Матеріали для Нової української школи 1 клас - планування, розробки уроків, дидактичні та методичні матеріали, підручники та зошити

ОБРОБКА І ПЕРЕДАЧА ІНФОРМАЦІЇ. СУЧАСНІ КОМП'ЮТЕРНІ ТЕХНОЛОГІЇ - Золота колекція рефератів - 2018

БЕЗПЕКА INTERNET: БРАНДМАУЕРИ

АКТУАЛЬНІСТЬ ТЕМИ

Інтенсивний розвиток глобальних комп’ютерних мереж, поява нових технологій пошуку інформації привертають дедалі більше уваги до мережі Internet з боку приватних осіб і різних організацій. Багато організацій приймають рішення про інтеграцію своїх локальних і корпоративних мереж у глобальну мережу. Використання глобальних мереж у комерційних цілях, а також передача інформації, що містить відомості конфіденційного характеру, спричиняє необхідність побудови ефективної системи захисту інформації. Сьогодні глобальні мережі застосовуються для передачі комерційної інформації різного рівня конфіденційності, наприклад, для зв’язку з віддаленими офісами центрального офісу організації або створення Web-сторінки організації з розміщеною на ній рекламою й діловими пропозиціями.

Навряд чи потрібно перераховувати всі переваги, які одержує сучасне підприємство, маючи доступ до глобальної мережі Internet. Але використання Internet має й негативні наслідки. Розвиток глобальних мереж призвів до багаторазового збільшення кількості користувачів і збільшення кількості атак на комп’ютери, підключені до мережі Internet. Щорічні втрати, викликані недостатнім рівнем захищеності комп’ютерів, оцінюються десятками мільйонів доларів. При підключенні до Internet локальної або корпоративної мережі необхідно подбати про забезпечення інформаційної безпеки цієї мережі. Глобальна мережа Internet створювалася як відкрита система, призначена для вільного обміну інформацією. У силу відкритості своєї ідеології Internet надає для зловмисників значно більші можливості в порівнянні з традиційними інформаційними системами. Тому питання про захист мереж і її компонентів стає досить важливим і актуальним. Багато країн нарешті зрозуміли важливість цієї проблеми. Відбувається збільшення витрат і зусиль, спрямованих на виробництво й поліпшення різних засобів захисту. Основною метою реферату є розгляд і вивчення функціонування одного з таких засобів мережевого захисту, як брандмауер, або міжмережевий екран, який сьогодні у плані захисту є найнадійнішим із пропонованих засобів.

Брандмауер — це один з декількох шляхів захисту вашої мережі від іншої, котрій ви недовіряєте. Узагалі існує безліч варіантів забезпечення такого захисту, але в принципі брандмауер можна представити як пару механізмів: один — для блокування, другий — для дозволу трафіку.

Основною причиною для установки в приватній мережі брандмауера практично завжди є прагнення користувача захистити мережу від несанкціонованого вторгнення. У більшості випадків мережу захищають від нелегального доступу до системних ресурсів, а також від відправлення якої-небудь інформації без відома її власника. У деяких випадках експорт інформації не розглядається як особливо важлива проблема, однак для багатьох корпорацій, що підключаються до Internet, — це питання першорядної важливості. Багато організацій вдаються до найпростішого шляху, щоб уникнути подібних неприємностей: вони просто не підключаються до Internet. Однак це не таке вже й удале рішення. Якщо така мережа децентралізована або погано керована, будь-який співробітник компанії, що має доступ до швидкісного модему, може легко підключитися до Internet за допомогою SLIP, що може призвести до порушення безпеки всієї мережі.

КОНСТРУКТИВНІ РІШЕННЯ

У процесі конфігурації брандмауера конструктивні рішення найчастіше диктуються корпоративною й організаційною політикою компанії в галузі забезпечення захисту мереж. Зокрема, будь-яка фірма повинна зробити дуже серйозний вибір: що для неї важливіше — високий ступінь захисту або простота у використанні. Існує два підходи до вирішення цієї дилеми:

— що не було спеціально дозволене, те заборонене:

— що не було спеціально заборонене, те дозволене.

Важливість цього розмежування переоцінити неможливо. У першому випадку брандмауер повинен блокувати все, а системні служби будуть доступні користувачам лише після ретельної оцінки їхньої потреби в цих службах, а також ступеня ризику. Подібний підхід безпосередньо ускладнює користувачам життя, у результаті чого багато хто з них уважає брандмауери перешкодою в роботі.

У другому випадку цю ж реакційну роль відіграє системний адміністратор, що зобов’язаний уміти передбачати, які дії мережевих користувачів здатні послабити надійність брандмауера, і вжити відповідних заходів для запобігання таким спробам. У результаті цього підходу конфлікт між адміністратором брандмауера й користувачами постійно поглиблюється й може стати справді серйозним. Якщо користувачі не усвідомлюють важливості запобіжних заходів у плані забезпечення безпеки мережі й не викопують їх, вони найчастіше здатні наразити на ризик всю мережу. Якщо користувачі при вході в систему (login) будуть одержувати необмежений доступ до брандмауера, у системі безпеки мережі може виникнути великий пролом. Загалом, наявність користувальницьких входів у брандмауерну систему має тенденцію значною мірою збільшувати проблему схоронності системи.

