МОСКВА 2010

Содержание

Введение…………………………………………………………………………..3

1. Аналитическая часть…………………………………………………………..5

1.1.Описание предприятия и объекта защиты………………………..….5

1.1.1. Предоставляемые услуги………………………………..…...5

1.1.2. Организационная структура предприятия………..………...6

1.2. Возможные угрозы для ЛВС и рекомендации по разработке политики безопасности……………………………………………………7

1.3. Необходимость использования межсетевых экранов для защиты ЛВС ОК «БОР»…………….……………………………………………...10

2. Теоретическая часть…………………………………………………………..13

2.1. Понятие "межсетевой экран"………………………………………..13

2.2. Классы защищенности МЭ…………………………………………..15

2.3. Основные требования, предъявляемые к межсетевым экранам…..17

2.4. Основные компоненты МЭ………………………………………….18

2.5. Основные функции МЭ……………………………………………...21

2.6. Политика безопасности в компьютерных сетях…………………....24

2.7.Политика сетевого подключения…………………………………….25

2.8. Политика брандмауэра………………………………………………27

2.9. Стратегии брандмауэра……………………………………………....29

2.9.1. Применение пакетного фильтра……………………………29

2.9.2. Применение proxy – сервера………………………………..31

3. Проектная часть……………………………………………………………….34

3.1. Политика безопасности ЛВС ОК «БОР»…………………………...34

3.2. Реализация политики безопасности организации с помощью программного пакета FireWall-1…………………………………………41

3.3.Основные особенности FIREWALL-1……………………………….45

3.3.1. Аутентификация пользователей при работе с FTP………..45

3.3.2. Гибкие алгоритмы фильтрации UDP-пакетов, Динамическое экранирование……………………………………………………...45

Заключение………………………………………………………………………47

Список литературы……………………………………………………………...48

Глоссарий…………………………………………………………………..…….49

Тестовые вопросы……………………………………………………………….51

Приложения……………………………………………………………………...53

Введение.

Многие организации используют локальные вычислительные сети для обработки и передачи данных. До использования ЛВС основная часть обработки и обмена данными была централизована: информация и управление ею были сосредоточены в одном месте и централизованы. Сейчас ЛВС логически и физически рассредоточили данные, а также вычислительную мощность и службы обмена сообщениями по всей организации.

Наиболее удобный вид обмена информацией можно представить и реализовать на сегодняшний день в виде локальных вычислительных и распределённых сетей, где каждое автоматизированное рабочее место (АРМ) входит в единую логическую структуру обмена данными. Локально-вычислительные сети, или сокращённо ЛВС, позволяют максимально ускорить создание больших проектов, требующих вклада множества сотрудников либо задействования различных устройств или вычислительных мощностей различных серверов (СУБД, хранилище данных, кластерные блоки для вычислительных задач, дублирование информации и др.). При этом возникают огромные трудности с организацией модели безопасной передачи данных внутри данных сетей, т.к. риск утечки информации намного больше, чем для случая выделенного автоматизированного рабочего места (АРМ оператора). Вдобавок, зачастую приходится связываться с некоторыми удалёнными банками данных (в филиалах компании) или даже непосредственно запрашивать и предоставлять информацию в сети Интернет. В таком случае, количество уязвимостей возрастает в разы и только достаточно грамотная и продуманная балансировка соотношения «оценки рисков»/«затраты на обеспечение безопасности и сохранности данных» позволяет достичь расходов на приемлемом для бизнеса уровне и не разорить всю бизнес-модель за счёт единственной гонки в установке новых и новых заградительных барьеров на пути потенциальных угроз, появляющихся порой даже чаще чем ежедневно.

Одной из решений этих проблем является грамотное составление политики безопасности для организации.

В системе должна быть единая политика безопасности, которая определяет правила обращения с информацией так, чтобы исключить или снизить угрозы ущерба. Единая политика нужна, чтобы исключить противоречия между правилами обращения с одной и той же информацией в разных подразделениях организации. В самом простом случае, этой политикой является дискреционная политика, т. е. у каждого информационного объекта системы есть хозяин, который определяет правила доступа субъектов к объектам. Для реализации дискреционной политики безопасности каждый субъект и объект должны быть идентифицированы, а каждый субъект должен подтвердить свой идентификатор (аутентификация). Обычно дискреционную политику безопасности усиливают аудитом, т. е. отслеживанием действий пользователей или субъектов, которые действуют от их имени, в компьютерной системе.

Кроме дискреционной политики безопасности как минимум необходимо организовать защиту целостности информационных ресурсов от модификации или уничтожения. Идентификация и аутентификация, правила разграничения доступа, аудит и защита целостности должны реализовываться механизмами защиты. На каждом рабочем месте и на серверах установлены операционные системы, которые, как правило, обладают набором механизмов защиты, обеспечивающих идентификацию и аутентификацию, разграничение доступа, аудит на данном компьютере. Серьезные прикладные системы типа СУБД также обладают локальным набором механизмов защиты, обеспечивающих идентификацию и аутентификацию, разграничение доступа и аудит. Основными механизмами защиты целостности являются резервное копирование (backup), электронно-цифровая подпись (ЭЦП) и коды аутентификации.

Однако выполнение политики безопасности на каждом компьютере вовсе не означает, что выполняется единая политика безопасности во всей системе. Например, пользователи по сети могут обращаться на файловый сервер для получения необходимой информации или отправки документов в файле на печать на сетевой принтер. Обращение на сервер предполагает копирование файла из одного компьютера, где файл находится под защитой локальной политики безопасности и средств ее поддержки, в другой компьютер, на котором действует локальная политика безопасности и механизмы ее поддержки. Ясно, что передача файла или информации из этого файла в файл на другой машине не управляется локальной политикой безопасности, т. е. должны быть механизмы реализации политики безопасности системы в целом, с помощью которых может быть разрешен доступ субъекта на одной машине к информации, расположенной на другой машине. В частности, для такого доступа субъект из рабочей станции 1 (РС1), запрашивающий доступ к информации на компьютере РС2, должен быть идентифицирован и аутентифицирован на РС2, т. е. его аутентификационная информация (пароль) на РС1 должна быть передана на РС2. Этот субъект должен быть учтен на РС2 в матрице разграничения доступа, а его действия должны отслеживаться аудитом на РС1 и РС2. Так как в сегменте локальной сети передача является широковещательной, то передача пароля для аутентификации на РС2 может быть подслушана на любой рабочей станции и в следующий раз подслушивающий субъект сможет запрашивать информацию на другой машине от чужого имени.

Понимание необходимости обеспечения защиты информации в ЛВС и разработка соответствующих мер защиты, в том числе разработка политики безопасности являются главными задачами этого курсового проекта.

1. Аналитическая часть.

1.1.Описание предприятия и объекта защиты

Объектом защиты в данном курсовом проекте является ЛВС организации Федеральное Государственное учреждение «Оздоровительный комплекс «Бор».«Оздоровительный комплекс «Бор» включает в себя отель, построенный в стиле старинной русской усадьбы, пансионат и несколько коттеджных поселков. Для автоматизации производства и предоставления услуг была построена ЛВС, соединяющая здания администрации ОК «БОР», пансионата, отеля. Данная ЛВС соединена с глобальной вычислительной сетью Internet через специализированный сервер.

Общая схема ЛВС ОК «БОР» представлена в приложении 1.

Пансионат представляет собой современное 8-этажное здание, состоящее из трех корпусов, соединенных между собой.

Весь комплекс занимает площадь 170 гектаров, окруженный забором и имеет 3 внешних контрольно-пропускных пункта.

Организация является государственной.

1.1.1. Предоставляемые услуги

- Предоставление номеров в пансионате и отеле: одноместных, двухместных, трехместных, четырехместных;

- Предоставление коттеджей

- Питание: 3 ресторана, 3 бара (пивной, ночной, диско-бар), кафе, буфет, пиццерия;

- Медицинские услуги;

- Услуги для корпоративного отдыха.

1.1.2. Организационная структура предприятия

Рис 1.Схема организационной структуры.

Организационная структура предприятия: линейно-функциональная

Руководитель отдела принимает решение наряду с заместителями генерального директора по различным вопросам.

Стоить выделить отдел АСУ ( Автоматизация систем управления ), так как данный отдел отвечает за работоспособность сети и, в нашем случае главное, за ее безопасность.

Функции отдела АСУ:

1) Поддержка рабочих мест;

2) Построение и прокладка сети;

3) Администрирование сети;

1.2. Возможные угрозы для ЛВС и рекомендации по разработке политики безопасности

Рассмотрим несколько характерных случаев, наглядно демонстрирующих типичные инциденты, связанные с деятельностью пользователей. Все описанные ниже случаи взяты из практики и с весьма высокой степенью вероятности могут возникнуть и в организации ОК «БОР».

Случай 1. Многопоточная закачка

Сценарий. Сотрудник загружает из Интернета утилиту для многопоточного сохранения контента указанных сайтов. Указав несколько сайтов, он запускает утилиту в фоновом режиме. В результате сбоя утилита начинает выдавать 500-700 запросов в секунду в непрерывном цикле, что приводит к ситуации DoS на корпоративном прокси-сервере.

Анализ. В данном случае злой умысел со стороны сотрудника отсутствует, однако анализ ситуации показал, что применение данной утилиты не требуется для решения производственных задач. Кроме того, утилита не проходила никаких тестов со стороны администраторов сети и ее применение не было согласовано с ними, что, собственно, и привело к данной ситуации.

Решение проблемы. В политике безопасности вводится запрет на установку программного обеспечения, активно взаимодействующего с Интернетом, без согласования с администраторами и службой безопасности. После этого проводятся технические мероприятия для поиска и удаления подобных программ и блокировки их последующей установки.

Случай 2. Электронная почта

Сценарий. Желая поздравить с Новым годом коллег, сотрудник составляет базу рассылки из 1500 адресов, после чего создает письмо с Flash-мультфильмом размером в 1,5 Мбайт и запускает рассылку. Подобные операции производят также его коллеги, рассылая поздравительные письма с вложенными картинками, Flash-роликами и звуковыми файлами. В результате создается ситуация DoS на почтовом сервере и блокируется прием-отправка деловой корреспонденции.

Анализ. Это типичный пример нецелевого использования корпоративной электронной почты, обычно подобные проблемы возникают перед праздниками. Наиболее характерно данная ситуация проявляется в больших сетях (более 500 пользователей).

Решение проблемы . Технически решить подобную проблему очень сложно, так как ограничения на объем письма и количество писем в единицу времени не всегда приемлемы и малоэффективны при большом количестве пользователей. Наиболее действенная мера — разработка правил использования корпоративного почтового сервера и доведение этих правил до сведения всех пользователей.

Случай 3. Средства анализа сети

Сценарий. Недавно принятый на работу молодой программист для самообразования загружает из Интернета сканер сетевой безопасности XSpider. Для изучения его работы он выставляет настройки по максимуму и в качестве цели указывает адрес одного из корпоративных серверов. В результате средства защиты сервера регистрируют атаку, замедляется время реакции сервера на запросы пользователей.

Анализ. В данном случае злой умысел отсутствует, так как установивший данную программу пользователь сети не имел четкого представления о возможных последствиях.

