Межсетевой экран как средство от вторжения из Internet

РЕФЕРАТ

                              Тема: ” Безопасность Internet: брандмауэры. ”

 

 

     Выполнил: Студент группы ЗИ-991        

                                    Горбунов Никита Александрович.

Принял:______________________

 

                           Воронеж 2000

 

                                      

                          Содержание

1) Актуальность темы……………………………………………………3

2) Щит от несанкционированного доступа……………………………4

3) Конструктивные решения…………………………………………….5

4) Уровень опасности…………………………………………………….6

5) Почему брандмауэр?………………………………………………….7

6) Межсетевой экран как средство от вторжения из Internet……...8

7) Основные компоненты межсетевых экранов…………………….13

       А) Фильтрующие маршрутизаторы…………………………...13

       Б) Шлюзы сетевого уровня…………………………………….16

В) Шлюзы прикладного уровня………………………………..18

Г) Усиленная аутентификация…………………………………21

8) Основные схемы сетевой защиты на базе межсетевого

экрана………………………………………………………………………23

      А) Межсетевой экран – фильтрующий маршрутизатор……23

      Б) Межсетевой экран – на базе двупортового шлюза……..24

      В) Межсетевой экран на основе экранирования

    шлюза………………………………………………………………..25

      Г) Межсетевой экран – экранированная подсеть ………….27

     Д) Применение   межсетевых экранов    для      

организации виртуальных корпоративных ……………………….29

9)Программные методы защиты………………………………………29

10)Заключение……………………………………………………………33

11)Список используемой литературы………………………………..34

 

 

  

                  Актуальность темы

Интенсивное развитие глобальных компьютерных сетей. появление новых технологий поиска информации привлекают все больше внимания к сети Internet со стороны частных лиц и различных организаций. Многие организации принимают решение об интеграции своих локальных и корпоративных сетей в глобальную сеть. Использование глобальных сетей в коммерческих целях, а также при передаче информации, содержащей сведения конфиденциального характера, влечет за собой необходимость построения эффективной системы защиты информации. В настоящее время в России глобальные сети применяются для передачи коммерческой информации различного уровня конфиденциальности, например для связи с удаленными офисами из головной штаб квартиры организации или создания Web-страницы организации с размещенной на ней рекламой и деловыми предложениями.

Вряд ли нужно перечислять все преимущества, которые получает современное предприятие, имея доступ к глобальной сети Internet. Но, как и многие другие новые технологии, использование Internet имеет и негативные последствия. Развитие глобальных сетей привело к многократному увеличению количества пользователей и увеличению количества атак на компьютеры, подклю­ченные к сети Internet. Ежегодные потери, обусловленные недостаточным уровнем защищенности компьютеров, оценивают­ся десятками миллионов долларов. При подключении к Internet локальной или корпоративной сети необходимо позаботиться об обеспечении информационной безопасности этой сети. Глобальная сеть Internet создавалась как открытая систе­ма, предназначенная для свободного обмена информацией. В си­лу открытости своей идеологии Internet предоставляет для злоумышленников значительно большие возможности по сравнению с традиционными информационными системами. По этому вопрос о проблеме защиты сетей и её компонентов становиться достаточно важным и актуальным и это время, время прогресса и компьютерных технологий. Многие страны наконец-то поняли важность этой проблемы. Происходит увеличение затрат и усилий направленных на производство и улучшение различных средств защиты. Основной целью реферата является рассмотрение, и изучение функционирования одного из таких средств сетевой защиты как брандмауэр или межсетевой экран. Который в настоящее время является наиболее надежным в плане защиты из предлагаемых средств.

 

      Щит от несанкционированного доступа

С целью избежания несанкционированного доступа к своим сетям, многие компании, подключенные к Internet, полагаются на брандмауэры. Однако, достигая при этом своей основной цели, пользователь брандмауэра столкнётся с необходимостью выбора между простой работой и безопасностью системы.

Брандмауэр – это один из нескольких путей защиты вашей сети, от другой, которой вы не доверяете. Вообще существует множество вариантов обеспечения такой защиты, но в принципе брандмауэр можно представить как пару механизмов: один – для блокировки, второй – для разрешения трафика.

