Файл: Сравнительный анализ программных межсетевых экранов (Современные требования к межсетевым экранам).pdf

· “прозрачность” работы для любых сетевых служб и любой структуры внутренней сети · Использование только мощных хостов-бастионов из-за большого объема вычислений

· Техническое обслуживание (установка, конфигурирование) может осуществляться только специалистами

Сравнительные характеристики современных межсетевых экранов

Продукт Тип Платформа Компания Особенности

Solstice Firewall - 1 Комплексный экран SunOS, UNIX, Solaris Sun Microsystems Реализует политику безопасности: все данные, не имеющие явного разрешения - отбрасываются. В процессе работы фильтры пакетов на шлюзах и серверах генерируют записи обо всех событиях, запускают механизмы тревоги, требующие реакции администратора.

Black Hole Экранирующий

шлюз прикладного уровня Различные аппаратные платформы Milkyway Networks Corporation Не использует механизм фильтрации пакетов. Принцип действия: то, что явно не разрешено, является запрещенным. Регистрирует все действия сервера, предупреждает о возможных нарушениях. Может использоваться как двунаправленный шлюз.

BorderWare Firewall Server Экранирующий шлюз прикладного уровня UNIX, Windows, DOS Secure Computing Corporation Программное средство защиты, обеспечивающее работу под управлением ОС (собственная разработка). Позволяет фиксировать адреса, время, попытки, используемый протокол.

ALF (Application Layer Filter) Экранирующий шлюз прикладного уровня BSDI SOS Corporation Может фильтровать IP-пакеты по адресам, диапазонам портов, протоколам и интерфейсам. Приходящий пакет может пропустить, ликвидировать или отослать по его адресу.

ANS InterLock Service Экранирующий шлюз прикладного уровня UNIX ANS CO + RE Systems Использует программы-посредники для служб Telnet, FTR, HTTR. Поддерживает шифрование соединения точка-точка, причем, в качестве средств аутентификации могут использоваться аппаратные.

Brimstone Комплексный экран SunOS, BSDI на Intel, IRIX на INDY и Challenge SOS Corporation Для анализа использует время, дату, адрес, порт и т.д. Включает программы-посредники прикладного уровня для служб Telnet, FTR, SMTP, X11, HTTP, Gopher и др. Поддерживает большинство пакетов аппаратной аутентификации.

Centri Экранирующий шлюз прикладного уровня SunOS, BSDI, Solaris, HP- UX, AIX Global Internet Закрытая сеть видится извне как единственный хост. Имеет программы-посредники для служб: электронной почты, протокола FTR и др. Регистрирует все действия сервера, предупреждает о нарушениях.

CONNECT Экранирующий шлюз прикладного уровня UNIX Sterling Software Является программным продуктом, обеспечивающим защиту информации от НСД при соединении закрытой и открытой сетей. Позволяет регистрировать все действия сервера и предупреждать о возможных нарушениях.

CyberGuard Firewall Двунаправленный шлюз комплексного типа (хост-бастион как фильтр, шлюз прикладного уровня или комплексный экран) Платформа RISC, OS UNIX Harris Computer Systems Corporation Использованы комплексные решения, включающие механизмы защиты ОС UNIX и интегрированные сетевые средства, предназначенные для RISC-компьютеров. Для анализа используется исходный адрес, адрес назначения и др.

Digital Firewall

for UNIX Комплексный экран Digital Alpha Digital Equipment Corporation Предустанавливается на системы Digital Alpha и представляет возможности экранирующего фильтра и шлюза прикладного уровня.

Eagle Enterprise Экранирующий шлюз прикладного уровня Реализация технологии Virtual Private Networking Raptor Systems Включает в себя программы-посредники прикладного уровня для служб FTR, HTTP, Telnet. Регистрирует все действия сервера и предупреждает о нарушениях.

Firewall IRX Router Экранирующий маршрутизатор DOS, MS-Windows Livingston Позволяет произвести анализ сети в целях оптимизации сетевого трафика, безопасно связать локальную сеть с удаленными сетями на основе открытых сетей.

Firewall-1 Комплексный межсетевой экран Intel x86, Sun Sparc и др. Check Point Software Technologies Обеспечивает защиту от хакерских нападений типа address-spoofing (подделка адресов пакетов) и представляет комбинацию средств защиты сетевого и прикладного уровней.

