Файл: Информационная безопасность и защита информации (СУЩНОСТЬ И ПОНЯТИЕ МЕЖСЕТЕВЫХ ЭКРАНОВ).pdf

По мере развития рыночных отношений обеспечение безопасности информации с каждым годом становится всё более актуально.
Большинство современных корпоративных информационных систем используют сети общего пользования, чтобы получить доступ к внешним ресурсам, предоставить собственные ресурсы внешним пользователям, а зачастую используют публичные сети как средство организации информационного взаимодействия территориально-распределенных участков корпоративных сетей.
Так с одной стороны возникает необходимость обеспечения доступности части корпоративных информационных ресурсов извне, а также ресурсов внешних открытых сетей для внутренних пользователей компании, с другой – остро встает проблема контроля информационного взаимодействия с внешним миром и обеспечения защиты корпоративной информационной системы от угроз информационной безопасности извне.
Чтобы разграничить доступ к ресурсам и контролировать информационные потоки между защищаемой сетью компании и внешними сетями, а также между отдельными частями корпоративной сети, необходимо использовать специальные средства защиты – межсетевые экраны.

СУЩНОСТЬ И ПОНЯТИЕ МЕЖСЕТЕВЫХ ЭКРАНОВ

Определение сущности МЭ
По материалам руководящего документа Государственной технической комиссии России межсетевой экран (МЭ) представляет собой локальное (однокомпонентное) или функционально-распределенное средство (комплекс), реализующее контроль за информацией, поступающей в АС и/или выходящей из АС, и обеспечивает защиту АС посредством фильтрации информации, то есть ее анализа по совокупности критериев и принятия решения о ее распространении в (из) АС.
Такие понятия как межсетевой экран, firewall, брандмауэр, шлюз с установленным дополнительным программным обеспечением firewall, можно использовать как эквивалентные.
Основная задача межсетевого экрана состоит в проверке всех данных, которые поступают на компьютер и с него отправляются. Это средство работает как барьерный фильтр, отделяющий поступающие с компьютера данные от интернета. МЭ проверяет данные, после чего разрешает или блокирует их отправку в зависимости от типа, отправителя и получателя данных или их области применения.
То есть формальная постановка задачи экранирования, такова. Пусть существует два множества информационных систем. Экран – это средство разграничения доступа клиентов из одного множества к серверам другого множества. Экран реализует свои функции, контролируя все информационные потоки между двумя множествами систем. Контроль потоков заключается в их фильтрации, возможно, с выполнением некоторых преобразований.

Экран как средство разграничения доступа.
На следующем уровне детализации экран (полупроницаемую мембрану) удобнее представить как последовательность фильтров, каждый из которых, проанализировав данные, может задержать (не пропустить) их, а может и сразу "перебросить" за экран. Также допускаются преобразования данных, передача части данных на следующий фильтр для продолжения анализа или обработка данных от имени адресата и возврат результата отправителю.

Экран как последовательность фильтров
Кроме функций разграничения доступа, экраны выполняют протоколирование обмена информацией.
МЭ находится между защищаемыми (внутренними) сетями и внешней средой (внешними сетями или другими сегментами корпоративных сетей). В первом случае говорят о внешнем межсетевом экране, во втором – о внутреннем.
МЭ является идеальным местом для встраивания средств активного аудита. Он может реализовать сколь угодно мощную реакцию на подозрительную активность, вплоть до разрыва связи с внешней средой.
На межсетевой экран целесообразно возложить идентификацию/ аутентификацию внешних пользователей, которые нуждаются в доступе к корпоративным ресурсам.
В силу принципов эшелонированности обороны для защиты внешних подключений, как правило, используется двухкомпонентное экранирование. Первичная фильтрация реализуется граничным маршрутизатором, за которым располагается демилитаризованная зона (сеть с умеренным доверием безопасности, куда выносятся внешние информационные сервисы организации – электронная почта, Web и т.д.) и основной брандмауэр, который защищает внутреннюю часть корпоративных сетей.