Основной причиной для установки в частной сети брандмауэра практически всегда является стремление пользователя защитить сеть от несанкционированного вторжения. В большинстве случаев сеть защищают от нелегального доступа к системным ресурсам, а также от отправки какой либо информации вовне баз ведома её владельца. В некоторых случаях экспорт информации не рассматривается как особо важная проблема, однако, для многих корпораций, подключение к Internet, это вопрос первостепенной важности. Многие организации прибегают к самому простому пути, чтобы избежать подобных неприятностей: они просто не подключаются к Internet. Однако это не такое уж удачное решение. Если такая сеть децентрализована или плохо управляема, любой сотрудник компании, имеющий доступ к скоростному модему, может без особого труда подключится к Internet  с помощью SLIP, что может привести к нарушению безопасности всей сети.

Во многих случаях можно сказать, что для защиты сети лучше всего установить брандмауэр. Хотя любой ваш сотрудник может вынести из офиса любую доступную ему информацию на кассетах и дискетах. Internet  , кишащий опасными вандалами, таит в себе неизмеримо большую угрозу. Их прорыв в локальную сеть компании, вследствие плохой организации защиты, вполне может стоить менеджеру сети места работы, даже если ущерб при этом не будет больше, чем мог бы быть в случае непосредственного подключения к Internet через модем либо в результате мести рассерженного сотрудника. Чаще всего в ор­ганизациях, прибегающих к услугам Internet, проблема убедить руководство в необходимости брандмауэрной защиты не­измеримо сложнее тех забот, с которыми приходится сталкиваться в процессе ее установки. Вследствие того, что услуги, предоставляемые Internet, очевидны для всех, весьма вероятно, что они потребуют всесторонней официальной проверки.

 

        Конструктивные решения

В процессе конфигурирования брандмауэра конструктивные решения зачастую диктуются корпоративной и организационной политикой компании в области обеспечения защиты сетей. В частности, любая фирма должна сделать очень серьезный выбор: что для нее важнее — высокая степень защиты или простота в использовании. Существует два подхода к решению этой дилеммы.

· Что не было специально разрешено, то запрещено;

· Что не было специально запрещено, то разрешено.

Важность данного разграничения переоценить невозможно. В первом случае брандмауэр должен будет блокировать все, а системные службы будут доступны пользователям лишь после тщательной оценки их потребности в этих службах, а также степени риска. Подобный подход непосредственно осложняет пользователям жизнь, в результате чего многие из них считают брандмауэры помехой в работе.

Во втором случае эту же реакционную роль играет системный администратор, который обязан уметь предвидеть, ка­кие действия, сетевых пользователей способные ослабить надежность брандмауэра, и принять соответствую­щие меры для предотвращения таких попыток. В результате данного подхода конфликт между администратором бранд­мауэра и пользователями развивается по нарастающей и может стать действительно серьезным. Если пользователи не осознают важности мер предосторожности в плане обеспечения безопасности сети и не выполняют их, они зачастую спо­собны подвергнуть риску всю сеть. Если пользователи при входе в систему (login) будут получать неограниченный доступ к брандмауэру, в системе безопасности сети может возникнуть большая брешь. Вообще говоря, наличие пользовательских входов в брандмауэрную систему имеет тенденцию в значительной мере увеличивать проблему сохранности системы.

Вторая важнейшая формулировка в области политики безопасности гласит: "Что не было специально запрещено, то разрешено" Такой подход наиболее надежен, ибо он освобождает системного администратора от необходимости прини­мать решения, какие TCP—порты безопасны или какие еще бреши оставили в системе производители ядра или программ. (TCP — протокол транспортного уровня, применяемый в Internet для организации надежной двусторонней доставки дан­ных, используемый многими прикладными программами TCP/IP). Поскольку продавцы вовсе не спешат обнародовать изъяны своего программного обеспечения, данный подход более эффективен, ибо, в сущности, в основе его лежит утвер­ждение, что абсолютно все, чего вы не знаете, может нанести вам вред.