Решение проблемы . В политике безопасности вводится раздел, категорически запрещающий установку и использование на рабочих местах пользователей средств активного и пассивного исследования сети, генераторов сетевых пакетов, сканеров безопасности и иных средств. Согласно данному положению применение подобных инструментов разрешается только администраторам сети и специалистам по защите информации.

Случай 4. Почтовый вирус

Сценарий. Пользователь получает письмо, содержащее явные аномалии (отправителем и получателем письма является сам пользователь, текст письма не соответствует деловой переписке или отсутствует). К письму приложен архив с неким приложением. Несмотря на инструктаж, любопытство оказывается сильнее, пользователь сохраняет архив на диск, распаковывает и запускает файл, который оказывается новой разновидностью почтового червя.

Анализ. Технические меры в данном случае бесполезны. Тот факт, что пользователь получил письмо, свидетельствует о том, что применяемый почтовый антивирус и антивирус на ПК пользователя не детектируют данную разновидность вируса.

Решение проблемы . Обучение пользователей и разработка планов проведения мероприятий в случае появления в сети почтового или сетевого червя.

Случай 5. Несанкционированное подключение модема

Сценарий. Пользователь несанкционированно подключает к своему компьютеру сотовый телефон и выходит в Интернет через GPRS-соединение. В ходе работы в Интернете на его компьютер проникает сетевой червь, который в дальнейшем пытается заразить другие компьютеры в рамках ЛВС.

Анализ. Сотовые телефоны с GPRS очень распространены, поэтому организовать точку несанкционированного подключения не составляет труда. Опасность такого подключения очень велика, так как оно не контролируется администраторами и не защищено брандмауэром.

Решение проблемы. У данной проблемы имеется два решения: техническое и административное. Для эффективной защиты необходимо применять оба: с одной стороны, политика безопасности должна строжайше запрещать пользователям подключение модемов или сотовых телефонов для выхода в Интернет, а с другой — необходимо предпринимать технические меры для блокирования такой возможности (привилегии и политики безопасности, средства мониторинга).

Случай 6. Зараженный ноутбук

Сценарий. Пользователю выдается служебный ноутбук, который он берет с собой в командировку. Там он подключается к сети, и его компьютер заражается сетевым червем. По возвращении он подключается к ЛВС, и его ноутбук становится источником заражения сети.

Анализ. Данная ситуация достаточно распространена, то есть в этом случае вирус проникает в сеть путем подключения к сети зараженного мобильного компьютера (ноутбука, КПК). Проблема усугубляется наличием в современных ноутбуках Wi-Fi-адаптеров.

Решение проблемы . Данная проблема не имеет однозначного решения. Хорошие результаты достигаются в случае установки на ноутбук антивируса и брандмауэра, причем установка производится администраторами, а пользователю строжайше запрещается их отключать или переконфигурировать.

Случай 7. Работа с электронной почтой в обход корпоративного почтового сервера

Сценарий. Пользователь заводит один или несколько почтовых ящиков в Интернете и использует их в обход корпоративного почтового сервера. В результате он получает письмо с вирусом, и его компьютер в дальнейшем становится источником заражения ЛВС.

Анализ . Это весьма распространенная ситуация. Корпоративный сервер достаточно легко защитить, установив на нем систему почтовых фильтров и антивирус (как вариант — несколько антивирусов). Работа в обход почтового сервера открывает неконтролируемую администраторами брешь в защите сети. Вышесказанное относится также к средствам онлайновых коммуникаций типа ICQ, MSN Messanger и их аналогов.

Решение проблемы. Наиболее эффективное решение — запрет для сотрудников компании на использование посторонних почтовых ящиков. С одной стороны, данный шаг кажется драконовской мерой, с другой — закрывает канал утечки информации и устраняет один из основных источников проникновения вредоносных программ в сеть.

1.3. Необходимость использования межсетевых экранов для защиты ЛВС ОК «БОР»

В связи с бурным ростом глобальных информационных технологий, вопросы защиты информации в IP-сетях приобретают большую актуальность. В нашем случае во внутренней локальной сети предприятия циркулирует информация, распространение которой нежелательно, и существует потребность в анализе каналов утечки и вариантов защиты. Все "слабые места" сетевых информационных систем можно условно классифицировать на два класса:

• Ошибки в программном обеспечении серверов и рабочих станций, позволяющие получить полный или частичный доступ к информации, хранящейся на данной компьютере;
• Ошибки при проектировании сетевых протоколов, приводящие к тому, например, что даже при корректной программной реализации того или иного протокола появляются возможности для несанкционированного доступа.

Межсетевые экраны (firewall, брандмауэр) делают возможной фильтрацию входящего и исходящего трафика, идущего через систему. Межсетевой экран использует один или более наборов ''правил'' для проверки сетевых пакетов при их входе или выходе через сетевое соединение, он или позволяет прохождение трафика или блокирует его. Правила межсетевого экрана могут проверять одну или более характеристик пакетов, включая но не ограничиваясь типом протокола, адресом хоста источника или назначения и портом источника или назначения.

Межсетевые экраны могут серьезно повысить уровень безопасности хоста или сети. Они могут быть использованы для выполнения одной или более ниже перечисленных задач:

• Для защиты и изоляции приложений, сервисов и машин во внутренней сети от нежелательного трафика, приходящего из внешней сети Интернет.
• Для ограничения или запрещения доступа хостов внутренней сети к сервисам внешней сети Интернет.
• Для поддержки преобразования сетевых адресов (network address translation, NAT), что позволяет использование во внутренней сети приватных IP адресов (либо через один выделенный IP адрес, либо через адрес из пула автоматически присваиваемых публичных адресов).

Итак, чтобы обеспечить информационную безопасность ЛВС следует учесть следующие угрозы:

• анализ сетевого трафика с целью получения доступа к конфиденциальной информации, например к передаваемым в открытом виде по сети пользовательским паролям;
• нарушение целостности передаваемой информации. При этом может модифицироваться как пользовательская, так и служебная информация, например подмена идентификатора группы, к которой принадлежит пользователь;
• получение несанкционированного доступа к информационным ресурсам, например с использованием подмены одной из сторон обмена данными с целью получения доступа к файл-серверу от имени другого пользователя;
• попытка совершения ряда действий от имени зарегистрированного пользователя в системе, например злоумышленник, скомпрометировав пароль администратора, может начать общаться с ЛВС от его имени.
Причинами возникновения данных угроз в общем случае могут оказаться:
• наличие уязвимостей в базовых версиях сетевых протоколов. Так, при использовании стека протоколов TCP/IP нарушитель может внедрить в ЛВС ложный ARP-сервер (см. пример, приведенный далее);
• уязвимости специализированных защитных механизмов. Например, причиной возникновения подмены стороны информационного обмена может служить уязвимость процедур аутентификации клиентов при доступе к серверу;
• некорректное назначение уровня доступа;
• использование в качестве каналов передачи данных общедоступной среды, например применение топологии построения ЛВС с общей шиной. В данном случае злоумышленник может использовать ПО (например, Network Monitor или LanAnalyzer), позволяющее просматривать все передаваемые в сети пакеты;
• некорректное администрирование ОС, например задание не до конца продуманных разрешений на удаленное редактирование системного реестра (в ОС Windows NT);
• ошибки в реализации ОС;
• ошибки персонала.

Обеспечение защиты в соответствии с заданной политикой безопасности в ЛВС является комплексной задачей и осуществляется при помощи:

• корректного администрирования сетевых настроек ОС (в том числе и настроек, отвечающих в данной ОС за сетевую безопасность, которые являются штатными средствами большинства современных ОС);
• дополнительных защитных механизмов: шифрования, ЭЦП, аутентификации сторон и др.;
• организационных методов защиты и контроля за их неукоснительным соблюдением, например с использованием системы аудита.

В данном курсовом проекте предлагаю реализовать политику безопасности ЛВС с помощью комплекса программ, в частности использования межсетевого экрана.

2. Теоретическая часть

2.1. Понятие "межсетевой экран"

Современные технологии сетевой защиты являются одним из наиболее динамичных сегментов современного рынка обеспечения безопасности. Средства сетевой защиты настолько стремительно развиваются, что в настоящее время общепринятая терминология в данном направлении еще окончательно не установилась. Эти средства защиты в литературе и средствах массовой информации фигурируют как Firewall.

Термин firewall (в отечественной литературе ему соответствует термин межсетевой экран, или брандмауэр, эти термины употребляются как взаимозаменяемые) впервые появился в описаниях организации сетей около семи лет назад. Прежде чем он был принят экспертами по сетевой безопасности для определения способа предотвращения попыток несанкционированного доступа к сети, подключенной к сети большого масштаба, его как профессиональный термин употребляли строители. Брандмауэром называется огнеупорный барьер, разделяющий отдельные блоки в многоквартирном доме. При попадании огня в один блок брандмауэр предотвращает его распространение в другие блоки - в сущности, позволяет локализовать проблему.

Межсетевой экран работает примерно так же: он помогает избежать риска повреждения систем или данных в локальной сети из-за возникающих проблем, вызванных взаимодействием с другими сетями. Межсетевой экран осуществляет это, пропуская разрешенный трафик и блокируя остальной. Кроме того, межсетевой экран устроен намного сложнее.

Термин «межсетевой экран» был принят для обозначения совокупности компонентов, которые находятся между локальной сетью и внешним миром и образуют защитный барьер.

Руководящий документ Гостехкомиссии России по межсетевому экранированию

Руководящий документ Гостехкомиссии России «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» устанавливает классификацию межсетевых экранов (МЭ) по уровню защищенности от несанкционированного доступа (НСД) к информации на базе перечня показателей защищенности и совокупности описывающих их требований.

Специальные требования и рекомендации по технической защите конфиденциальной информации (СТР-К) определяют межсетевой экран (МЭ) как локальное (однокомпонентное) или функционально-распределенное программное (программно-аппаратное) средство (комплекс), реализующее контроль за информацией, поступающей в Автоматизированную систему (АС) и/или выходящей из АС, и обеспечивающее защиту АС посредством фильтрации информации, т.е. ее анализа по совокупности критериев и принятия решения о ее распространении в (из) АС. (АС - система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций.)

Защита информации при межсетевом взаимодействии определяется следующим образом:

• Подключение локальной вычислительной сети (ЛВС - вычислительная сеть, поддерживающая в пределах ограниченной территории один или несколько высокоскоростных каналов передачи цифровой информации, предоставляемых подключаемым устройствам для кратковременного монопольного использования) к другой автоматизированной системе (локальной или неоднородной вычислительной сети) иного класса защищенности должно осуществляться с использованием МЭ, требования к которому определяются РД Гостехкомиссии России "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации".
• Подключение ЛВС предприятия (учреждения) к Сети должно осуществляться через средства разграничения доступа в виде МЭ (Firewall, Брандмауэр). Не допускается подключение ЛВС к Сети в обход МЭ. МЭ должны быть сертифицированы по требованиям безопасности информации.
• Доступ к МЭ, к средствам его конфигурирования должен осуществляться только выделенным администратором с консоли. Средства удаленного управления МЭ должны быть исключены из конфигурации.
• Абонентский пункт (АП) с помощью МЭ должен обеспечивать создание сеансов связи абонентов с внешними серверами Сети и получать с этих серверов только ответы на запросы абонентов. Настройка МЭ должна обеспечивать отказ в обслуживании любых внешних запросов, которые могут направляться на АП. (АП - средства вычислительной техники учреждения (предприятия), подключаемые к Сетям с помощью коммуникационного оборудования.)
• При использовании почтового сервера и Web-сервера предприятия, последние не должны входить в состав ЛВС АП и должны подключаться к Сети по отдельному сетевому фрагменту (через маршрутизатор).
• На технических средствах АП должно находиться программное обеспечение только в той конфигурации, которая необходима для выполнения работ, заявленных в обосновании необходимости подключения АП к Сети.
• Устанавливаемые межсетевые экраны должны соответствовать классу защищаемого АП (АС) и отвечать требованиям РД Гостехкомиссии России "Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации".