Друге найважливіше формулювання в галузі політики безпеки говорить: «Що не було спеціально заборонене, те дозволене». Такий підхід найнадійніший, тому що він звільняє системного адміністратора під необхідності приймати рішення, які TCP-порти безпечні або які ще проломи залишили в системі виробники ядра або програм (TCP — протокол транспортного рівня, застосовуваний в Internet для організації надійного двостороннього доставляння даних, використовуваний багатьма прикладними програмами TCP/IP). Оскільки продавці зовсім не поспішають оприлюднити вади свого програмного забезпечення, цей підхід ефективніший, тому що, по суті, в основі його лежить твердження, що абсолютно все, чого ви не знаєте, може завдати вам шкоди.

РІВЕНЬ НЕБЕЗПЕКИ

Існує кілька шляхів звести нанівець або наразити на ризик брандмауерний захист. І хоча вони всі погані, про деякі можна з упевненістю говорити як про най неприйнятні. Виходячи з того, що основною метою установки більшості брандмауерів є блокування доступу, може стишся, що виявлення ким-небудь лазівки, яка дозволяє проникнути в систему, призведе до повного краху всього захисту цієї системи. Якщо ж несанкціонованому користувачеві вдалося проникнути в брандмауер і переконфігурувати його, ситуація може набути ще більш загрозливого характеру. З метою розмежування термінології припустимо, що в першому випадку ми маємо справу зі зломом брандмауерного захисту, а в другому — з повним його руйнуванням. Ступінь збитку внаслідок руйнування брандмауерного захисту визначити неймовірно складно. Найповніші відомості про надійність такого захисту може дати тільки інформація про здійснену спробу злому, зібрана цим брандмауером. Найгірше відбувається з системою захисту саме тоді, коли при повному руйнуванні брандмауера не залишається ні найменших слідів, які вказують нате, як це відбувалося. У найкращому ж випадку брандмауер сам виявляє спробу злому й чемно інформує про це адміністратора. Спроба при цьому приречена на провал.

Один із способів визначити результат спроби злому брандмауерного захисту — перевірити стан речей у так званих зонах ризику. Якщо мережа приєднана до Internet без брандмауера, об’єктом нападу стане вся мережа. Така ситуація сама по собі не припускає, що мережа стає уразливою для кожної спроби злому. Однак якщо вона приєднується до загальної небезпечної мережі, адміністраторові доведеться забезпечувати безпеку кожного вузла окремо. У випадку утворення пролому в брандмауері зона ризику розширюється й охоплює всю захищену мережу.

Зломщик, що одержав доступ до входу в брандмауер, може вдатися до методу «захоплення островів» і, користуючись брандмауером як базою, охопити всю локальну мережу. Подібна ситуація все-таки дасть слабку надію, тому що порушник може залишити сліди в брандмауері і його можна буде викрити. Якщо ж брандмауер повністю виведений з ладу, локальна мережа стає відкритою для нападу з будь-якої зовнішньої системи, і визначення характеру цього нападу стає практично неможливим.

Загалом цілком можливо розглядати брандмауер як засіб звуження зони ризику до однієї точки ушкодження. У певному розумінні це може здатися зовсім не такою вже й удалою ідеєю, адже такий підхід нагадує складання яєць в один кошик. Однак практикою підтверджено, що будь-яка досить велика мережа включає, щонайменше, кілька вузлів, уразливих при спробі злому навіть не дуже досвідченим порушником, якщо в нього досить для цього часу. Багато великих компаній мають на озброєнні організаційну політику забезпечення безпеки вузлів, розроблену з урахуванням цих недоліків. Однак було б не занадто розумним цілком покладатися винятково на правила. Саме за допомогою брандмауера можна підвищити надійність вузлів, направляючи порушника в такий вузький тунель, що з'являється реальний шанс виявити й вистежити його до того, як він наробить шкоди. Подібно до того, як середньовічні замки обносили декількома стінами, у нашому випадку створюється взаємоблокувальний захист.

ЧОМУ БРАНДМАУЕР?

Через Internet порушник може:

— вторгнутися у внутрішню мережу підприємства й одержати несанкціонований доступ до конфіденційної інформації;

— незаконно скопіювати важливу й цінну для підприємства інформацію;

— одержати паролі, адреси серверів, а часом і їхній уміст;

— уходити в інформаційну систему підприємства під іменем зареєстрованого користувача й т. д.

За допомогою отриманої зловмисником інформації може бути серйозно підірвана конкурентоспроможність підприємства й довіра до нього клієнтів.

Існує багато видів захисту в мережі, але найефективніший спосіб захисту об’єкта від нападу, що одночасно дозволяє користувачам мати деякий доступ до служб Internet, полягає в побудові брандмауера. Щоб брандмауер був досить ефективним, необхідно ретельно вибрати його конфігурацію, установити й підтримувати її.