Двухкомпонентное экранирование с демилитаризованной зоной.
В теории МЭ (особенно внутренний) должен быть многопротокольным, но на практике доминирование семейства протоколов TCP/IP настолько велико, что поддержка других протоколов кажется излишней и вредной для безопасности.
И внешний и внутренний МЭ может стать узким местом, так как объем сетевого трафика имеет тенденцию к быстрому росту. Одним из решений данной проблемы является разбиение межсетевого экрана на несколько аппаратных частей и организация специализированных серверов-посредников. Основной МЭ проводит грубую классификацию входящего трафика по видам и передоверяет фильтрацию соответствующим посредникам (например, посреднику, анализирующему HTTP-трафик). Сначала исходящий трафик обрабатывается сервером-посредником, который выполняет и функционально полезные действия, такие как кэширование страниц внешних Web-серверов, что снижает нагрузку на основной межсетевой экран в частности и сеть вообще.
Ситуации, в которых корпоративная сеть содержит лишь один внешний канал, скорее исключение, чем правило. Большинство корпоративных сетей состоит из нескольких территориально разнесенных сегментов, подключенных к Internet. Тогда каждое подключение должно быть защищено отдельным экраном. Можно считать, что корпоративный внешний МЭ является составным (распределенным), и требуется решать задачу согласованного администрирования всех компонентов.
Также существуют персональные межсетевые экраны. Они предназначены для защиты отдельных компьютеров. Главным отличием персональных межсетевых экранов от распределенных является наличие функции централизованного управления. Если персональными МЭ можно управлять только с того компьютера, на котором они установлены, и те идеально подходят для домашнего применения, то распределенными МЭ можно управлять централизованно, с единой консоли управления. Такие отличия позволяют некоторым производителям выпускать свои решения в двух версиях - персональной (для домашних пользователей) и распределенной (для корпоративных пользователей).

