47886 (Организация безопасности сети предприятия с использованием операционной системы Linux)

Организация безопасности сети предприятия с использованием операционной системы Linux

Вступление

Компьютерная сеть - это система разделенного использования информации, которая заключается, как минимум, из двух компьютеров, которые взаимодействуют между собой. На первое место становится вопрос о защите информации или своего ПК. Защита один из важнейших вопросов, которую рассматривается при настройке ПК. Правильный подход к защите защитит вас от беды, сохранит час и деньги. Необходимо, чтобы злоумышленные пользователи не могли входить в систему, а данные и службы были доступны том, кто виноват мать к ним доступ. Поскольку большими сетями трудно управлять, разбивка сети на меньшие части, может полу как наилучшим средством для работы со всей системой. Для каждой системы, которая будет поддаваться угрозам, необходимо определить заходи защите, а также средства их осуществления. Нужно решить, какие части системы важнейшие. Необходимо защищать службы и сами данные.Система может быть атакована разными средствами, и защита как раз и является значением того, которое может состояться и как это предотвратить.

Атаки можно разделить на несколько категорий:

Физические атаки - могут состояться в любой момент часа, когда кто-то получает физический доступ к машине. Физическая атака может заключаться, например, в том, что кто-то, сидя за файловым сервером, перезагружает машину, копирует ваших начальных кодов.

Атаки на службы - бывают разные от закидывания сетевых портов запросами на подключение к засорению почтовому серверу бесполезными сообщениями. В обоих случаях конечный результат заключается в потому, что законные обращения к службам не обрабатываются через те, что атака вызывает проблемы возле самой службы или «Зависает» весь сервер. Организаторов таких атак очень сложно выследить, поскольку для атаки системы используют, как правило, поддельны IP-адреса или украдены учетные записи.

Атака на права доступа - когда кто-нибудь пытается получить права доступа или добраться до специальных учетных записей пользователей в системе, которыми ему не разрешено пользоваться. Это может быть рассержено пользователь, который пытается получить права доступа пользователя root (Администратор), чтобы притворить неприятности, или же кто-то из внешней сети, которая делает попытки получить доступ к файлам. Количество атак можно уменьшить, но Администратор, который заботится о защите, виновной предотвращать появление очевидных дыр в защите.

Техническое задание

Есть газетная редакция «Интранатер Старра», который будет заниматься разработкой публикаций новостей, как в журналах и газетах, так и в Интернете с помощью своего веб сайта. На предприятии работатет около 70 человек. Из них двое будут следить за работоспособностью сети и компьютеров предприятия.

Цель проекта:

Создать проект компьютерной сети предприятия.

Обеспечить безопасность данным предприятия. В случае потери данных, сделать возможным их воссоздание.

Обеспечить организацию возможностью использования сети Интернет.

Рассчитать стоимость реализации проекта.

Выходные даны к проекту

Редакция расположатся в трех поверхностному дому. Дом после капитального ремонта, так же в доме была продумана проводка кабелей, зачет двойного пола. План дома приведен в дополнении “A}rdblquote

В доме не установлены компьютеры.

В каждый кабинет проведен сетевой кабель тип: «крученная пара».

Так же в дом будут размещаться помещения, в которых не будет установлено никакого вычислительного оборудования (например столовая).

Задание проекту

Спроектировать локальную сеть. Подобрать топологию и технологию компьютерной сети.

Выбрать оборудование, поддерживающее эту технологию. Распланировать сетевую адресацию.

Организовать доступ к сети Интернет.

Определить устанавливаемое программного обеспечения на рабочие станции и сервера

Сконфигурировать сервер безопасности под управлением ОС Linux. Продумать настройку безопасности для рабочих станций.

Протестировать созданную конфигурацию

Выполнить расчет стоимости реализации проекта

Общие требования к проекту.

В процессе проектирования сети здания необходимо выполнить следующие востребования:

Выдержать пропускную способность от компьютеров от 5 Мбіт/сек до 25 Мбит/сек. к серверам.

Продумать безопасность сети предприятия.

Продумать установку серверов.

Обеспечить доступ к сети Интернета.

Распределить Интернет между работниками, по уровню потребности.

