Безопасность Internet

обмануть его несложно: хакер создает заголовок, который

удовлетворяет разрешающим правилам фильтрации. Кроме

заголовка пакета, никакая другая содержащаяся в нем

информация межсетевыми экранами данной категории не

проверяется.

К положительным качествам фильтрующих

маршрутизаторов следует отнести:

. сравнительно невысокую стоимость;

. гибкость в определении правил фильтрации;

. небольшую задержку при прохождении пакетов.

Недостатками фильтрующих маршрутизаторов

являются:

. внутренняя сеть видна (маршрутизируется) из сети

Internet;

. правила фильтрации пакетов трудны в описании и

требуют очень хороших знаний технологий TCP и UDP;

. при нарушении работоспособности межсетевого экрана с

фильтрацией пакетов все компьютеры за ним становятся

полностью незащищенными либо недоступными;

. аутентификацию с использованием IP-адреса можно

обмануть путем подмены IP-адреса (атакующая система

выдает себя за другую, используя ее IP-адрес);

. отсутствует аутентификация на пользовательском

уровне.

Шлюзы сетевого уровня

Шлюз сетевого уровня иногда называют системой

трансляции сетевых адресов или шлюзом сеансового уровня

модели OSI. Такой шлюз исключает, прямое взаимодействие

между авторизированным клиентом и внешним хост-

компьютером. Шлюз сетевого уровня принимает запрос

доверенного клиента на конкретные услуги, и после

проверки допустимости запрошенного сеанса устанавливает

соединение с внешним хост-компьютером. После этого шлюз

копирует пакеты в обоих направлениях, не осуществляя их

фильтрации.

Шлюз следит за подтверждением (квитированием)

связи между авторизированным клиентом и внешним хост-

компьютером, определяя, является ли запрашиваемый сеанс

связи допустимым. Чтобы выявить допустимость запроса на

сеанс связи, шлюз выполняет следующую процедуру.

Когда авторизированный клиент запрашивает

некоторый сервис, шлюз принимает этот запрос, проверяя,

удовлетворяет ли этот клиент базовым критериям

фильтрации (например, может ли DNS-сервер определить IP-

адрес клиента и ассоциированное с ним имя). Затем,

действуя от имени клиента, шлюз устанавливает соединение

с внешним хост-компьютером и следит за выполнением

процедуры квитирования связи по протоколу TCP. Эта

процедура состоит из обмена TCP-пакетами, которые

помечаются флагами SYN (синхронизировать) и АСК

(подтвердить).

Первый пакет сеанса TCP, помеченный флагом SYN и

содержащий произвольное число, например 1000. является

запросом клиента на открытие сеанса. Внешний хост-

компьютер, получивший этот пакет, посылает в ответ

пакет, помеченный флагом АСК и содержащий число, на

единицу большее, чем в принятом пакете подтверждая, тем

самым прием пакета SYN от клиента.

Далее осуществляется обратная процедура: хост-

компьютер посылает клиенту пакет SYN с исходным числом

(например, 2000), а клиент подтверждает его получение

передачей пакета АСК, содержащего число 2001. На этом

процесс квитирования связи завершается.

Шлюз сетевого уровня признает запрошенное

соединение допустимым только в том случае, если при

выполнении процедуры квитирования связи флаги SYN и АСК,

а также числа, содержащиеся в TCP-пакетах, оказываются

логически связанными между собой.

После того как шлюз определил, что доверенный

клиент и внешний хост-компьютер являются

авторизированными участниками сеанса TCP, и проверил

допустимость этого сеанса, он устанавливает соединение.

Начиная с этого момента, шлюз копирует и перенаправляет

пакеты туда и обратно, не проводя никакой фильтрации. Он

поддерживает таблицу установленных соединений, пропуская

данные, относящиеся к одному из сеансов связи,

зафиксированных в этой таблице. Когда сеанс завершается,

шлюз удаляет соответствующий элемент из таблицы и

разрывает цепь. использовавшуюся в данном сеансе.

Для копирования и перенаправления пакетов в шлюзах

сетевого уровня применяются специальные приложения,

которые называют канальными посредниками, поскольку они

устанавливают между двумя сетями виртуальную цепь или

канал, а затем разрешают пакетам, которые генерируются

приложениями TCP/IP, проходить по этому каналу.

Канальные посредники поддерживают несколько служб

TCP/IP, поэтому шлюзы сетевого уровня могут

использоваться для расширения возможностей шлюзов

прикладного уровня, работа которых основывается на

программах-посредниках конкретных приложений.