Брандмауери являють собою апаратно-програмний підхід, що обмежує доступ за рахунок примусового прокладання всіх комунікацій, що йдуть із внутрішньої мережі в Internet, з Internet у внутрішню мережу, через цей засіб захисту. Брандмауери дозволяють також захищати частину вашої внутрішньої мережі від інших її елементів.

Апаратні засоби й програмне забезпечення, що утворюють брандмауер, фільтрують весь трафік і приймають рішення: чи можна пропустити цей трафік — електронну пошту, файли, дистанційну реєстрацію й інші операції. Організації встановлюють конфігурацію брандмауерів різними способами. На деяких об’єктах брандмауери повністю блокують доступ в Internet і назад, а на інших обмежують доступ таким чином, що тільки одна машина або користувач може з’єднуватися через Internets машинами за межами внутрішньої мережі. Іноді реалізуються складніші правила, які включають перевірку кожного повідомлення, направленого з внутрішньої мережі в зовнішню, щоб переконатися в їхній відповідності конкретним вимогам стратегії забезпечення безпеки на цьому об’єкті. Незважаючи на ефективність загалом, брандмауер не забезпечує захист від власного персоналу або від зловмисника, що вже подолав цей засіб мережевого захисту.

МІЖМЕРЕЖЕВИЙ ЕКРАН ЯК ЗАСІБ ЗАХИСТУ ВІД ВТОРГНЕННЯ З INTERNET

Ряд завдань з відвернення найімовірніших загроз для внутрішніх мереж здатні вирішувати міжмережеві екрани. У вітчизняній літературі до останнього часу використовувалися замість цього терміна інші терміни іноземного походження: брандмауер і firewall. Поза комп’ютерною сферою брандмауером (або firewall) називають стіну, яка зроблена з негорючих матеріалів і перешкоджає поширенню пожежі. У сфері комп’ютерних мереж міжмережевий екран являє собою бар’єр, що захищає від фігуральної пожежі — спроб зловмисників вторгнутися у внутрішню мережу для того, щоб скопіювати, змінити або стерти інформацію або скористатися пам'яттю або обчислювальною потужністю комп’ютерів, що працюють у цій мережі. Міжмережевий екран покликаний забезпечити безпечний доступ до зовнішньої мережі й обмежити доступ зовнішніх користувачів до внутрішньої мережі.

Міжмережевий екран (ME) — це система міжмережевого захисту, що дозволяє розділити загальну мережу на дві частини або більше й реалізувати набір правил, що визначають умови проходження пакетів з даними через границю з однієї частини загальної мережі в іншу. Як правило, ця границя проводиться між корпоративною (локальною) мережею підприємства й глобальною мережею Internet, хоча її можна провести й усередині корпоративної мережі підприємства. Для того щоб ME міг здійснити необхідний контроль, йому необхідно визначити набір правил фільтрації.

Зазвичай міжмережеві екрани захищають внутрішню мережу підприємства від «вторгнень» із глобальної мережі Internet, однак вони можуть використовуватися також для захисту від «нападів» з корпоративної інтрамережі, до якої підключена локальна мережа підприємства. Жоден міжмережевий екран не може гарантувати повного захисту внутрішньої мережі при всіх можливих обставинах. Однак для більшості комерційних організацій установка міжмережевого екрана е необхідною умовою забезпечення безпеки внутрішньої мережі. Головний довід на користь застосування міжмережевого екрана полягає втому, що без нього системи внутрішньої мережі наражаються на небезпеку з боку слабо захищених служб мережі Internet, а також зондування й атак з яких-небудь інших хост-комп’ютерів зовнішньої мережі.

Набір протоколів управління передачею повідомлень в Internet (Transmission Control Protocol/Internet Protocol — TCP/IP) використовується для організації комунікацій у неоднорідному мережевому середовищі, забезпечуючи сумісність між комп’ютерами різних типів. Сумісність — одна з основних переваг TCP/IP, тому більшість локальних комп'ютерних мереж підтримує ні протоколи. Крім того, протоколи TCP/І Р надають доступ до ресурсів глобальної мережі Internet. Оскільки TCP/IP підтримує маршрутизацію пакетів, він зазвичай використовується як міжмережевий протокол. Завдяки своїй популярності TCP/IP де-факто став стандартом для міжмережевої взаємодії.

У заголовках пакетів TCP/IP вказується інформація, що може піддатися нападам з боку хакерів. Зокрема, хакер може підмінити адресу відправника у своїх «шкідливих» пакетах, після чого вони будуть виглядати як пакети, передані авторизованим клієнтом.

Відзначимо «уроджені слабості» деяких розповсюджених служб Internet.

Простий протокол передачі електронної пошти (Simple Mail Transfer ProtocolSMTP) дозволяє здійснювати поштову транспортну службу Internet. Одна з проблем безпеки, пов’язана з цим протоколом, полягає в тому, що користувач не може перевірити адресу відправника в заголовку повідомлення електронної пошти. У результаті хакер може послати у внутрішню мережу велику кількість поштових повідомлень, що призведе до перевантаження й блокування роботи поштового сервера.