 

Уровень опасности

    Существует несколько путей свести на нет либо подвергнуть риску брандмауэрную защиту. И хотя они все плохи, о некоторых можно с уверенностью говорить как о самых неприятных. Исходя из того, что основной целью установки большинства брандмауэров является блокирование доступа, очевидно, что обнаружение кем-либо лазейки, позволяющей проникнуть в систему, ведет к полному краху всей защиты данной систе­мы. Если же несанкционированному пользователю удалось проникнуть в брандмауэр и переконфигуриро­вать его, ситуация может принять еще более угрожающий характер. В целях разграничения терминологии примем, что в первом случае мы имеем дело со взломом брандмауэрной защиты, а во втором — с полным ее разрушением. Степень ущерба, который может повлечь за собой разрушение брандмауэрной защиты, опре­делить невероятно сложно. Наиболее полные сведения о надежности такой защиты может дать только ин­формация о предпринятой попытке взлома, собранная этим брандмауэром. Самое плохое происходит с сис­темой защиты именно тогда, когда при полном разрушении брандмауэра не остается ни малейших следов, указывающих на то, как это происходило. В лучшем же случае брандмауэр сам выявляет попытку взлома и вежливо информирует об этом администратора. Попытка при этом обречена на провал.

Один из способов определить результат попытки взлома брандмауэрной защиты — проверить состояние вещей в так называемых зонах риска. Если сеть подсоединена к Internet без брандмауэра, объектом нападения станет вся сеть. Такая ситуация сама по себе не предполагает, что сеть становится уязвимой для каждой попытки взлома. Однако если она под­соединяется к общей небезопасной сети, администратору придется обеспечивать безопасность каждого узла отдельно. В случае образования бреши в брандмауэре зона риска расши­ряется и охватывает всю защищенную сеть. Взломщик, получивший доступ к входу в брандмауэр, может прибегнуть к методу "захвата островов" и, пользуясь брандмауэром как базой, охватить всю локальную сеть. Подобная ситуация все же даст слабую надежду, ибо нарушитель может оставить следы в брандмауэре, и его можно будет разоблачить. Если же брандмауэр полностью выведен из строя, локальная сеть становится открытой для нападения из любой внешней системы, и определение характера этого нападения становится практически невозможным.

В общем, вполне возможно рассматривать брандмауэр как средство сужения зоны риска до одной точки повреждения. В определенном смысле это может показаться совсем не такой уж удачной идеей, ведь такой подход напоминает склады­вание яиц в одну корзину. Однако практикой подтверждено, что любая довольно крупная сеть включает, по меньшей мере, несколько узлов, уязвимых при попытке взлома даже не очень сведущим нарушителем, если у него достаточного для это­го времени. Многие крупные компании имеют на вооружении организационную политику обеспечения безопасности уз­лов, разработанную с учетом этих недостатков. Однако было бы не слишком разумным целиком полагаться исключитель­но на правила. Именно с помощью брандмауэра можно повысить надежность узлов, направляя нарушителя в такой узкий тоннель, что появляется реальный шанс выявить и выследить его, до того как он наделает бед. Подобно тому, как средне­вековыезамки обносили несколькими стенами, в нашем случае создается взаимоблокирующая защита.

 

 

                      Почему брандмауэр?

Через Internet нарушитель может:

· вторгнуться во внутреннюю сеть предприятия и получить несанкционированный доступ к конфиденциальной информации;

· незаконно скопировать важную и ценную для предприятия информацию;

· получить пароли, адреса серверов, а подчас и их содержимое;

· входить в информационную систему предприятия под именем зарегистрированного пользователя и т.д.

С помощью полученной злоумышленником информации может быть серьезно подорвана конкурентоспособность предприятия и доверие его клиентов.

   Существует много видов защиты в сети, но наиболее эффективный способ зашиты объекта от нападения, одновременно позволяющий пользователям иметь некоторый доступ к службам Internet, заключается в построении брандмауэра. Чтобы брандмауэр был достаточно эффективным, необходимо тщательно выбрать его конфигурацию, установить и поддерживать.

 Брандмауэры представляют собой аппаратно - программный подход, который ограничивает доступ за счет принудительного прокладывания всех коммуникаций, идущих из внутренней сети в Internet, из Internet во внутреннюю сеть, через это средство защиты. Брандмауэры позволяют также защищать часть вашей внутренней сети от остальных её элементов. Аппаратные средства и программное обеспечение, образующие брандмауэр, фильтруют весь трафик и принимают решение: можно ли пропустить этот трафик – электронную почту, файлы, дистанционную регистрацию и другие операции. Организации устанавливают конфигурацию брандмауэров разными способами. На некоторых объектах брандмауэры полностью блокируют доступ в Internet и из неё, а на других ограничивают доступ таким образом, что только одна машина или пользователь может соединяться через Internet  с машинами за пределами внутренней сети. Иногда реализуются более сложные правила, которые включают проверку каждого сообщения, направленного из внутренне сети во внешнюю, чтобы убедится в соответствии конкретным требованиям стратегии обеспечения безопасности на данном объекте. Несмотря на эффективность в целом, брандмауэр не обеспечивает защиту от собственного персонала или от злоумышленника, уже преодолевшего это средство сетевой защиты.

