омп'ютерн≥ науки > ≤нформац≥йна безпека в Intranet

¬≥дзначимо, що бороти з погрозами, властивому мережному середовищу, засобами ун≥версальних операц≥йних систем не представл¤Їтьс¤ можливим. ”н≥версальна ќ— - це величезна програма, що напевно м≥стить, кр≥м ¤вних помилок, де¤к≥ особливост≥, що можуть бути використан≥ дл¤ одержанн¤ нелегальних прив≥лењв. —учасна технолог≥¤ програмуванн¤ не дозвол¤Ї зробити наст≥льки велик≥ програми безпечними.  р≥м того, адм≥н≥стратор, що маЇ справу з≥ складною системою, далеко не завжди в стан≥ врахувати вс≥ насл≥дки вироблених зм≥н (¤к ≥ л≥кар, що не в≥даЇ вс≥х поб≥чних вплив≥в л≥к, що рекомендуютьс¤,). Ќарешт≥, в ун≥версальноњ систем≥ пролому в безпец≥ пост≥йно створюютьс¤ самими користувачами (слабк≥ ≥/чи р≥дко зм≥нюван≥ парол≥, невдало встановлен≥ права доступу, залишений без догл¤ду терм≥нал ≥ т.п.).

як указувалос¤ вище, Їдиний перспективний шл¤х зв'¤заний з розробкою спец≥ал≥зованих захисних засоб≥в, що у силу своЇњ простоти допускають формальну чи неформальну вериф≥кац≥ю. ћ≥жмережевий екран саме ≥ Ї таким засобом, що допускаЇ подальшу декомпозиц≥ю, зв'¤зану з обслуговуванн¤м р≥зних мережних протокол≥в.

ћ≥жмережевий екран - це нап≥впроникна мембрана, що розташовуЇтьс¤ м≥ж що захищаЇтьс¤ (внутр≥шньоњ) мережею ≥ зовн≥шн≥м середовищем (зовн≥шн≥ми чи мережами ≥ншими сегментами корпоративноњ мереж≥) ≥ контролюЇ вс≥ ≥нформац≥йн≥ потоки у внутр≥шню мережу ≥ з њњ (–ис. 2.3.1).  онтроль ≥нформац≥йних поток≥в складаЇтьс¤ в њхн≥й ф≥льтрац≥њ, тобто у виб≥рковому пропущенн≥ через екран, можливо, з виконанн¤м де¤ких перетворень ≥ пов≥домленн¤м в≥дправника про те, що його даним у пропуску в≥дмовлено. ‘≥льтрац≥¤ зд≥йснюЇтьс¤ на основ≥ набору правил, попередньо завантажених в екран ≥ мережн≥ аспекти, що Ї вираженн¤м, пол≥тики безпеки орган≥зац≥њ.

ћалюнок 2.3.1

ћалюнок 2.3.1 ћ≥жмережевий екран ¤к зас≥б контролю ≥нформац≥йних поток≥в.

ƒоц≥льно розд≥лити випадки, коли екран установлюЇтьс¤ на границ≥ з зовн≥шньоњ (звичайно загальнодоступноњ) чи мережею на границ≥ м≥ж сегментами одн≥Їњ корпоративноњ мереж≥. ¬≥дпов≥дно, ми буде говорити про зовн≥шньому ≥ внутр≥шньому м≥жмережевих екрани.

як правило, при сп≥лкуванн≥ з зовн≥шн≥ми мережами використовуЇтьс¤ вин¤ткове с≥мейство протокол≥в TCP/IP. “ому зовн≥шн≥й м≥жмережевий екран повинний враховувати специф≥ку цих протокол≥в. ƒл¤ внутр≥шн≥х екран≥в ситуац≥¤ складн≥ше, тут варто брати до уваги кр≥м TCP/IP принаймн≥ протоколи SPX/IPX, застосовуван≥ в мережах Novell NetWare.

—итуац≥њ, коли корпоративна мережа м≥стить лише один зовн≥шн≥й канал, Ї, скор≥ше, виключенн¤м, чим правилом. Ќавпроти, типова ситуац≥¤, при ¤к≥й корпоративна мережа складаЇтьс¤ з дек≥лькох територ≥ально рознесених сегмент≥в, кожний з ¤кий п≥дключений до мереж≥ загального користуванн¤ (–ис. 2.3.2). ” цьому випадку кожне п≥дключенн¤ повинне захищатис¤ своњм екраном. “очн≥ше кажучи, можна вважати, що корпоративний зовн≥шн≥й м≥жмережевий екран Ї складеним, ≥ потр≥бно вир≥шувати задачу погодженого адм≥н≥струванн¤ (керуванн¤ й аудита) ус≥х компонент≥в.

ћалюнок 2.3.2

ћалюнок 2.3.2 ≈крануванн¤ корпоративноњ мереж≥, що складаЇ з дек≥лькох територ≥ально рознесених сегмент≥в, кожний з ¤кий п≥дключений до мереж≥ загального користуванн¤.