КЛАССИФИКАЦИЯ МЕЖСЕТЕВЫХ ЭКРАНОВ

Фильтрующие маршрутизаторы
Фильтрующий маршрутизатор представляет собой работающую на сервере программу, сконфигурированную таким способом, чтобы фильтровать входящие и исходящие пакеты. Фильтрация пакетов осуществляется на основе информации, содержащейся в TCP- и IP-заголовках пакетов.
Решение о том, пропускать данный пакет или нет, принимается на основе следующей информации:
• IP-адреса отправителей и получателей;
• номера портов отправителей и получателей;
• флаги.
По сути дела, задача администратора заключается в составлении простой таблицы, на основании которой осуществляется фильтрация.
Некоторые маршрутизаторы сначала проверяют, с какого сетевого интерфейса маршрутизатора пришел пакет, а потом используют эту информацию как дополнительный критерий фильтрации.
Фильтрацию можно реализовать различными способами для блокирования соединений с определенными компьютерами или портами. Например, могут быть блокированы соединения, идущие от адресов тех компьютеров и сетей, которые считаются ненадежными или враждебными.
Правила фильтрации пакетов формулируются сложно, к тому же, из средств для проверки их корректности обычно существует только медленное ручное тестирование. Вместе с тем в отсутствие фильтрующего маршрутизатора средств протоколирования такие пакеты не смогут быть выявлены до обнаружения последствий проникновения. Даже если администратору сети удастся создать эффективные правила фильтрации, их возможности останутся ограниченными. Например, маршрутизатору будет задано правило, в соответствии с которым он должен отбраковывать все пакеты с неизвестным адресом отправителя. Однако в данном случае хакер для проникновения внутрь защищенной сети может осуществить атаку, которую называют подменой адреса. При таких условиях фильтрующий маршрутизатор не сумеет отличить поддельный пакет от настоящего и пропустит его.
Положительные качества фильтрующих маршрутизаторов:
• относительно невысокая стоимость;
• гибкость в определении правил фильтрации;
• небольшая задержка при прохождении пакетов.
Недостатки фильтрующих маршрутизаторов:
• внутренняя сеть видна (маршрутизируется) из сети Интернет;
• правила фильтрации пакетов трудны в описании и требуют очень хороших знаний технологий TCP и UDP;
• при нарушении работоспособности МЭ с фильтрацией пакетов все компьютеры за ним становятся полностью незащищенными либо недоступными;
• отсутствует аутентификация на пользовательском уровне.
2.2 Шлюзы уровня приложений
Фильтрация на уровне пакетов пусть и проста, но порой явно недостаточна. Информации сетевого и транспортного уровня модели OSI иногда не хватает для эффективной работы, что обосновывает существование систем, работающих на самом верхнем уровне – прикладном. Для защиты ряда уязвимых мест, которые присущи фильтрующим маршрутизаторам, межсетевые экраны должны использовать прикладные программы для фильтрации соединений с такими сервисами, как HTTP, FTP, Telnet и др. Подобные приложения называются proxy-службами, а хост, на котором работают proxy-службы, — шлюзом уровня приложений. Такой шлюз исключает прямое взаимодействие между авторизованным клиентом и внешним хостом. Шлюз фильтрует все входящие и исходящие пакеты на прикладном уровне.
Как только шлюз приложений обнаруживает сетевой сеанс, он останавливает его и вызывает уполномоченное приложение для оказания завершаемой услуги. Иногда шлюзы уровня приложений и фильтрующие маршрутизаторы объединяют в одном межсетевом экране для достижения более высокого уровня гибкости и безопасности.
Шлюзы прикладного уровня обеспечивают более высокую защиту, так как взаимодействие с внешним миром реализуется через небольшое число уполномоченных приложений, которые полностью контролируют весь входящий и исходящий трафик. Следует отметить, что шлюзы уровня приложений требуют отдельного приложения для каждого сетевого сервиса.
К преимуществам шлюзов прикладного уровня можно отнести:
• невидимость структуры защищаемой сети из глобальной сети Интернет. Имена внутренних систем не обязательно сообщать внешним системам через DNS, т.к. шлюз прикладного уровня может быть единственным хостом, имя которого будет известно внешним системам;
• надежная регистрация и аутентификация. Прикладной трафик может быть аутентифицирован, прежде чем он достигнет внутренних хостов, и зарегистрирован более эффективно, чем с помощью стандартной регистрации;
• приемлемое соотношение цены и эффективности. Дополнительные программные или аппаратные средства аутентификации или регистрации нужно устанавливать только на шлюзе прикладного уровня;
• простые правила фильтрации. Правила на фильтрующем маршрутизаторе, не такие сложные, как на маршрутизаторе, который самостоятельно фильтрует прикладной трафик и отправляет его большому числу внутренних систем;
• возможность организации большого числа проверок. Защита на уровне приложений позволяет выполнять большое количество дополнительных проверок, что снижает вероятность взлома с использованием «дыр» в программном обеспечении.
Недостатки шлюзов уровня приложений следующие:
• сравнительно низкая производительность по сравнению с фильтрующими маршрутизаторами;
• более высокая стоимость по сравнению с фильтрующими маршрутизаторами.
Одним из важных элементов концепции межсетевых экранов является аутентификация (проверка подлинности пользователя), то есть пользователь получает право воспользоваться тем или иным сервисом только после того, как будет установлено, что он действительно тот, за кого себя выдает. При этом считается, что сервис для данного пользователя разрешен (процесс определения, какие сервисы разрешены конкретному пользователю, называется авторизацией).
При получении запроса на использование сервиса от имени какого-либо пользователя межсетевой экран проверяет, какой способ аутентификации определен для данного субъекта, и передает управление серверу аутентификации. После получения положительного ответа от сервера аутентификации межсетевой экран осуществляет запрашиваемое пользователем соединение. Большое число коммерческих межсетевых экранов поддерживает несколько различных схем аутентификации и предоставляет администратору сетевой безопасности возможность сделать выбор наиболее приемлемой в сложившихся условиях схемы.
Шлюзы сеансового уровня
Данный класс маршрутизаторов представлен как система, транслирующая соединение с внешними узлами. Шлюз принимает запрос авторизованного клиента на определенные услуги и после проверки допустимости запрошенного сеанса устанавливает соединение с местом назначения (внешним хостом). Затем шлюз копирует пакеты в обоих направлениях, не осуществляя их фильтрации. Пункт назначения задается заранее, источников при этом может быть очень много. Используя различные порты, можно создавать разные конфигурации соединений. Такой тип шлюза позволяет создать транслятор TCP-соединения для любого определенного пользователем сервиса, базирующегося на ТСР, осуществлять контроль доступа к этому сервису и сбор статистики по его использованию.
Шлюз следит за квитированием (подтверждением) связи между авторизованным клиентом и внешним хостом, он определяет, является ли запрашиваемый сеанс связи допустимым. Когда авторизованный клиент запрашивает некоторый сервис, шлюз принимает этот запрос, проверяя, удовлетворяет ли данный клиент базовым критериям фильтрации. Далее, действуя от имени клиента, шлюз устанавливает соединение с внешним хостом и следит за выполнением процедуры квитирования связи по протоколу ТСР. Эта процедура состоит из обмена ТСР-пакетами, которые помечаются флагами SYN (синхронизировать) и АСК (подтвердить).
Первый пакет сеанса ТСР, помеченный флагом SYN и содержащий произвольное число, например 500, является запросом клиента на открытие сеанса. Внешний хост, получивший этот пакет, посылает в ответ другой, помеченный флагом АСК и содержащий число на единицу большее, чем в принятом пакете (в данном случае 501), подтверждая тем самым прием пакета SYN от клиента. Затем осуществляется обратная процедура: хост посылает клиенту пакет SYN с исходным числом, например 700, а клиент подтверждает его получение передачей пакета АСК, содержащего число 701. На этом процесс квитирования связи завершается.
Шлюз сеансового уровня признает завершенное соединение допустимым только в том случае, если при выполнении процедуры квитирования связи флаги SYN и АСК, а также числа, содержащиеся в ТСР-пакетах, оказываются логически связанными между собой.
После того как шлюз определил, что доверенный клиент и внешний хост являются авторизованными участниками сеанса ТСР, и проверил его допустимость, он устанавливает соединение. Начиная с этого момента шлюз копирует и перенаправляет пакеты туда и обратно, не проводя никакой фильтрации. Он поддерживает таблицу установленных соединений, пропуская данные, которые относятся к одному из сеансов связи, зафиксированных в данной таблице. Когда сеанс завершается, шлюз удаляет соответствующий элемент из таблицы и разрывает сеть, использовавшуюся в текущем сеансе.
Недостатком шлюзов сеансового уровня является отсутствие проверки содержимого передаваемых пакетов, что дает возможность нарушителю проникнуть через такой шлюз.

