16.5Причины успеха удаленных атак на сеть Internet

В чём же причина столь успешных и частых информационных атак через сеть Internet? Дело в том, что Internet представляет собой распределенную вычислительную систему, инфраструктура которой общеизвестна и хорошо описана. А как уже отмечалось ранее, основной особенностью любой распределенной системы является то, что ее компоненты распределены в пространстве и связь между ними физически осуществляется при помощи сетевых соединений и программно при помощи механизма сообщений. При этом все управляющие сообщения и данные, пересылаемые между её объектами, передаются по сетевым соединениям в виде пакетов обмена, полная защита которых не гарантирована. Эта особенность и является основной причиной для рассматриваемых удаленных атак на инфраструктуру как самой Internet, так и на другие распределенные вычислительные системы через сеть Internet.

Если рассматривать более детально причины уязвимости хостов в сети Internet, то можно выделить следующие:

• сложность организации защиты межсетевого взаимодействия;

• неправильное или ошибочное администрирование систем;

• недостаточная идентификация и аутентификация объектов и субъектов сети Internet;

• невозможность контроля каналов связи между объектами сети Internet;

• отсутствие в Internet возможности контроля маршрутов сообщений;

• отсутствие в Internet полной информации о ее объектах;

• отсутствие в базовых протоколах Internet криптозащиты сообщений.

Таким образом, напрашивается вывод о существовании в данной сети серьезных пробелов в обеспечении безопасности, на которых и базируются причины, по которым возможны удаленные атаки на сетевые соединения, делающие сеть Internet небезопасной. Поэтому, в принципе, все пользователи этой сети пользуются ее услугами на свой страх и риск и могут быть атакованы в любой момент.

17Защита локальной сети и одиночного компьютера от атак через Internet.

Основные схемы сетевой защиты на базе межсетевых экранов

При подключении корпоративной или локальной сети к глобальным сетям администратор сетевой безопасности должен решать следующие задачи:

• защита корпоративной или локальной сети от несанкционированного доступа со стороны глобальной сети;

• скрытие информации о структуре сети и ее компонентов от пользователей глобальной сети,

• разграничение доступа в защищаемую сеть из глобальной сети и из защищаемой сети в глобальную сеть.

Необходимость работы с удаленными пользователями требует установки жестких ограничений доступа к информационным ресурсам защищаемой сети. При этом часто возникает потребность в организации в составе корпорационной сети нескольких сегментов с разными уровнями защищенности

• свободно доступные сегменты (например, рекламный WWW-сервер),

• сегмент с ограниченным доступом (например, для доступа сотрудникам организации с удаленных узлов),

• закрытые сегменты (например, локальная финансовая сеть организации).

Административные методы защиты от удаленных атак в сети Internet

Административные методы защиты от информационно-разрушающих воздействий являются наиболее простыми и дешевыми. К ним относятся способы защиты систем, которые достигаются путём более рационального, с точки зрения безопасности, администрирования этих систем. Сюда включается: выбор тех или иных ОС под которыми будет функционировать РВС, определение используемых протоколов, установление уровней доступа к ресурсам системы и осуществление их контроля, и т.д. То есть это те методы, которые реализуются непосредственно на административном уровне и которые позволяют, таким образом, противостоять некоторым видам удалённых атак.

Ранее рассматривалась атака, позволяющая злоумышленнику при помощи программного прослушивания канала передачи сообщений в сети перехватывать любую информацию, которой обмениваются удаленные пользователи, если по каналу передаются только нешифрованные сообщения. Также было сказано, что базовые прикладные протоколы удаленного доступа TELNET и FTP не предусматривают элементарную криптозащиту передаваемых по сети даже идентификаторов (имен) и аутентификаторов (паролей) пользователей. Поэтому администраторам сетей, очевидно, можно порекомендовать не допускать использование этих базовых протоколов для предоставления удаленного авторизованного доступа к ресурсам своих систем.

В принципе приемлемых способов защиты от отказа в обслуживании в существующем стандарте сети Internet нет. Это связано с тем, что в данном стандарте невозможен контроль маршрута сообщений. Поэтому невозможно обеспечить надежный контроль сетевых соединений, так как у одного субъекта сетевого взаимодействия существует возможность занять неограниченное число каналов связи с удаленным объектом и при этом остаться анонимным. Поэтому, для повышения надежности работы системы в данных условиях можно предложить использовать как можно более мощные компьютеры. Чем больше число и частота работы процессоров, чем больше объем оперативной памяти, тем более надежной будет работа сетевой ОС, когда на нее обрушится направленный "шторм" ложных запросов на создание соединения, что в общем-то и приводит к отказу в обслуживании. Кроме того, необходимо использование соответствующих операционных систем с внутренней очередью, способной вместить большое число запросов на подключение.