2.2. Классы защищенности МЭ

Устанавливается пять классов защищенности МЭ.

Каждый класс характеризуется определенной минимальной совокупностью требований по защите информации.

Самый низкий класс защищенности - пятый, применяемый для безопасного взаимодействия АС класса 1Д с внешней средой, четвертый - для 1Г, третий - 1В, второй - 1Б, самый высокий - первый, применяемый для безопасного взаимодействия АС класса 1А с внешней средой.

При включении МЭ в АС определенного класса защищенности, класс защищенности совокупной АС, полученной из исходной путем добавления в нее МЭ, не должен понижаться.

Для АС класса 3Б, 2Б должны применяться МЭ не ниже 5 класса.

Для АС класса 3А, 2А в зависимости от важности обрабатываемой информации должны применяться МЭ следующих классов:

• при обработке информации с грифом "секретно" - не ниже 3 класса;
• при обработке информации с грифом "совершенно секретно" - не ниже 2 класса;
• при обработке информации с грифом "особой важности" - не ниже 1 класса.

Перечень показателей по классам защищенности МЭ приведен в таблице 1.

Обозначения:

« - » - нет требований к данному классу;

« + » - новые или дополнительные требования,

« = » - требования совпадают с требованиями к МЭ предыдущего класса.

Таблица 1. Показатели защищенности для МЭ.

В общем случае для обеспечения сетевой защиты между двумя множествами информационных систем ставится экран, который является средством разграничения доступа клиентов из одного множества систем к информации, хранящейся на серверах в другом множестве. В этом смысле межсетевые экраны можно представить как набор фильтров, анализирующих проходящую через них информацию и принимающих решение: пропустить информацию или ее заблокировать. Одновременно с этим производится регистрация событий и тревожная сигнализация в случае обнаружения угрозы. Для экранов определяются понятия "внутри" и "снаружи", причем в задачу экрана входит защита внутренней сети от потенциального враждебного окружения. Межсетевой экран может использоваться в качестве корпоративной открытой части сети, видимой со стороны Интернета. Так, например, во многих организациях межсетевые экраны используются для хранения данных с открытым доступом, как, например, информация о продуктах и услугах, файлах из баз, сообщений об ошибках и т.д.

2.3. Основные требования, предъявляемые к межсетевым экранам

1. Основное требование - обеспечение безопасности внутренней (защищаемой) сети и полный контроль над внешними подключениями и сеансами связи.

2. Экранирующая система должна обладать мощными и гибкими средствами управления для простого и полного проведения в жизнь политики безопасности организации.

3. Межсетевой экран должен работать незаметно для пользователей локальной сети и не затруднять выполнение ими легальных действий.

4. Процессор межсетевого экрана должен быть быстродействующим, работать достаточно эффективно и успевать обрабатывать весь входящий и исходящий поток в пиковых режимах, чтобы его нельзя было блокировать большим количеством вызовов и нарушить его работу.

5. Система обеспечения безопасности должна быть сама надежно защищена от любых несанкционированных воздействий, поскольку она является ключом к конфиденциальной информации в организации.

6. Система управления экранами должна иметь возможность централизованно обеспечивать проведение для удаленных филиалов единой политики безопасности.

7. Межсетевой экран должен иметь средства авторизации доступа пользователей через внешние подключения, что является необходимым в случаях работы сотрудников организации в командировках.

В результате конкуренции среди производителей межсетевых экранов и их попыток усовершенствовать свой продукт брандмауэры наделялись новыми свойствами. Поскольку межсетевой экран служит как бы воротами во внешний мир, он должен выполнять множество задач, в том числе и не связанных с обеспечением безопасности.

2.4. Основные компоненты МЭ

Выделяют три основных компонента МЭ, выполняющих функции администрирования, сбора статистики и предупреждения об атаке и аутентификации.

• Администрирование. Легкость администрирования является одним из ключевых аспектов при создании эффективной и надеж ной системы защиты. Ошибки при определении правил доступа могут образовать лазейку, через которую рано или поздно будет взломана система. Поэтому в большинстве МЭ реализованы сервисные утилиты, облегчающие ввод, удаление и просмотр набора правил. Наличие этих утилит позволяет также производить про верки на синтаксические или логические ошибки при вводе или редактировании правил. Обычно эти утилиты позволяют просматривать информацию, сгруппированную по каким-либо критериям, например, все, что относится к конкретному пользователю или сервису.
• Системы сбора статистики и предупреждения об атаке. Информация обо всех событиях: отказах, входящих, выходящих соединениях, числе переданных байт, использовавшихся сервисах, времени соединения и т.д., - накапливается в файлах статистики. Многие МЭ позволяют гибко определять подлежащие протоколированию (протоколирование - это сбор и накопление информации о событиях, происходящих в информационной системе) события, описывать порядок действия при атаках или попытках несанкционированного доступа: сообщение на консоль, почтовое послание администратору системы и т.д. Немедленный вывод сообщения о попытке взлома на экран консоли или администратора может помочь, если попытка оказалась успешной, и атакующий уже проник в систему. В состав многих МЭ входят генераторы отчетов, служащие для обработки статистики и позволяющие собрать статистику по использованию ресурсов конкретными пользователями, по использованию сервисов, отказам, источникам, с которых проводились попытки несанкционированного доступа и т.д.
• Аутентификация. Прежде чем пользователю будет предоставлено право получить тот или иной сервис, необходимо убедиться, что он действительно тот, за кого себя выдает (предполагается, что этот сервис для данного пользователя разрешен: процесс определения, какие сервисы разрешены, называется авторизацией . Авторизация обычно рассматривается в контексте аутентификации - как только пользователь аутентифицирован, для него определяются разрешенные ему сервисы). При получении запроса на использование сервиса от имени какого-либо пользователя, МЭ проверяет, какой способ аутентификации определен для данного пользователя, и передает управление серверу аутентификации. После получения положительного ответа МЭ формирует запрашиваемое пользователем соединение.

При аутентификации используется, как правило, принцип, по лучивший название "что он знает" - пользователь знает некоторое секретное слово, которое он посылает серверу аутентификации в ответ на его запрос. Одной из схем аутентификации является использование стандартных Unix-паролей. Эта схема является наиболее уязвимой с точки зрения безопасности, так как пароль может быть перехвачен и использован другим лицом. Чаще всего используются схемы с применением одноразовых паролей.

Ряд МЭ поддерживают систему Kerberos - один из наиболее распространенных методов аутентификации. Главной особенностью Kerberos является то, что первичные ключи по системе не передаются вообще. Эта система была разработана в Массачусетском технологическом институте в рамках проекта Athena. Главным назначением системы является обеспечение защищенного об мена данными в сети общего пользования. Обмен данными по строен по принципу клиент/сервер. В Kerberos существует не один, а целых три сервера: идентификационный, выдачи разрешений и административный. Все ПК пользователей оснащаются клиентской частью Kerberos. Сервер может быть установлен на любом ПК или даже разнесен по многим. Ядро системы составляют сер вер идентификации и сервер выдачи разрешений. Область действия Kerberos-сервера называется realm. Все пользователи realm должны быть зарегистрированы в идентификационном сервере Kerberos, а все серверы должны иметь общий кодовый ключ с идентификационным сервером.

При взаимодействии с системой пользователь посылает свой идентификатор серверу идентификации, который проверяет наличие данного пользователя в своей базе данных. Если пользователь зарегистрирован, то ему отправляется "разрешение на получение разрешения" и код сеанса, которые зашифрованы при помощи па роля пользователя из базы данных пользователя. Данная информация расшифровывается на ПК пользователя после ввода послед ним своего пароля, который совпадает с тем, что хранится в базе данных пользователя. Таким образом, пароль по сети не передается. После того, как разрешение на обращение к серверу разрешений получено, клиент обращается за разрешением на доступ к ин формационным ресурсам. Этот запрос содержит имя пользователя, сетевой адрес его компьютера, отметку времени, срок жизни раз решения и код сеанса. Разрешение зашифровывается при помощи кода, известного идентификационному серверу и серверу выдачи разрешений. Данный код пользователю не известен. Кроме кода, разрешение шифруется и при помощи пароля пользователя. Вместе с запросом на разрешение на доступ к ресурсам пользователь посылает еще и свой идентификатор, который шифруется с использованием кода сеанса и содержит имя пользователя, его сете вой адрес и отметку времени. Сервер разрешений проверяет полу ченное разрешение на получение разрешений (сравнивает имя пользователя и его сетевой адрес, зашифрованные в разрешении, с адресом из пакета). После этого расшифровывается идентификатор и снова сравнивается имя пользователя и его сетевой адрес с теми, что пришли в пакете. Так как идентификатор пользователя используется только один раз в течение определенного времени, то перехватить и идентификатор, и разрешение довольно трудно. Сервер разрешений высылает разрешение клиенту, которое шиф­руется при помощи кода, известного серверу разрешений и ин формационному серверу. Данное разрешение содержит новый код сеанса, который используется клиентом при обращении к целевому серверу.

Таким образом, за счет многократного шифрования и много численных проверок исключается перехват защищенной информации. Однако следует принимать во внимание тот факт, что все программные компоненты должны включать в себя программы из Kerberos-библиотеки, т.е. telnet, ftp и т.п. должны быть отредактированы с Kerberos-библиотекой. Таких серверов не так много, что серьезно ограничивает применение Kerberos на практике.

Эта система имеет ряд недостатков. Во-первых, подразумеватся четкое разделение компьютеров на рабочие станции и серверы. В случае, если пользователь пожелает, зайдя на сервер, с помощью telnet зайти на другой компьютер, идентификация не сработает, так как пользователь имеет разрешение на работу только на той рабочей станции, где он вводил пароль. Иными словами, в Kerberos версии 4 полномочия пользователя не передаются на другие ПК. Кроме того, требуется выделенный компьютер под сервер Kerberos, причем работающий в максимально секретных условиях, поскольку на нем имеется база данных, где содержатся все пароли пользователей. Kerberos версии 4 очень ограниченно применима в сети, где возможны ситуации, когда в силу ряда обстоятельств сервер Kerberos недоступен по сети (непредвиденные сбои в маршрутизации, ухудшение или обрыв связи и т.д.). Часть недостатков, перечисленных выше, ликвидирована в версии 5, но эта реа лизация запрещена к экспорту из США.