НЕДОСТАТКИ ПРИМЕНЕНИЯ МЕЖСЕТЕВЫХ ЭКРАНОВ

Недостатки использования межсетевых экранов
Межсетевые экраны используются при организации защищенных виртуальных частных сетей. Несколько локальных сетей, подключенных к глобальной, объединяются в одну защищенную виртуальную частную сеть. Передача данных между этими локальными сетями является невидимой для пользователей, а конфиденциальность и целостность передаваемой информации должны обеспечиваться при помощи средств шифрования, использования цифровых подписей и т.п. При передаче данных может шифроваться не только содержимое пакета, но и некоторые поля заголовка.
Межсетевой экран не в состоянии решить все проблемы безопасности корпоративной сети. Помимо описанных выше достоинств межсетевых экранов имеется ряд ограничений в их использовании, а также существуют угрозы безопасности, от которых межсетевые экраны не могут защитить. Отметим наиболее существенные ограничения в применении межсетевых экранов:
• большое количество остающихся уязвимых мест. Межсетевые экраны не защищают от черных входов (люков) в сети. Например, если можно осуществить неограниченный доступ по модему в сеть, защищенную межсетевым экраном, атакующие могут эффективно обойти межсетевой экран;
• неудовлетворительная защита от атак сотрудников компании. Межсетевые экраны обычно не обеспечивают защиты от внутренних угроз;
• ограничение в доступе к нужным сервисам. Самый очевидный недостаток межсетевого экрана заключается в том, что он может блокировать ряд сервисов, которые применяют пользователи, — Telnet, FTP и др. Для решения подобных проблем требуется проведение хорошо продуманной политики безопасности, в которой будет соблюдаться баланс между требованиями безопасности и потребностями пользователей;
• концентрация средств обеспечения безопасности в одном месте. Это позволяет легко осуществлять администрирование работы межсетевого экрана;
• ограничение пропускной способности, так как все соединения должны осуществляться только через МЭ, а в некоторых случаях, кроме всего прочего, еще и подвергаться фильтрации.
Следует учитывать, что межсетевые экраны не защищают от загрузки пользователями зараженных вирусами программ из Интернета или от передачи таких программ по средством электронной почты. Но, несмотря на вышеперечисленные недостатки можно с уверенностью утверждать, что применение межсетевого экрана не будет лишним, это подтверждает существующая на сегодняшний день позиция, по отношению к данному средству защиты, в IT кругах.

