Безопасность Internet

отбросить. Для того чтобы МЭ мог осуществить это ему

необходимо определить набор правил фильтрации.

Обычно межсетевые экраны защищают внутреннюю сеть

предприятия от "вторжений" из глобальной сети Internet,

однако они могут использоваться и для защиты от

"нападений" из корпоративной интрасети, к которой

подключена локальная сеть предприятия. Ни один

межсетевой экран не может гарантировать полной защиты

внутренней сети при всех возможных обстоятельствах.

Однако для большинства коммерческих организаций

установка межсетевого экрана является необходимым

условием обеспечения безопасности внутренней сети.

Главный довод в пользу применения межсетевого экрана

состоит в том, что без него системы внутренней сети

подвергаются опасности со стороны слабо защищенных служб

сети Internet, а также зондированию и атакам с каких-

либо других хост-компьютеров внешней сети.

Локальная сеть Локальная сеть. Схема

установления межсетевого экрана

Проблемы недостаточной информационной безопасности

являются "врожденными" практически для всех протоколов и

служб Internet. Большая часть этих проблем связана с

исторической зависимостью Internet от операционной

системы UNIX. Известно, что сеть Arpanet (прародитель

Internet) строилась как сеть, связывающая

исследовательские центры, научные, военные и

правительственные учреждения, крупные университеты США.

Эти структуры использовали операционную систему UNIX в

качестве платформы для коммуникаций и решения

собственных задач. Поэтому особенности методологии

программирования в среде UNIX и ее архитектуры наложили

отпечаток на реализацию протоколов обмена и политики

безопасности в сети. Из-за открытости и

распространенности система UNIX стала любимой добычей

хакеров. Поэтому совсем не удивительно, что набор

протоколов TCP/IP, который обеспечивает коммуникации в

глобальной сети Internet и в получающих все большую

популярность интрасетях, имеет "врожденные" недостатки

защиты. То же самое можно сказать и о ряде служб

Internet.

Набор протоколов управления передачей сообщений в

Internet (Transmission Control Protocol/Internet

Protocol - TCP/IP) используется для организации

коммуникаций в неоднородной сетевой среде, обеспечивая

совместимость между компьютерами разных типов.

Совместимость - одно из основных преимуществ TCP/IP,

поэтому большинство локальных компьютерных сетей

поддерживает эти протоколы. Кроме того, протоколы TCP/IP

предоставляют доступ к ресурсам глобальной сети

Internet. Поскольку TCP/IP поддерживает маршрутизацию

пакетов, он обычно используется в качестве межсетевого

протокола. Благодаря своей популярности TCP/IP стал

стандартом де фактора для межсетевого взаимодействия.

В заголовках пакетов TCP/IP указывается

информация, которая может подвергнуться нападениям

хакеров. В частности, хакер может подменить адрес

отправителя в своих "вредоносных" пакетах, после чего

они будут выглядеть, как пакеты, передаваемые

авторизированным клиентом.

Отмечу "врожденные слабости" некоторых

распространенных служб Internet.

Простой протокол передачи электронной почты

(Simple Mail Transfer Protocol - SMTP) позволяет

осуществлять почтовую транспортную службу Internet. Одна

из проблем безопасности, связанная с этим протоколом,

заключается в том, что пользователь не может проверить

адрес отправителя в заголовке сообщения электронной

почты. В результате хакер может послать во внутреннюю

сеть большое количество почтовых сообщений, что приведет

к перегрузке и блокированию работы почтового сервера.

Популярная в Internet программа электронной почты

Sendmail использует для работы некоторую сетевую

информацию - IP-адрес отправителя. Перехватывая

сообщения, отправляемые с помощью Sendmail, хакер может

употребить эту информацию для нападений, например для

спуфинга (подмены адресов).

Протокол передачи файлов (File Transfer Protocol -

FTP) обеспечивает передачу текстовых и двоичных файлов,

поэтому его часто используют в Internet для организации

совместного доступа к информации. Его обычно

рассматривают как один из методов работы с удаленными

сетями. На FTP-серверах хранятся документы, программы,

графика и другие виды информации. К данным этих файлов

на FTP-серверах нельзя обратиться напрямую. Это можно

сделать, только переписав их целиком с FTP-сервера на

локальный сервер. Некоторые FTP-серверы ограничивают

доступ пользователей к своим архивам данных с помощью

пароля, другие же предоставляют свободный доступ (так

называемый анонимный FTP-сервер). При использовании

опции анонимного FTP для своего сервера пользователь

должен быть уверен, что на нем хранятся только файлы,

предназначенные для свободного распространения.