Популярна в Internet програма електронної пошти Sendmail використовує для роботи певну мережеву інформацію — IP-адресу відправника. Перехоплюючи повідомлення, що відправляються за допомогою Sendmail, хакер може вжити цю інформацію для нападів, наприклад, для спуфінга (підміни адрес).

Протокол передачі файлів (Ele Transfer ProtocolFTP) забезпечує передачу текстових і двійкових файлів, тому його часто використовують в Internet для організації спільного доступу до інформації. Його зазвичай розглядають як один з методів роботи з віддаленими мережами. Деякі FTP-сервери обмежують доступ користувачів до своїх архівів даних за допомогою пароля, інші ж надають вільний доступ (так званий анонімний FTP-сервер). При використанні опції анонімного FTP для свого сервера користувач повинен бути впевнений, що на ньому зберігаються тільки файли, призначені для вільного поширення.

Служба мережевих імен (Domain Name System DNS) являє собою розподілену базу даних, що перетворює імена користувачів і хост-комп’ютерів на IP-адреси, що вказуються в заголовках пакетів, і навпаки. DNS також зберігає інформацію про структуру мережі компанії, наприклад, кількість комп’ютерів з IP-адресами в кожному домені. Однією з проблем DNS є те, що цю базу даних дуже важко «сховати» від неавторизованих користувачів. У результаті DNS часто використовується хакерами як джерело інформації про імена довірених хост-комп’ютерів.

Служба емуляції віддаленого термінала (TELNET) уживається для підключення до віддалених систем, приєднаних до мережі, застосовує базові можливості з емуляції термінала. При використанні цього сервісу користувачі Internet повинні реєструватися на сервері TELNET, уводячи свої ім’я й пароль. Після аутентифікації користувача його робоча станція функціонує в режимі «тупого» термінала, підключеного до зовнішнього хост-комп’ютера. Із цього термінала користувач може вводити команди, які забезпечують йому доступ до файлів і запуск програм. Підключившись до сервера TELNET, хакер може сконфігурувати його програму таким чином, щоб він записував імена й паролі користувачів.

Всесвітня павутина (World Wide WebWWW) — це система, побудована на мережевих додатках, які дозволяють користувачам переглядати вміст різних серверів в Internet або інтрамережах. Найкориснішою властивістю WWW є використання гінертекстових документів, у які вбудовані посилання на інші документи й Web-вузли, що дає користувачам можливість легко переходити від одного вузла до іншого. Однак ця ж властивість є також найслабшим місцем системи WWW, оскільки посилання на Web-вузли, що зберігаються в гіпертекстових документах, містять інформацію про те, як здійснюється доступ до відповідних вузлів. Використовуючи цю інформацію, хакери можуть зруйнувати Web-вузол або одержати доступ до конфіденційної інформації, що зберігається в ньому.

До уразливих служб і протоколів Internet належать також протокол копіювання UUCP, протокол маршрутизації RIP, графічна віконна система X Windows та ін.

Рішення про те, чи фільтрувати за допомогою міжмережевого екрана конкретні протоколи й адреси, залежить від прийнятої в мережі, що захищається, політики безпеки. Міжмережевий екран є набором компонентів, які настроюють таким чином, щоб реалізувати обрану політику безпеки. Зокрема, необхідно вирішити, чи буде обмежений доступ користувачів до певних служб Internet на базі протоколів TCP/IP, і якщо буде, то до якого ступеня.

Політика мережевої безпеки кожної організації повинна включати два складники:

— політику доступу до мережевих сервісів:

— політику реалізації міжмережевих екранів.

Відповідно до політики доступу до мережевих сервісів визначається список сервісів Internet, до яких користувачі повинні мати обмежений доступ. Задаються також обмеження на методи доступу, наприклад, на використання протоколів SLIP (Serial Line Internet Protocol) і PPP (Point-to-Point Protocol). Обмеження методів доступу необхідно для того, щоб користувачі не могли звертатися до «заборонених» сервісів Internet обхідними шляхами. Наприклад, якщо для обмеження доступу в Internet мережевий адміністратор установлює спеціальний шлюз, що не дає можливості користувачам працювати в системі WWW, вони могли б установити PPP-з’єднання з Wеb- серверами через комутовані лінії.

Політика доступу до мережевих сервісів зазвичай грунтується на одному з таких принципів:

1) заборонити доступ з Internet у внутрішню мережу, але дозволити доступ із внутрішньої мережі в Internet;

2) дозволити обмежений доступ у внутрішню мережу з Internet, забезпечуючи роботу тільки окремих «авторизованих» систем, наприклад поштових серверів.

Відповідно до політики реалізації міжмережевих екранів визначаються правила доступу до ресурсів внутрішньої мережі. Насамперед, необхідно встановити, наскільки «довірчою» або «підозрілою» повинна бути система захисту. Іншими словами, правила доступу до внутрішніх ресурсів повинні базуватися на одному з таких принципів:

1) забороняти все, що не дозволене в явній формі;

2) дозволяти все, що не заборонене в явній формі.

