключаються до мережевого екрану і пропускають через себе відповідну частину мережевого трафіку, працюючи як прозорий для інших мережевих вузлів проксі, або ж отримують з мережевого екрану копію всіх даних, що пересилаються. Однак такий аналіз вимагає значних апаратних ресурсів, тому встановлювати програми антивірусу будемо на кожному вузлі мережі. Антивірусна програма буде використовуватися для знаходження, видалення і, можливого, лікування програм, що заражені комп’ютерним вірусом.

• Налаштування ACL списків. За допомогою таких списків можна фільтрувати трафік в мережі.

• Налаштування паролів доступу до кожного ПК

Щодо безпеки маршрутизаторів , які забезпечують шлюзи в інші мережі, вони можуть бути предметом різних атак. Для маршрутизатора потрібно забезпечити:

• фізичну безпеку

• оновлення IOS маршрутизатора;

• резервне копіювання конфігурації маршрутизатора та IOS;

• відключити порти та сервіси, що не використовуються, для усунення потенційного зловживання.

• налаштувати паролі. Надійний пароль є головним елементом забезпечення безпечного доступу до маршрутизатора.