Фактически большинство шлюзов сетевого уровня не

являются самостоятельными продуктами, а поставляются в

комплекте со шлюзами прикладного уровня. Примерами таких

шлюзов являются Gauntlet Internet Firewall компании

Trusted Information Systems, Alta Vista Firewall

компании DEC и ANS Interlock компании ANS. Например,

Alta Vista Firewall использует канальные посредники

прикладного уровня для каждой из шести служб TCP/IP, к

которым относятся, в частности, FTP, HTTP (Hyper Text

Transport Protocol) и telnet. Кроме того, межсетевой

экран компании DEC обеспечивает шлюз сетевого уровня,

поддерживающий другие общедоступные службы TCP/IP, такие

как Gopher и SMTP, для которых межсетевой экран не

предоставляет посредников прикладного уровня.

Шлюз сетевого уровня выполняет еще одну важную

функцию защиты: он используется в качестве сервера-

посредника. Этот сервер-посредник выполняет процедуру

трансляции адресов, при которой происходит

преобразование внутренних IP-адресов в один "надежный"

IP-адрес. Этот адрес ассоциируется с межсетевым экраном,

из которого передаются все исходящие пакеты. В

результате в сети со шлюзом сетевого уровня все

исходящие пакеты оказываются отправленными из этого

шлюза, что исключает прямой контакт между внутренней

(авторизированной) сетью и потенциально опасной внешней

сетью. IP-адрес шлюза сетевого уровня становится

единственно активным IP-адресом, который попадает во

внешнюю сеть. Таким образом шлюз сетевого уровня и

другие серверы-посредники защищают внутренние сети от

нападений типа подмены адресов.

После установления связи шлюзы сетевого уровня

фильтруют пакеты только на сеансовом уровне модели OSI,

т.е. не могут проверять содержимое пакетов, передаваемых

между внутренней и внешней сетью на уровне прикладных

программ. И поскольку эта передача осуществляется

"вслепую", хакер, находящийся во внешней сети, может

"протолкнуть" свои "вредоносные" пакеты через такой

шлюз. После этого хакер обратится напрямую к внутреннему

Web-серверу, который сам по себе не может обеспечивать

функции межсетевого экрана. Иными словами, если

процедура квитирования связи успешно завершена, шлюз

сетевого уровня установит соединение и будет "слепо"

копировать и перенаправлять все последующие пакеты

независимо от их содержимого.

Чтобы фильтровать пакеты, генерируемые

определенными сетевыми службами, в соответствии с их

содержимым необходим шлюз прикладного уровня.

Шлюзы прикладного уровня

Для устранения ряда недостатков, присущих

фильтрующим маршрутизаторам, межсетевые экраны должны

использовать дополнительные программные средства для

фильтрации сообщений сервисов типа TELNET и FTP. Такие

программные средства называются полномочными серверами

(серверами-посредниками), а хост-компьютер, на котором

они выполняются, - шлюзом прикладного уровня.

Шлюз прикладного уровня исключает прямое

взаимодействие между авторизированным клиентом и

внешним хост-компьютером. Шлюз фильтрует все

входящие и исходящие пакеты на прикладном уровне .

Связанные с приложением серверы – посредники

перенаправляют через шлюз информацию, генерируемую

конкретными серверами.

Для достижения более высокого уровня безопасности

и гибкости шлюзы прикладного уровня и фильтрующие

маршрутизаторы могут быть объединены в одном

межсетевом экране. В качестве примера рассмотрю

сеть, в которой с помощью фильтрующего

маршрутизатора блокируются входящие соединения

TELNET и FTP. Этот маршрутизатор допускает

прохождение пакетов TELNET или FTP только к одному

хост-компьютеру - шлюзу прикладного уровня

TELNET/FTP. Внешний пользователь, который хочет

соединиться с некоторой системой в сети, должен

сначала соединиться со шлюзом прикладного уровня, а

затем уже с нужным внутренним хост-компьютером. Это

осуществляется следующим образом:

1) сначала внешний пользователь устанавливает

TELNET-соединение со шлюзом прикладного уровня с

помощью протокола TELNET и вводит имя

интересующего его внутреннего хост-компьютера;

2) шлюз проверяет IP – адрес отправителя и

разрешает или запрещает соединение в соответствии с

тем или иным критерием доступа

3) пользователю может потребоваться

аутентификация (возможно, с помощью одноразовых

паролей);

4) сервер-посредник устанавливает TELNET-

соединение между шлюзом и внутренним хост-

компьютером;

5)сервер посредник осуществляет передачу

информации между этими двумя соединениями;

6) шлюз прикладного уровня регистрирует

соединение.

