Security
.pdf
Экраны с пакетной фильтрацией
(Packet Filtering Gateways)
•Списки контроля доступа (Access Control List, ACL)
–Source/Destination IP
–Protocol Number (TCP, UDP)
–Source/Destination Port
•Обеспечивается большинством маршрутизаторов
Плюсы:
• Высокая производительность и масштабируемость.
Минусы:
•Не анализируется информация протоколов более высокого уровня.
•Нет возможности отслеживать контекст соединения.
Экраны уровня соединения
Circuit Level Gateways
•Запоминают сессионную информацию IP
соединения и могут выполнять более тонкий анализ.
–После инспекции новой сессии,
сессионная информация сохраняется в session state table
–Входящие пакеты инспектируются на соответствие сессионной информации, сохранённой в таблице. Если параметры
пакета не соответствуют информации о соединении, то сессия не устанавливается.
–Процесс быстрее, чем у экранов уровня приложения, но не обеспечивает такого уровня безопасности.
Circuit
Gataways
Экраны уровня соединения
Circuit Level Gateways
Плюсы:
1.Относительно высокий уровень защиты (по сравнению с пакетными файрволами).
2.«Прозрачность» для приложений
3.Относительно высокая
производительность (по сравнению с экранами уровня приложений).
4.Масштабируемость
5.Низкая стоимость (практически такая же как у пакетных файрволов).
Минусы:
1.Не анализируется информация протоколов более высокого уровня.
Бывают двух типов: прозрачные и посредники
Экраны уровня приложений
Application Level Gateways
• Для работы с конкретным приложением должен быть встроен
модуль именно для этого приложения
• Обеспечивают высокий уровень защиты
Бывают двух типов: прозрачные и
посредники
Экраны посредники (Proxy)
Могут применяться для протоколов 7-го или 4-го уровней, т.е. работать с экранами уровней приложения или соединения
•Используется программа-посредник
•Сначала устанавливается сессия между хостом-источником и программой-посредником, а потом программа-посредник устанавливает сессию к хосту-назначения.
•Прокси-программа выполняет действия (запретить или разрешить) на основе политик, определённых пользователем.
•Каждый протокол 7-го или 4-го уровня имеет свою собственную прокси-программу (модуль).
Экраны посредники (Proxy)
Плюсы:
Высокий уровень безопасности для поддерживаемого протокола
1.Нарушается модель клиент-сервер - каждое соединение «клиент-сервер» требует двух соединений: одно от клиента к межсетевому экрану и другое от межсетевого экрана к клиенту.
2.Низкая производительность.
3.Высокая стоимость
Экраны с полной пакетной проверкой
Statefull Packet Inspections
Выполняют проверку на всех уровнях
Обеспечивают наиболее высокий уровень безопасности для поддерживаемых протоколов
Как правило, работают в прозрачном режиме
Дизайн периметра с использованием межсетевых экранов
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Internet |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Corporate |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
Network |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Дизайн периметра с использованием межсетевых экранов
Corporate |
DMZ |
Internet |
Network |
Дизайн периметра с использованием межсетевых экранов
Corporate |
|
|
Internet |
Network
DMZ 1 |
DMZ 2 |