Защита службы системы доменных имен

В отношении серверов системы доменных имен (Domain Name System— DNS) должны осуществляться строгий контроль и постоянный мониторинг. Преобразова­ние имени в адрес критически важно для работы любой сети. Злоумышленник, кото­рому удается упраатять DNS-сервером или посылать сообщения от его имени может создать в сети хаос. Серверы DNS должны быть защищены от угроз безопасности с помощью фильтров пакетов на маршрутизаторах, а также путем использования версий программного обеспечения DNS, обладающих функциями обеспечения безопасности.

Традиционно система DNS не имеет защитных функций. В частности, нет спо­соба проверить информацию, поступающую от DNS в ответ на запрос. Хакер может перехватить запрос и возвратить фальшивое преобразование имени в адрес. Для пре­дотвращения этой и других угроз безопасности к протоколу добавляются цифровая подпись и другие функции обеспечения безопасности.

Логическое проектирование сети и Internet-соединения

Хорошим правилом для промышленных сетей является наличие строго опреде- ленных точек входа в сеть и выхода из нее. Организации, имеющей лишь одно Inter- net-соединение, значительно легче решать проблемы обеспечения безопасности ра­боты в Internet, чем организации, имеющей много Internet-соединений. Однако крупным организациям для обеспечения требуемой производительности и необхо­димости в избыточности требуется более одного Internet-соединения. Это эффек­тивно и целесообразно до тех пор, пока эти соединения строго управляются и по от­ношению к ним осуществляется постоянный мониторинг. Однако нельзя допускать, чтобы какие-либо отделы компании или ее пользователи добавляли Internet- соединения без согласования с инженерами корпоративной сети.

При выборе протоколов маршрутизации для Internet-соединений для достижения максимального уровня безопасности следует выбирать протокол, поддерживающий аутентификацию маршрутов (такой, например, как протокол RIP версии 2, OSPF или BGP4). Хорошим решением являются также статические и стандартные мар­шруты, поскольку в этом случае отсутствуют обновления маршрутов и они не могут быть сфальсифицированы. Для предотвращения DoS-атак Internet-маршрутизаторы должны быть оборудованы фильтрами пакетов.

Для обеспечения безопасности Internet-соединений может быть использована трансляция сетевых адресов (network address translation — NAT), которая защищает внутреннюю схему адресации корпоративной сети. Трансляция NAT скрывает внут­ренние сетевые адреса от внешнего наблюдения и преобразует их при необходимо­сти доступа к внешним сетям.

Организации, использующие службы виртуальных частных сетей VPN для соеди­нения частных узлов через Internet, должны использовать трансляцию NAT, бранд­мауэры и шифрование данных. В топологиях VPN-сетей частные данные проходят через общедоступный Internet, поэтому шифрование является необходимостью. Туннельный протокол 2-го уровня (Layer 2 Tunneling Protocol — L2TP) является стандартом проблемной группы Internet (Internet Engineering Task Force — IETF) для туннельной передачи частных данных по общедоступным сетям.