Этот пример наглядно показывает преимущества

использования полномочных серверов-посредников.

. Полномочные серверы - посредники пропускают

только те службы, которые им поручено

обслуживать. Иначе говоря, если шлюзы прикладного

уровня наделен полномочиями для служб FTP и

TELNET, то в защищаемой сети будут разрешены

только FTP и TELNE, а все другие службы будут

полностью блокированы. Для некоторых организаций

такой вид безопасности имеет большое значение,

так как он гарантирует, что через межсетевой

экран будут пропускаться только те службы ,

которые считаются безопасными.

. Полномочные серверы-посредники обеспечивают

возможность фильтрации протокола. Например,

некоторые межсетевые экраны, использующие шлюзы

прикладного уровня, могут фильтровать FTP –

соединения и запрещать использование команды FTP

put, что гарантированно не позволяет

ползователям записывать информацию на анонимный

FTP-сервер.

В дополнение к фильтрации пакетов многие шлюзы

прикладного уровня регистрируют все выполняемые

сервером действия и, что особенно важно,

предупреждают сетевого администратора о возможных

нарушениях защиты. Например, при попытках

проникновения в сеть извне BorderWare Firewall

Server компании Secure Computing позволяет

фиксировать адреса отправителя и получателя пакетов,

время, в которое эти попытки были предприняты, и

используемый протокол. Межсетевой экран Black Hole

компании Milkyway Networks регистрирует все действия

сервера и предупреждает администратора о возможных

нарушениях, посылая ему сообщение по электронной

почте или на пейджер. Аналогичные функции выполняют

и ряд других шлюзов прикладного уровня.

Шлюзы прикладного уровня позволяют обеспечить

наиболее высокий уровень защиты, поскольку

взаимодействие с внешним миром реализуется через

небольшое число прикладных полномочных программ-

посредников, полностью контролирующих весь входящий

и выходящий трафик.

Шлюзы прикладного уровня имеют ряд преимуществ по

сравнению с обычным режимом, при котором прикладной

трафик пропускается непосредственно к внутренним

хост-компьютерам. Перечислю эти преимущества.

. Невидимость структуры защищаемой сети из

глобальной сети Internet. Имена внутренних систем

можно не сообщать внешним системам через DNS,

поскольку шлюз прикладного уровня может быть

единственным хост-компьютером, имя которого

должно быть известно внешним системам.

. Надежная аутентификация и регистрация. Прикладной

трафик может быть аутентифицирован, прежде чем он

достигнет внутренних хост-компьютеров, и может

быть зарегистрирован более эффективно, чем с

помощью стандартной .регистрации.

. Оптимальное соотношение между ценой и

эффективностью. Дополнительные или аппаратные

средства для аутентификации или регистрации нужно

устанавливать только на шлюзе прикладного уровня.

. Простые правила фильтрации. Правила на

фильтрующем маршрутизаторе оказываются менее

сложными, чем они были бы, если бы маршрутизатор

сам фильтровал прикладной трафик и отправлял его

большому числу внутренних систем. Mapшрутизатор

должен пропускать прикладной трафик,

предназначенный только для шлюза прикладного

уровня, и блокировать весь остальной трафик.

. Возможность организации большого числа проверок.

Защита на уровне приложений позволяет

осуществлять большое количество дополнительных

проверок, что снижает вероятность взлома с

использованием "дыр" в программном обеспечении.

К недостаткам шлюзов прикладного уровня

относятся:

. более низкая производительность по сравнению с

фильтрующими маршрутизаторами; в частности, при

использовании клиент-серверных протоколов, таких

как TELNET, требуется двухшаговая процедура для

входных и выходных соединений;

. Более высокая стоимость по сравнению с

фильтрующим маршрутизатором

Помимо TELNET и FTP шлюзы прикладного уровня

обычно используются для электронной почты, Х Windows

и некоторых других служб.

Усиленная аутентификация

Одним из важных компонентов концепции

межсетевых экранов является аутентификация (проверка

подлинности пользователя). Прежде чем пользователю

будет предоставлено право воспользоваться, тем или

иным сервисом, необходимо убедиться, что он

действительно тот, за кого себя выдает.

Одним из способов аутентификации является

использование стандартных UNIX-паролей. Однако эта

схема наиболее уязвимо с точки зрения безопасности -

пароль может быть перехвачен и использован другим

лицом. Многие инциденты в сети Internet произошли

отчасти из-за уязвимости традиционных паролей.