По описаному алгоритму работают также системы Sphinx от DEC и NIS+ от Sun. Отличаются они применением различных алгоритмов шифрования, другого протокола передачи (RPC вместо UDP) и способов объединения административных доменов в иерархию.

Прежде чем приниматься за разработку стратегии безопасности брандмауэра, следует подумать, что и как следует защищать. Если компания достаточно велика, она должна иметь собственную политику безопасности. Стоит принять ее в качестве отправной точки. Обсудив этот вопрос с пользователями или менеджерами, можно сделать вывод, каким службам будет разрешено работать через межсетевой экран.

2.5. Основные функции МЭ

Приведем основные функции, которые имеются в современных брандмауэрах:

- кэширование (caching ). Это свойство особенно характерно для сетей, содержащих web-серверы с большим объемом информации, доступной из Internet. Благодаря локальному хранению часто запрашиваемых данных кэширующий сервер может улучшить время реакции на запрос пользователя и сэкономить полосу пропускания, которая потребовалась бы для повторной загрузки данных;

- трансляция адреса (addresstranslation) . Настроенный соответствующим образом брандмауэр позволяет применять для внутренней сети любые IP- адреса. При этом снаружи виден только адрес брандмауэра;

- фильтрация контента (contentrestriction) . Все большее число продуктов обеспечивает ограничение информации, получаемой пользователями из internet, путем блокирования доступа к адресам URL, содержащим нежелательный контент, или поиска заданных ключевых слов в приходящих пакетах данных;

- переадресация (addressvectoring) . Эта функция предоставляет брандмауэру возможность изменять, например, запросы HTTP так, чтобы они направлялись серверу не с указанным в пакете запроса IP - адресом, а с другим. Таким способом удается распределять нагрузку между несколькими серверами, которые для внешнего пользователя выглядят как одиночный сервер.

Все эти функциональные возможности дают определенные преимущества в плане гарантий безопасности, но в основном предназначены для увеличения производительности. Например, в результате переадресации и трансляции адреса удается скрыть внутренние IP-адреса от хакеров, что безусловно повышает безопасность. Чем меньшей информацией располагает потенциальный нарушитель, тем более сложной будет его работа. Но эти же возможности служат администратору при распределении нагрузки среди нескольких компьютеров. Благодаря трансляции адреса не понадобится запрашивать большой диапазон адресов IP для всех серверов и рабочих станций в сети.

Межсетевой экран не гарантирует абсолютную защиту сети, и его нельзя рас сматривать в качестве единственного средства обеспечения безопасности. Необходимо понимать, как именно выполняет брандмауэр свои функции по защите сети. В равной степени важно знать, от чего он не может обезопасить.

В общем случае правильно сконструированный межсетевой экран способен:

• защищать сеть от небезопасных протоколов и служб;
• защищать информацию о пользователях, системах, сетевых адресах и выполняемых в сети приложениях от внешнего наблюдения;
• обеспечить ведение журнала (в виде набора log-файлов), содержащего статистические данные и записи о доступе к защищенным ресурсам. Это позволяет убедиться в том, что сеть работает эффективно и надежно. Хороший межсетевой экран также имеет в настройках опцию предупреждения администратора о возникновении критических событий, таких как попытка несанкционированного доступа;
• гарантировать централизованное управление безопасностью сети по отношению к остальному миру. Межсетевой экран - это шлюз между Internet и сетью. В большой сети может существовать несколько соединений с внешними сетями и, следовательно, несколько брандмауэров. В этом случае следует особенно тщательно подойти к выбору брандмауэра. Многие новые продукты пре доставляют возможность администрировать с одной консоли управления сразу несколько брандмауэров.

Межсетевой экран не в состоянии уберечь от взлома изнутри. Это означает, что для защиты от возможных разрушительных действий пользователей внутри сети следует прибегать к обычным средствам безопасности. При применении брандмауэра важно не забывать о том, что он не снимает все существующие проблемы безопасности в сети. Межсетевой экран не берет на себя повседневных функций по администрированию систем и обеспечению безопасности. Он просто создает еще один уровень безопасности.

Брандмауэр не может защитить от:

• вирусов. Хотя некоторые брандмауэры и способны распознавать вирусы в проходящем через них трафике, существует множество способов спрятать вирусы в программе;
• «троянских коней». Как и в случае с вирусами, блокировать проникновение в сеть «троянских коней» (Trojan horses) достаточно сложно. Пользователь нередко поддается искушению загрузить программу из Internet или открыть прикрепленный к сообщению электронной почты файл, проложив тем самым путь в систему вредоносной программе;
• «социальной инженерии». Термин «social engineering» возник недавно и при меняется для описания методов получения хакерами информации от доверчивых пользователей;
• некомпетентности. Плохо подготовленные сотрудники или небрежное руководство приводят к ошибкам в настройках локальной сети и межсетевого экрана. Если сотрудники не понимают, как работает брандмауэр и как правильно его настраивать, не исключено, что это будет способствовать возникновению проблем;
• атаки изнутри. Межсетевой экран не может предотвратить злонамеренные действия внутри сети. Это одна из причин, по которой безопасность компьютеров в сети остается важной проблемой и после установки брандмауэра.

Выбор доступных пользователям служб

С чего лучше начать планирование политики безопасности для сети? Во-первых, определить, какие службы должны быть доступны пользователям. Причиной подключения компании к Internet становится желание располагать некоторыми из типичных возможностей, такими как:

· электронная почта - для обмена корреспонденцией с поставщиками и клиентами;

· удаленный доступ - для обращения к ресурсам локальной сети компании извне;

· поддержка исследований - обеспечение взаимодействия технического персонала с коллегами в других компаниях и учреждениях;

· поддержка клиентов - возможность просмотра клиентами документации к продукту и другой литературы, что уменьшает нагрузку на службу поддержки;

· техническая поддержка - получение доступа (в качестве клиента) к документации, размещенной производителем в Internet;

· торговля и маркетинг - организация электронной торговли и маркетинга продукции компании в Internet.

Для удовлетворения потребностей пользователей применяют различные комбинации следующих служб:

§ FTP. С помощью протокола передачи файлов (File transfer protocol) исследовательская группа обменивается файлами с другими сайтами. Доступ клиентов к файлам или документации обеспечивает анонимный (anonymous) FTP;

§ Telnet. Эта служба может быть использована сотрудниками группы поддержки пользователей для удаленного входа на компьютер пользователя с целью диагностики проблемы. Применяется также при удаленном администрировании сети;

§ №4717. Сервер WWW обеспечивает присутствие компании в Internet. Сообщение клиентам на корпоративном Web-сайте о выходе новых продуктов или появлении новых служб, а также размещение на сервере документации и осуществление поддержки продуктов;

§ электронная почта. При помощи простого протокола пересылки почты (Simple Mail Transfer Protocol, SMTP) можно посылать электронную почту со своего компьютера почти в любую точку мира. Это прекрасный спо соб быстрого общения с клиентами и сотрудниками.

Это список лишь основных служб, доступных в Internet.

Предположим, например, что политика безопасности разрешает пользователям получать доступ к внешним компьютерам с помощью Telnet, но запрещает любые входящие подключения по данному протоколу. Это позволяет пользователям выполнять удаленное подключение к системам клиентов, но блокирует проникновение в сеть извне. Примерно так же можно определять политику безопасности для других важных сетевых служб, таких как FTP и SMTP, в зависимости от конкретных нужд. Но иногда, как и в любой другой политике, придется делать исключения.

Имеет смысл создавать политику безопасности брандмауэра на основе политики безопасности компании. В отличие от последней, которая обычно содержит несколько документов и охватывает широкий спектр тем, политика безопасности брандмауэра описывает детали реализации брандмауэра с тем, чтобы были выполнены требования безопасности в отношении устанавливаемых через него соединений.

2.6. Политика безопасности в компьютерных сетях

Это список того, что разрешено и запрещено делать на подключенном к сети компьютере. Политика безопасности охватывает множество различных тем и во всех деталях описывает раз решенные пользователям действия и штрафы за нарушение требований. Подробное описание политики безопасности имеет единственный недостаток: существует опасность, что пользователи не совсем поймут ее или даже не дочитают до конца, если она окажется слишком длинной. Но лучше заранее предупредить их о недопустимых действиях, чем впоследствии спорить о деталях. Политика безопасности должна быть сформулирована в одном или нескольких печатных документах.

Прежде чем сотруднику будет разрешено использовать любые компьютерные ресурсы, он должен ознакомиться с документами политики безопасности и подтвердить их прочтение. В большинстве крупных компаний эта функция возлагается на отделы кадров, и политика безопасности обычно со стоит из нескольких документов, таких как политика сетевого подключения и перечень допустимых применений , которые сотруднику следует подписать. Кроме того, полезно включить в их число документ, описывающий действия, которые нужно предпринять в случае возникновения нештатной ситуации, связан ной с нарушением безопасности.

2.7.Политика сетевого подключения.

Политикой сетевого подключения должны быть определены типы устройств, раз решенные для подключения к сети. Например, позволяя подключение серверов и рабочих станций, можно запретить подключение к сети модемных серверов удаленного доступа. Аналогично в политике подключения к сети должны быть детально определены настройки систем, которые допускается подключать к сети. Эта политика может включать в себя следующие разделы:

• описание процесса установки и настройки операционной системы и приложений, а также их функциональные возможности, которые разрешено использовать;
• местоположение в сети (физической подсети) систем определенного типа и процедуру разрешения вопросов адресации в сети;
• требование об установке и регулярном обновлении антивирусного программного обеспечения;
• описание настройки прав пользователей и защиты ресурсов, обеспечиваемых операционной системой;
• процедуры, которым необходимо следовать для создания новой учетной записи пользователя, и аналогичные процедуры для ее удаления;
• запрет на установку дополнительных аппаратных или программных компонентов без одобрения сетевого администратора (или другого ответственного лица).

Этот список можно дополнить. Его содержимое должно отражать специфику подключения к сети. Например, имеют ли право пользователи подключать переносные компьютеры к локальной сети или они должны обмениваться данными с настольным компьютером при помощи дискет либо других устройств хранения данных? Если подключение ноутбуков к сети разрешено, обязан ли каждый из них иметь собственный адрес или получать адрес при помощи DHCP? Далее, имеют ли право сотрудники подключать ноутбуки к другим сетям, скажем, к сети клиента при работе вне офиса?

Политика подключения к сети должна также описывать функции, для выполнения которых предназначены определенные компьютеры. Если в отделе может быть установлен Web- или FTP-сервер, полезно определить, в какой части сети его следует подключить. Например, удобно расположить его в описанной ниже демилитаризованной зоне (demilitarized zone), что позволит клиентам получать к нему доступ через Internet и в то же время не позволит такому трафику проходить через внутреннюю сеть.

Допустимые применения

Из всего бизнес-оборудования настольные компьютеры чаще всего используются не по назначению. Это означает, что кроме выполнения функций, нужных для работы, например приложений для редактирования текстов и баз данных, компьютер может служить для запуска игровых и других программ, не имеющих ничего общего со служебными обязанностями пользователя. Другому оборудованию, копировальным аппаратам или телефонам, также часто приходится исполнять неслужебные функции, но все же не в таких масштабах, как компьютерам. При подключении к Internet возможные злоупотребления такого рода возрастают многократно.