Реалізація міжмережевого екрана на основі першого

принципу забезпечує значну захищеність. Однак правила доступу, сформульовані відповідно до цього принципу, можуть доставляти великі незручності користувачам, а крім того, їхня реалізація обходиться досить дорого. При реалізації другого принципу внутрішня мережа виявляється менш захищеною від нападів хакерів, однак користуватися нею буде зручніше й знадобиться менше витрат.

Ефективність захисту внутрішньої мережі за допомогою міжмережевих екранів залежить не тільки відобраної політики доступу до мережевих сервісів і ресурсів внутрішньої мережі, але й від раціональності вибору й використання основних компонентів міжмережевого екрана.

Функціональні вимоги до міжмережевих екранів включають:

— вимоги до фільтрації на мережевому рівні;

— вимоги до фільтрації на прикладному рівні;

— вимоги з настроювання правил фільтрації й адміністрування;

— вимоги до засобів мережевої аутентифікації;

— вимоги щодо впровадження журналів і обліку.

Основні компоненти міжмережевих екранів

Більшість компонентів міжмережевих екранів можна віднести до однієї з трьох категорій:

— фільтруючі маршрутизатори;

— шлюзи мережевого рівня;

— шлюзи прикладного рівня.

Ці категорії можна розглядати як базові компоненти реальних міжмережевих екранів. Лише деякі міжмережеві екрани включають тільки одну з перерахованих категорій. Проте ці категорії відбивають ключові можливості, що відрізняють міжмережеві екрани один від одного.

Фільтрувальні маршрутизатори

Фільтрувальний маршрутизатор являє собою маршрутизатор або запущену на сервері програму, сконфігуровані таким чином, щоб фільтрувати вхідні й вихідні пакети. Фільтрація пакетів здійснюється на основі інформації, що міститься в TCP- і IP-заголовках пакетів.

Фільтрувальні маршрутизатори зазвичай можуть фільтрувати IP-пакет на основі групи таких полів заголовка пакета:

— IP-адреса відправника (адреса системи, що надіслала пакет);

— IP-адреса одержувача (адреса системи, що приймає пакет);

— порт відправника (порт з’єднання в системі відправника);

— порт одержувача (порт з’єднання в системі одержувача).

Порт — це програмне поняття, що використовується клієнтом або сервером для надсилання або приймання повідомлень; порт ідентифікується 16-бітовим числом.

Сьогодні не всі фільтрувальні маршрутизатори фільтрують пакети за TCP/UDP — порт відправника, однак багато виробників маршрутизаторів почали забезпечувати таку можливість. Деякі маршрутизатори перевіряють, з якого мережевого інтерфейсу маршрутизатора прийшов пакет, і потім використовують цю інформацію як додатковий критерій фільтрації.

Фільтрація може бути реалізована різним чином для блокування з’єднань із певними хост-комп’ютерами або портами. Наприклад, можна блокувати з’єднання, що йдуть від конкретних адрес тих хост-комп’ютерів і мереж, які вважаються ворожими або ненадійними.

До позитивних якостей фільтрувальних маршрутизаторів слід зарахувати:

— порівняно невисоку вартість;

— гнучкість у визначенні правил фільтрації;

— невелику затримку при проходженні пакетів.

Недоліки фільтрувальних маршрутизаторів:

— внутрішню мережу видно (можна маршрутизувати) з мережі Internet;

— правила фільтрації пакетів важкі в описі й вимагають дуже добрих знань технологій TCP і UDP;

— при порушенні працездатності міжмережевого екрана з фільтрацією пакетів всі комп’ютери за ним стають повністю незахишеними або недоступними;

— аутентифікацію з використанням ІР-адреси можна нейтралізувати шляхом підміни IP-адреси (атакуюча система видає себе за іншу, використовуючи її ІР-адресу);

— відсутня аутентифікація на рівні користувача.

Шлюзи мережевого рівня

Шлюз мережевого рівня іноді називають системою трансляції мережевих адрес або шлюзом сеансового рівня моделі OSI. Такий шлюз виключає пряму взаємодію між авторизованим клієнтом і зовнішнім хост-комп’ютером. Шлюз мережевого рівня приймає запит довіреного клієнта на конкретні послуги, і після перевірки допустимості запитаного сеансу встановлює з’єднання із зовнішнім хост- комп’ютером. Після цього шлюз копіює пакети в обох напрямках, не здійснюючи їхньої фільтрації.

Шлюз стежить за підтвердженням (квітуванням) зв’язку між авторизованим клієнтом і зовнішнім хост-комп’ютером, визначаючи, чи є запитуваний сеанс зв’язку припустимим. Щоб виявити допустимість запиту на сеанс зв’язку, шлюз виконує таку процедуру: коли авторизований клієнт запитує певний сервіс, шлюз приймає цей запит, перевіряючи, чи задовольняє цей клієнт базовим критеріям фільтрації (наприклад, чи може DNS-сервер визначити ІР-адресу клієнта й асоційоване з ним ім’я). Потім, діючи від імені клієнта, шлюз установлює з’єднання із зовнішнім хост-комп'ютером і стежить за виконанням процедури квітування зв’язку за протоколом TCP. Ця процедура складається з обміну TCP-пакетами, які позначаються прапорами SYN (синхронізувати) і АСК (підтвердити).