Злоумышленники могут наблюдать за каналами в сети

Internet и перехватывать передающиеся в них открытым

текстом пароли, поэтому схему аутентификации с

традиционными паролями следует признать устаревшей.

Для преодоления этого недостатка разработан ряд

средств усиленной аутентификации; смарт-карты,

персональные жетоны, биометрические механизмы и т.п.

Хотя в них задействованы разные механизмы

аутентификации, общим для них является то, что

пароли, генерируемые этими устройствами, не могут

быть повторно использованы нарушителем, наблюдающим

за установлением связи. Поскольку проблема с

паролями в сети Internet является постоянной,

межсетевой экран для соединения с Internet, не

располагающий средствами усиленной аутентификации

или не использующий их, теряет всякий смысл .

Ряд наиболее популярных средств усиленной

аутентификации, применяемых в настоящее время,

называются системами с одноразовыми паролями.

Например, смарт–карты или жетоны аутентификации

генерируют информацию, которую хост-компьютер

использует вместо традиционного пароля Результатом

является одноразовый пароль, который, даже если он

будет перехвачен, не может быть использован

злоумышленником под видом пользователя для

установления сеанса с хост- компьютером.

Так как межсетевые экраны могут централизовать

управление доступом в сети, они являются подходящим

местом для установки программ или устройств

усиленной аутентификации. Хотя средства усиленной

аутентификации могут использоваться на

каждом хост-компьютере, более практично их

размещение на межсетевом экране. На рис. показано,

что в сети без межсетевого экрана, использующего

меры усиленной аутентификации, неаутентифицированный

трафик таких приложений, как TELNET или FTP, может

напрямую проходить к системам в сети.

Если хост-компьютеры не применяют мер усиленной

аутентификации, злоумышленник может попытаться

взломать пароли или перехватить сетевой трафик с

целью найти в нем сеансы, в ходе которых передаются

пароли.

Неаутентифицированный

Аутентифицированный

Трафик TELNET и FTP

трафик TELNET и

FTP

Межсетевой экран

с

усиленной

аутентификацией

На рисунке показана также сеть с межсетевым

экраном, использующим усиленную аутентификацию. В

этом случае сеансы TELNET или FTP, устанавливаемые

со стороны сети Internet с системами сети, должны

проходить проверку с помощью средств усиленной

аутентификации, прежде чем они будут разрешены,

Системы сети могут запрашивать для разрешения

доступа и статические пароли, но эти пароли, даже

если они будут перехвачены злоумышленником, нельзя

будет использовать , так как средства усиленной

аутентификации и другие компоненты межсетевого

экрана предотвращают проникновение злоумышленника

или обход ими межсетевого экрана.

Основные схемы сетевой защиты на базе межсетевых

экранов

При подключении корпоративной или локальной сети

к глобальным сетям администратор сетевой

безопасности должен решать следующие задачи:

. защита корпоративной или локальной сети от

несанкционированного доступа со стороны

глобальной сети;

. скрытие информации о структуре сети и ее

компонентов от пользователей глобальной сети,

. разграничение доступа в защищаемую сеть из

глобальной сети и из защищаемой сети в глобальную

сеть.

Необходимость работы с удаленными пользователями

требует установки жестких ограничений доступа к

информационным ресурсам защищаемой сети. При этом

часто возникает потребность в организации в составе

корпорационной сети нескольких сегментов с разными

уровнями защищенности

. свободно доступные сегменты (например, рекламный

WWW-сервер),

. сегмент с ограниченным доступом (например, для

доступа сотрудникам организации с удаленных

узлов),

. закрытые сегменты (например, локальная финансовая

сеть организации) .

Для защиты корпоративной или локальной сети

применяются следующие основные схемы организации

межсетевых экранов:

. межсетевой экран - фильтрующий маршрутизатор;

. межсетевой экран на основе двупортового шлюза;

. межсетевой экран на основе экранированного шлюза;

. межсетевой экран – экранированная подсеть.