ѕри розгл¤д≥ будь-¤кого питанн¤, що стосуЇтьс¤ мережних технолог≥й, основою служить еталонна модель ISO/OSI. ћ≥жмережев≥ екрани також доц≥льно класиф≥кувати по тому, на ¤кому р≥вн≥ виробл¤Їтьс¤ ф≥льтрац≥¤ - канальному, мережному, транспортному чи прикладному. ¬≥дпов≥дно, можна говорити про концентратори, що екранують, (р≥вень 2), маршрутизаторах (р≥вень 3), про транспортне екрануванн¤ (р≥вень 4) ≥ про прикладн≥ екрани (р≥вень 7). ≤снують також комплексн≥ екрани, що анал≥зують ≥нформац≥ю на дек≥лькох р≥вн¤х.

” дан≥й робот≥ ми не будемо розгл¤дати концентратори, що екранують, оск≥льки концептуально вони мало в≥др≥зн¤ютьс¤ в≥д маршрутизатор≥в, що екранують.

ѕри ухваленн≥ р≥шенн¤ Упропустити/не пропуститиФ, м≥жмережев≥ екрани можуть використовувати не т≥льки ≥нформац≥ю, що м≥ститьс¤ у ф≥льтруючих потоках, але ≥ дан≥, отриман≥ з оточенн¤, наприклад поточний час.

“аким чином, можливост≥ м≥жмережевого екрана безпосередньо визначаютьс¤ тим, ¤ка ≥нформац≥¤ може використовуватис¤ в правилах ф≥льтрац≥њ ≥ ¤ка може бути потужн≥сть набор≥в правил. ”загал≥ говор¤чи, чим вище р≥вень у модел≥ ISO/OSI, на ¤кому функц≥онуЇ екран, тим б≥льше зм≥стовна ≥нформац≥¤ йому доступна ≥, отже, тим тонше ≥ над≥йн≥ше екран може бути сконф≥гурований. ” той же час ф≥льтрац≥¤ на кожн≥м з перерахованих вище р≥вн≥в маЇ своњ достоњнства, такими ¤к дешевина, висока чи ефективн≥сть прозор≥сть дл¤ користувач≥в. ” силу ц≥Їњ, а також де¤ких ≥нших причин, у б≥льшост≥ випадк≥в використовуютьс¤ зм≥шан≥ конф≥гурац≥њ, у ¤ких об'Їднан≥ р≥знотипн≥ екрани. Ќайб≥льш типовим Ї сполученн¤ маршрутизатор≥в, що екранують, ≥ прикладного екрана (–ис. 2.3.3).

ѕриведена конф≥гурац≥¤ називаЇтьс¤ що екрануЇ п≥д с≥ткою. як правило, серв≥си, що орган≥зац≥¤ надаЇ дл¤ зовн≥шнього застосуванн¤ (наприклад УпредставницькийФ Web-сервер), доц≥льно виносити саме в що екрануЇ п≥д с≥ть.

 р≥м виразних можливостей ≥ припустимоњ к≥лькост≥ правил ¤к≥сть м≥жмережевого екрана визначаЇтьс¤ ще двома дуже важливими характеристиками - простотою застосуванн¤ ≥ власною захищен≥стю. ” план≥ простоти використанн¤ першор¤дне значенн¤ мають наочний ≥нтерфейс при завданн≥ правил ф≥льтрац≥њ ≥ можлив≥сть централ≥зованого адм≥н≥струванн¤ складених конф≥гурац≥й. ” свою чергу, в останньому аспект≥ хот≥лос¤ б вид≥лити кошти централ≥зованого завантаженн¤ правил ф≥льтрац≥њ ≥ перев≥рки набору правил на несуперечн≥сть. ¬ажливий ≥ централ≥зований зб≥р ≥ анал≥з реЇстрац≥йноњ ≥нформац≥њ, а також одержанн¤ сигнал≥в про спроби виконанн¤ д≥й, заборонених пол≥тикою безпеки.

¬ласна захищен≥сть м≥жмережевого екрана забезпечуЇтьс¤ тими ж засобами, що ≥ захищен≥сть ун≥версальних систем. ѕри виконанн≥ централ≥зованого адм≥н≥струванн¤ варто ще подбати про захист ≥нформац≥њ в≥д пасивного й активного прослуховуванн¤ мереж≥, тобто забезпечити њњ (≥нформац≥њ) ц≥л≥сн≥сть ≥ конф≥денц≥йн≥сть.

ћалюнок 2.3.3

ћалюнок 2.3.3 —полученн¤ маршрутизатор≥в, що екранують, ≥ прикладного екрана.