Предусмотреть рост локальной сети.

Разместить в помещениях здания:

- на первом этаже 3 кабинета: гостиная, кабинет охраны, и кабинет секретарей.

- на 2 этаже кабинеты: текстовых редакторов, графических редакторов, информационного отдела, бухгалтерия.

- на третьем этаже 5 кабинетов: директора, главного бухгалтера, главного редактора, помещения для коммутационного оборудования, библиотека.

Анализ существующих решении

Обзор устройств защиты

Существуют несколько специализированных устройств защиты. Это могут быть специализированы карты, например, Firewall PCI и 3Com Firewall PC Card, которые инсталлируются в стандартные шины PCI или PC Card и используются вместо привычных сетевых адаптеров Fast Ethernet. Выполнение операций по обеспечению безопасности передается процессору платы брандмауэра, позволяя увеличить производительность системы. Платы-брандмауэры могут функционировать независимо от операционной системы, установленной на клиентском компьютере, и практически неуязвимые для атак из Интернета, действий конечного пользователя или злоумышленных программ.

Межсетевой экран "Цитадель МЕ", версия 2.0

Межсетевой экран "Цитадель МЕ", версия 2.0, является аппаратно-программным комплексом, основанным на платформе Intel Pentium II/III и управляемый специально разработанной операционной системой. В типичной конфигурации экран "Цитадель МЕ" имеет 4 интерфейса 10/100BaseTX Ethernet. Возможна поддержка до 16 интерфейсов Ethernet в одном устройстве. Опциональной возможностью является установка интерфейсного модуля WAN (V.35 или X.21), поддерживающего SLIP, PPP, HDLC и Frame Relay. На передней панели комплекса расположен LCD дисплей и диагностические индикаторы. С их помощью можно получить информацию о диагностике, версиях программного и аппаратного обеспечения, IP адреса, статус, конфигурацию, загрузка интерфейсов и т.д. Это облегчает диагностику возможных проблем, а также позволяет не техническому персоналу обеспечить администратора информацией в случае возникновения проблем. Комплекс "Цитадель МЕ" обеспечивает безопасное, надежное и экономическая взаимодействие сетей Internet и Intranet благодаря могучему и гибкому механизму IP-маршрутизации со встроенными функциями пакетной фильтрации, механизмом адресной трансляции (NAT) и прикладными шлюзами. Использование платформы Intel Pentium и модульной архитектуры на базе шины PCI защищает ваши инвестиции, обеспечивая переход к новым технологиям путем замены интерфейсных модулей и версии управляючої операционной системы.

Комплекс межсетевого экранирования «фпсу-ip»

Программно-аппаратный комплекс ФПСУ-IP есть одновременно и организатором VPNs (виртуальных частных сетей) для информационных систем использующих стек протоколов TCP/IP. Имеет высокие характеристики производительности (в том числе за счет эффективной реализации проходного сжатия данных), которые выдвинули данный комплекс в разряд самих передовых решений как по отношению к отечественным, так и импортным продуктам в области VPNs-организаторов.

Если для других средств организации VPNs, выполненных на основе типичных алгоритмов (например, протокол SKIP) характерное достаточно существенное снижение скорости IP-взаимодействий за счет введения избыточности в каждый передач пакет, то при употреблении комплекса «ФПСУ-IP» обеспечивается минимальная избыточность передаваемой информации, которая обеспечивает даже прирост скорости передачи IP-потоков.

Cisco Pix Firewall

Продукты серии Cisco PIX

Аппаратным решением проблемы обеспечения сетевой безопасности являются продукты серии Cisco PIX (Private Internet eXchange). Программное обеспечение Cisco PIX является собственной разработкой компании Cisco Systems и не основано на каких-либо клонах Unix, что позволило обойтись минимальными востребованиями к дисковой (в Cisco PIX вместо дисковых накопителей используется флэш-пам'ять) и оперативной памяти, а употребление уникального алгоритма ASA (Adaptive Security Algorithm) обеспечило производительность свыше 64000 одновременные сессии, какая недосягаемая на сегодняшний момент ни одним из брандмауэров на базе Unix или Windows NT.