Перший пакет сеансу TCP, який позначений прапорцем SYN і містить довільне число, наприклад, 1000, є запитом клієнта на відкриття сеансу. Зовнішній хост-комп’ютер, що одержав цей пакет, посилає у відповідь пакет, який позначений прапорцем АСК і містить число, на одиницю більше, ніж у прийнятому пакеті, підтверджуючи у такий спосіб приймання й а кета SYN від клієнта.

Далі здійснюється зворотна процедура: хост-комп’ютер посилає клієнтові пакет SYN з вихідним числом (наприклад, 2000), а клієнт підтверджує його одержання передачею пакета АСК, що містить число 2001. На цьому процес квітування зв’язку завершується.

Шлюзи прикладного рівня

Для усунення ряду недоліків, властивих фільтрувальним маршрутизаторам, міжмережеві екрани повинні використовувати додаткові програмні засоби для фільтрації повідомлень сервісів гину TELNET і FTP. Такі програмні засоби називаються повноважними серверами (серверами-посередниками), а хост-комп’ютер, на якому вони виконуються, — шлюзом прикладного рівня.

Шлюз прикладного рівня виключає пряму взаємодію між авторизованим клієнтом і зовнішнім хост-комп’ютером. Шлюз фільтрує всі вхідні й вихідні пакети на прикладному рівні. Пов’язані з додатком сервери-посередники перепаправляють через шлюз інформацію, генеровану конкретними серверами.

Для досягнення вищого рівня безпеки й гнучкості шлюзи прикладного рівня й фільтрувальних маршрутизаторів можуть бути об’єднані в одному міжмережевому екрані. Як приклад розглянемо мережу, у якій за допомогою фільтрувального маршрутизатора блокуються вхідні з’єднання TELNET і FTP. Цей маршрутизатор допускає проходження пакетів TELNET або FTP тільки через один хост-комп’ютер — шлюз прикладного рівня TELNET/I-TP. Зовнішній користувач, який хоче з'єднатися з деякою системою в мережі, повинен спочатку з’єднатися зі шлюзом прикладного рівня, а потім уже з потрібним внутрішнім хост-комп’ютером. Це здійснюється в такий спосіб:

1) спочатку зовнішній користувач установлює TEL-NET-з’єднання зі шлюзом прикладного рівня за допомогою протоколу TELNET і вводить ім’я потрібного йому внутрішнього хост-комп’ютера;

2) шлюз перевіряє IP-адресу відправника й дозволяє або забороняє з’єднання відповідно до того або іншого критерію доступу;

3) користувачеві може знадобитися аутентифікація (можливо, за допомогою одноразових паролів);

4) сервер-посередник установлює TELNET-з’єднання між шлюзом і внутрішнім хост-комп’ютером;

5) сервер-посередник здійснює передачу інформації між цими двома з’єднаннями;

6) шлюз прикладного рівня реєструє з’єднання.

Шлюзи прикладного рівня дозволяють забезпечити найвищий рівень захисту, оскільки взаємодія із зовнішнім світом реалізується через невелику кількість прикладних повноважних програм-посередників, що повністю контролюють весь вхідний і вихідний трафік.

Шлюзи прикладного рівня мають ряд переваг у порівнянні зі звичайним режимом, при якому прикладний трафік пропускається безпосередньо до внутрішніх хост- комп’ютерів.

Ось ці переваги.

Невидимість структури мережі, що захищається, із глобальної мережі Internet. Імена внутрішніх систем можна не повідомляти зовнішній системи через DNS, оскільки шлюз прикладного рівня може бути єдиним хост-комп’ютером, ім’я якого має бути відоме зовнішнім системам.

Надійна аутентифікація й реєстрація. Прикладний трафік може бути аутентифікований, перш ніж він досягне внутрішніх хост-комп’ютерів, і може бути зареєстрований ефективніше, ніж за допомогою стандартної реєстрації.

Оптимальне співвідношення між ціною й ефективністю. Додаткові або апаратні засоби для аутентифікації або реєстрації треба встановлювати тільки на шлюзі прикладного рівня.

Прості правила фільтрації. Правила на фільтрувальному маршрутизаторі виявляються менш складними, ніж вони були б, якби маршрутизатор сам фільтрував прикладний трафік і відправляв його великій кількості внутрішніх систем. Маршрутизатор повинен пропускати прикладний трафік, призначений тільки для шлюзу прикладного рівня, і блокувати весь інший трафік.

Можливість організації великої кількості перевірок. Захист на рівні додатків дозволяє здійснювати велику кількість додаткових перевірок, що знижує ймовірність злому з використанням «дір» у програмному забезпеченні.

До недоліків шлюзів прикладного рівня належать:

— нижча продуктивність у порівнянні з фільтрувальними маршрутизаторами; зокрема, при використанні клієнт-серверних протоколів, таких як TELNET, потрібна двокрокова процедура для вхідних і вихідних з’єднань;

— вища вартість у порівнянні з фільтрувальним маршрутизатором.

