В.П. Мельников и др. - Информационная безопасность и защита информации (1022816), страница 73
Текст из файла (страница 73)
Межсетевой экран для Интранета — это полупроницаемая мембрана, которая располагается между защищаемой (внутренней) сетью и внешней средой (внешними сетями или другими сегментами корпоративной сети) и контролирует все информационные потоки во внутреннюю сеть и из нее (рис. 5.7). Контроль информационных потоков заключается в их фильтрации, т.е. в выборочном пропускании через экран, возможно, с выполнением неко- 317 Рис.
5.7. Схема межсетевого экрана Интранет торых преобразований и извещением отправителя о том, что его данным в пропуске отказано. Фильтрация осуществляется на основе набора правил, предварительно загруженных в экран и являющихся выражением сетевых аспектов стратегии безопасности организации. Целесообразно разделить случаи, когда экран устанавливается на границе с внешней (обычно общедоступной) сетью или на границе между сегментами одной корпоративной сети (соответственно мы будем говорить о внешнем и внутреннем межсетевых экранах).
Как правило, при общении с внешними сетями в Интранете, как в любой КС, используется исключительно семейство протоколов ТСР/1Р. Поэтому внешний межсетевой экран должен учитывать специфику этих протоколов. Для внутренних экранов ситуация сложнее. Здесь следует принимать во внимание помимо ТСР/1Р, по крайней мере, протоколы 8РХ/1РХ, применяемые в сетях )х!оте1! )х!ет%аге. Иными словами, от внутренних экранов нередко требуется многопротокольность. Ситуации, когда корпоративная сеть содержит лишь один внешний канал, является, скорее, исключением, чем правилом.
Напротив, типична ситуация, при которой корпоративная сеть состоит из нескольких территориально разнесенных сегментов, каждый из которых подключен к сети общего пользования (рис. 5.8). В этом случае каждое подключение должно защищаться своим экраном. Можно считать, что корпоративный внешний межсетевой экран является составным и требуется решать задачу согласованного администрирования (управлення и аудита) всех компонентов. При рассмотрении любого вопроса, касающегося сетевых технологий, основой служит семиуровневая эталонная модель !ЬО/ОЯ!.
Межсетевые экраны также целесообразно классифицировать по тому, на каком уровне производится фильтрация — канальном, сетевом, транспортном или прикладном. Соответственно можно говорить об экранирующих концентраторах, о маршрутизаторах, транспортном экранировании и прикладных экранах. Существуют также комплексные экраны, анализирующие информацию на нескольких уровнях. 318 При принятии решения «пропустить/не пропустить» межсетевые экраны могут использовать не только информацию, содержащуюся в фильтруемых потоках, но и данные, полученные из окружения, например текущее время. Таким образом, возможности межсетевого экрана непосредственно определяются тем, какая информация может использоваться в правилах фильтрации и какова может быть мощность наборов правил.
Чем выше уровень в модели 1ЯО/051, на котором функционирует экран, тем более содержательная информация ему доступна и, следовательно, тем тоньше и надежнее экран может быть сконфигурирован. В то же время фильтрация на каждом из перечисленных выше уровней обладает своими достоинствами, такими как низкая стоимость, высокая эффективность или прозрачность для пользователей. В большинстве случаев используются смешанные конфигурации, в которых объединены разнотипные экраны. Наиболее типичным является сочетание экранируюших маршрутизаторов и прикладного экрана с внешними и внутренними сетями, схема соединения которых приведена на рис.
5.9. Приведенная конфигурация называется экранируюшей подсетью. Как правило, сервисы, которые организация предоставляет Площадка 1 Рис. 5.8. Схема экранирования корпоративной сети, состоящей из нескольких территориально разнесенных сегментов (площадок), каждый из которых подключен к сети общего пользования 319 1 Эхранируемаа подсеть 1 Внешний сз и ц ц э«ранирушншй маршрутизатор Внешний экранирующий маршрутизатор Рис. 5.9.
