Защита информации

Рис 4.2. Частный случай взаимодействия агентов. Блок шифрации-дешифрации призван поддержать необходимый уровень безопасности обмена данными.

 

В этом случае пакет, поступая на вход системы безопасности, сначала  дешифрируется агентом шифрации-дешифрации, затем проходит весь процесс проверки (см. выше), по окончанию проверки, пакет, подлежащий дальнейшей передаче снова поступает к агенту шифрации-дешифрации, где теперь уже шифрируется и только после этого подается на выход системы  безопасности.

5. Методика МЭ, реализуемая на базе программно-аппаратных средств

1. Понятие межсетевого экрана

Ряд задач по отражению наиболее вероятных угроз для внутренних сетей способны решать межсетевые экраны (брандмауэры, firewalls).

Для противодействия несанкционированному межсетевому доступу МЭ должен располагаться между защищаемой сетью, являющейся внутренней, и потенциально враждебной внешней сетью (рис. 5.1.). Организационно экран входит в состав защищаемой сети.

 

Схема подключения межсетевого  экрана как средства  разграничения доступа

Рис 8.1.

 

Схемы установления межсетевого экрана при защите корпоративной сети: а) схема единой защиты; б) схема виртуальной  корпоративной сети

Рис. 8.2.

Межсетевой экран — это программная  или программно-аппаратная система межсетевой защиты, позволяющая разделить две (или более) взаимодействующие сети и реализовать набор правил, определяющих условия прохождения пакетов с данными через границу из одной сети в другую. Межсетевой экран пропускает через себя весь трафик, принимая для каждого проходящего пакета решение — пропускать его или отбросить. Для того чтобы МЭ мог выполнить это, ему необходимо определить набор правил фильтрации.

Правила фильтрации — перечень условий, по которым с использованием заданных критериев разрешается или запрещается дальнейшая передача пакетов (данных), и перечень действий МЭ по регистрации и (или) выполнению дополнительных защитных функций.

Межсетевые экраны позволяют организовать защищенные виртуальные сети. Несколько  локальных сетей, подключенных к глобальной сети, объединяются в одну виртуальную корпоративную сеть с применением межсетевых экранов.

Функционирование МЭ основывается на выборе политики сетевой безопасности, формулировке функциональных требований к межсетевым экранам, настройке набора составляющих его компонентов.

Решение о том, фильтровать ли с  использованием межсетевого экрана конкретные протоколы и адреса, зависит  от принятой в защищаемой сети политики безопасности. Межсетевой экран является набором компонентов, настраиваемых таким образом, чтобы реализовать выбранную политику безопасности.

В рамках данной политики безопасности должны быть заданы все сервисы, предоставляемые  через сетевой экран, а также  допустимые адреса клиентов для каждого  сервиса; должны быть указаны правила для пользователей, описывающие, когда и какие пользователи каким сервисом и на ком компьютере могут воспользоваться. Отдельно определяются правила аутентификации пользователей и компьютеров.

Политика работы межсетевого экрана задает базовый принцип управления межсетевым взаимодействием. Может быть выбран один из двух таких принципов: запрещено все, что явно не разрешено; разрешено все, что явно не запрещено.

В первом случае межсетевой экран  должен быть сконфигурирован так, чтобы  блокировать любые явно не разрешенные межсетевые взаимодействия. С точки зрения безопасности МЭ является лучшим.

При выборе второго принципа межсетевой экран настраивается таким образом, чтобы блокировать только явно запрещенные  межсетевые взаимодействия. В этом случае повышается удобство использования сетевых сервисов со стороны пользователей, но снижается безопасность межсетевого взаимодействия.

Функциональные требования к межсетевым экранам включают в себя: требования к фильтрации на сетевом, сеансовом  и прикладном уровнях модели OSI; требования по настройке правил фильтрации и администрированию; требования к средствам сетевой аутентификации; требования по внедрению журналов и учету и др.

В общем случае работа межсетевого  экрана основана на динамическом выполнении двух групп функций: фильтрации проходящих через него данных; посредничества при реализации межсетевых взаимодействий.