ОСНОВНІ СХЕМИ МЕРЕЖЕВОГО ЗАХИСТУ НА БАЗІ МІЖМЕРЕЖЕВИХ ЕКРАНІВ

При підключенні корпоративної або локальної мережі до глобальних мереж адміністратор мережевої безпеки повинен вирішувати такі завдання:

— захист корпоративної або локальної мережі від несанкціонованого доступу з боку глобальної мережі;

— приховання інформації про структуру мережі та її компонентів від користувачів глобальної мережі;

— розмежування доступу до мережі, що захищаєтеся, з глобальної мережі та з мережі, що захищається, у глобальну мережу.

Необхідність роботи з віддаленими користувачами вимагає встановлення твердих обмежень доступу до інформаційних ресурсів мережі, що захищається. При цьому часто виникає потреба в організації в складі корпоративної мережі декількох сегментів з різними рівнями захищеності;

— вільно доступні сегменти (наприклад, рекламний WWW-сервер);

— сегмент із обмеженим доступом (наприклад, для доступу співробітникам організації з віддалених вузлів);

— закриті сегменти (наприклад, локальна фінансова мережа організації).

Для захисту корпоративної або локальної мережі застосовуються такі основні схеми організації міжмережевих екранів:

— міжмережевий екран — фільтрувальний маршрутизатор;

— міжмережевий екран на основі двопортового шлюзу;

— міжмережевий екран на основі екранованого шлюзу;

— міжмережевий екран — екранована підмережа.

Міжмережевий екран — фільтрувальний маршрутизатор

Міжмережевий екран, що грунтується на фільтрації пакетів, є найпоширенішим і найпростішим у реалізації. Він складається з фільтрувального маршрутизатора, розташованого між мережею, що захищається, і мережею Internet. Фільтрувальний маршрутизатор сконфігурований для блокування або фільтрації вхідних і вихідних пакетів на основі аналізу їхніх адрес і портів. Комп’ютери, які перебувають у мережі, що захищається, мають прямий доступ до мережі Internet, у той час як більша частина доступу до них з Internet блокується. Часто блокуються такі небезпечні служби, як X Windows, NIS і NFS. У принципі фільтрувальний маршрутизатор може реалізувати кожну з політик безпеки, описаних раніше. Однак якщо маршрутизатор не фільтрує пакети за портом джерела й номером вхідного й вихідного порту, то реалізація політики «заборонене все, що не дозволене в явній формі», може бути утруднена.

Міжмережеві екрани, що грунтуються на фільтрації пакетів, мають такі ж недоліки, що й фільтрувальні маршрутизатори, причому ці недоліки стають більш відчутними при більш жорстких вимогах щодо безпеки мережі, що захищається. Відзначимо деякі з них:

— складність правил фільтрації, у деяких випадках сукупність цих правил може стати некерованою;

— неможливість повного тестування правил фільтрації; це призводить до незахищеності мережі від непротестованих атак;

— кожний хост-комп’ютер, пов'язаний з мережею Internet, потребує своїх засобів посиленої аутентифікації.

Міжмережевий екран на базі двопортового шлюзу

Міжмережевий екран на базі двопортового прикладного шлюзу включає дводомний хост-комп’ютер із двома мережевими інтерфейсами. При передачі інформації між цими інтерфейсами здійснюється основна фільтрація. Для забезпечення додаткового захисту між прикладним шлюзом і мережею Internet зазвичай розміщають фільтрувальний маршрутизатор (малюнок). У результаті між прикладним шлюзом і маршрутизатором утворюється внутрішня екранована підмережа. Цю підмережу можна викорисвувати для розміщення доступних ззовні інформаційних серверів.

На відміну від схеми міжмережевого екрана з фільтрувальним маршрутизатором, прикладний шлюз повністю блокує трафік IP між мережею Internet і мережею, що захищається. Тільки повноважні сервери-посередники, щорозташовуються на прикладному шлюзі, можуть надавати послуги й доступ користувачам.

Цей варіант міжмережевого екрана реалізує політику безпеки, яка грунтується на принципі «заборонене все, що не дозволене в явній формі», при цьому користувачеві недоступні всі служби, крім тих, для яких визначені відповідні повноваження. Такий підхід забезпечує високий рівень безпеки, однак маршрути до захищеної підмережі відомі тільки міжмережевому екрану й сховані від зовнішніх систем.

Слід зазначити, що безпека дводомного хост-комп'ютера, використовуваного як прикладний шлюз, повинна підтримуватися на високому рівні. Будь-який пролом у його захисті може серйозно послабити безпеку мережі, що захищається. Якщо шлюз виявиться скомпрометованим, у зловмисника з’явиться можливість проникнути в захищену мережу.

Для деяких мереж може виявитися неприйнятною недостатня гнучкість схеми міжмережевого екрана з прикладним шлюзом.

Міжмережевий екран на основі екранованого шлюзу

Міжмережевий екран на основі екранованого шлюзу поєднує фільтрувальний маршрутизатор і прикладний шлюз, що дозволяється з боку внутрішньої мережі. Прикладний шлюз реалізується на хост-комп’ютері й має тільки один мережевий інтерфейс.

