Файл: Методические подходы к разработке правил безопасности для файрволлов.pdf

Для раздачи Интернета на некоторое количество компьютеров необходим сетевой коммутатор, под которым понимают устройство, предназначенное для соединения нескольких узлов компьютерной сети в пределах одного сегмента.

На сервере ЛВС будет установлена программная система IDS/IPS для защиты самого сервера от несанкционированных атак. Система обнаружения вторжений (Intrusion Detection System (IDS)) — программное или аппаратное средство, предназначенное для выявления фактов неавторизованного доступа (вторжения или сетевой атаки) в компьютерную систему или сеть.
IDS всё чаще становятся необходимым дополнением инфраструктуры сетевой безопасности. В дополнение к межсетевым экранам, работа которых происходит на основе политики безопасности, IDS служат механизмами мониторинга и наблюдения подозрительной активности. Они могут обнаружить атакующих, которые обошли МЭ, и выдать отчет об этом администратору, который, в свою очередь, предпримет дальнейшие шаги по предотвращению атаки. Технологии обнаружения проникновений не делают систему абсолютно безопасной.

Использование IDS помогает достичь нескольких задач:

• обнаружить вторжение или сетевую атаку;
• спрогнозировать возможные будущие атаки и выявить уязвимости для предотвращения их дальнейшего развития. Атакующий обычно выполняет ряд предварительных действий, таких как, например, сетевое зондирование (сканирование) или другое тестирование для обнаружения уязвимостей целевой системы;
• выполнить документирование существующих угроз;
• обеспечить контроль качества администрирования с точки зрения безопасности, особенно в больших и сложных сетях;
• получить полезную информацию о проникновениях, которые имели место, для восстановления и корректирования вызвавших проникновение факторов;
• определить расположение источника атаки по отношению к локальной сети (внешние или внутренние атаки), что важно при принятии решений о расположении ресурсов в сети.

Система предотвращения вторжений (Intrusion Prevention System (IPS)) программное или аппаратное средство, которое осуществляет мониторинг сети или компьютерной системы в реальном времени с целью выявления, предотвращения или блокировки вредоносной активности. В целом IPS по классификации и свои функциям аналогичны IDS. Главное их отличие состоит в том, что они функционируют в реальном времени и могут в автоматическом режиме блокировать сетевые атаки. Каждая IPS включает в себя модуль IDS. Как уже было сказано выше, правильное размещение систем IDS/IPS в сети не оказывает влияния на её топологию, но зато имеет огромное значение для оптимального мониторинга и достижения максимального эффекта от её защиты.

---

После проверки системы IDS/IPS Интернет трафик из сервера ЛВС поступает на маршрутизатор. Маршрутизатор или роутер – сетевое устройство, на основании информации о топологии сети и определённых правил, принимающее решения о пересылке пакетов сетевого уровня между различными сегментами сети. Обычно маршрутизатор использует адрес получателя, указанный в пакетах данных, и определяет по таблице маршрутизации путь, по которому следует передать данные [2]. В роутере обязательно будет межсетевой экран, который и будет ещё одним и самым главным препятствием несанкционированных атак как извне, так и внутри ИС. Так же МЭ будет защитой от различных вредоносных программ.

Основной задачей сетевого экрана является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также сетевые экраны часто называют фильтрами, так как их основная задача – фильтровать (не пропускать) пакеты, не подходящие под критерии, определённые в конфигурации [2].

Так же в маршрутизаторе должен быть встроенный VPN–сервер. VPN (Virtual Private Network – виртуальная частная сеть) – обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети (например, Интернет). Несмотря на то, что коммуникации осуществляются по сетям с меньшим неизвестным уровнем доверия (например, по публичным сетям), уровень доверия к построенной логической сети не зависит от уровня доверия к базовым сетям благодаря использованию средств криптографии (шифрованию, аутентификация, инфраструктуры публичных ключей, средствам для защиты от повторов и изменения передаваемых по логической сети сообщений).