В зависимости от типа экрана эти  функции могут выполняться с  различной полнотой. Простые межсетевые экраны ориентированы на выполнение только одной из данных функций. Комплексные экраны обеспечивают совместное выполнение указанных функций защиты.

Полнота и правильность управления требуют, чтобы МЭ имел возможность  анализа и использования: информации о соединениях — информации от всех уровней в пакете; истории соединений — информации, полученной от предыдущих соединений состояния уровня приложения — информации о состоянии, полученной из других приложений; агрегирующих элементов — вычислений разнообразных выражений, основанных на использовании всех вышеперечисленных элементов.

2. Фильтрация трафика

Фильтрация информационных потоков  состоит в их выборочном пропускании  через экран, возможно, с выполнением  некоторых преобразований. Фильтрация осуществляется на основе набора правил, предварительно загруженных в экран и являющихся выражением сетевых аспектов принятой политики безопасности. Поэтому межсетевой экран удобно представляет как последовательность фильтров, обрабатывающих информационный поток. Каждый из фильтров предназначен для выполнения отдельных правил фильтрации:

- анализ информации по заданным  критериям, например, по адресам  получателя и отправителя или  по типу приложения, для которого эта информация предназначена;

- принятие на основе правил  одного из следующих решений:  не пропустить данные; обработать данные от имени получателя и возвратить результат отправителю; передать данные на следующий фильтр для продолжения анализа; пропустить данные, игнорируя следующие фильтры.

Правила фильтрации могут задавать и дополнительные действия, которые  относятся к функциям посредничества, например преобразование данных, регистрация событий и др. Соответственно правила фильтрации определяют перечень условий, по которым с использованием указанных критериев анализа разрешается или запрещается дальнейшая передача данных; выполняются дополнительные защитные функции.

В качестве критериев анализа информационного  потока могут использоваться следующие  параметры: служебные поля пакетов  сообщений, содержащие сетевые адреса, идентификаторы, адреса интерфейсов, номера портов и другие значимые данные; непосредственное содержимое пакетов сообщений, проверяемое, например, на наличие компьютерных вирусов; внешние характеристики потока информации, например временные, частотные характеристики, объем данных и т.д. Используемые критерии анализа зависят от уровней модели OSI, на которых осуществляется фильтрация. В общем случае, чем выше уровень модели OSI, на котором МЭ фильтрует пакеты, тем выше и обеспечиваемый им уровень защиты.

3. Политика межсетевого взаимодействия,

Политика межсетевого взаимодействия является частью политики безопасности в организации, и определяет требования к безопасности информационного обмена с внешним миром. Данные требования обязательно должны отражать два аспекта:

Политика доступа к  сетевым сервисам определяет правила предоставления, а также использования всех возможных сервисов защищаемой системы. Соответственно в рамках данной политики должны быть заданы все сервисы, предоставляемые через сетевой экран, и допустимые адреса клиентов для каждого сервиса. Кроме того, должны быть указаны правила для пользователей, описывающие, когда и какие пользователи каким сервисом и на каком компьютере могут воспользоваться. Отдельно определяются правила аутентификации пользователей и компьютеров, а также условия работы пользователей вне вычислительной сети организации.

Политика работы межсетевого  экрана задает базовый принцип управления межсетевым взаимодействием, положенный в основу функционирования МЭ.

4. Определение схемы подключения межсетевого экрана

Для подключения межсетевых экранов могут использоваться различные схемы, которые зависят от условий функционирования, а также количества сетевых интерфейсов МЭ.

МЭ с одним сетевым интерфейсом (рис. 8.3) не достаточно эффективны как с точки зрения безопасности, так и с позиций удобства конфигурирования. Они физически не разграничивают внутреннюю и внешнюю сети, а соответственно не могут обеспечивать надежную защиту межсетевых взаимодействий. Настройка таких межсетевых экранов, а также связанных с ними маршрутизаторов является сложной задачей, цена решения которой превышает стоимость замены МЭ с одним сетевым интерфейсом на МЭ с двумя или тремя сетевыми интерфейсами.

