Методика построения защищённой сети и политика безопасности

       В процессе конфигурирования брандмауэра следует пойти на компромиссы между удобством и безопасностью. До определённой степени межсетевые экраны должны быть прозрачными для внутренних пользователей сети и запрещать доступ других пользователей извне. Такая политика обеспечивает достаточно хорошую защиту.

       Важной задачей является защита сети изнутри. Для обеспечения хорошей функциональной защиты от внешней и внутренней угрозы, следует устанавливать несколько брандмауэров. Именно поэтому на сегодняшний день широкое распространение получили именно аппаратные межсетевые экраны. Довольно часто используется специальный сегмент внутренней сети, защищённый извне и изолированный от остальных, так называемая демилитаризованная зона (DMZ). Иногда брандмауэры разных типов объединяют. Различная конфигурация брандмауэров на основе нескольких архитектур обеспечит должный уровень безопасности для сети с разной степенью риска. Допустим, последовательное соединение брандмауэров сетевого и прикладного уровня в сети с высоким риском может оказаться наилучшим решением.

       Существует довольно-таки много решений относительно более-менее безопасных схем подключения брандмауэров для проектирования правильной защиты внутренней сети. В данном случае рассмотрены только самые оптимальные в отношении поставленной задачи виды подключений.

       Довольно часто подключение осуществляется через внешний маршрутизатор. В таком случае снаружи виден только брандмауэр, именно поэтому подобная схема наиболее предпочтительна с точки зрения безопасности ЛВС.

       Брандмауэр также может использоваться в качестве внешнего маршрутизатора. Программные брандмауэры создаются на базе последних и интегрируются в них. Это наиболее комплексное и быстрое решение, хотя и довольно дорогостоящее. Такой подход не зависит от типа операционной системы и приложений.

       В случае, когда сервера должны быть видимы снаружи, брандмауэром защищается только одна подсеть, подключаемая к маршрутизатору. Для повышения уровня безопасности интранета больших компаний возможно комбинированное использование брандмауэров и фильтрующих маршрутизаторов для обеспечения строгого управления доступом и проведения должного аудита сети. В подобных случаях используются такие методы, как экранирование хостов и подсетей.

       Замечания:

· Брандмауэр не является абсолютной гарантией защиты внутренней сети от удалённых атак, несмотря на то, что осуществляет сетевую политику разграничения доступа к определённым ресурсам. Во множестве случаев достаточно вывести из строя лишь один межсетевой экран, защищающий определённый сегмент, чтобы отключить всю сеть от внешнего мира и при этом нанести достаточный ущерб, вызвав большие сбои в работе организации или компании.

· Не стоит игнорировать тот факт, что брандмауэры никогда не решали внутренних проблем, связанных с физическим доступом к серверам и рабочим станциям неуполномоченных лиц, слабыми паролями, вирусами с дискет пользователей и многим другим.

· Но из всего вышесказанного отнюдь не следует, что их использование абсолютно бессмысленно и неэффективно. Наоборот, применение брандмауэров - необходимое условие обеспечения безопасности сети, однако нужно помнить, что всех проблем они не решат.

Несколько советов

· В условиях поставленных задач, различных между собой, необходимо рассматривать соответственно различные возможные варианты решения, основанные именно на программно-аппаратных методах защиты.

· Построение правильной топологии сети решит многие проблемы, связанные с возникновением потенциальных точек уязвимости и сведёт уже существующие к минимуму.

· Обратите внимание на размещение сервера (серверов) и ограничьте физический доступ пользователей к нему. Предпринимайте меры по защите отдельных рабочих станций. Особое внимание уделите тем компьютерам, на которых хранится важная информация.

· Используйте стойкие к перебору пароли. Пароль должен содержать не менее 8 символов в верхнем и нижнем регистре, цифры и неалфавитные символы.

· Контролируйте запущенные процессы и периодически проверяйте журнал подключений сервера.

· И последнее: никогда не переоценивайте защищенность собственной сети или системы - идеальной защиты не существует.