Поскольку компьютеры обладают большим потенциалом для злоупотребления и неправильного использования, важно четко определить что разрешено делать на компьютере, а какие действия являются неприемлемыми. Для этого удобно сформулировать допустимые применения в отдельном документе.

Рекомендуется включить в него следующие пункты:

• запрет на установку на компьютере любых приложений, не одобренных и не приобретенных компанией, в том числе «нелегальных» копий программ и условно бесплатных (shareware) программ, загруженных из Internet;
• запрет на копирование приложений, принадлежащих компании, для работы с ними в другом месте, например на домашнем компьютере пользователя;
• требование выхода пользователя из системы при его отсутствии за компьютером. В качестве альтернативы для защиты оставленного без присмотра компьютера допустимо применять хранитель экрана с проверкой пароля;
• требование докладывать ответственному лицу о любой подозрительной активности;
• запрет на применение компьютера или приложений на нем для причинения беспокойства другому лицу или угроз в отношении него;
• запрет на использование электронной почты в личных целях;
• запрет на попытки доступа к данным, не связанным непосредственно с производственными обязанностями, иногда называемые зондированием сети (probing the network).

Приведенный выше список также неполон. Необходимо составить собственный список с учетом бизнес-окружения, в котором работает компания, обсудить политику допустимых применений с менеджерами всех подразделений, чтобы понять, чего они ожидают от сети, и попытаться создать набор правил, позволяющих пользователям выполнять свою работу, не нарушая безопасности сети.

2.8. Политика брандмауэра

С политикой безопасности часто путают политику брандмауэра (firewall policy).

После разработки политики безопасности и выбора сервисов и протоколов, которым будет разрешена работа через брандмауэр, и необходимых настроек, можно принять решение о том, как реализовать эту политику. Межсетевой экран использует набор правил, определяющих, какие пакеты (в случае пакетного фильтра) или сервисы (в случае proxy-сервера или шлюза) будут работать через него. При этом выбирается одна из следующих двух стратегий:

• разрешить любой доступ, не запрещенный правилами;
• запретить любой доступ, не разрешенный правилами.

При выборе первой стратегии придется создавать правила, которые бы учитывали все возможные запреты. Это не только приведет к необходимости иметь множество правил, но и заставит пересматривать их при появлении каждого нового протокола или сервиса, которые существующими правилами не охватываются.

Вторая стратегия проще и безопаснее. Запретив весь трафик и задав правила, разрешающие доступ через экран только для нужных протоколов и сервисов, можно будет намного строже управлять брандмауэром. В подобной ситуа ции потенциальному нарушителю придется искать способ каким-то образом вос пользоваться доступом в ограниченных вами условиях.

После выбора стратегии следует определить, каким сервисам будет разрешено работать через межсетевой экран и в каком направлении. Следует отобрать их на основе общей политики безопасности. Например, если нужно запретить за грузку программ из Internet, стоит заблокировать в межсетевом экране установку входящих соединений FTP. Если нужно, чтобы пользователи не применяли FTP для пересылки наружу конфиденциальных данных или про­грамм, имеет смысл запретить передачу файлов пo FTP. Аналогично можно ограничивать работу с другими службами, такими как Telnet или HTTP.

Например, если полностью запретить работу с протоколом FTP, как получать обновления и исправления программ? Разум нее сделать исключение для одного укрепленного компьютера, доступ к которому будут иметь только определенные пользователи. Другое решение - выделить для этого компьютер, не подключенный к локальной сети и выходящий в Internet через модем.

Например, список может состоять из таких правил:

• электронная почта может пересылаться в обоих направлениях, но должна проходить через защищенный SMTP-сервер;

• запрещена работа любых служб, требующих установки прямого соединения между внутренним клиентом и внешним сервером. Все разрешенные службы обязаны пользоваться proxy-сервером;
• доступ к внешним узлам через Telnet разрешен только сотрудникам исследовательского отдела и запрещен всем остальным пользователям. Пользователи, которые могут войти в сеть снаружи, должны подключаться с помощью модема, установленного на защищенном сервере, помещенном в экранированную подсеть;
• запрещен доступ по протоколу FTP в обоих направлениях;
• серверы DNS в экранированной подсети выполняют преобразование адресов межсетевых экранов и proxy-серверов, но не клиентов во внутренней локальной сети.

Это краткий список. Его можно составить, следуя принципу запрета всего, что не разрешено.

Кроме определения разрешенных сервисов и способа их реализации (при помощи proxy-сервера или пакетного фильтра, для всех пользователей или только для избранных узлов), следует также включить в политику брандмауэра пункты задающие частоту просмотра log-файлов, настройку предупреждений и т.д.

2.9. Стратегии брандмауэра

Завершив определение требований к безопасности сети и формулирование политики безопасности, следует приступить к проектированию брандмауэра.

Выбор компонентов зависит от типа служб, которые необходимо предоставить пользователям локальной сети, а выбор служб - от того, как они соотносятся с действиями, разрешенными политикой безопасности.

Два основных компонента для создания межсетевого экрана :

• пакетный фильтр;
• proxy-сервер.

Можно использовать оба или только один из них. Эти компоненты реализуются различными способами и обеспечивают разный уровень защиты. Способ стройки компонентов межсетевого экрана называется его архитектурой .

Ha выбор предоставляется одна из следующих архитектур:

• пакетный фильтр на основе компьютера или маршрутизатора;
• двухканальный шлюз;
• экранированный узел;
• экранированная подсеть.

2.9.1. Применение пакетного фильтра

Межсетевой экран может состоять из одного или нескольких маршрутизаторов или компьютеров с соответствующим программным обеспечением использующих различные методы для разрешения или запрета доступа в локальную сеть или из нее. Но первым типом межсетевых экранов, который на чал широко применяться, стал простой экранирующий маршрутизатор (screening router), сейчас обычно называемый пакетным фильтром (packet filter).

Маршрутизатор (router) - это сетевое устройство с несколькими интерфейса ми, подключенное к нескольким сетям. Когда компьютеру или сети необходимо переслать пакет компьютеру в другой сети, он передает пакет маршрутизатору, который затем определяет наилучший метод доставки данных к месту назначения. Маршрутизатор принимает решение на основе адресной информации в заголовке пакета.

Когда маршрутизатор способен определить, что пакет предназначается для узла в одной из подсетей, непосредственно подключенных к одному из его сетевых интерфейсов, пакет быстро пересылается в нужную подсеть. Если маршрутизатор обнаруживает, что необходимо доставить пакет в какую-то другую сеть, он передает его следующему маршрутизатору (в следующий «hop» - сегмент маршрута), который может знать, как доставить пакет к месту назначения. Если же маршрутизатору не удастся найти следующий сегмент, в который можно отпра­вить пакет, он просто отбросит его и вернет источнику соответствующее сообщение ICMP «адресат недоступен».

Экранирующий маршрутизатор - это маршрутизатор, в котором задан набор правил, устанавливающих разрешенные типы сетевого трафика, которые имеют право проходить через подключенные к нему сетевые интерфейсы. Другими словами, после того, как маршрутизатор определит, может ли он доставить пакет (в следующий сегмент или конечному адресату), он сверяется с набором правил, проверяя, должен ли он его передавать.

Предположим, например, что маршрутизатор получает от какого-либо узла Internet пакет с запросом на создание сеанса Telnet с узлом внутренней локальной сети. Маршрутизатор сразу же определяет, что он может доставить па кет - для этого достаточно просто передать его в интерфейс, к которому подключен адресат, поместив в пакет МАС-адрес соответствующего узла. Но экранирующему маршрутизатору необходимо предварительно проверить пакет на соответствие правилам. В данном случае входящие Telnet-соединения должны блокироваться. Поэтому, узлы во внутренней локальной сети защищены от возможного проникновения нарушителя при помощи Telnet.

Основной метод фильтрации пакетов называется фильтрацией без памяти (stateless packet filtering), поскольку каждый пакет обрабатывается по отдельности - только на основе информации в его заголовке. При новом методе фильтрации пакетов, который называется фильтрацией с памятью (stateful packet filtering или stateful inspection), в памяти сохраняются сведения о состоянии текущих сеансов.

Если полученный пакет якобы является ответом на пакет, переданный из локальной сети, пакетный фильтр с памятью проверяет, действительно ли был сделан соответствующий запрос. Таким образом, при наличии фильтра с памятью потенциальному нарушителю будет сложнее проникнуть в сеть путем подмены адресов пакетов.

Пакетный фильтр работает с информацией из заголовка сетевого пакета, и различные продукты могут выполнять фильтрацию на основе одного или не скольких из следующих параметров:

• IP-адрес отправителя и адресата;
• протокол (например, TCP, UDP или ICMP);
• порт TCP или UDP отправителя или адресата;
• тип сообщения (для сообщений ICMP).

Кроме того, важны не только сведения, содержащиеся в самом пакете, - имеет значение и интерфейс, по которому он прибывает. Например, если фильтр получает пакет по интерфейсу, подключенному к внешней сети, а адрес от правителя соответствует локальной сети, этот пакет должен быть отброшен фильтром, поскольку такое сочетание для обычных пакетов невозможно.

Часто оказывается, что фильтрацию пакетов предпочтительнее выполнять на компьютере, а не на маршрутизаторе, благодаря простоте работы с ним и возможностям регистрации. Настройка маршрутизатора бывает достаточно сложной задачей, в особенности если при этом необходимо задавать большое число правил.

Изменение длинного набора правил может занять много времени, поскольку придется проверить каждое из старых правил, чтобы убедиться, что оно не противоречит новому. Маршрутизаторы обычно не имеют развитых средств для регистрации событий. Хороший брандмауэр обеспечивает отличные возможности для этого для выдачи предупреждений, а иногда даже и программы для анализа log-файлов.

2.9.2. Применение proxy - сервера

Пакетному фильтру приходится принимать решения только на основе информации в заголовке пакета. К сожалению, заголовок содержит в основном адреса другие данные, необходимые протоколу для доставки пакета к месту назначения через лабиринт сетей. В заголовок пакета не включены детали, которые мог ли бы помочь фильтру решить, следует ли пропускать пакет через межсетевой экран. Например, маршрутизатор может определить, что пакет предназначен для какого-то протокола, скажем, FTP. Но он не в состоянии распознать, какой это запрос получить или передать. При этом не исключено, что запросы одного типа окажутся вполне допустимыми, а запросы другого типа для данного узла должны будут блокироваться.

Шлюз приложений (applicationgateway) , или proxy-сервер (application proxy) , - это программа, которая выполняется на брандмауэре и перехватывает трафик приложений определенного типа. Она может, например, перехватить запрос пользователя из локальной сети, а затем подключиться к внешнему серверу от его имени. При этом внутренние узлы никогда не будут напрямую присоединяться к удаленным серверам. Вместо этого в качестве посредника между клиентом и сервером выступит proxy-сер вер, передающий информацию между ними. Преимущество такого подхода состоит в том, что proxy-сервер способен пропускать или блокировать трафик на основе ин формации в области данных пакета, а не только в его заголовке.