 

 

Фильтрующие маршрутизаторы

Фильтрующий маршрутизатор представляет собой маршрутизатор или работающую на сервере программу, сконфигури­рованные таким образом, чтобы фильтровать входящее и исходя­щие пакеты. Фильтрация пакетов осуществляется на основе информации, содержащейся в TCP- и IP- заголовках пакетов.

Фильтрующие маршрутизаторы  обычно может фильтровать IP-пакет на основе группы следующих полей заголовка пакета:

· IP- адрес отправителя (адрес системы, которая послала пакет);

· IP-адрес получателя (адрес системы которая принимает пакет);

· Порт отправителя (порт соединения в системе отправителя);

· Порт получателя (порт соединения в системе получателя);

Порт – это программное понятие, которое используется клиентом или сервером для посылки или приема сообщений; порт идентифицируется 16 – битовым числом.

В настоящее время не все фильтрующие маршрутизаторы фильтруют пакеты по TCP/UDP – порт отправителя, однако многие производители маршрутизаторов начали обеспечивать такую возможность. Некоторые маршрутизаторы проверяют, с какого сетевого интерфейса маршрутизатора пришел пакет, и затем исполь­зуют эту информацию как дополнительный критерий фильтрации.

Фильтрация может быть реализована различным образом для блокирования соединений с определенными хост-компьютерами или портами. Например, можно блокировать соеди­нения, идущие от конкретных адресов тех хост-компьютеров и се­тей. которые считаются враждебными или ненадежными.

Добавление фильтрации по портам TCP и UDP к фильтра­ции по IP-адресам обеспечивает большую гибкость. Известно, что такие серверы, как демон TELNET, обычно связаны с конкретными портами (например, порт 23 протокола TELNET). Если межсетевой экран может блокировать соединения TCP или UDP с определен­ными портами или от них, то можно реализовать политику безо­пасности, при которой некоторые виды соединений устанавлива­ются только с конкретными хост-компьютерами.

Например, внутренняя сеть может блокировать все вход­ные соединения со всеми хост-компьютерами за исключением не­скольких систем. Для этих систем могут быть разрешены только определенные сервисы (SMTP для одной системы и TELNET или FTP -для другой). При фильтрации по портам TCP и UDP эта по­литика может быть реализована фильтрующим маршрутизатором или хост-компьютером с возможностью фильтрации пакетов.

В качестве примера работы фильтрующего маршрутизато­ра рассмотрю реализацию политики безопасности, допускающей определенные соединения с внутренней сетью с адресом 123.4.*.* Соединения TELNET разрешаются только с одним хост-компьютером с адресом 123.4.5.6, который может быть приклад­ным TELNET-шлюзом, а SMTP-соединения - только с двумя хост-компьютерами с адресами 123.4.5.7 и 123.4.5.8, которые могут быть двумя шлюзами электронной почты. Обмен по NNTP (Network News Transfer Protocol) разрешается только от сервера новостей с адресом 129.6.48.254 и только с NNTP-сервером сети с адресом 123.4.5.9, а протокол NTP (сетевого времени)-для всех хост-компьютеров. Все другие серверы и пакеты блокируются. рации

Первое правило позволяет пропускать пакеты TCP из сети Internet от любого источника с номером порта большим, чем 1023, к получателю с адресом 123.4.5.6 в порт 23. Порт 23 связан с сервером TELNET, а все клиенты TELNET должны иметь неприви­легированные порты с номерами не ниже 1024.

Второе и третье правила работают аналогично и разреша­ют передачу пакетов к получателям с адресами 123.4.5.7 и 123.4.5.8 в порт 25, используемый SMTP.