ПРОГРАММНЫЕ МЕЖСЕТЕВЫЕ ЭКРАНЫ

Сравнительные характеристики программных МЭ
К основным характеристикам персональных МЭ относят следующие:
1) фильтрация активного контента в веб-трафике – возможность
блокировки элементов ActiveX, апплетов Java, скриптов JavaScript и VBScript, всплывающих окон в загружаемых пользователем веб-страницах;
2) фильтрация активного контента в почтовом трафике – возможность
блокировки того же самого в почтовых сообщениях;
3) поддержка ICS – поддержка Microsoft Internet Connection Sharing;
4) режим невидимости компьютера в сети. В обычном режиме при
попытке доступа к закрытому порту коммуникационные компоненты ОС отправляют ответ о том, что данный порт закрыт или что данный сервис недоступен. Это дает возможность определить, что данная машина активна. В режиме невидимости такие ответ не отправляются;
5) режим невидимости пользователя – возможность блокировки cookies и
ссылок на предыдущий узел (referers). Это в какой-то степени не позволяет различным он-лайновым службам отслеживать перемещения пользователя и его повторные заходы на веб-сайты;
6) удаление баннеров – возможность блокировки (удаления) баннеров из
загружаемых веб-страниц;
7) блокировка доступа к запрещенным узлам – возможность блокировки
доступа к определенным веб-сайтам (Parental Control);
8) аутентификация приложений – возможность цифровой подписи
приложений, получивший те или иные права доступа в сеть. Потенциально это позволяет блокировать доступ троянским программам, маскирующимся под легитимные приложения;
9) поддержка плагинов – возможность подключения дополнительных
модулей для расширения базовой функциональности;
10) автоматическое обновление – возможность проверки на наличие новой версии ПО, его загрузки и обновления;
11)протоколирование – возможность протоколирования работы программы и сетевых событий (вторжений, входящего (исходящего) трафика и т.д.);
12) обнаружение сканирования – возможность обнаружения сканирования портов защищаемой системы;
13) обнаружение атаки – возможность обнаружения атаки на защищаемую систему;
14) удаленное администрирование – возможность удаленного управления программой (например, через специальный клиент или веб-браузер);
15) защита конфигурации по паролю – возможность установки пароля для защиты конфигурации программы от изменений;
Основные характеристики рассмотренных ранее программных МЭ представлены ниже в таблице.

Таблица. Сравнительные характеристики программных межсетевых экранов.

Продукт	Zone Alarm Pro	Outpost Firewall Pro	Norton Internet Security	AtGuard	Tiny Personal Firewall	BlackICE PC Protection	Kaspersky Anti-Hacker
Встроенный антивирус	-	-	+	-	+	-	-
Фильтрация активного контента в веб-трафике	+	+	+	+	+	-	+
Фильтрация активного контента в почтовом трафике	-	+	+	-	+	-	+
Поддержка ICS	+	+	+	-	+	+	+
Режим невидимости компьютера в сети	+	+	+	-	+	+	+
Режим невидимости пользователя	+	+	+	+	-	-	+
Удаление баннеров	+	+	+	+	-	-	-
Блокировка доступа к запрещенным узлам	-	+	+	-	-	-	+
Аутентификация приложений	+	+	+	-	+	+	+
Поддержка плагинов	-	+	+	-	-	-	-
Автоматическое обновление	-	+	+	-	-	-	+
Протоколирование	+	+	+	+	+	+	+
Обнаружение сканирования	+	+	+	-	+	+	+
Обнаружение атаки	+	+	+	-	+	+	+
Удаленное администрирование	-	-	-	-	-	+	-
Защита конфигурации по паролю	+	+	+	+	-	-	+