17. Межсетевые экраны с адаптивной проверкой пакетов (или мэ с запоминанием состояния пакетов)

МЭ с адаптивной проверкой пакетов пропускают и блокируют пакеты в соответствии с почти таким же набором правил, как и у пакетного фильтра. Они осуществляют контроль не только на базе IP-адресов и портов, но также и по значениям SYN (флаг синхронизации, создает сеанс TCP), ASK (флаг распознавания, подтверждает успешное принятие предыдущего пакета), порядковых номеров и других данных, содержащимся в заголовке TCP. Такие МЭ отслеживают состояние каждого сеанса и могут динамически открывать и закрывать порты в соответствии с требованиями различных сеансов. Они также способны анализировать данные определенных типов пакетов. Пример – протокол FTP, применительно к которому производится анализ команд для определения правильности направления их передачи.

Основным недостатком МЭ с запоминанием состояния пакетов является то, что он допускает прямые соединения между ненадежными и надежными хостами.

Чтобы обезопасить ЛВС от вторжений при выходе из строя одного из компонентов, необходимо создать многоступенчатую систему МЭ. Целесообразно использовать шлюз приложений, снабженный дополнительной защитой в виде двух фильтров пакетов: одного на входе в корпоративную сеть со стороны Интернет, другого – на ее выходе в Интернет.

Симметричное построение обеспечивает также определенную защиту от НСД в собственной сети. При этом Интернет-сервер необходимо подключать к одной или нескольким сетевым платам таким образом, чтобы он был защищен шлюзом приложений и одновременно с этим не находился непосредственно в ЛВС. Он имеет право общаться с внутренней сетью через шлюз приложений и внутренние фильтры пакетов.

18. Разграничение доступа пользователей к ресурсам ас

Технические средства разграничения доступа к ресурсам АС должны рассматриваться как составная часть единой системы контроля доступа субъектов:

• на контролируемую территорию;

• в отдельные здания и помещения организации;

• к элементам АС и элементам системы защиты информации (физический доступ);

• к информационным и программным ресурсам АС.

Механизмы управления доступом субъектов к объектам доступа выполняют основную роль в обеспечении внутренней безопасности компьютерных систем. Их работа строится на концепции единого диспетчера доступа. Сущность этой концепции состоит в том, что диспетчер доступа (монитор ссылок) - выступает посредником-контролером при всех обращениях субъектов к объектам.

В общем виде работа средств разграничения доступа субъектов к объектам основана на проверке сведений, хранимых в базе данных защиты.

Под базой данных защиты (security database) понимают базу данных, хранящую информацию о правах доступа субъектов к объектам.

Для внесения изменений в базу данных защиты система разграничения доступа должна включать средства для привилегированных пользователей (администраторов безопасности, владельцев объектов и т.п.) по ведению этой базы. Такие средства управления доступом должны обеспечивать возможность выполнения следующих операций:

• добавления и удаления объектов и субъектов;

• просмотра и изменения соответствующих прав доступа субъектов к объектам.