Брандмауэры

Брандмауэр можно определить как набор аппаратно-программных средств, пред­назначенных для предотвращения доступа в сеть извне и за контролем над дан­ными, поступающими в сеть или выходящими из нее. Брандмауэры получили всеобщее признание с начала 1990-х годов, что связано, в основном, с быстрым развитием сети Internet. Начиная с этого времени, разработано и используется на практике множество разнообразных продуктов, называемых брандмауэрами. Брандмауэры могут защищать корпоративную сеть от несанкционированного доступа из Internet или из другой корпоративной сети. Брандмауэр устанав­ливается на границе защищаемой сети и фильтрует все входящие и выходные данные, пропуская только разрешенные пакеты и предотвращая попытки про­никновения в сеть. Правильно настроенный брандмауэр пропустит (или не пропустит) конкретный пакет и позволит (или не позволит) организовать конк­ретный сеанс связи в соответствии с установленными правилами. Для эффек­тивной работы брандмауэров важно соблюдение трех условий:

• весь трафик должен проходить через одну точку;

• брандмауэр должен контролировать и регистрировать весь проходящий трафик;

• сам брандмауэр должен быть «неприступен» для внешних атак.

Если рассматривать работу брандмауэров по отношению к уровням модели OSI, то их условно можно разделить на следующие категории:

• брандмауэры с фильтрацией пакетов (packet-filtering firewall);

• шлюзы сеансового уровня (circuit-level gateway);

• шлюзы прикладного уровня (application-level gateway);

• брандмауэры экспертного уровня (stateful inspection firewall).

Наибольшее распространение получили брандмауэры с фильтрацией паке­тов, реализованные на маршрутизаторах и сконфигурированные таким образом, чтобы фильтровать входящие и исходящие пакеты.

Фильтры пакетов просматривают поля поступающих IP-пакетов, а затем про­пускают или удаляют их в зависимости, например, от IP-адресов отправителя и получателя, номеров портов отправителя и получателя протоколов TCP или UDP и других параметров. Фильтр сравнивает полученную информацию со списком правил фильтрации для принятия решения о разрешении или за­прещении передачи пакета. Список правил фильтрации содержит разрешенные IP-адреса, типы протоколов, номера портов отправителей и номера портов полу­чателей. Фильтр пакетов проверяет только заголовок пакета, но не данные внут­ри него.

Технология фильтрации пакетов является самым «дешевым» способом реа­лизации брандмауэра. Такой брандмауэр может проверять пакеты различных протоколов, причем с большой скоростью, так как он просто просматривает ин­формацию о пакете (заголовок пакета), чтобы принять решение о его дальней­шей судьбе. Фильтр анализирует пакеты на сетевом уровне и не зависит от используемого приложения. Именно эта «свобода» обеспечивает хорошую про­изводительность.

К недостаткам такого брандмауэра можно отнести невозможность идентифи­кации пакетов при имитации IP-адресов и невозможность слежения за конкрет­ным сетевым сеансом.

Имитация означает, что если воспользоваться IP-адресом законного пользо­вателя, то можно беспрепятственно проникнуть в защищаемую сеть и получить доступ к ее ресурсам. Фильтр пакетов пропустит этот пакет в сеть вне зависи­мости от того, откуда инициирован сеанс и кто скрывается за адресом. Сущест­вует усовершенствованная версия фильтрации пакетов, которая называется динамической фильтрацией пакетов. При этом анализируется адрес, с которого производится попытка доступа (возможно, затем она будет признана несанкци­онированной), и производится ping по этому адресу для его проверки. Как легко понять, если внутренний IP-адрес используется извне, то ping не достигнет от­правителя пакета. В этом случае попытка доступа будет отвергнута, и сеанс не будет установлен. В настоящее время фильтры пакетов заняли достаточно за­метное место в системе безопасности сети. Они мало подходят для внешней защиты сети. Но из-за того, что такие фильтры обеспечивают высокую произво­дительность и имеют низкую цену, они хорошо подходят для обеспечения без­опасности внутри сети. Организация с их помощью может разбить сеть на сегменты и установить брандмауэр в каждом из сегментов, отделив таким обра­зом, например, бухгалтерию от отдела продаж.