Межсетевой экран – фильтрующий маршрутизатор

Межсетевой экран, основанный на фильтрации

пакетов, является самым распространенным и наиболее

простым в реализации. Он состоит из фильтрующего

маршрутизатора, расположенного между защищаемой

сетью и сетью Internet (рис. 8.6). Фильтрующий

маршрутизатор сконфигурирован для блокирования или

фильтрации входящих и исходящих пакетов на основе

анализа их адресов и портов. Компьютеры, находящиеся

в защищаемой сети, имеют прямой доступ в сеть

Internet, в то время как большая часть доступа к ним

из Internet блокируется. Часто блокируются такие

опасные службы, как Х Windows, NIS и NFS. В принципе

фильтрующий маршрутизатор может реализовать любую из

политик безопасности, описанных ранее. Однако если

маршрутизатор не фильтрует пакеты по порту источника

и номеру входного и выходного порта, то реализация

политики "запрещено все, что не разрешено в явной

форме" может быть затруднена.

Локальная сеть

Межсетевые экраны, основанные на фильтрации

пакетов, имеют такие же недостатка, что и

фильтрующие маршрутизаторы, причем эти недостатки

становятся более ощутимыми при ужесточении

требований к безопасности защищаемой сети. Отметим

некоторые из них:

. сложность правил фильтрации, в некоторых случаях

совокупность этих правил может стать

неуправляемой;

. невозможность полного тестирования правил

фильтрации; это приводит к незащищенности сети от

не протестированных атак;

в результате администратору трудно определить,

подвергался ли маршрутизатор атаке и

скомпрометирован ли он;

. каждый хост-компьютер, связанный с сетью

Internet, нуждается в своих средствах усиленной

аутентификации.

Межсетевой экран на базе

двупортового шлюза

Межсетевой экран на базе двупортового прикладного

шлюза включает двудомный хост-компьютер с двумя

сетевыми интерфейсами. При передаче информации между

этими интерфейсами и осуществляется основная

фильтрация. Для обеспечения дополнительной защиты

между прикладным шлюзом и сетью Internet обычно

размещают фильтрующий маршрутизатор (рисунок). В

результате между прикладным шлюзом и маршрутизатором

образуется внутренняя экранированная подсеть. Эту

подсеть можно использовать для размещения доступных

извне информационных серверов .

Фильтрующий

маршрутизатор

В отличие от схемы межсетевого экрана с

фильтрующим маршрутизатором прикладной шлюз

полностью блокирует трафик IР между сетью internet и

защищаемой сетью. Только полномочные сервера -

посредники, располагаемые на прикладном шлюзе, могут

предоставлять услуги и доступ пользователям.

Данный вариант межсетевого экрана реализует

политику безопасности, основанную на принципе

"запрещено все, что не разрешено в явной форме", при

этом пользователю недоступны все службы, кроме тех,

для которых определены соответствующие полномочия.

Такой подход обеспечивает высокий уровень

безопасности, только маршруты к защищенной подсети

известны только межсетевому экрану и скрыты от

внешних систем.

Рассматриваемая схема организации межсетевого

экрана является довольно простой и достаточно

эффективной.

Следует отметить, что безопасность двудомного

хост-компьютера, используемого в качестве

прикладного шлюза, должна поддерживаться на высоком

уровне. Любая брешь в его защите может серьезно

ослабить безопасность защищаемой сети. Если шлюз

окажется скомпрометированным, у злоумышленника

появится возможность проникнуть в защищаемую сеть.

Этот межсетевой экран может требовать от

пользователей применение средств усиленной

аутентификации, а также регистрации доступа, попыток

зондирования и атак системы нарушителем.

Для некоторых сетей может оказаться неприемлемой

недостаточная гибкость схемы межсетевого экрана с

прикладным шлюзом.

Межсетевой экран на основе экранированного шлюза

Межсетевой экран на основе экранированного шлюза

объединяет фильтрующий маршрутизатор и прикладной

шлюз, разрешаемый со стороны внутренней сети.

Прикладной шлюз реализуется на хост – компьютере и

имеет только один сетевой интерфейс(рисунок).

Фильтрующий

маршрутизатор

В этой схеме первичная безопасность

обеспечивается фильтрующим маршрутизатором. Пакетная

фильтрация в фильтрующем маршрутизаторе может быть

реализована одним из следующих способов:

. позволять внутренним хост – компьютерам открывать

соединения с хост – компьютерами в сети Internet

для определения сервисов

. запрещать все соединения от внутренних хост-

компьютеров (заставляя их использовать

полномочные серверы-посредники на прикладном

шлюзе).

Эти подходы можно комбинировать для различных

сервисов, разрешая некоторым сервисам соединение

непосредственно через пакетную фильтрацию, в то

время как другим только непрямое соединение через

полномочные серверы-посредники. Все зависит от

конкретной политики безопасности, принятой во

внутренней сети. В частности, пакетная фильтрация на

фильтрующем маршрутизаторе может быть организована

таким образом, чтобы прикладной шлюз, используя свои

полномочные серверы-посредники, обеспечивал для

систем защищаемой сети такие сервисы, как TELNET,

FTP, SMTP.