У цій схемі первинна безпека забезпечується фільтрувальним маршрутизатором. Пакетна фільтрація у фільтрувальному маршрутизаторі може бути реалізована одним з таких способів:

— дозволяти внутрішнім хост-комп’ютерам відкривати з’єднання з хост-комп’ютерами в мережі Internet для визначення сервісів;

— забороняти всі з’єднання від внутрішніх хост-комп’ютерів (змушуючи їх використовувати повноважні сервери-посередники на прикладному шлюзі).

Основний недолік схеми міжмережевого екрана з екранованим шлюзом полягає в тому, що якщо порушник-атакувальник зуміє проникнути в хост-комп’ютер, то перед ним виявляться незахищеними системи внутрішньої мережі. Інший недолік пов’язаний з можливою компрометацією маршрутизатора. Якщо маршрутизатор виявиться скомпрометованим, внутрішня мережа стане доступною порушникові.

Через це сьогодні дедалі популярнішою стає схема міжмережевого екрана з екранованою підмережею.

Міжмережевий екран — екранована підмережа

Міжмережевий екран, що складається з екранованої підмережі, являє собою розвиток схеми міжмережевого екрана на основі екранованого шлюзу. Для створення екранованої підмережі використовуються два екранувальні маршрутизатори. Зовнішній маршрутизатор розташовується між мережею Internet і екранованою підмережею, а внутрішній — між екранованою підмережею й внутрішньою мережею, що захищається. Екранована підмережа містить прикладний шлюз, а також може включати інформаційні сервери й інші системи, що вимагають контрольованого доступу. Ця схема міжмережевого екрана забезпечує високу безпеку завдяки організації екранованої підмережі, яка ще краще ізолює внутрішню мережу, що захищається, від Internet.

Зовнішній маршрутизатор захищає під мережі Internet як екрановану підмережу, так і внутрішню мережу. Він повинен пересилати трафік відповідно до таких правил:

— дозволяється трафік від об’єктів Internet до прикладного шлюзу:

— дозволяється трафік від прикладного шлюзу до Internet:

— дозволяється трафік електронної пошти від Internet до сервера електронної пошти;

— дозволяється трафік електронної пошти від сервера електронної пошти до Internet;

— дозволяється трафік FTP, Gopher і т. д. від Internet до інформаційного сервера;

— забороняється інший трафік.

Зовнішній маршрутизатор забороняє доступ з Internet до систем внутрішньої мережі й блокує весь трафік до Internet, що йде від систем, які не повинні бути ініціаторами з’єднань (зокрема, інформаційний сервер та ін.). Цей маршрутизатор може бути використаний також для блокування інших уразливих протоколів, які не повинні передаватися до хост-комп’ютерів внутрішньої мережі або від них.

Внутрішній маршрутизатор захищає внутрішню мережу як від Internet, так і від екранованої підмережі. Внутрішній маршрутизатор здійснює більшу частину пакетної фільтрації. Він управляє трафіком до систем внутрішньої мережі й від них відповідно до таких правил:

дозволяється трафік від прикладного шлюзу до систем мережі;

— дозволяється прикладний трафік від систем мережі до прикладного шлюзу;

— дозволяється трафік електронної пошти від сервера електронної пошти до систем мережі;

— дозволяється трафік електронної пошти від систем мережі до сервера електронної пошти;

— дозволяється трафік FTP, Gopher і т. д. від систем мережі до інформаційного сервера;

— забороняється інший трафік.

Щоб проникнути у внутрішню мережу при такій схемі міжмережевого екрана, нападникові треба пройти два фільтрувальні маршрутизатори. Навіть якщо він якимось чином проникнув у хост-комп’ютер прикладного шлюзу, він повинен ще подолати внутрішній фільтрувальний маршрутизатор. Таким чином, жодна система внутрішньої мережі недосяжна безпосередньо з Internet, і навпаки. Крім того, чіткий поділ функцій між маршрутизаторами й прикладним шлюзом дозволяє досягти вищої пропускної здатності.

Міжмережевий екран з екранованою підмережею має також недоліки:

— пара фільтрувальних маршрутизаторів потребує значної уваги для забезпечення необхідного рівня безпеки, оскільки через помилки при їх конфігуруванні можуть виникнути провали в безпеці всієї мережі;

— існує принципова можливість доступу в обхід прикладного шлюзу.

ВИСНОВОК

На сьогодні найкращим захистом від комп'ютерних злочинців є міжмережевий екран, правильно встановлений і підібраний для кожної мережі. І хоча він не гарантує стовідсотковий захист від професійних зломщиків, зате ускладнює їм доступ до мережевої інформації. Що ж до аматорів, то для них доступ тепер уважається закритим. У майбутньому міжмережеві екрани повинні стати кращими захисниками для банків, підприємств, урядів та інших спецслужб. Є надія, що коли-небудь буде створений міжмережевий екран, який нікому не вдасться обійти. На цьому етапі програмування можна також припустити, що розробки в галузі міжмережевих екранів обіцяють у недалекому майбутньому досить непогані результати.









загрузка...