Схема соединения экранируюших маршрутизаторов и приклад- ного экрана с внешними и внутренними сетями для внешнего применения (например, представительский ууеЬ-сервер), целесообразно выносить как раз в экранирующую подсеть. Помимо выразительных возможностей и допустимого числа правил качество межсетевого экрана определяется еще двумя характеристиками: простотой применения и собственной защищенностью. В плане простоты использования первостепенное значение имеют наглядный интерфейс при задании правил фильтрации и возможность централизованного администрирования составных конфигураций.
В свою очередь, в последнем аспекте выделяют средства централизованной загрузки правил фильтрации и проверки набора правил на непротиворечивость. Важен и централизованный сбор, и анализ регистрационной информации, а также получение сигналов о попытках выполнения действий, запрещенных стратегией безопасности. Собственная защищенность межсетевого экрана обеспечивается теми же средствами, что и защищенность универсальных систем. При выполнении централизованного администрирования следует еще позаботиться о защите информации от пассивного и активного прослушивания сети, т.е.
обеспечить целостность и конфиденциальность информации. Природа экранирования (фильтрации) как механизма безопасности очень глубока. Помимо блокирования потоков данных, нарушающих стратегию безопасности, межсетевой экран может скрывать информацию о защищаемой сети, тем самым затрудняя 320 действия потенциальных злоумышленников.
Так, прикладной экран может осуществлять действия от имени субъектов внутренней сети, в результате чего из внешней сети кажется, что имеет место взаимодействие исключительно с межсетевым экраном. Такая схема истинных и кажущихся информационных потоков представлена на рис. 5.! О. При таком подходе топология внутренней сети скрыта от внешних пользователей, поэтому задача злоумышленника существенно усложняется.
Более общим методом сокрытия информации о топологии защищаемой сети является трансляция внутренних сетевых адресов, которая попутно решает проблему расширения адресного пространства, выделенного организации. Ограничивающий интерфейс также можно рассматривать как разновидность экранирования. На невидимый объект трудно нападать, особенно с помощью фиксированного набора средств. В этом смысле %еЬ-интерфейс обладает естественной защитой, особенно в том случае, когда гипертекстовые документы формируются динамически. Каждый видит лишь то, что ему положено. Экранируюшая роль %еЬ-сервиса наглядно проявляется и тогда, когла этот сервис осуществляет посреднические (точнее, интегрирующие) функции при доступе к другим ресурсам, в час~ности к таблицам базы данных.
Здесь не только контролируются потоки запросов, но и скрывается реальная организация баз данных. Безопасность программной среды может быть обеспечена применением активных агентов (когда между компьютерами передаются не только пассивные, но и активные исполняемые данные, т.е. программы). Первоначальная цель — уменьшить'сетевой трафик, выполняя основную часть обработки там, где располагаются данные (приближение программ к данным). На практике это означает перемещение программ на серверы. Классический пример реализации подобного подхода — это хранимые процедуры в реляционных СУБД. Рис.
5.10. Истинные и кажущиеся информационные потоки 321 Для %еЬ-серверов аналогом хранимых процедур являются программы, обслуживающие общий шлюзовый интерфейс (СС1— Соттоп Суа~евау 1пгег(асс). С01-процедуры располагаются на серверах и обычно используются для динамического порождения НТМ) -документов. Стратегия безопасности организации и процедурные меры должны определять, кто имеет право помсгцать на сервер СС(-процедуры.
Жесткий контроль здесь нсобходим, поскольку выполнение сервером некорректной программы может привести к тяжелым последствиям. Разумная мера технического характера — минимизация привилегий пользователя, от имени которого выполняется %еЬ-сервер. В технологии Интранет, если заботиться о качестве и выразительной силе пользовательского интерфейса, возникает необходимость перемещения программ с %еЬ-серверов на клиентские компьютеры — для созлания анимации, выполнения семантического контроля при вводе данных и т.д. Активные агенты — это неотьемлемая часть технологии Интранет. В каком бы направлении ни перемещались программы по сети, эти действия представляют повышенную опасность, так как программа, полученная из ненадежного источника, может содержать непреднамеренно внесенные ошибки или целенаправленно созданный зловредный код.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
