Защита информации

Подключение терминального сервера  должно осуществляться таким образом, чтобы его работа выполнялась  исключительно через межсетевой экран. Такое подключение возможно, если терминальный сервер включить в  состав открытой подсети при использовании схем подключения МЭ с раздельной защитой открытой и закрытой подсетей.

5. Операционная система МЭ

Программно-аппаратный МЭ – это совокупность функционирующих  на нем операционной системы (ОС) и  специального программного обеспечения. Специальное программное обеспечение часто также называют брандмауэром.

Операционная система  МЭ также должна удовлетворять ряду требований:

- иметь средства разграничения доступа к ресурсам системы;

- блокировать доступ  к компьютерным ресурсам в  обход предоставляемого программного интерфейса;

- запрещать привилегированный  доступ к своим ресурсам из  локальной сети;

- содержать средства  мониторинга/аудита любых административных  действий.

6. Общие требования к МЭ

Функциональные — решение требуемой совокупности задач защиты: требования к фильтрации на сетевом уровне; требования к фильтрации на прикладном уровне; требования по настройке правил фильтрации и администрированию; требования к сетевой аутентификации; требования по внедрению журналов и учету.

Требования по надежности — способность своевременно, правильно и корректно выполнять все предусмотренные функции защиты;

Требования по адаптируемости — способность к целенаправленной адаптации при изменении структуры, технологических схем и условий функционирования МЭ;

Эргономические — требования по удобству администрирования, эксплуатации и минимизации помех пользователям;

Экономические — минимизация финансовых и ресурсных затрат.

Межсетевые экраны должны удовлетворять следующим группам  более детальных требований.

По целевым качествам — обеспечивать безопасность защищаемой внутренней сети и полный контроль над внешними подключениями и сеансами связи. Межсетевой экран должен иметь средства авторизации доступа пользователей через внешние подключения. Типичной является ситуация, когда часть персонала организации должна выезжать, например, в командировки, и в процессе работы им требуется доступ к некоторым ресурсам сети организации. МЭ должен надежно распознавать таких пользователей и предоставлять им необходимые виды доступа.

По управляемости и  гибкости — обладать мощными и гибкими средствами управления для полного воплощения в жизнь политики безопасности организации. МЭ должен обеспечивать простую реконфигурацию системы при изменении структуры сети. Если у организации имеется несколько внешних подключений, в том числе и в удаленных филиалах, система управления экранами должна иметь возможность централизованно обеспечивать для них проведение единой политики межсетевых взаимодействий.

По производительности и прозрачности — работать достаточно эффективно и успевать обрабатывать весь входящий и исходящий трафик при максимальной нагрузке. Это необходимо для того, чтобы МЭ нельзя было перегрузить большим количеством вызовов, которые привели бы к нарушению его работы. Система безопасности должна работать незаметно для пользователей сети и не затруднять выполнение легальных действий.

По самозащищенности — обладать свойством самозащиты от любых несанкционированных воздействий. Поскольку межсетевой экран является и ключом и дверью к конфиденциальным данным в организации, он должен блокировать любые попытки несанкционированного изменения его параметров настройки, а также включать развитые средства самоконтроля состояния и сигнализации. Средства сигнализации должны обеспечивать своевременное уведомление службы безопасности при обнаружении любых несанкционированных действий, а также нарушении работоспособности системы безопасности.

7. Особенности межсетевого экранирования на различных уровнях OSI

МЭ поддерживают безопасность межсетевого взаимодействия на различных уровнях модели OSI. При этом функции защиты, выполняемые на разных уровнях, отличаются друг от друга. Поэтому комплексный межсетевой экран удобно представить в виде совокупности неделимых экранов, каждый из которых ориентирован на отдельный уровень модели OSI. Чаще всего экран функционирует на сетевом, сеансовом и прикладном уровнях модели. Соответственно различают МЭ: экранирующий маршрутизатор, экранирующий транспорт (шлюз сеансового уровня), а также экранирующий шлюз (шлюз прикладного уровня).

Так как используемые в сетях протоколы (ТСР/IP, SPX/IPX) не однозначно соответствуют модели OSI, то экраны всех типов при выполнении своих функций могут охватывать и соседние уровни OSI. Например, прикладной экран может осуществлять автоматическое зашифровывание сообщений при их передаче во внешнюю сеть, а также автоматическое расшифровывание криптографически закрытых принимаемых данных. В этом случае экран функционирует не только на прикладном уровне, но и на уровне представления. Шлюз сеансового уровня при своем функционировании охватывает транспортный и сетевой уровни модели OSI. Экранирующий маршрутизатор при анализе пакетов сообщений проверяет их заголовки не только сетевого, но и транспортного уровня.