В схемах подключения межсетевых экранов с двумя и тремя сетевыми интерфейсами. Защищаемая локальная сеть рассматривается как совокупность закрытой и открытой подсетей. Открытая подсеть – подсеть, доступ к которой со стороны потенциально враждебной внешней сети может быть полностью или частично открыт. В открытую подсеть могут, например, входить общедоступные WWW-, FTP- и SMTP-серверы, а также терминальный сервер с модемным пулом.

 

Защита локальной сети МЭ с одним сетевым интерфейсом

Рис. 8.3.

 

Среди всего множества возможных  схем подключения МЭ типовыми являются:

• схема единой защиты локальной сети;
• схема с защищаемой закрытой и не защищаемой открытой подсетями;
• схема с раздельной защитой закрытой и открытой подсетей.

Схема единой защиты локальной сети является наиболее простым решением (рис. 8.4.), при котором МЭ целиком экранирует локальную сеть от потенциально враждебной внешней сети. Между маршрутизатором и МЭ имеется только один путь, по которому идет весь трафик. Обычно маршрутизатор настраивается таким образом, что МЭ является единственной видимой снаружи машиной. Открытые серверы, входящие в локальную сеть, также будут защищены межсетевым экраном. Однако объединение серверов, доступных из внешней сети, вместе с другими ресурсами защищаемой локальной сети существенно снижает безопасность межсетевых взаимодействий. Поэтому данную схему подключения МЭ можно использовать лишь при отсутствии в локальной сети открытых серверов или когда имеющиеся открытые сервера делаются Доступными из внешней сети только для ограниченного числа пользователей, которым можно доверять.

 

Схема единой защиты локальной  сети

Рис. 8.4.

 

При наличии в составе локальной сети общедоступных открытых серверов их целесообразно вынести как открытую подсеть до межсетевого экрана. Данный способ обладает более высокой защищенностью закрытой части локальной сети, но обеспечивает пониженную безопасность открытых серверов, расположенных до межсетевого экрана. Некоторые МЭ позволяют разместить эти сервера на себе. Но такое решение не является лучшим с точки зрения загрузки компьютера и безопасности самого МЭ. Таким образом схему подключения МЭ с защищаемой закрытой подсетью и не защищаемой открытой подсетью целесообразно использовать лишь при невысоких требованиях по безопасности к открытой подсети.

В том случае, когда к безопасности открытых серверов предъявляются повышенные требования, необходимо использовать схему с раздельной защитой закрытой и открытой подсетей. Такая схема может быть построена на основе одного МЭ с тремя сетевыми интерфейсами или на основе двух МЭ с двумя сетевыми интерфейсами. В обоих случаях доступ к открытой и закрытой подсетям локальной сети возможен только через межсетевой экран. При этом доступ к открытой подсети не позволяет осуществить доступ к закрытой подсети.

Из этих двух схем большую степень безопасности межсетевых взаимодействий обеспечивает схема с двумя МЭ, каждый из которых образует отдельный этап защиты закрытой подсети. Защищаемая открытая подсеть здесь выступает в качестве экранирующей подсети. Обычно экранирующая подсеть конфигурируется таким образом, чтобы обеспечить доступ к компьютерам подсети как из внешней сети, так и из закрытой подсети локальной сети. Прямой обмен пакетами между внешней сетью и закрытой подсетью невозможен. При атаке системы с экранирующей подсетью необходимо преодолеть, по крайней мере, две независимые линии защиты, что является весьма сложной задачей. Средства мониторинга состояния межсетевых экранов практически неизбежно обнаружат подобную попытку, и администратор системы своевременно предпримет необходимые действия по предотвращению несанкционированного доступа.

Работа удаленных пользователей, подключаемых через коммутируемые линии связи, также должна контролироваться в соответствии с политикой безопасности, проводимой в организации. Типовое решение этой задачи — установка сервера удаленного доступа (терминального сервера), который обладает необходимыми функциональными возможностями. Терминальный сервер является системой с несколькими асинхронными портами и одним интерфейсом локальной сети. Обмен информацией между асинхронными портами и локальной сетью осуществляется только после соответствующей аутентификации внешнего пользователя.