’от≥лос¤ б п≥дкреслити, що природа екрануванн¤ (ф≥льтрац≥њ), ¤к механ≥зму безпеки, дуже глибока.  р≥м блокуванн¤ поток≥в даних, що порушують пол≥тику безпеки, м≥жмережевий екран може ховати ≥нформац≥ю про мережу, що захищаЇтьс¤, тим самим утрудн¤ючи д≥њ потенц≥йних зловмисник≥в. “ак, прикладний екран може зд≥йснювати д≥њ в≥д ≥мен≥ суб'Їкт≥в внутр≥шньоњ мереж≥, у результат≥ чого з зовн≥шньоњ мереж≥ здаЇтьс¤, що маЇ м≥сце взаЇмод≥¤ вин¤ткова з м≥жмережевим екраном (ћал. 2.3.4). ѕри такому п≥дход≥ тополог≥¤ внутр≥шньоњ мереж≥ схована в≥д зовн≥шн≥х користувач≥в, тому задача зловмисника ≥стотно ускладнюЇтьс¤.

ћалюнок 2.3.4

ћалюнок 2.3.4 ѕравдив≥ й удаван≥ ≥нформац≥йн≥ потоки.

Ѕ≥льш загальним методом прихованн¤ ≥нформац≥њ про тополог≥ю мереж≥, що захищаЇтьс¤, Ї трансл¤ц≥¤ Увнутр≥шн≥хФ мережних адрес, що попутно вир≥шуЇ проблему розширенн¤ адресного простору, вид≥леного орган≥зац≥њ.

ќбмежуючий ≥нтерфейс також можна розгл¤дати ¤к р≥зновид екрануванн¤. Ќа невидимий об'Їкт важко нападати, особливо за допомогою ф≥ксованого набору засоб≥в. ” цьому зм≥ст≥ Web-≥нтерфейс маЇ природний захист, особливо в тому випадку, коли г≥пертекстов≥ документи формуютьс¤ динам≥чно.  ожний бачить лише те, що йому покладене.

–оль Web-серв≥су, що екрануЇ, наочно ви¤вл¤Їтьс¤ ≥ тод≥, коли цей серв≥с зд≥йснюЇ посередницьк≥ (точн≥ше, що ≥нтегрують) функц≥њ при доступ≥ до ≥нших ресурс≥в, зокрема таблиц¤м бази даних. “ут не т≥льки контролюютьс¤ потоки запит≥в, але ≥ ховаЇтьс¤ реальна орган≥зац≥¤ баз даних.

Ѕ≈«ѕ≈ ј ѕ–ќ√–јћЌќ√ќ —≈–≈ƒќ¬»ўј

≤де¤ мереж з так називаними активними агентами, коли м≥ж комп'ютерами передаютьс¤ не т≥льки пасивн≥, але й активн≥ виконував дан≥ (тобто програми), зрозум≥ло, не нова. —початку ц≥ль пол¤гала в тому, щоб зменшити мережний траф≥к, виконуючи основну частину обробки там, де розташовуютьс¤ дан≥ (наближенн¤ програм до даних). Ќа практиц≥ це означало перем≥щенн¤ програм на сервери.  ласичний приклад реал≥зац≥њ под≥бного п≥дходу - це збережен≥ процедури в —”Ѕƒ.

ƒл¤ Web-сервер≥в аналогом збережених процедур Ї програми, що обслуговують загальний шлюзовий ≥нтерфейс (Common Gateway Interface - CGI).

CGI-процедури розташовуютьс¤ на серверах ≥ звичайно використовуютьс¤ дл¤ динам≥чного породженн¤ HTML-документ≥в. ѕол≥тика безпеки орган≥зац≥њ ≥ процедурних м≥р повинн≥ визначати, хто маЇ право пом≥щати на сервер CGI-процедури. “вердий контроль тут необх≥дний, оск≥льки виконанн¤ сервером некоректноњ програми може привести до ¤к завгодно важких насл≥дк≥в. –озумна м≥ра техн≥чного характеру складаЇтьс¤ в м≥н≥м≥зац≥њ прив≥лењв користувача, в≥д ≥мен≥ ¤кого виконуЇтьс¤ Web-сервер.

” технолог≥њ Intranet, ¤кщо п≥клуватис¤ про ¤к≥сть ≥ виразну силу користувальницького ≥нтерфейсу, виникаЇ нестаток у перем≥щенн≥ програм з Web-сервер≥в на кл≥Їнтськ≥ комп'ютери - дл¤ створенн¤ ан≥мац≥њ, виконанн¤ семантичного контролю при введенн≥ даних ≥ т.д. ”загал≥, активн≥ агенти - нев≥д'Їмна частина технолог≥њ Intranet.

” ¤кому би напр¤мку н≥ перем≥щалис¤ програми по мереж≥, ц≥ д≥њ становл¤ть п≥двищену небезпеку, тому що програма, отримана з ненад≥йного джерела, може м≥стити ненавмисно внесен≥ чи помилки ц≥леспр¤мовано створений злобливий код. “ака програма потенц≥йно загрожуЇ вс≥м основним аспектам ≥нформац≥йноњ безпеки:

1	2	3

Ќазва: ≤нформац≥йна безпека в Intranet
ƒата публ≥кац≥њ: 2005-02-22 (1700 прочитано)