       Следует заметить, что все три вида аппаратной защиты могут интегрироваться и редко упоминаются без взаимосвязи. Между ними нет чётких границ. Систематизация правил аппаратной защиты ещё раз доказывает прямую сопряжённость с программными методами её реализации. В комплексном подходе к решению такого класса задач для предотвращения проникновения во внутреннюю сеть и уничтожения/копирования информации, необходимо специализированно объединять уже существующие методы с возможно новыми решениями в этой области. Проблема обеспечения безопасности компьютерной информации пока не может быть решена полностью даже при идеальной с точки зрения системного администратора настройке сети, но комбинированное применение программно-аппаратных средств защиты от НСД в сочетании с криптозащитой позволяет свести риск к минимуму.

Хакинг¸ как сфера исследования

Типы хакеров

В настоящее время имеется много типов хакеров, каждый из которых весьма различен:

· Хакеры - народ, вламывающийся в систему ради забавы, не нанося ощутимого вреда компьютерам. Хакеры врываются в систему, оглядываются, и затем пробуют взломать даже более безопасную систему. Они не делают прибыль из хакинга.

· Крэкеры - так называемые плохие хакеры. Эти люди нападают на систему и уничтожают ценные данные или крадут программное обеспечение с целью его дальнейшего небесплатного распространения.

· Фрикеры - люди, который занимается хакингом на телефонных линиях с целью получить бесплатный телефонный разговор с любой точкой мира.

Методы хакинга

Спуфинг

Известно, что любая система защиты типа Firewall позволяет “жить” только определенным адресам IP. Это весьма серьезное препятствие для проникновения в сеть. Поэтому хакеры нашли метод для преодоления этого барьера -  спуфинг IP.

Сначала хакер выясняет, какие из адресов IP проходят через firewall, затем использует один из вычисленных адресов в качестве своего и таким образом получает доступ к системе. Впрочем, это не всегда так. Например, известная система защиты FireWall-1 действительно дает возможность установить прозрачное подключение к Internet, используя практически весь диапазон протоколов межсетевого взаимодействия, обеспечив при этом некоторую (только в третьей версии этого экрана была залатана дырка, сидевшая в кодировке данных и идентификации клиента-пользователя) защиту сети. Многих администраторов, конечно, радует интуитивный графический интерфейс этой системы, а хакеров пугает многопротокольная проверка пакетов с так называемым учетом состояния протокола (SMLI), поэтому они стараются просто обходить сети с FireWall-1, оставив спуффинг для другой системы.

       Многие системные администраторы надеются на  брандмауэры Internet.

       Firewalls способны изолировать локальные сети от вскрытия из Internet посредством экранирующих маршрутизаторов, двусторонних шлюзов и барьерной хост-машины. Но проблема в том, что это известно каждому хакеру. Экранирующие маршрутизаторы? Прекрасно! Проверка адреса IP и закупорка фальшивого трафика? А кто говорит, что это не так? Все верно! Блокируем трафик. А как насчет Telnet и username/password logon?! Terminal Access Controller Access System? Включайте!

Сниффинг

       Сеть TCP/IP – это около 150 «дырок», сквозь которые открывается доступ в систему (TCP/IP — протокол, через который устанавливается исключительно обоюдное постоянное соединение). И в первую очередь потому, что любой, кто регистрируется в сети TCP/IP (через telnet или ftp) посылает данные о своем пароле в обыкновенном IP-пакете. Поэтому, чтобы получить пароль и логин, достаточно выследить подобный пакет, приходящий на известный адрес, то есть захватить трафик. Далее у хакера будет выбор. Он может получить реквизиты пользователя. Тогда доступ в систему будет ограниченным. Но если он получит пароль системного администратора, то сможет скачать файл паролей всех пользователей системы.

       Сниффинг — один из самых популярных методов воровства данных в сети (паролей, имен пользователей, ключей и т.д.) посредством специального программного обеспечения (так называемых снифферов). Снифферы, как правило, доступны лишь системным администраторам, так как эти системы весьма дорогие и не по карману даже самому крутому хакеру. Если сниффер попадает в руки хакера, то он сможет весьма эффективно контролировать сеть, захватив пароль и идентификационное имя системного администратора.

       Атака посредством сниффинга не предусматривает создание собственного фальшивого адреса IP для обмана фильтрующей системы адресов. И в самом деле, зачем нужен фальшивый IP, если замедляется только скорость входящего в систему потока информации. Это означает, что все можно списать на плохое качество связи.

       Лидер среди всех снифферских лидеров – это пакет IP-Watcher:

· выборочное отслеживание пакетов IP.

· захват активного соединения.

· закупорка сетевых соединений.