В настоящее время широко распространена одна из форм proxy-сервера - так называемые трансляторы сетевых адресов (Network Address Translator, NAT). Серверы этого типа повышают безопасность внутренней локальной сети, скрывая настоящие IP-адреса в ней. В запросах к внешним серверам используется IР-адрес proxy-сервера. Еще одно преимущество трансляции адресов, которым обусловлена ее популярность, - зарегистрированный IP-адрес должен иметь только proxy-сервер, а адреса клиентов во внутренней сети могут быть произвольными. Поскольку пространство свободных IP-адресов Internet быстро уменьшается, такой метод очень удобен для расширения локальной сети, по скольку не требует получения нового диапазона адресов от провайдера.

Недостатком proxy-серверов является их привязка к конкретному приложению. Для каждого приложения или сервиса, поддержку которых нужно реализовать в межсетевом экране, понадобится отдельный proxy-сервер. Кроме того, необходимо, чтобы клиентское программное обеспечение могло работать через proxy-сервер. Большинство современных программ обладают такой возможностью, поэтому обычно это не представляет проблемы. Например, Netscape Navigator и Microsoft, Internet Explorer позволяют задавать используемые proxy-серверы.

Существуют способы добиться работоспособности и старых программ, не знающих о существовании proxy-серверов. Например, при помощи Telnet пользователь может вначале зарегистрироваться на proxy-сервере, а затем создать сеанс связи с внешним компьютером. Такой двухступенчатый метод менее удобен, чем прозрачный доступ, обеспечиваемый программами, которые умеют работать через proxy-сервер. Чтобы приложения функционировали через proxy-серверы, применяются паке ты Trusted Information Systems Firewall Toolkit (FWTK) или SOCKS. SOCKS - это библиотека, с помощью которой создаются или модифицируются клиенты с целью реализации их взаимодействия с proxy-сервером SOCKS. Пакет TIS Firewall Toolkit также содержит proxy-серверы для большинства стандартных служб, таких как Telnet, FTP и HTTP,

3. Практическая часть

3.1. Политика безопасности ЛВС ОК «БОР»

Цель

Информация, используемая в ЛВС ОК «БОР», является критической для выполнения организацией своих задач. Размер и сложность ЛВС в пределах ОК «БОР» увеличилась и теперь она обрабатывает критическую информацию. Из-за этого должны быть реализованы определенные меры и процедуры безопасности для защиты информации, обрабатываемой в ЛВС ОК «БОР». ЛВС ОК «БОР», обеспечивает разделение информации и программ между большим числом пользователей. Эта среда увеличивает риск безопасности и требует более сильных механизмов защиты, чем те, что были бы необходимы при работе на отдельно стоящих ПК. Эти усиленные требования к защите в вычислительной среде ОК «БОР» послужили причиной появления этой политики, которая касается использования ЛВС в ОК «БОР».
Эта политика имеет две цели. Первая - подчеркнуть для всех служащих ОК «БОР» важность безопасности в среде ЛВС ОК «БОР» и явно указать их роли при поддержании этой безопасности. Вторая - установить определенные обязанности по обеспечению безопасности данных и информации, и самой ЛВС ОК «БОР».

Степень детализации

Все автоматизированные информационные ценности и службы, которые используются локальной вычислительной сетью (ЛВС) ОК «БОР», охватываются этой политикой. Она одинаково применима к серверам ЛВС, периферийному оборудованию, автоматизированным рабочим местам и персональным компьютерам (ПК) в пределах среды ЛВС ОК «БОР». Ресурсы ЛВС ОК «БОР» включают данные, информацию, программное обеспечение, аппаратные средства, средства обслуживания и телекоммуникации. Политика применима ко всем лицам, имеющим отношение к ОК «БОР» ЛВС, включая всех служащих ОК «БОР», поставщиков и работающих по контракту, которые используют ОК «БОР» ЛВС.

Цели

Цели программы защиты информации состоят в том, чтобы гарантировать целостность, доступность и конфиденциальность данных, которые должны быть достаточно полными, точными, и своевременными, чтобы удовлетворять потребности ОК «БОР», не жертвуя при этом основными принципами, описанными в этой политике. Определяются следующие цели:

• Гарантировать, что в среде ЛВС ОК «БОР» обеспечивается соответствующая безопасность, соответствующая критичности информации и т.д..;
• Гарантировать, что безопасность является рентабельной и основана на соотношении стоимости и риска, или необходимо удовлетворяет соответствующим руководящим требованиям;
• Гарантировать, что обеспечена соответствующая поддержка защиты данных в каждой функциональной области;
• Гарантировать индивидуальную подотчетность для данных, информации, и других компьютерных ресурсов, к которым осуществляется доступ;
• Гарантировать проверяемость среды ЛВС ОК «БОР»;
• Гарантировать, что служащие будут обеспечены достаточно полными руководствами по распределению обязанностей относительно поддержания безопасности при работе в автоматизированной информационной системе;
• Гарантировать, что для всех критических функций ОК «БОР» ЛВС имеются соответствующие планы обеспечения непрерывной работы, или планы восстановления при стихийных бедствиях;
• Гарантировать что все соответствующие федеральные и организационные законы, указы и т.д. учтены и их твердо придерживаются.

Ответственность

Следующие группы сотрудников несут ответственность за внедрение и достижение целей безопасности, сформулированных в этой политике.
1. Функциональное руководство (ФР) - те служащие, кто несет ответственность согласно своим функциональным обязанностям (не в области компьютерной безопасности) внутри ОК «БОР». Функциональное Руководство отвечает за информирование сотрудников относительно этой политики, гарантию того, что каждый сотрудник имеет ее копию, и взаимодействие со всеми служащими по проблемам безопасности.
2. Администраторы ЛВС (АД) - служащие, кто участвуют в ежедневном управлении и поддержании работоспособности ЛВС ОК «БОР». Они отвечают за обеспечение непрерывного функционирования ЛВС. Администраторы ЛВС отвечают за осуществление соответствующих мер защиты в ЛВС в соответствии с политикой безопасности ЛВС ОК «БОР» .
3. Местные Администраторы (МА) - служащие, которые являются ответственными за предоставление конечным пользователям доступа к необходимым ресурсам ЛВС, которые размещены на серверах, входящих в их зону ответственности. Местные администраторы отвечают за обеспечение защиты своих серверов - в соответствии с политикой безопасности ЛВС ОК «БОР».
4. Конечные пользователи (П) - являются любыми служащими, которые имеют доступ к ЛВС ОК «БОР». Они отвечают за использование ЛВС в соответствии с политикой безопасности ЛВС. Все пользователи данных отвечают за соблюдение специфических политик безопасности, установленных теми лицами, кто несет основную ответственностью за защиту тех или иных данных, и за доклад руководству о любом подозрении на нарушение защиты.

Наказания

Отказ соблюдать эту политику может подвергнуть информацию ОК «БОР» недопустимому риску потери конфиденциальности, целостности или доступности при ее хранении, обработке или передаче в ЛВС ОК «БОР». Нарушения стандартов, процедур или руководств, поддерживающих эту политику, будут привлечь внимание руководства и могут привести к дисциплинарной ответственности вплоть до увольнения со службы.

ОБЩИЕ ПРАВИЛА РАЗГРАНИЧЕНИЯ ДОСТУПА В ЛВС

ОП1. Каждый персональный компьютер должен иметь "владельца" или " системного администратора ", который является ответственным за работоспособность и безопасность компьютера, и за соблюдение всех политик и процедур, связанных с использованием данного компьютера. Основной пользователь компьютера может выполнять эту роль. Эти пользователи должны быть обучены и обеспечены соответствующими руководствами так, чтобы они могли корректно соблюдать все политики и процедуры.
ОП2. Чтобы предотвратить неавторизованный доступ к данным ЛВС, программному обеспечению, и другим ресурсам, находящимся на сервере ЛВС, все механизмы защиты сервера ЛВС должны находиться под монопольным управлением местного администратора и местного персонала Администраторов ЛВС.
ОП3. Чтобы предотвратить распространение злонамеренного программного обеспечения и помочь выполнению лицензионных соглашений о программах, пользователи должны гарантировать, что их программное обеспечение должным образом лицензировано и является безопасным.
ОП4. За все изменения(замены) программного обеспечения и создание резервных копий данных на серверах отвечают Администраторы ЛВС.
ОП5. Каждому пользователю должен быть назначен уникальный ИДЕНТИФИКАТОР ПОЛЬЗОВАТЕЛЯ и начальный пароль (или другая информация для идентификации и аутентификации), только после того, как закончено оформление надлежащей документации. Пользователи не должны совместно использовать назначенные им ИДЕНТИФИКАТОРЫ ПОЛЬЗОВАТЕЛЯ.
ОП6. Пользователи должны аутентифицироваться в ЛВС перед обращением к ресурсам ЛВС.
ОП7. ИДЕНТИФИКАТОР ПОЛЬЗОВАТЕЛЯ должен удаляться после продолжительного периода неиспользования.
ОП8. Использование аппаратных средств ЛВС типа мониторов / регистраторов трафика и маршрутизаторов должно быть авторизовано и проводиться под контролем Администраторов ЛВС.

• Служащие, ответственные за управление, функционирование и использование ЛВС ОК «БОР» должны пройти курс обучения в области компьютерной безопасности и правил работы на компьютере.
• Обучение компьютерной безопасности должно проводиться в рамках существующих программ обучения, таких как программы ввода в строй для новых служащих, и курсов обучения, связанных с использованием информационных технологий.

ОП9. Отчеты о безопасности должны готовиться и рассматриваться ежедневно.

ОСОБЫЕ ОБЯЗАННОСТИ ДЛЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ ЛВС ОК «БОР».