При должном уровне реализации и использовании специального программного обеспечения сеть VPN может обеспечить высокий уровень шифрования передаваемой информации. При правильной настройке всех компонентов технология VPN обеспечивает анонимность в Сети. Существуют реализации виртуальных частных сетей под TCP/IP, IPX и AppleTalk. Но на сегодняшний день наблюдается тенденция к всеобщему переходу на протокол TCP/IP, и абсолютное большинство VPN решений поддерживает именно его [2].

Выше указанная сетевая конфигурация позволит провести ряд занятий по защите от вредоносных программ из вне, а так же обеспечит безопасную работу проведения лабораторных работ в лаборатории МФПУ.

В нашей системе защиты лаборатории будет использоваться маршрутизатор свыше указанными функциями. Межсетевой экран является надежным решением для обеспечения безопасности, позволяющим защитить офисы от различных сетевых угроз. Межсетевой экран должен поддерживать трансляцию сетевых адресов (NAT), виртуальные частные сети (VPN), активную сетевую безопасность, систему предотвращении вторжений (IPS), фильтрацию Web–содержимого, антивирусную защиту и управление полосой пропускания – и весь этот функционал реализован в едином компактном настольном корпусе. При этом устройство может легко интегрироваться в существующую сеть.

---

МЭ должен обеспечивать законченное решение для управления, мониторинга и обслуживания безопасной сети. Среди функций управления: удаленное управление, политики управления полосой пропускания, блокировка по URL/ключевым словам, политики доступа. Также поддерживаются такие функции сетевого мониторинга, как уведомление по e–mail, системный журнал, проверка устойчивости и статистика в реальном времени. МЭ должен быть оснащен системой обнаружения и предотвращения вторжений (IDP/IPS), внутренним антивирусом и фильтрацией Web–содержимого для проверки и защиты содержимого на высоком уровне. Используя в устройстве, аппаратный ускоритель увеличивает производительность IPS и антивируса, управляющей базы поиска в Web, содержащей миллионы URL для фильтрации Web–содержимого. Сервисы обновления IPS, антивируса и базы данных URL защищают сеть от вторжений, червей, вредоносных кодов и удовлетворяют потребностям, учёбы по управлению доступом студентов к Интернет. Для обеспечения эффективной защиты от угроз из Интернет необходимо, чтобы все три базы данных, используемых МЭ, поддерживались в актуальном состоянии. В связи с этим должна быть возможность на обновления сигнатур для каждого из сервисов МЭ: IPS, антивирус и фильтрацию Web–содержимого. Это позволяет обеспечить точность и актуальность баз данных МЭ.

Межсетевой экран для защиты сети должен используют уникальную технологию IPS – компонентные сигнатуры, которые позволяют распознавать и обеспечивать защиту, как против известных, так и против новых атак. В результате устройство помогает при атаках (реальных или потенциальных) значительно снизить влияние на такие важные аспекты, как полезная нагрузка, закрытая информация, а также предотвратить распространение инфекций и компьютерные вторжения. База данных IPS включает информацию о глобальных атак и вторжениях, собранную на публичных сайтах. МЭ должен обеспечивать высокую эффективность сигнатур IPS, постоянно создавая и оптимизируя сигнатуры. Эти сигнатуры обеспечивают высокую точность обнаружения при минимальном количестве ошибочных срабатываний.

МЭ должен позволять сканировать файлы любого размера, используя технологию потокового сканирования. Данный метод сканирования увеличивает производительность проверки, сокращая так называемые «узкие места» в сети. Межсетевой экран должен используть сигнатуры вирусов от известных надежных антивирусных компаний, например, Kaspersky Labs, при этом существует возможность обновления сигнатур. В результате вирусы и вредоносные программы могут быть эффективно заблокированы до того, как они достигнут настольных или мобильных устройств.

---

Фильтрация Web–содержимого помогает работодателям осуществлять мониторинг, управление и контроль использования сотрудниками предоставленного им доступа к Интернет. МЭ должен поддерживать несколько серверов глобальных индексов с миллионами URL и информацией в реальном времени о Web–сайтах, что позволяет увеличить производительность и обеспечить максимальную доступность сервиса. В межсетевом экране должны используються политики с множеством параметров, а также белые и черные списки, что позволяет запретить или разрешить доступ в заданное время к Web–сайтам для любой комбинации пользователей, интерфейсов и IP–сетей. Эти устройства также позволяют обходить потенциально опасные объекты, включая Java–апплеты, Java–скрипты/VBS–скрипты, объекты ActiveX и cookies, активно обрабатывая содержимое Интернет.

