Файл: Защита сетевой инфраструктуры предприятия..pdf

Еще одним очень важным элементом является обеспечение Координатором трансляции открытых сетевых адресов (NAT). Можно настроить статические и динамические правила трансляции для организации подключения к открытым ресурсам Интернета. Координатор поддерживает также трансляцию сетевых адресов на прикладном уровне для протокола FTP в целях обеспечения возможности работы FTP-клиентов в активном режиме, и фильтрацию команд FTP-протокола для защиты от использования некорректных значений IP-адресов клиента и сервера.

Рисунок 3. - Настройка фильтров ViPNet Coordinator

При помощи встроенной программы «Контроль приложений» обеспечивается защита координатора на уровне приложений, путем контроля за сетевой активностью приложений. Это гарантирует блокирование любого неразрешенного пользователем приложения, при попытках последнего проявить сетевую активность. Возможность использования программы «Контроль приложений» зависит от регистрационного файла.

В процессе работы координатора формируются различные журналы: регистрации IP-трафика, сетевой активности приложений, регистрации событий по изменению настроек безопасности в программе. Также программа отображает в режиме on-line различную статистическую информацию о зарегистрированном сетевом трафике и заблокированных веб-фильтрами элементах веб-страниц. С помощью этой информации пользователь может легко проанализировать различные события, зафиксированные программой и скорректировать настройки программы.

3.2 Разработка и анализ схемы защищенной сети

С учетом требований защиты к нашей сети составим схему ее защиты (рисунок 4).

Рисунок 4. - Схема защищенной сети

Из схемы видно, что открытый сигнал (схематично показан молнией) в Интернет не проходит. Обмен данными возможен только по созданному туннелю через публичные сети, который показан, синей линией. Для пользователей ViPNet процесс обмена информационными потоками совершенно прозрачен.

Весь трафик, проходящий через созданный туннель, шифруется, но с учетом того, что при шифровании используется многопоточность, на скорости передачи данных это почти не отражается, и пользователи не замечают разницы между закрытым обменом и открытым, как было изначально, что не делает их работу менее комфортной, а передаваемая информация даже при осуществлении успешного перехвата злоумышленником не будет раскрыта.

Доступ к каждому рабочему месту закрыт персональной ключевой информацией, которая проверяется на координаторах в процессе аутентификации, и которую пользователи хранят в секрете. Так же проверяется аутентичность каждого пользователя на основе его электронно-цифровой подписи, что исключает внедрение ложных объектов или субъектов в сеть.

Доступ пользователей к ресурсам Интернет ограничен локальными политиками безопасности, и каждый пользователь может посещать только те сайты, которые указаны в политике его локальной сети.

Каждый компьютер в результате оказался защищен межсетевым экраном, что предотвращает доступ извне в локальную сеть.

Мобильные компьютеры так же имеют доступ к информационному туннелю, что дает им возможность участвовать в информационном обмене всей сети, и они также защищены межсетевым экраном, что делает работу пользователей за ними безопасной.

ViPNet координаторы находятся до шлюза, что снимает с них задачи проксирования и трансляции сетевых адресов.

Защищенные сервера достижимы локально и доступны для всех сетей предприятия благодаря динамической маршрутизации PROXY. Защита трафика осуществляется координатором по средствам шифрования и ЭЦП.

ЗАКЛЮЧЕНИЕ

В ходе данной работы был проведен анализ незащищенной сети и выполнены требования, для создания системы защиты данной сети. Затем был проведен анализ средств защиты, и выбор наиболее подходящего, средства – программно-аппаратного комплекса ViPNet.

На основе этого комплекса была реализована система защиты, с помощью которой были выполнены все требования по информационной безопасности: организован закрытый информационный туннель для обмена информацией, в котором происходит шифрование всей информации, пользователи имеют электронно-цифровую подпись, их компьютеры защищены межсетевым экраном, а любая сетевая активность фиксируется в специальном модуле данного ПО.

Таким образом, в данной работе была сформирована модель защищаемой сети. Выявлены значимые свойства данной системы. Определены основные угрозы безопасности, от которых необходимо защищать нашу систему, а также требования, которым должна соответствовать защищённая нами система.

По итогам анализа полученной системы можно сказать, что требования выполняются, и организована защита нескольких локальных сетей, связанных через Internet, c Proxy-серверами и однокарточными координаторами, что соответствует цели данной работы.