Межсетевой экран выполненный по данной схеме,

получается более глубоким, но менее безопасным по

сравнению с межсетевым экраном с прикладным шлюзом

на базе двудомного хост – компьютера . Это

обусловлено тем, что в схеме межсетевого экрана с

экранированным шлюзом существует потенциальная

возможность передачи трафика в обход прикладного

шлюза непосредственно к системе локальной сети .

Основной недостаток схемы межсетевого экрана с

экранированным шлюзом заключается в том, что если

атакующий нарушитель сумеет проникнуть в хост-

компьютер, то перед ним окажутся незащищенные

системы внутренней сети. Другой недостаток связан с

возможной компрометацией маршрутизатора. Если

маршрутизатор окажется скомпрометированным,

внутренняя сеть станет доступна атакующему

нарушителю.

По этим причинам в настоящее время все более

популярной становится схема межсетевого экрана с

экранированной подсетью.

Межсетевой экран – экранированная подсеть

Межсетевой экран, состоящий из экранированной

подсети, представляет собой развитие схемы

межсетевого экрана на основе экранированного шлюза.

Для создания экранированной подсети используются два

экранирующих маршрутизатора (рисунок). Внешний

маршрутизатор располагается между сетью internet и

экранируемой подсетью, а внутренний - между

экранируемой подсетью и защищаемой внутренней сетью.

Экранируемая подсеть содержит прикладной шлюз, а

также может включать информационные серверы и другие

системы, требующие контролируемого доступа. Эта

схема межсетевого экрана обеспечивает хорошую

безопасность благодаря организации экранированной

подсети, которая еще лучше изолирует внутреннюю

защищаемую сеть от Internet.

Внешний

Внутренний

Маршрутизатор

маршрутизатор

Экранированная

подсеть

Внешний маршрутизатор защищает от сети internet как

экранированную подсеть, так и внутреннюю сеть. Он должен

пересылать трафик согласно следующим правилам:

. разрешается трафик от объектов internet к прикладному

шлюзу;

. разрешается трафик от прикладного шлюза к internet;

. разрешается трафик электронной почты от internet к

серверу электронной почты;

. разрешается трафик электронной почты от сервера

электронной почты к internet;

. разрешается трафик FTP, Gopher и т.д. от internet к

информационному серверу;

. запрещается остальной трафик.

Внешний маршрутизатор запрещает доступ из internet

к системам внутренней сети и блокирует весь трафик к

internet, идущий от систем, которые не должны являться

инициаторами соединений (в частности, информационный

сервер и др.). Этот маршрутизатор может быть использован

также для блокирования других уязвимых протоколов, которые

не должны передаваться к хост-компьютерам внутренней сети

или от них.

Внутренний маршрутизатор защищает внутреннюю сеть

как от Internet, так и от экранированной подсети.

Внутренний маршрутизатор осуществляет большую часть

пакетной фильтрации. Он управляет трафиком к системам

внутренней сети и от них в соответствии со следующими

правилами:

. разрешается трафик от прикладного шлюза к системам

сети;

. разрешается прикладной трафик от систем сети к

прикладному шлюзу;

. разрешает трафик электронной почты от сервера

электронной почты к системам сети;

. разрешается трафик электронной почты от систем сети к

серверу электронной почты;

. разрешается трафик FTP, Gopher и т.д. от систем сети к

информационному серверу;

. запрещает остальной трафик;

Чтобы проникнуть во внутреннюю сеть при такой схеме

межсетевого экрана, атакующему нужно пройти два

фильтрующих маршрутизатора. Даже если атакующий каким-то

образом проник в хост-компьютер прикладного шлюза, он

должен еще преодолеть внутренний фильтрующий

маршрутизатор. Таким образом, ни одна система внутренней

сети не достижима непосредственно из Internet, и наоборот.

Кроме того, четкое разделение функций между

маршрутизаторами и прикладным шлюзом позволяет достигнуть

более высокой пропускной способности.

Прикладной шлюз может включать программы усиленной

аутентификации.

Межсетевой экран с экранированной подсетью имеет и

недостатки;

. пара фильтрующих маршрутизаторов нуждается в большом

внимании для обеспечения необходимого уровня

безопасности. поскольку из-за ошибок при их

конфигурировании могут возникнуть провалы в

безопасности всей сети;

. существует принципиальная возможность доступа в обход

прикладного шлюза.