Так же для полной безопасности рабочий станций, на каждом ПК установлен антивирус. Таким образом при правильной настройке и работы всех защитных компонентов, и правильной созданной политики безопасности, мы получим максимально эффективную систему защиты лаборатории МФПУ.

При помощи созданной системы защиты можно получить также полезную систему в учебном назначении, т.е создание виртуального сервера, который будет необходим для выполнения различных лабораторных работ, а также обучению студентов программе МФПУ. VPS (Virtual Private Server) — услуга, в рамках которой пользователю предоставляется так называемый Виртуальный выделенный сервер. В плане управления операционной системой по большей части она соответствует физическому выделенному серверу. В частности: admin/root–доступ, собственные IP–адреса, порты, правила фильтрования и таблицы маршрутизации. Внутри виртуального сервера можно создавать собственные версии системных библиотек или изменять существующие, владелец VPS может удалять, добавлять, изменять любые файлы, включая файлы в корневой и других служебных директориях, а также устанавливать собственные приложения или настраивать/изменять любое доступное ему прикладное программное обеспечение. В некоторых системах виртуализации (к примеру — VMWare и Xen) также доступны для редактирования настройки ядра операционной системы и драйверов устройств. Виртуальный выделенный сервер эмулирует работу отдельного физического сервера. На одной машине может быть запущено множество виртуальных серверов. Помимо некоторых очевидных ограничений, каждый виртуальный сервер предоставляет полный и независимый контроль и управление, как предоставляет его обычный выделенный сервер.

---

Каждый виртуальный сервер имеет свои процессы, ресурсы, конфигурацию и отдельное администрирование. Обычно, в качестве виртуального сервера используются свободно распространяемые версии операционных систем UNIX и Windows [2].

В учебном процессе лаборатории МФПУ будут проводиться занятия (лабораторные работы) на темы:

• уязвимость компьютерных систем;
• политика безопасности в компьютерных системах. Оценка защищенности;
• взаимная проверка подлинности пользователей;
• использование виртуальных машин для изучения операционных систем;
• анализ защищенности компьютерных систем на основе ОС Windows 2008/10;
• центр обеспечения безопасности (Windows Security Center) в операционной системе Windows;
• защита от вредоносного программного обеспечения на примере Windows Defender;

Будет проводиться занятия на изучение антивирусных программ, практики по биометрии, сканеров безопасности, работы с межсетевым экраном, криптографических средств защиты, защиты электронной почты и входящего трафика, программно–аппартных комплексов, резервного копирования и защиты от сбоев электропитания.

Тем самым все выше перечисленные занятия необходимо будет проводить на виртуальном сервере, чтобы обезопасить ИС и сервер, не причиняя вред ПК. Для большинства занятий потребуется межсетевой экран, который создаёт защиту от вредоносных объектов и выполнение работ в лаборатории МФПУ.

На рисунке 7 показана схема защиты периметра лаборатории МФПУ при помощи средств межсетевого экранирования:

Рисунок 7 - Схема защиты периметра лаборатории «МФПУ»

Выводы:

Было проведено обоснование требований к системе защиты периметра (лаборатории МФПУ) с точки зрения обеспечения безопасности информационной сети и сточки зрения обеспечения безопасности учебного процесса при помощи межсетевого экранирования. Мною был произведён анализ требований к системе защиты информации, была описана модель информационной системы лаборатории, в общем, и самое главное было разработана уникальная система защиты для лаборатории "МФПУ". Также были оптимизированы характеристики аппаратного МЭ, применяемого для построения системы защиты периметра.

При анализе требований к защите информации были определены общие требования к системам защиты периметра ИС путем анализа различных подходов к реализации таких систем, в том числе сложности, которые могут возникнуть при организации данной защиты, а так же выбрана комплексная система защиты периметра ИС межсетевой экран.

---