Четвертое правило пропускает пакеты к NNTP-серверу се­ти, но только от отправителя с адресом 129.6.48.254 к получателю с адресом 123.4.5.9 с портом назначения 119 (129.6.48.254 -единственный NNTP-сервер, от которого внутренняя сеть получает новости, поэтому доступ к сети для выполнения протокола NNTP ограничен только этой системой).

Пятое правило разрешает трафик NTP, который использу­ет протокол UDP вместо TCP. от любого источника к любому полу­чателю внутренней сети.

Наконец, шестое правило блокирует все остальные пакеты. Если бы этого правила не было, маршрутизатор мог бы блокиро­вать, а мог бы и не блокировать другие типы пакетов. Выше был рассмотрен очень простой пример фильтрации пакетов. Реально используемые правила позволяют осуществить более сложную фильтрацию и являются более гибкими.

Правила фильтрации пакетов формулируются сложно, и обычно нет средств для тестирования их корректности, кроме медленного ручного тестирования. У некоторых фильтрующих маршрутизаторов нет средств протоколирования, поэтому, если правила фильтрации пакетов все-таки позволят опасным пакетам пройти через маршрутизатор, такие пакеты не смогут быть выяв­лены до обнаружения последствий проникновения. Даже если администратору сети удастся создать эффек­тивные правила фильтрации, их возможности остаются ограничен­ными. Например, администратор задает правило, в соответствии с которым маршрутизатор будет отбраковывать все пакеты с неиз­вестным адресом отправителя. Однако хакер может использовать в качестве адреса отправителя в своем "вредоносном" пакете ре­альный адрес доверенного (авторизированного) клиента. В этом случае фильтрующий маршрутизатор не сумеет отличить под­дельный пакет от настоящего и пропустит его. Практика показыва­ет, что подобный вид нападения, называемый подменой адреса, довольно широко распространен в сети Internet и часто оказывает­ся эффективным.

Межсетевой экран с фильтрацией пакетов, работающий только на сетевом уровне эталонной модели взаимодействия от­крытых систем OSI-ISO, обычно проверяет информацию, содер­жащуюся только в IP-заголовках пакетов. Поэтому обмануть его несложно: хакер создает заголовок, который удовлетворяет раз­решающим правилам фильтрации. Кроме заголовка пакета, ника­кая другая содержащаяся в нем информация межсетевыми экра­нами данной категории не проверяется.

К положительным качествам фильтрующих маршрутизато­ров следует отнести:

·сравнительно невысокую стоимость;

·гибкость в определении правил фильтрации;

·небольшую задержку при прохождении пакетов.

        Недостатками фильтрующих маршрутизаторов являются:

·внутренняя сеть видна (маршрутизируется) из сети Internet;

·правила фильтрации пакетов трудны в описании и требуют очень хороших знаний технологий TCP и UDP;

·при нарушении работоспособности межсетевого экрана с фильтрацией пакетов все компьютеры за ним становятся пол­ностью незащищенными либо недоступными;

·аутентификацию с использованием IP-адреса можно обмануть путем подмены IP-адреса (атакующая система выдает себя за другую, используя ее IP-адрес);

· отсутствует аутентификация на пользовательском уровне.

Шлюзы сетевого уровня

Шлюз сетевого уровня иногда называют системой трансля­ции сетевых адресов или шлюзом сеансового уровня модели OSI. Такой шлюз исключает, прямое взаимодействие между авторизированным клиентом и внешним хост-компьютером. Шлюз сетевого уровня принимает запрос доверенного кли­ента на конкретные услуги, и после проверки допустимости запро­шенного сеанса устанавливает соединение с внешним хост-компьютером. После этого шлюз копирует пакеты в обоих направ­лениях, не осуществляя их фильтрации.

Шлюз следит за подтверждением (квитированием) связи между авторизированным клиентом и внешним хост-компьютером, определяя, является ли запрашиваемый сеанс связи допустимым. Чтобы выявить допустимость запроса на сеанс связи, шлюз выполняет следующую процедуру.

Когда авторизированный клиент запрашивает некоторый сервис, шлюз принимает этот запрос, проверяя, удовлетворяет ли этот клиент базовым критериям фильтрации (например, может ли DNS-сервер определить IP-адрес клиента и ассоциированное с ним имя). Затем, действуя от имени клиента, шлюз устанавливает соединение с внешним хост-компьютером и следит за выполнением процедуры квитирования связи по протоколу TCP. Эта проце­дура состоит из обмена TCP-пакетами, которые помечаются фла­гами SYN (синхронизировать) и АСК (подтвердить).