Возможности:

защита на основе технологии контроля заключается защита сетевых соединений, позволяет ограничить неавторизованных пользователей от доступа к сетевым ресурсам

технология перехвата соединений на прикладном уровне позволяет обеспечить аутентификацию пользователей с использованием стандартных протоколов TACACS+ и RADIUS

поддерживает больше 16,000 одновременных соединений

удобный и простой менеджер межсетевых экранов обеспечивает легкое администрирование нескольких межсетевых экранов PIX

поддержка протокола Point-to-Point Tunneling Protocol (PPTP) компании микрософтвер для реализации виртуальных корпоративных сетей (VPN)

поддержка протокола Oracle SQL*Net для защиты дополнений клиент/сервер

командный интерфейс, свойственный CISCO IOS системе

высокая надежность благодаря возможности дублирования и горячего резерва

трансляция сетевых адреса (NAT) согласно RFC 1631

трансляция портов (PAT) позволяет расширить пул адреса компании - через одну IP адресу можно отображать 64000 адреса (16,384 одновременно)

псевдонимы сетевых адреса позволяют отобразить IP адреса, которые перекрываются, в одно адресное пространство

для зарегистрированных IP адреса можно отменить режим трансляции адреса, что позволяет пользователям использовать их настоящие адреса

прозрачная поддержка всех распространенных TCP/IP сервисов - WWW, FTP, Telnet и вторые

поддержка мультимедийных типов данных с использованием трансляции адреса и без нее, включая Progressive Networks' RealAudio, Xing Technologies' Streamworks, White Pines' CuSeeMe, Vocal Tec's Internet Phone, VDOnet's VDOLive, Microsoft's NetShow, VXtreme's Web Theater 2

поддержка дополнений для работы с видеоконференциями, совместимыми из H.323 спецификацией, включая Internet Video Phone (Intel) и NetMeeting

возможность фильтрации потенциально опасных Java апплетов

защищена система реального часа

поддержка нескольких уровней входа в систему

поддержка прерываний (trap) SNMP протокола

сбор аудита через syslog утилиту

поддержка Management Information Base (MIB) для syslog

аудит использования URL и обменов по FTP протоколе

поддержка удаленного вызова процедур (RPC)

программа контроля почтового траффика позволяет отказаться от размещения внешнего почтового серверу в демилитаризованной зоне (DMZ)

защита от SYN атак защищает хост от атак типа «отказ в обслуживании»

трансляция NETBIOS протокола обеспечивает поддержку взаимодействия клиентов и серверов

Криптомаршрутизатор

Криптомаршрутизатор (КМ.), является комплексом программно технических средств, который обеспечивает защищенную передачу IP-потоков данных в internet/intranet-мережах и предназначенный для защиты данных Пользователя, которые содержат закрытую информацию.

КМ. является узлом криптографической обработки данных в IP-сетях и обеспечивает прием данных, которые отправляются Пользователями, которые работают на одной из рабочих станций (РС) ЛВС, шифровки этих данных и их защищенную передачу через открытую IP-сеть на аналогичный КМ., который выполняет расшифрование принятых данных и их доставку Пользователю-получателю, который работает на РС ЛВС.

Передача данных осуществляется криптомаршрутизатором по выделенным или коммутированным телефонным каналам связи согласно протоколам PPP, SLIP или CSLIP, а также по каналам ЛВС (по протоколе TCP/IP) и каналах сетей пакетной коммутации данных в соответствии с Рекомендациями X.25 ITU-T.

Криптомаршрутизатор обеспечивает шифровку потоков проходячих через него данных в соответствии с протоколом IPSec v.4, что позволяет скрыть на участке открытой IP-сети информацию о настоящих субъектах обмена и прикладных протоколах Пользователя, которые используются ими.

Linux Firewall

IP Firewall (ядра 2.0)

Первое поколение IP firewall для Linux появилось в ядре 1.1. Это была версия BSD ipfw firewall для Linux (автор Alan Сох). Поддержка firewall другого поколения появилась в ядрах 2.0 (авторы Jos Vos, Pauline Middelink и другие) и с этого момента стало возможным реально работать из firewall в Linux.