Firewall-1/ VPN-1 Комплексный межсетевой экран Intel x86, Sun Sparc и др. Check Point Software Technologies Представляет открытый интерфейс приложения OPSEC API. Обеспечивает:

- выявление компьютерных вирусов;

- сканирование URL;

- блокирование Java и ActiveX;

- поддержку протокола SMTP;

- фильтрацию HTTP;

- обработку протокола FTP

TIS Firewall Toolkit Набор программ для создания и управления системами firewall BSD UNIX Trusted Information Systems Распространяется в исходном коде, все модули написаны на языке С. Набор предназначен для программистов- экспертов.

Gauntlet Internet Firewall Экранирующий шлюз прикладного уровня UNIX, Secured BSD Trusted Information Systems Поддерживает сервисы: электронная почта, Web-сервис, терминальные сервисы и др. Возможности: шифрование на сетевом уровне, защита от хакерских нападений типа address-spoofing, защита от попыток изменения маршрутизации.

FireWall/Plus Мульти-протокольный межсетевой экран Различные аппаратные платформы Network-1 Software and Technology Контроль реализован на уровне кадров, пакетов, каналов и приложений (для каждого протокола). Позволяет работать с более чем 390 протоколами, дает возможность описать любые условия фильтрации для последующей работы.

Застава-Джет Комплексный межсетевой экран SPARC, Solaris, UNIX Jet Infosystems Реализует политику безопасности: все данные, не имеющие явного разрешения - отбрасываются. Имеет российский сертификат по второму классу защиты

Организация комплексной защиты корпоративной сети

Для защиты информационных ресурсов и обеспечения оптимальной работы распределенных корпоративных информационных систем необходимо применение комплексной системы информационной безопасности, которая позволит эффективно использовать достоинства межсетевых экранов и компенсировать их недостатки с помощью других средств безопасности.

Полнофункциональная защита корпоративной сети должна обеспечить:

• безопасное взаимодействие пользователей и информационных ресурсов, расположенных в экстранет- и интранет-сетях, с внешними сетями, например с Интернетом;

• технологически единый комплекс мер защиты для распределенных и сегментированных локальных сетей подразделений предприятия;

• наличие иерархической системы защиты, предоставляющей адекватные средства обеспечения безопасности для различных по степени закрытости сегментов корпоративной сети.

Характер современной обработки данных в корпоративных системах Интернет/интранет требует наличия у межсетевых экранов следующих основных качеств:

• мобильность и масштабируемость относительно различных аппаратно-программных платформ;

• возможность интеграции с аппаратно-программными средствами других производителей;

• простота установки, конфигурирования и эксплуатации;

• управление в соответствии с централизованной политикой безопасности.

В зависимости от масштабов организации и принятой на предприятии политики безопасности могут применяться различные межсетевые экраны. Для небольших предприятий, использующих до десятка узлов, подойдут межсетевые экраны с удобным графическим интерфейсом, допускающие локальное конфигурирование без применения централизованного управления. Для крупных предприятий предпочтительнее системы с консолями и менеджерами управления, которые обеспечивают оперативное управление локальными межсетевыми экранами, поддержку виртуальных частных сетей.

Увеличение потоков информации, передаваемых по Интернету компаниями и частными пользователями, а также потребность в организации удаленного доступа к корпоративным сетям являются причинами постоянного совершенствования технологий подключения корпоративных сетей к Интернету.

Следует отметить, что в настоящее время ни одна из технологий подключения, обладая высокими характеристиками по производительности, в стандартной конфигурации не может обеспечить полнофункциональной защиты корпоративной сети. Решение данной задачи становится возможным только при использовании технологии межсетевых экранов, организующей безопасное взаимодействие с внешней средой.

Рассмотрим более подробно технологии межсетевого экранирования.

Защита корпоративной сети от несанкционированного доступа из Интернет

При подключении сети предприятия к Интернету можно защитить корпоративную сеть от несанкционированного доступа с помощью одного из следующих решений:

• аппаратно-программный или программный межсетевой экран;

• маршрутизатор со встроенным пакетным фильтром;

• специализированный маршрутизатор, реализующий механизм защиты на основе списков доступа;

• операционная система семейства UNIX или, реже, MS Windows, усиленная специальными утилитами, реализующими пакетную фильтрацию.