Первый пакет сеанса TCP, помеченный флагом SYN и содержащий произвольное число, например 1000. является запросом клиента на открытие сеанса. Внешний хост-компьютер, полу­чивший этот пакет, посылает в ответ пакет, помеченный флагом АСК и содержащий число, на единицу большее, чем в принятом пакете подтверждая, тем самым прием па­кета SYN от клиента.

Далее осуществляется обратная процедура: хост-компьютер посылает клиенту пакет SYN с исходным числом (например, 2000), а клиент подтверждает его получение передачей пакета АСК, содержащего число 2001. На этом процесс квитирования связи завершается.

Шлюз сетевого уровня признает запрошенное соединение допустимым только в том случае, если при выполнении процедуры квитирования связи флаги SYN и АСК, а также числа, содержа­щиеся в TCP-пакетах, оказываются логически связанными меж­ду собой.

После того как шлюз определил, что доверенный клиент и внешний хост-компьютер являются авторизированными участниками сеанса TCP, и проверил допустимость этого сеанса, он уста­навливает соединение. Начиная с этого момента, шлюз копирует и перенаправляет пакеты туда и обратно, не проводя никакой фильтрации. Он поддерживает таблицу установленных соедине­ний, пропуская данные, относящиеся к одному из сеансов связи, зафиксированных в этой таблице. Когда сеанс завершается, шлюз удаляет соответствующий элемент из таблицы и разрывает цепь. использовавшуюся в данном сеансе.

Для копирования и перенаправления пакетов в шлюзах сетевого уровня применяются специальные приложения, которые называют канальными посредниками, поскольку они устанавлива­ют между двумя сетями виртуальную цепь или канал, а затем раз­решают пакетам, которые генерируются приложениями TCP/IP, проходить по этому каналу. Канальные посредники поддерживают несколько служб TCP/IP, поэтому шлюзы сетевого уровня могут использоваться для расширения возможностей шлюзов приклад­ного уровня, работа которых основывается на программах-посредниках конкретных приложений.

Фактически большинство шлюзов сетевого уровня не яв­ляются самостоятельными продуктами, а поставляются в комплек­те со шлюзами прикладного уровня. Примерами таких шлюзов яв­ляются Gauntlet Internet Firewall компании Trusted Information Systems, Alta Vista Firewall компании DEC и ANS Interlock компании ANS. Например, Alta Vista Firewall использует канальные посред­ники прикладного уровня для каждой из шести служб TCP/IP, к ко­торым относятся, в частности, FTP, HTTP (Hyper Text Transport Protocol) и telnet. Кроме того, межсетевой экран компании DEC обеспечивает шлюз сетевого уровня, поддерживающий другие общедоступные службы TCP/IP, такие как Gopher и SMTP, для которых межсетевой экран не предоставляет посредников приклад­ного уровня.

Шлюз сетевого уровня выполняет еще одну важную функ­цию защиты: он используется в качестве сервера-посредника. Этот сервер-посредник выполняет процедуру трансляции адресов, при которой происходит преобразование внутренних IP-адресов в один "надежный" IP-адрес. Этот адрес ассоциируется с межсетевым экраном, из которого передаются все исходящие пакеты. В резуль­тате в сети со шлюзом сетевого уровня все исходящие пакеты ока­зываются отправленными из этого шлюза, что исключает прямой контакт между внутренней (авторизированной) сетью и потенци­ально опасной внешней сетью. IP-адрес шлюза сетевого уровня становится единственно активным IP-адресом, который попадает во внешнюю сеть. Таким образом шлюз сетевого уровня и другие серверы-посредники защищают внутренние сети от нападений ти­па подмены адресов.

После установления связи шлюзы сетевого уровня фильт­руют пакеты только на сеансовом уровне модели OSI, т.е. не мо­гут проверять содержимое пакетов, передаваемых между внутрен­ней и внешней сетью на уровне прикладных программ. И поскольку эта передача осуществляется "вслепую", хакер, находящийся во внешней сети, может "протолкнуть" свои "вредоносные" пакеты через такой шлюз. После этого хакер обратится напрямую к внут­реннему Web-серверу, который сам по себе не может обеспечи­вать функции межсетевого экрана. Иными словами, если процеду­ра квитирования связи успешно завершена, шлюз сетевого уровня установит соединение и будет "слепо" копировать и перенаправлять все последующие пакеты независимо от их содержимого.