Пользователи
Ожидается, что пользователи хорошо осведомлены относительно политики безопасности Агентства, и других применимых законов, политик, указов и процедур и твердо их придерживаются. Пользователи полностью отвечают за их собственное поведение. В частности, пользователи отвечают за следующее:
П1. Отвечают за понимание и соблюдение соответствующих Федеральных законов, политик и процедур министерства, политик и процедур ОК «БОР» и других применимых политик безопасности и связанных с ними последствий для ЛВС ОК «БОР».
П2. Отвечают за использование доступных механизмов безопасности для защиты конфиденциальности и целостности их собственной информации, когда это требуется.
П2.1. Следуют местным процедурами защиты критических данных, а также процедурам безопасности самой ЛВС ОК «БОР». Используют механизмы защиты файлов для поддержания соответствующего управления доступом к файлам.
П2.2. Выбирает и использует хорошие пароли. Использует FIPS 112, Использование Паролей как руководство при выборе хороших паролей. Не записывает паролей, и не раскрывает их другим. Не использует совместно идентификаторы пользователей.
П3. Отвечает за помощь другим пользователям, кто будет не в состоянии должным образом использовать доступные механизмы защиты. Помогает защитить собственность других лиц. Уведомляет их относительно незащищенности их ресурсов (например, файлов, идентификаторов).
П4. Отвечает за уведомление местного администратора или члена руководства о нарушении защиты или обнаруженном отказе.
П5. Отвечает за неиспользование слабых мест АС.
П5.1. Не осуществляет намеренного изменения, уничтожения, чтения, или передачи информации неавторизованным способом: не мешает специально получить другим пользователям авторизованный доступ к ресурсам ЛВС и информации в ней.
П5.2. Предоставляет правильную информацию для идентификации и аутентификации, когда это требуется, и не пытается угадать подобную информацию для других пользователей.
П6. Отвечает за гарантию выполнения резервного копирования данных и программного обеспечения находящегося на жестком диске их собственного автоматизированного рабочего места.
П7. Отвечает за понимание принципов работы злонамеренного программного обеспечения, методов , с помощью которых оно вносится и распространяется, и уязвимых мест, которые используются злонамеренным программным обеспечением и неавторизованными пользователями.
П8. Отвечает за знание и использование соответствующих политик и процедур для предотвращения, обнаружения, и удаления злонамеренного программного обеспечения.
П9. Отвечает за знание того, на что нужно обращать внимание при работе в определенных системах и конкретных программах, чтобы обнаружить признаки их необычной работы, и что нужно сделать или с кем связаться для получения дополнительной информации.
П10. Отвечает за использование программно-аппаратных средств защиты, которые доступны для защиты системы от злонамеренного программного обеспечения.
П11. Отвечает за знание и использование процедур по обеспечению непрерывной работы для сдерживания и восстановления при потенциальных инцидентах.
2.Функциональное руководство.
Функциональное руководство (и управляющие более высокого уровня) отвечают за разработку и выполнение эффективных политик безопасности, которые отражают специфические цели ЛВС ОК «БОР». Они полностью отвечают за обеспечение того, что защита информации и линий связи является и остается важной и критической целью в повседневной деятельности. В частности функциональное руководство отвечает за следующее:
ФМ1. Отвечает за проведение эффективного управления риском для того, чтобы обеспечить основу для формулирования разумной политики. Управление риском требует идентификации ценностей, которые нужно защитить, определения уязвимых мест, анализа риска их использования и реализации рентабельных средств защиты.
ФМ2. Отвечает за гарантию того, чтобы каждый пользователь получил, как минимум, копию политики безопасности и местного руководства (если таковые есть в наличии ) до внесения его в списки пользователей АС.
ФМ3. Отвечает за осуществление программы обучения основам безопасности для пользователей, чтобы можно было гарантировать знание ими местной политики безопасности и правил работы на компьютере.
ФМ4. Отвечает за гарантию того, что весь персонал в пределах операционной единицы организации знает эту политику и отвечает за включение ее в инструктажи по компьютерной безопасности и программы обучения .
ФМ5. Отвечает за информирование местного администратора и администраторов ЛВС об изменениях в статусе любого служащего, который использует ЛВС ОК «БОР». Это изменение статуса может включать переход из организации в организацию в одном ведомстве, переход из отдела в отдел, или окончание службы в ОК «БОР».
ФМ6. Отвечает за гарантию того, что пользователи понимают природу злонамеренного программного обеспечения, понимают,как оно вообще распространяется, и какие программно-аппаратные средства защиты должны использоваться против него.
3. Администраторы Локальной Вычислительной Сети (ЛВС)
Предполагается, что администраторы ЛВС (или назначенный для этого персонал) претворяет (в части их касающейся) местные политики безопасности, так как это связано с применением программно-аппаратных средств защиты, архивированием критических программ и данных, управлением доступом и защитой оборудования ЛВС. В частности, администраторы ЛВС отвечают за следующее:
ОУ1. Отвечают за корректное применение доступных механизмов защиты для осуществления местных политик безопасности.
ОУ2. Отвечает за уведомление руководства о работоспособности существующих политик и любых технических соображениях, которые могли бы улучшить их эффективность.
ОУ3. Отвечает за защищенность среды ЛВС внутри организации и интерфейсов с глобальными сетями.
ОУ4. Отвечает за оперативное и эффективное улаживание происшествий с компьютерной безопасностью.
ОУ4.1. Уведомляет местных администраторов о проникновении злоумышленника в ЛВС , помогает другим местным администраторам улаживать происшествия с безопасностью.
ОУ4.2. Сотрудничает с местными администраторами при выявлении нарушителя и помогает им это сделать.
ОУ5. Отвечает за использование надежных и доступных средств аудирования для облегчения обнаружения нарушений безопасности.
ОУ6. Отвечает за проведение своевременных проверок системных журналов серверов ЛВС.
ОУ7. Отвечает за отслеживание информации о политиках безопасности и приемах обеспечения безопасности в других организациях и, когда это необходимо, информирование местных пользователей и уведомление руководства об изменениях или новых разработках.
ОУ8. Отвечает за крайнюю осторожность и корректность при применении им своих экстраординарных полномочий и привилегий. Безопасность пользователей должна всегда стоять на первом месте.
ОУ9. Отвечает за разработку соответствующих процедур и издание инструкций по предотвращению, обнаружению, и удалению злонамеренного программного обеспечения, соответствующих руководящим принципам, содержащимся в этом документе.
ОУ10. Отвечает за своевременное создание резервных копий всех данных и программного обеспечения на серверах ЛВС.
ОУ11. Отвечает за выявление и рекомендацию пакетов программ для обнаружения и удаления злонамеренного программного обеспечения.
ОУ12. Отвечает за разработку процедур, позволяющих пользователям сообщать о компьютерных вирусах и других инцидентах и отвечает за уведомление потенциально затрагиваемых лиц о возможной угрозе им.
ОУ13. Отвечает за скорое уведомление соответствующей группы улаживания происшествий с компьютерной безопасностью обо всех инцидентах, включая выявление злонамеренного программного обеспечения.
ОУ14. Отвечает за оказание помощи при определении источника злонамеренного программного обеспечения и зоны его распространения.
ОУ15. Отвечает за обеспечение помощи в удалении злонамеренного программного обеспечения.
ОУ16. Отвечает за проведение периодического анализа для того, чтобы гарантировать, что соблюдаются надлежащие процедуры безопасности, включая те, которые предназначены для защиты от злонамеренного программного обеспечения.
4. Местные Администраторы
Ожидается, что местные администраторы (или назначенный персонал) будут использовать доступные службы и механизмы защиты ЛВС на сервере, за который они отвечают, чтобы поддерживать и претворять в жизнь применимые политики и процедуры безопасности. В частности, местные администраторы отвечают за следующее:
МA1. Отвечают за управление привилегиями доступа всех пользователей к данным, программам и функциям.
МA2. Отвечают за контроль за всеми связанными с защитой событиями и за расследование любых реальных или подозреваемых нарушений там, где это уместно. В соответствующих случаях отвечают за уведомление и координацию действий с Администраторами ЛВС по контролю или расследованию событий, связанных с нарушением безопасности.
МA3. Отвечает за поддержание и защиту программного обеспечения и соответствующих файлов на сервере ЛВС, используя доступные механизмы и процедуры защиты.
МA4. Отвечает за сканирование сервера ЛВС антивирусным программным обеспечением через регулярные интервалы времени для гарантии того, что никакому вирусу не удалось разместиться на сервере ЛВС.
МA5. Отвечает за назначение уникального ИП и начального пароля (или другой идентификационной и аутентификационной информации) каждому пользователю только после того, как будет оформлена надлежащая документация.
МA6. Отвечает за быстрое уведомление соответствующего персонала группы улаживания происшествий с компьютерной безопасностью обо всех инцидентах, включая злонамеренное программное обеспечение;
МA6.1. Уведомляет Администраторов ЛВС о проникновении в ЛВС , помогает другим местным администраторам улаживать нарушение безопасности.
МА6.2. Сотрудничает с другими местными администраторами и Администраторами ЛВС в поиске нарушителя и помогает им это сделать.
МA7. Отвечает за обеспечение помощи при выявлении источника злонамеренного программного обеспечения и зоны его распространения.

3.2. Реализация политики безопасности организации с помощью программного пакета FireWall-1.

Рассмотрим процесс практической реализации политики безопасности организации с помощью программного пакета FireWall-1. (рис. 3.2.1.)

1. Прежде всего, как уже отмечалось, разрабатываются и утверждаются на уровне руководства организации правила политики безопасности.

2. После утверждения эти правила надо воплотить в жизнь. Для этого их нужно перевести в структуру типа "откуда, куда и каким способом доступ разрешен или, наоборот, запрещен. Такие структуры, как мы уже знаем, легко переносятся в базы правил системы FireWall-1.

3. Далее, на основе этой базы правил формируются списки доступа для маршрутизаторов и сценарии работы фильтров на сетевых шлюзах. Списки и сценарии далее переносятся на физические компоненты сети, после чего правила политики безопасности "вступают в силу".

4. В процессе работы фильтры пакетов на шлюзах и серверах генерируют записи обо всех событиях, которые им приказали отслеживать, а, также, запускают механизмы "тревоги", требующие от администратора немедленной реакции.

5. На основе анализа записей, сделанных системой, отдел компьютерной безопасности организации может разрабатывать предложения по изменению и дальнейшему развитию политики безопасности.

Рассмотрим простой пример реализации следующих правил.

1. Из локальных сетей подразделений, удаленных, разрешается связь с любой локальной сетью организации после аутентификации по какому-то паролю.

2. Всем запрещается доступ к сети финансового департамента, за исключением генерального директора и директора этого департамента.

3. Из Internet разрешается только отправлять и получать почту. Обо всех других попытках связи необходимо делать подробную запись.

Все эти правила естественным образом представляются средствами графического интерфейса Редактора Правил FireWall-1 (рис. 3.2.2.).

После загрузки правил, FireWall-1 для каждого пакета, передаваемого по сети, последовательно просматривает список правил до нахождения элемента, соответствующего текущему случаю.

Важным моментом является защита системы, на которой размещен административно-конфигурационный модуль FireWall-1. Рекомендуется запретить средствами FireWall-1 все виды доступа к данной машине, или по крайней мере строго ограничить список пользователей, которым это разрешено, а также принять меры по физическому ограничению доступа и по защите обычными средствами ОС

На рис. 3.2.3. показаны основные элементы управления системой FireWall-1.

Слева расположены редакторы баз данных об объектах, существующих в сети и о протоколах или сервисах, с помощью которых происходит обмен информацией. Справа вверху показан редактор правил доступа.

Справа внизу располагается интерфейс контроля текущего состояния системы, в котором для всех объектов, которые занес туда администратор, отображаются данные о количестве разрешенных коммуникаций (галочки), о количестве отвергнутых связей (знак "кирпич") и о количестве коммуникаций с регистрацией (иконка карандаш). Кирпичная стена за символом объекта (компьютера) означает, что на нем установлен модуль фильтрации системы FireWall-1.

Рассмотрим теперь случай, когда первоначальная конфигурация сети меняется, а вместе с ней меняется и политика безопасности.

Пусть мы решили установить у себя в организации несколько общедоступных серверов для предоставления информационных услуг. Это могут быть, например, серверы World Wide Web, FTP или другие информационные серверы. Поскольку такие системы обособлены от работы всей остальной сети организации, для них часто выделяют свою собственную подсеть, имеющую выход в Internet через шлюз (рис. 3.2.4).