Применение межсетевых экранов для организации

виртуальных корпоративных сетей

Некоторые межсетевые экраны позволяют организовать

виртуальные корпоративные сети. Несколько локальных сетей,

подключенных к глобальной сети, объединяются в одну

виртуальную корпоративную сеть. Передача данных между

этими локальными сетями производиться прозрачным образом

для пользователей локальных сетей. Конфиденциальность и

целостность передаваемой информации должны обеспечиваться

при помощи средств шифрования, использование цифровых

подписей. При передаче данных может шифроваться не только

содержимое пакета, но и некоторые поля заголовка.

Программные методы защиты

К программным методам защиты в сети Internet могут

быть отнесены защищенные криптопротоколы, которые

позволяют надежно защищать соединения. В процессе развития

Internet были созданы различные защищенные сетевые

протоколы, использующие как симметричную криптографию с

закрытым ключом, так и асимметричную криптографию с

открытым ключом. К основным на сегодняшний день подходам и

протоколам, обеспечивающим защиту соединений, относятся

SKIP-технология и протокол защиты соединения SSL.

SKIP (Secure Key Internet Ргоtосоl) -технологией

называется стандарт защиты трафика IP-пакетов, позволяющий

на сетевом уровне обеспечить защиту соединения и

передаваемых по нему данных.

Возможны два способа реализации SKIP-защиты трафика

IP-пакетов:

. шифрование блока данных IP– ракета;

. инкапсуляция IP-пакета в SKIP-пакет.

Шифрование блока данных IP-пакета иллюстрируется . В

этом случае шифруются методом симметричной криптографии

только данные IP-пакета, а его заголовок, содержащий

помимо прочего адреса отправителя и получателя, остается

открытым, и пакет маршрутизируется в соответствии с

истинными адресами. Закрытый ключ K(i,j), разделяемый

парой узлов сети i и j, вычисляется по схеме Диффи-

Хеллмана. SKIP-пакет внешне похож на обычный IP-пакет. В

поле данных SKIP-пакета полностью размещается в

зашифрованном виде исходный IP-пакет. В этом случае в

новом заголовке вместо истинных адресов могут быть

помещены некоторые другие адреса. Такая структура SKIP-

пакета позволяет беспрепятственно направлять его любому

хост-компьютеру в сети Internet, при этом межсетевая

адресация осуществляется по обычному IP-заголовку в SKIP –

пакете. Конечный получатель SKIP – пакета по заранее

определенному разработчиками алгоритму расшифровывает

криптограмму и формирует обычный TCP – или UDP –пакет ,

который и передает соответствующему модулю (TCP или UDP)

ядра операционной системы. Универсальный протокол защиты

соединения SSL (Secure Socket Layer) функционирует на

сеансовом уровне эталонной модели OSI. Протокол SSL,

разработанный компанией Netscape, использует криптографию

с открытым ключом. Этот протокол является действительно

универсальным средством, позволяющим динамически защищать

соединение при использовании любого прикладного протокола

(FTP, TELNET, SMTP, DNS и т.д.). Протокол SSL поддерживают

такие ведущие компании, как IBM, Digital Equipment

Corporation, Microsoft Corporation, Motorola, Novell Inc.,

Sun Microsystems, MasterCard International Inc. и др.

Следует отметить также функционально законченный

отечественный криптографический комплекс "Шифратор IP

потоков". разработанный московским отделением

Пензенского научно-исследовательского электротехнического

института. Криптографический комплекс "Шифратор IP

потоков" представляет собой распределенную систему

криптографических шифраторов, средств управления

криптографическими шифраторами, средств хранения,

распространения и передачи криптографической информации, а

также средств оперативного мониторинга и регистрации

происходящих событий. Криптографический комплекс "Шифратор

IP потоков" предназначен для выполнения следующих функций:

. создания защищенных подсетей передачи конфиденциальной

информации;

. объединения локальных сетей в единую защищенную сеть;

. организации единого центра управления защищенной

подсетью.

Комплекс обеспечивает:

. контроль целостности передаваемой информации;

. аутентификацию абонентов (узлов сети);

. передачу контрольной информации в Центр управления

ключевой системой защищенной IP сети;

. поддержку протоколов маршрутизации PIP II, OSPF, BGP;

. поддержку инкапсуляции IPX в IP (в соответствии с RFC-

1234);

. поддержку инкапсуляции IP в Х.25 и Frame Relay;

Криптографический комплекс "Шифратор IP потоков" имеет

модульную структуру и состоит из распределенной сети

шифраторов IP потоков и единого центра управления ключевой

системой.