Чтобы фильтровать пакеты, генерируемые определенными сетевыми службами, в соответствии с их содержимым необходим шлюз прикладного уровня.

Шлюзы прикладного уровня

Для устранения ряда недостатков, присущих фильтрующим маршрутизаторам, межсетевые экраны должны использовать до­полнительные программные средства для фильтрации сообщений сервисов типа TELNET и FTP. Такие программные средства назы­ваются полномочными серверами (серверами-посредниками), а хост-компьютер, на котором они выполняются, - шлюзом прикладного уровня.

Шлюз прикладного уровня исключает прямое взаимодейст­вие между авторизированным клиентом и внешним хост-компьютером. Шлюз фильтрует все входящие и исходящие пакеты на прикладном уровне. Связанные с приложением серверы – посредники перенаправляют через шлюз информацию, генерируемую конкретными серверами.

Для достижения более высокого уровня безопасности и гибкости шлюзы прикладного уровня и фильтрующие маршрутиза­торы могут быть объединены в одном межсетевом экране. В каче­стве примера рассмотрю сеть, в которой с помощью фильтрую­щего маршрутизатора блокируются входящие соединения TELNET и FTP. Этот маршрутизатор допускает прохождение пакетов TELNET или FTP только к одному хост-компьютеру - шлюзу при­кладного уровня TELNET/FTP. Внешний пользователь, который хочет соединиться с некоторой системой в сети, должен сначала соединиться со шлюзом прикладного уровня, а затем уже с нуж­ным внутренним хост-компьютером. Это осуществляется следую­щим образом:

1) сначала внешний пользователь устанавливает TELNET-соединение со шлюзом прикладного уровня с помощью протокола TELNET  и вводит имя интересующего его внутреннего хост-компьютера;

2) шлюз проверяет IP – адрес отправителя и разрешает или запрещает соединение в соответствии с тем или иным критерием доступа

3) пользователю может потребоваться аутентификация (возможно, с помощью одноразовых паролей);

4) сервер-посредник устанавливает TELNET-соединение между шлюзом и внутренним хост-компьютером;

5)сервер посредник осуществляет передачу информации между этими двумя соединениями;

6) шлюз прикладного уровня регистрирует соединение.

Этот пример наглядно показывает преимущества исполь­зования полномочных серверов-посредников.

· Полномочные серверы - посредники пропускают только те службы, которые им поручено обслуживать. Иначе говоря, если шлюзы прикладного уровня наделен полномочиями для служб FTP и TELNET, то в защищаемой сети будут разрешены только FTP и TELNE, а все другие службы будут полностью блокированы. Для некоторых организаций такой вид безопасности имеет большое значение, так как он гарантирует, что через межсетевой экран будут пропускаться только те службы, которые считаются безопасными.

 

· Полномочные серверы-посредники обеспечивают возможность фильтрации протокола. Например, некоторые межсетевые экраны, использующие шлюзы прикладного уровня, могут фильтровать FTP – соединения и запрещать использование команды FTP put, что гарантированно не позволяет  ползователям записывать информацию на анонимный FTP-сервер.

В дополнение к фильтрации пакетов многие шлюзы при­кладного уровня регистрируют все выполняемые сервером дейст­вия и, что особенно важно, предупреждают сетевого админи­стратора о возможных нарушениях защиты. Например, при попыт­ках проникновения в сеть извне BorderWare Firewall Server компа­нии Secure Computing позволяет фиксировать адреса отправителя и получателя пакетов, время, в которое эти попытки были пред­приняты, и используемый протокол. Межсетевой экран Black Hole компании Milkyway Networks регистрирует все действия сервера и предупреждает администратора о возможных нарушениях, посы­лая ему сообщение по электронной почте или на пейджер. Анало­гичные функции выполняют и ряд других шлюзов прикладно­го уровня.

Шлюзы прикладного уровня позволяют обеспечить наибо­лее высокий уровень защиты, поскольку взаимодействие с внеш­ним миром реализуется через небольшое число прикладных пол­номочных программ-посредников, полностью контролирующих весь входящий и выходящий трафик.