· закрепление на удаленной системе.

· прерывание активного соединения TCP.

· совместное использование нескольких соединений.

· невозможность идентификации административным мониторингом.

       Самый большой плюс пакета IP-Watcher заключается в том, что хакер может продлить жизнь соединению после его разрыва пользователем. Хакер загоняет пользователя в ловушку. Сначала он захватывает трафик. Затем рвет связь. Ждет. Пользователь опять входит в систему и регистрируется. Пароль у хакера в кармане.

       Выборочное отслеживание пакетов IP позволяет, например, перехватывать только идентификационные данные или файлы любого компьютера, принадлежащие серверу.

Мусор

       Хакеры часто исследуют мусорные бачки крупных компаний и иногда находят счета за телефонные переговоры, внутренние телефоны компании, различные технические руководства, номера кредитных карточек и т.д.

Социальная инженерия

       Каждый хороший хакер обладает превосходными навыками в искусстве пудрить мозги. Например, хакер может заручиться доверием системного администратора с тем, чтобы получить доступ к секретной информации посредством простого телефонного разговора, в котором он представит себя в качестве какого-нибудь техника-смотрителя.

Взлом паролей

       Самый простой путь - интуиция хакера (названия песен, имена актеров). Более сложный - через специальную программу, которая автоматически ищет пароль с помощью словаря.

       У хакеров имеется огромное количество методов для выяснения паролей и получения доступа к сетям. Эти методы варьируются от простых (запись в отдельный log-файл нажатий клавиатуры) до изысканно сложных (дешифрование огромных баз данных).

Другие методы

       Любой квалифицированный хакер через обыкновенный факс-модем может проникнуть даже в компьютер правительственного учреждения и, при желании, настолько внедриться в любую как бы то ни было защищенную систему, что просто-напросто разрушит ее. Так оно и было. Достаточно вспомнить злополучный сегмент Milnet. Сети сетей и всем известную Rome ВМС США. Это был настоящий кошмар, когда один из этих чудаков-хакеров творил безобразия в течение недели на одной из самых секретных военных баз Америки.

       Вскрыть сеть можно и с помощью обыкновенного факс-модема или даже факс-аппарата. Ведь в любой достаточно крупной компании факс подключен к LAN! А это значит, что через номер факса хакер открывает доступ к заветному шлюзу.

       Многие сисадминистраторы боятся прощупывания их хакерами. И многие знают, что закупорка пакетов UDP может остановить вскрытие. Почему? Потому что сработает защита. Да, хакер блокирует пакеты, а поэтому любые входы через TCP так же блокируются. Но проблема в том, что в разработке самых умных брандмауэров участвуют те самые хакеры.

       А почему бы и нет? Почему бы и не написать код вирусной программы, а потом придумать соответствующий антивирус!

       Многие компании защищаются электронными карточками. Поэтому их вскрывают меньше других. Это дело действительно грамотно сконфигурировано. SecurID Card имеет только тот юзер, который имеет право доступа. Соответствующая карточка идентифицирует истинность юзера через двойную проверку счета и персональный код.

       А многие, ради эксперимента, допускают к своим сетям хакеров. Результат бывает плачевным. Хакеры проникают в массу секретных систем, получают полный контроль и делают так, что их никто не может обнаружить в течение долгого времени.

       Хакеры пользуются ошибками софта. Они знают, что система заработает сама по себе и конфиденциальная информация будет качаться туда, куда ей необходимо качаться.

       Бывают, конечно, и “случайные ошибки”. Могут быть в софте такие ошибки. Преднамеренные... Программные закладки. Хакеры используют их для тех или иных операций на удаленной машине. Действительно, хакеры используют эти самые закладки в своих межсетевых махинациях. И если ваша система есть узел коммутации телекоммуникационной сети, то хакеры могут расчленить сеть и воспользоваться расчлененным файлом паролей.

       Именно таким образом на Венеру не полетел космический корабль. Почему? Да потому, что оператор вместо запятой поставил точку. А как насчет 100 000 долларов, которые были позаимствованы неким человеком во Внешэкономбанке.

       Хакеры, действительно, могут свести на нет безопасность информации любого сервера. Кто же они такие? Хорошие программисты? Бывшие системные администраторы? Обыкновенные студенты? Нигилисты? Оскорбленные пользователи? Вундеркинды из компьютерной школы?