Защита корпоративной сети на основе межсетевого экрана позволяет получить высокую степень безопасности и реализовать следующие возможности:

• семантическая фильтрация циркулирующих потоков данных;

• фильтрация на основе сетевых адресов отправителя и получателя;

• фильтрация запросов на транспортном уровне на установление виртуальных соединений;

• фильтрация запросов на прикладном уровне к прикладным сервисам;

• локальная сигнализация попыток нарушения правил фильтрации;

• запрет доступа неизвестного субъекта или субъекта, подлинность которого при аутентификации не подтвердилась;

• обеспечение безопасности от точки до точки: межсетевой экран, авторизация маршрута и маршрутизатора, туннель для маршрута и криптозащита данных и др.

Следует отметить, что межсетевые экраны позволяют организовать комплексную защиту корпоративной сети от несанкционированного доступа, основанную как на традиционной синтаксической (IP-пакетной) фильтрации контролируемых потоков данных, осуществляемой большинством ОС семейства Windows и UNIX, так и на семантической (контентной), доступной только коммерческим специальным решениям.

В настоящее время все выпускаемые межсетевые экраны можно классифицировать по следующим основным признакам:

• по исполнению:

• - аппаратно-программный,

• - программный;

• по функционированию на уровнях модели OSI:

• - шлюз экспертного уровня,

• - экранирующий шлюз (прикладной шлюз),

• - экранирующий транспорт (шлюз сеансового уровня),

• - экранирующий маршрутизатор (пакетный фильтр);

• по используемой технологии:

• - контроль состояния протокола,

• - на основе модулей-посредников (proxy);

• по схеме подключения:

• - схема единой защиты сети,

• - схема с защищаемым закрытым и не защищаемым открытым сегментами сети,

• - схема с раздельной защитой закрытого и открытого сегментов сети.

Довольно распространенная на сегодня защита корпоративной сети на основе маршрутизатора со списком доступа основывается на использовании специализированных маршрутизаторов. Данная схема обладает высокой эффективностью и достаточной степенью безопасности. В качестве такого решения получили широкое распространение маршрутизаторы компании Cisco серий 12000, 7600. Для подключения сети предприятия к Интернету можно также использовать предшествующие серии маршрутизаторов этой фирмы.

Защита корпоративной сети на основе операционных систем, усиленных функциями пакетной фильтрации, построена на том, что системное программное обеспечение выполняет функции маршрутизации, фильтрации, сервисного обслуживания и др. По уровню надежности, безопасности и производительности наиболее предпочтительны решения на основе UNIX-подобной операционной системы.

Организация внутренней политики безопасности корпоративной сети

В современных условиях более 50% различных атак и попыток доступа к информации осуществляется изнутри локальных сетей. Корпоративную сеть можно считать действительно защищенной от несанкционированного доступа только при наличии в ней как средств защиты точек входа со стороны Интернета, так и решений, обеспечивающих безопасность отдельных компьютеров, корпоративных серверов и фрагментов локальной сети предприятия. Безопасность отдельных компьютеров, корпоративных серверов и фрагментов локальной сети наилучшим образом обеспечивают решения на основе распределенных или персональных межсетевых экранов.

Внутренние корпоративные серверы компании, как правило, представляют собой приложения под управлением операционной системы Windows NT/2000, NetWare или, реже, семейства UNIX. По этой причине корпоративные серверы становятся потенциально уязвимыми к различного рода атакам.

Простейший способ защиты серверов — установка между серверами и Интернетом межсетевого экрана, например Firewall-1 компании Checkpoint. При правильной конфигурации большинство межсетевых экранов может защитить внутренние серверы от внешних злоумышленников, а некоторые выявляют и предотвращают атаки типа «отказ в обслуживании». Тем не менее этот подход не лишен некоторых недостатков. Когда корпоративные серверы защищены одним-единственным межсетевым экраном, все правила контроля доступа и данные оказываются сосредоточенными в одном месте. Таким образом, межсетевой экран становится узким местом и по мере нарастания нагрузки значительно теряет в производительности.