Шлюзы прикладного уровня имеют ряд преимуществ по сравнению с обычным режимом, при котором прикладной трафик пропускается непосредственно к внутренним хост-компьютерам. Перечислю эти преимущества. 

· Невидимость структуры защищаемой сети из глобальной сети Internet. Имена внутренних систем можно не сообщать внешним системам через DNS, поскольку шлюз прикладного уровня может быть единственным хост-компьютером, имя кото­рого должно быть известно внешним системам.

· Надежная аутентификация и регистрация. Прикладной тра­фик может быть аутентифицирован, прежде чем он достигнет внутренних хост-компьютеров, и может быть зарегистрирован более эффективно, чем с помощью стандартной.регистрации.

· Оптимальное соотношение между ценой и эффективностью.  Дополнительные или аппаратные средства для аутентификации или регистрации нужно устанавливать только на шлюзе прикладного уровня.  

· Простые правила фильтрации. Правила на фильтрующем маршрутизаторе оказываются менее сложными, чем они были бы, если бы маршрутизатор сам фильтровал прикладной тра­фик и отправлял его большому числу внутренних систем. Mapшрутизатор должен пропускать прикладной трафик, предназначенный только для  шлюза прикладного уровня, и блокировать весь остальной трафик.

· Возможность организации большого числа проверок. Защита на уровне приложений позволяет осуществлять большое коли­чество дополнительных проверок, что снижает вероятность взлома с использованием "дыр" в программном обеспечении.

К недостаткам шлюзов прикладного уровня относятся:

·более низкая производительность по сравнению с фильтрую­щими маршрутизаторами; в частности, при использовании кли­ент-серверных протоколов, таких как TELNET, требуется двух­шаговая процедура для входных и выходных соединений;

·Более высокая стоимость по сравнению с фильтрующим маршрутизатором

Помимо TELNET и FTP шлюзы прикладного уровня обычно используются для электронной почты, Х Windows и некоторых дру­гих служб.

Усиленная аутентификация

Одним из важных компонентов концепции межсетевых экранов является аутентификация (проверка подлинности пользователя). Прежде чем пользователю будет предоставлено право воспользоваться, тем или иным сервисом, необходимо убедиться, что он действительно тот, за кого себя выдает.

Одним из способов аутентификации является использова­ние стандартных UNIX-паролей. Однако эта схема наиболее уяз­вимо с точки зрения безопасности - пароль может быть перехва­чен и использован другим лицом. Многие инциденты в сети Internet произошли отчасти из-за уязвимости традиционных паролей. Зло­умышленники могут наблюдать за каналами в сети Internet и пере­хватывать передающиеся в них открытым текстом пароли, поэтому схему аутентификации с традиционными паролями следует при­знать устаревшей.

Для преодоления этого недостатка разработан ряд средств усиленной аутентификации; смарт-карты, персональные жетоны, биометрические механизмы и т.п. Хотя в них задействованы раз­ные механизмы аутентификации, общим для них является то, что пароли, генерируемые этими устройствами, не могут быть повтор­но использованы нарушителем, наблюдающим за установлением связи. Поскольку проблема с паролями в сети Internet является постоянной, межсетевой экран для соединения с Internet, не рас­полагающий средствами усиленной аутентификации или не ис­пользующий их, теряет всякий смысл.

Ряд наиболее популярных средств усиленной аутентификации, применяемых в настоящее время, называются системами с одноразовыми паролями. Например, смарт–карты или жетоны аутентификации генерируют информацию, которую хост-компьютер использует вместо традиционного пароля Результатом является одноразовый пароль, который, даже если он будет перехвачен, не может быть использован злоумышленником под видом пользователя для установления сеанса с хост- компьютером.

Так как межсетевые экраны могут централизовать управ­ление доступом в сети, они являются подходящим местом для ус­тановки программ или устройств усиленной аутентификации. Хотя средства усиленной аутентификации могут использоваться на ка­ждом хост-компьютере, более практично их размещение на межсе­тевом экране. На рис. показано, что в сети без межсетевого экрана, использующего меры усиленной аутентификации, неаутентифицированный трафик таких приложений, как TELNET или FTP, может напрямую проходить к системам в сети. Если хост-компьютеры не применяют мер усиленной аутентификации, зло­умышленник может попытаться взломать пароли или перехватить сетевой трафик с целью найти в нем