 

•  Экранирующие (фильтрующие) маршрутизаторы;

Экранирующий маршрутизатор, называемый еще пакетным фильтром, предназначен для фильтрации пакетов  сообщений и обеспечивает прозрачное взаимодействие между внутренней и  внешней сетями. Он функционирует  на сетевом уровне модели OSI, но для  выполнения своих отдельных функций может охватывать и транспортный уровень. Решение о том, пропустить или отбраковать данные, принимается для каждого пакета независимо на основе заданных правил фильтрации. Для принятия решения анализируются заголовки пакетов сетевого и транспортного уровней. В качестве анализируемых полей IP- и ТСР (UDP)- заголовков каждого пакета выступают:

• адрес отправителя;
• адрес получателя;
• тип пакета;
• флаг фрагментации пакета;
• номер порта источника;
• номер порта получателя.

Первые четыре параметра относятся к IP-заголовку пакета, а следующие – к ТСР- или UDP-заголовку.

 

• шлюз сеансового уровня;

Шлюз сеансового уровня (экранирующий транспорт) предназначен для контроля виртуальных соединений и трансляции IP-адресов при взаимодействии с внешней сетью. Он функционирует на сеансовом уровне модели OSI, охватывая в процессе своей работы также транспортный и сетевой уровни эталонной модели. Защитные функции экранирующего транспорта относятся к функциям посредничества.

Контроль виртуальных  соединений заключается в контроле квотирования связи, а также контроле передачи информации по установленным виртуальным каналам.

При контроле квитирования связи шлюз сеансового уровня следит за установлением виртуального соединения между рабочей станцией внутренней сети и компьютером внешней сети, определяя, является ли запрашиваемый сеанс связи допустимым. Такой контроль основывается на информации, содержащейся в заголовках пакетов сеансового уровня протокола ТСР. Однако если пакетный фильтр при анализе ТСР-заголовков проверяет только номера портов источника и получателя, то экранирующий транспорт анализирует другие поля, относящиеся к процессу квотирования связи.

Чтобы определить, является ли запрос на сеанс связи допустимым, шлюз сеансового уровня выполняет следующие действия. Когда рабочая станция (клиент) запрашивает связь с внешней сетью, шлюз принимает этот запрос, проверяя, удовлетворяет ли он базовым критериям фильтрации, например, может ли DNS-сервер определить IP-адрес клиента и ассоциированное с ним имя. Затем, действуя от имени клиента, шлюз устанавливает соединение с компьютером внешней сети и следит за выполнением процедуры квотирования связи по протоколу ТСР.

 

• шлюз прикладного уровня.

Прикладной шлюз, называемый также экранирующим шлюзом, функционирует на прикладном уровне модели OSI, охватывая также уровень представления, и обеспечивает наиболее надежную защиту межсетевых взаимодействий. Защитные функции прикладного шлюза, как и экранирующего транспорта, относятся к функциям посредничества. Однако прикладной шлюз, в отличие от шлюза сеансового уровня, может выполнять существен- но большее количество функций защиты, к которым относятся следующие:

• идентификация и аутентификация пользователей при попытке установления соединений через МЭ;
• проверка подлинности информации, передаваемой через шлюз;
• разграничение доступа к ресурсам внутренней и внешней сетей;
• фильтрация и преобразование потока сообщений, например, динамический поиск вирусов и прозрачное шифрование информации;
• регистрация событий, реагирование на задаваемые события, а также анализ зарегистрированной информации и генерация отчетов;
• кэширование данных, запрашиваемых из внешней сети.

Учитывая, что функции  прикладного шлюза относятся  к функциям посредничества, он представляет собой универсальный компьютер, на котором функционируют программные посредники (экранирующие агенты) — по одному для каждого обслуживаемого прикладного протокола (HTTP, FTP, SMTP, NNTP и др.).

Посредник каждой службы ТСР/IP ориентирован на обработку сообщений  и выполнение функций защиты, относящихся именно к этой службе. Так же, как и шлюз сеансового уровня, прикладной шлюз перехватывает с помощью соответствующих экранирующих агентов входящие и исходящие пакеты, копирует и перенаправляет информацию через шлюз, и функционирует в качестве сервера-посредника, исключая прямые соединения между внутренней и внешней сетью. Однако посредники, используемые прикладным шлюзом, имеют важные отличия от канальных посредников шлюзов сеансового уровня. Во-первых, посредники прикладного шлюза связаны с конкретными приложениями (программными серверами), а во-вторых, они могут фильтровать поток сообщений на прикладном уровне модели OSI.

Прикладные шлюзы используют в качестве посредников специально разработанные для этой цели программные серверы конкретных служб ТСР/IP— серверы HTTP, FTP, SMTP, NNTP и др. Эти программные серверы функционируют на брандмауэре в резидентном режиме и реализуют функции защиты, относящиеся к соответствующим службам ТСР/IP. Трафик UDP обслуживается специальным транслятором содержимого UDP-пакетов.