Поскольку в предыдущем примере локальная сеть была уже защищена, то все, что нам надо сделать, это просто разрешить соответствующий доступ в выделенную подсеть. Это делается с помощью одной дополнительной строки в редакторе правил, которая здесь показана. Такая ситуация является типичной при изменении конфигурации FireWall-1. Обычно для этого требуется изменение одной или небольшого числа строк в наборе правил доступа, что, несомненно, иллюстрирует мощь средств конфигурирования и общую продуманность архитектуры FireWall-1.

3.3.Основные особенности FIREWALL-1

Остановимся еще на некоторых возможностях FireWall-1.

3.3.1. АУТЕНФИКАЦИЯ ПОЛЬЗОВАТЕЛЕЙ ПРИ РАБОТЕ С FTP

FireWall-1 позволяет администратору установить различные режимы работы с интерактивными сервисами FTP и telnet для различных пользователей и групп пользователей. При установленном режиме аутентификации, FireWall-1 заменяет стандартные FTP и telnet демоны UNIX на свои собственные, располагая их на шлюзе, закрытом с помощью модулей фильтрации пакетов. Пользователь, желающий начать интерактивную сессию по FTP или telnet (это должен быть разрешенный пользователь и в разрешенное для него время), может сделать это только через вход на такой шлюз, где и выполняется вся процедура аутентификации. Она задается при описании пользователей или групп пользователей и может проводиться следующими способами:

• Unix-пароль;
• программа S/Key генерации одноразовых паролей;
• карточки SecurID с аппаратной генерацией одноразовых паролей.

3.3.2. ГИБКИЕ АЛГОРИТМЫ ФИЛЬТРАЦИИ UDP-ПАКЕТОВ, ДИНАМИЧЕСКОЕ ЭКРАНИРОВАНИЕ

UDP-протоколы, входящие в состав набора TCP/IP, представляют собой особую проблему для обеспечения безопасности. С одной стороны на их основе создано множество приложений. С другой стороны, все они являются протоколами "без состояния", что приводит к отсутствию различий между запросом и ответом, приходящим извне защищаемой сети.

Пакет FireWall-1 решает эту проблему созданием контекста соединений поверх UDP сессий, запоминая параметры запросов. Пропускаются назад только ответы внешних серверов на высланные запросы, которые однозначно отличаются от любых других UDP-пакетов (читай: незаконных запросов), поскольку их параметры хранятся в памяти FireWall-1.

Следует отметить, что данная возможность присутствует в весьма немногих программах экранирования, распространяемых в настоящий момент.

Заметим также, что подобные механизмы задействуются для приложений, использующих RPC, и для FTP сеансов. Здесь возникают аналогичные проблемы, связанные с динамическим выделением портов для сеансов связи, которые FireWall-1 отслеживает аналогичным образом, запоминая необходимую информацию при запросах на такие сеансы и обеспечивая только "законный" обмен данными.

Данные возможности пакета FireWall-1 резко выделяют его среди всех остальных межсетевых экранов. Впервые проблема обеспечения безопасности решена для всех без исключения сервисов и протоколов, существующих в Internet.

Заключение.

Составление грамотной политики безопасности, охватывающей все возможные угрозы информационной безопасности, является одной из главных задач, а конкретная ее реализация может использоваться с помощью различных программных продуктов. Адекватный уровень информационной безопасности в современной организации может быть обеспечен только на основе комплексного подхода, реализация которого начинается с разработки и внедрения эффективных политик безопасности. Эффективные политики безопасности определяют необходимый и достаточный набор требований безопасности, позволяющих уменьшить риски информационной безопасности до приемлемой величины. Они оказывают минимальное влияние на производительность труда, учитывают особенности процессов в организации, поддерживаются руководством, позитивно воспринимаются и исполняются сотрудниками организации. Для того, чтобы политика безопасности оставалась эффективной, необходимо осуществлять непрерывный контроль ее исполнения, повышать осведомленность сотрудников организации в вопросах информационной безопасности и обучать их выполнению правил, предписываемых политикой безопасности. Регулярный пересмотр и корректировка правил политики безопасности необходимы для поддержания ее в актуальном состоянии. Составление грамотной политики безопасности, охватывающей все возможные угрозы информационной безопасности, является одной из главных задач, а конкретная ее реализация может использоваться с помощью различных программных продуктов.

Список литературы

1. В.А. Семененко, Н.В. Федоров Программно-аппаратная защита информации. Учебное пособие. - М.: МГИУ, 2007 -340 с.

2. В.А. Семененко, Н.В. Федоров Компьютерная безопасность. Учебное пособие. - М.: МОСУ, 2006 - 356 с.

3. О.Н. Сергеев, Н.В. Федоров Компьютерная защита информации. Учебное пособие. - М.: МГГУ, 2007 - 179 с.

4. А. Ю. Щербаков Компьютерная безопасность. Теория и практика. - М.: Молгачева С.В., 2001, 352 с.

5. http://www.bre.ru

6. http://www.diwaxx.ru

7. http://www.zahist.narod.ru

8. http://www.citforum.ru

Глоссарий

Аутентификация – процедура входа в систему с предоставлением идентификационных данных. Является необходимым условием обеспечения секретности обмена данными. Пользователи должны иметь возможность подтвердить свою подлинность и проверить идентификацию других пользователей, с которым они общаются.

Брандмауэр - это система или комбинация систем, позволяющие разделить сеть на две или более частей и реализовать набор правил, определяющих условия прохождения пакетов из одной части в другую. Как правило, эта граница проводится между локальной сетью предприятия и INTERNET, хотя ее можно провести и внутри локальной сети предприятия.

Интернет-серфинг (Internet surfing, серфинг, surfing) — посещение веб-сайтов, поиск информации в сети Интернет.

Межсетевой экран (firewall) - это устройство контроля доступа в сеть, предназначенное для блокировки всего трафика, за исключением разрешенных данных.

Интернет-провайдер , иногда просто Провайдер , (англ. Internet Service Provider, ISP, букв. "поставщик Интернет-услуги") — организация, предоставляющая услуги доступа к Интернету и иные связанные с Интернетом услуги.

Сервер – это техническое решение, которое предоставляет множеству компьютеров доступ к файлам, данным, ресурсам принтеров и факсов и все такое.

Смарт-карты (англ. Smart card) представляют собой пластиковые карты со встроенной микросхемой (ICC, integrated circuit(s) card — карта с интегрированными электронными схемами). В большинстве случаев смарт-карты содержат микропроцессор и операционную систему, контролирующую устройство и доступ к объектам в его памяти. Кроме того, смарт-карты, как правило, обладают возможностью проводить криптографические вычисления.

Учётная запись — запись, содержащая сведения, которые пользователь сообщает о себе некоторой компьютерной системе.

Хост – это любая единица компьютерной техники, которая подключена к компьютерной сети. Хостом может быть сервер, компьютер и т.д. Чтобы обозначить имя хоста, используется его сетевое имя – это для локальной сети, или IP-адрес или доменное имя если мы говорим об Интернете.

FTP (англ. File Transfer Protocol – протокол передачи файлов) - протокол, предназначенный для передачи файлов в компьютерных сетях. FTP позволяет подключаться к серверам FTP, просматривать содержимое каталогов и загружать файлы с сервера или на сервер.

Сетевой адаптер – устройство, служащее для подключения компьютера к локальной сети. Сетевой адаптер контролирует доступ к среде передачи данных и обмен данными между единицами сети.

Сетевой шлюз – аппаратный маршрутизатор (англ. gateway ) или программное обеспечение для сопряжения компьютерных сетей, использующих разные протоколы (например, локальной и глобальной).

Политика информационной безопасности – совокупность правил, определяющих и ограничивающих виды деятельности объектов и участников, системы информационной безопасности.

Сетевой коммутатор или свитч (жарг. от англ. switch – переключатель) – устройство, предназначенное для соединения нескольких узлов компьютерной сети в пределах одного сегмента.

Маршрутизатор или роутер , рутер (от англ. router ) - сетевое устройство, на основании информации о топологии сети и определённых правил принимающее решения о пересылке пакетов сетевого уровня (уровень 3 модели OSI) между различными сегментами сети.

В терминологии сетей TCP/IP маской подсети или маской сети называется битовая маска, определяющая, какая часть IP-адреса узла сети относится к адресу сети, а какая – к адресу самого узла в этой сети.

Домен – определенная зона в системе доменных имён Интернет, выделенная владельцу домена (какой-либо стране, международной организации, региону, юридическому или физическому лицу) для целей обеспечения доступа к предоставляемой в Интернете информации, принадлежащей владельцу домена. Здесь доменом называется группа ресурсов информационной сети, которые работают или под одним компьютером, или под одной сетевой рабочей машиной или сетевым узлом. Примеры доменов: .ru, .com, .org и т.д.

Идентификация – присвоение субъектам и объектам идентификатора и (или) сравнение идентификатора с перечнем присвоенных идентификаторов. Например идентификация по штрихкоду.

Тестовые вопросы

1. Что такое политика безопасности предприятия?

Совокупность руководящих принципов, правил, процедур и практических приемов в области безопасности, которые регулируют управление, защиту и распределение ценной информации;

Совокупность программных средств;

Документ, зафиксированный на материальном носителе.

2. Метод оценки информационной безопасности «исследование снизу вверх» предполагает:

Анализ схемы хранения и обработки информации;

Проверка возможных атак;

3. Политика допустимого использования определяет:

Права и ответственность сотрудников компании за защиту конфиденциальной информации;

Способы удаленного соединения с информационной системой;

Правила допустимого использования интернет-ресурсов.

4. Политика безопасности периметра определяет:

Порядок и правила получения привилегированного доступа к системам безопасности периметра сети компании;

Процедуру инициации и обработки запросов на изменение конфигурации систем безопасности сети;

Правила и порядок создания и изменения паролей сотрудников компании;

Порядок и периодичность проверки конфигурации системы безопасности сети.

5. Модель нарушителя – это:

Категории нарушителей;

Цели нарушителей;

Типовые сценарии возможных действий нарушителей.

6. Содержательная модель нарушителей – это:

Формализованное описание сценариев в виде логико-алгоритмической последовательности действий нарушителей;

Классификационные типы совершаемых нарушителями акций с конкретизацией алгоритмов и этапов;

Система принятых руководством объекта взглядов на континент потенциальных нарушителей.

7. Второй уровень возможностей нарушителей предполагает:

Возможность управления функционированием автоматизированной системы;

Создание и запуск собственных программ с новыми функциями по обработке данных;

Запуск задач (программ) из фиксированного набора.

8. К политике безопасности среднего уровня относятся:

Вопросы, касающиеся отдельных аспектов информационной безопасности;

Решения, затрагивающие организацию в целом;

Вопросы, рассматривающие конкретные сервисы.

9. Обязанности администраторов локальной сети:

Организовать обучение персонала мерам безопасности;

Обеспечить защиту оборудования локальной сети, в т.ч. интерфейсов с другими сетями;

Следить за новинками в области информационной безопасности, информировать о них пользователей и руководство;

Проводить анализ рисков, выявляя уязвимые места систем и выбирая эффективные средства защиты.

10. В реализации политики безопасности организации с помощью программного пакета FireWall-1, к уровню отдела компьютерной безопасности относится:

Создание правил доступа;

Распределение исполнимых кодов;

Регистрация событий и тревоги;

Анализ событий, создание отчетов и предложений.