Шифратор IP протоколов (ШИП) состоит из:

. криптографического модуля, непосредственно встроенного

в ядро операционной системы

. модуля поддержки клиентской части ключевой системы;

. модуля проверки целостности системы при загрузки.

. модуля записи протоколов работы криптографической

системы;

ШИП содержит также плату с интерфейсом ISA,

используемую для защиты от НСД при загрузке системы и для

получения от сертифицированного физического датчика

случайных чисел, необходимых для реализации процедуры

шифрования.

Центр управления ключевой системой (ЦУКС) состоит

из:

. автоматизированного рабочего места управления ключевой

системой, работающей в среде X Windows;

. модуля серверной части ключевой системы;

. сервисной программы просмотра протоколов работы

криптографического комплекса "Шифратор IP потоков".

Управление ключами выполняется при помощи ЦУКС и

заключается в следующем:

. Периодическая смена парных ключей шифрования

зарегистрированных узлов защищенной сети;

. формирование и рассылка по сети справочников

соответствия, определяющих возможность абонентов

работать друг с другом;

. сбор и хранение в базе данных информации о всех

критичных событиях в сети, возникающих как при

аутентификации абонентов, так и при передаче между ними

зашифрованной информации.

В случае возникновения нештатных ситуаций, создающих

угрозу нарушения защиты информации, администратор ЦУКС

предпринимает действия , направленные на восстановление

целостности системы защиты информации.

лоло

Схема организации виртуальной корпоративной сети с

применением криптографического комплекса “Шифратор IP

потоков” показана на рисунке. При организации виртуальной

корпоративной сети небольшого размера без жёстких

требований к времени оповещения абонентов о компрометации

какого-либо абонента и без жёстких требований к полноте

собираемых протоколов об ошибках доступа возможно

использование одного ЦУКС. При организации виртуальной

корпоративной сети среднего размера или с жёсткими

требованиями к времени оповещения абонентов компрометации

какого-либо абонента и к полноте собираемых протоколов об

ошибках доступа следует использовать несколько ЦУКС. При

этом желательно, чтобы ЦУКС имели независимые друг от

друга каналы подключения к глобальной сети.

Заключение

После всего изложенного материала можно заключить

следующее.

На сегодняшний день лучшей защитой от компьютерных

преступников является межсетевой экран правильно

установленный и подобранный для каждой сети. И хотя он не

гарантирует стопроцентную защиту от профессиональных

взломщиков, но зато усложняет им доступ к сетевой

информации, что касается любителей то для них доступ

теперь считается закрытым. Также в будущем межсетевые

экраны должны будут стать лучшими защитниками для банков,

предприятий, правительств, и других спецслужб. Также есть

надежда, что когда нибудь будет создан межсетевой экран,

который никому не удастся обойти. На данном этапе

программирования можно также заключить, что разработки по

межсетевым экранам на сегодняшний день сулят в недалёком

будущем весьма неплохие результаты.

Список используемой литературы

1) Зашита информации в компьютерных системах и сетях/ Под

ред. В.Ф. Шаньгина .- М.: Радио и связь, 1999.-328 с.

2) Айков Д., Сейгер К., Фонсторх У. Компьютерные

преступления. Руководство по борьбе с компьютерными

преступлениями: Пер. с англ. – М.: Мир,1999.- 351с.,

ил.

3) Секреты безопасности Internet .- К.: Диалектика ,

1997.-512., ил.

4) Безопасность персонального компьютера / Пер. с англ.;

Худ. обл. М.В. Драко .- Мн.: ООО «Попурри», 1997.- 480

с.:ил.

5) Конфидент/ март – апрель 1997.

-----------------------

Internet

Межсетевой

экран

Internet

Фильтрующий маршрутизатор

ЭВМ

ЭВМ

ЭВМ

Internet

Информационный

сервер

Прикладной

шлюз

Локальная

сеть

Internet

Информационный

сервер

Прикладной

шлюз

Локальная сеть

ШИТ 2

Локальная сеть

Локальная сеть

ШИТ 3

Internet

ШИТ 1

ЦУКС

Локальная сеть

Информационный

сервер

Internet

Локальная сеть

Сервер электронной почты

Прикладной шлюз

Локальная сеть

Локальная сеть

Локальная сеть

Локальная сеть

Межсетевой

экран

Межсетевой

экран

Межсетевой

экран

Межсетевой

экран

Internet

Internet

Страницы: 1, 2