Служба сетевых имен (Domain Name System - DNS)

представляет собой распределенную базу данных, которая

преобразует имена пользователей и хост-компьютеров в IP-

адреса, указываемые в заголовках пакетов, и наоборот.

DNS также хранит информацию о структуре сети компании,

например количестве компьютеров с IP-адресами в каждом

домене. Одной из проблем DNS является то, что эту базу

данных очень трудно "скрыть" от неавторизированных

пользователей. В результате DNS часто используется

хакерами как источник информации об именах доверенных

хост-компьютеров.

Служба эмуляции удаленного терминала (TELNET)

употребляется для подключения к удаленным системам,

присоединенным к сети, применяет базовые возможности по

эмуляции терминала. При использовании этого сервиса

Internet пользователи должны регистрироваться на сервере

TELNET, вводя свои имя и пароль. После аутентификации

пользователя его рабочая станция функционирует в режиме

"тупого" терминала, подключенного к внешнему хост-

компьютеру. С этого терминала пользователь может вводить

команды, которые обеспечивают ему доступ к файлам и

запуск программ. Подключившись к серверу TELNET, хакер

может сконфигурировать его программу таким образом,

чтобы она записывала имена и пароли пользователей.

Всемирная паутина (World Wide Web - WWW) - это

система, основанная на сетевых приложениях, которые

позволяют пользователям просматривать содержимое

различных серверов в Internet или интрасетях. Самым

полезным свойством WWW является использование

гипертекстовых документов, в которые встроены ссылки на

другие документы и Web-узлы, что дает пользователям

возможность легко переходить от одного узла к другому.

Однако это же свойство является и наиболее слабым местом

системы WWW, поскольку ссылки на Web-узлы, хранящиеся в

гипертекстовых документах, содержат информацию о том,

как осуществляется доступ к соответствующим узлам.

Используя эту информацию, хакеры могут разрушить Web-

узел или получить доступ к хранящейся в нем

конфиденциальной информации.

К уязвимым службам и протоколам Internet относятся

также протокол копирования UUCP, протокол маршрутизации

RIP, графическая оконная система Х Windows и др.

Решение о том, фильтровать ли с помощью

межсетевого экрана конкретные протоколы и адреса,

зависит от принятой в защищаемой сети политики

безопасности. Межсетевой экран является набором

компонентов, настраиваемых таким образом, чтобы

реализовать выбранную политику безопасности. В

частности, необходимо решить, будет ли ограничен доступ

пользователей к определенным службам Internet на базе

протоколов TCP/IP и если будет, то до какой степени.

Политика сетевой безопасности каждой организации

должна включать две составляющие:

. политику доступа к сетевым сервисам;

. политику реализации межсетевых экранов.

В соответствии с политикой доступа к сетевым

сервисам определяется список сервисов Internet, к

которым пользователи должны иметь ограниченный доступ.

Задаются также ограничения на методы доступа, например,

на использование протоколов SLIP (Serial Line Internet

Protocol) и РРР (Point-to-Point Protocol). Ограничение

методов доступа необходимо для того, чтобы пользователи

не могли обращаться к "запрещенным" сервисам Internet

обходными путями. Например, если для ограничения доступа

в Internet сетевой администратор устанавливает

специальный шлюз, который не дает возможности

пользователям работать в системе WWW, они могли бы

установить РРР-соединения с Web-серверами по

коммутируемой линии.

Политика доступа к сетевым сервисам обычно

основывается на одном из следующих принципов:

1) запретить доступ из Internet во внутреннюю сеть, но

разрешить доступ из внутренней сети в Internet;

2) разрешить ограниченный доступ во внутреннюю сеть из

Internet, обеспечивая работу только отдельных

"авторизированных" систем, например почтовых серверов.

В соответствии с политикой реализации межсетевых

экранов определяются правила доступа к ресурсам

внутренней сети. Прежде всего, необходимо установить,

насколько "доверительной" или "подозрительной" должна

быть система защиты. Иными словами, правила доступа к

внутренним ресурсам должны базироваться на одном из

следующих принципов:

1) запрещать все, что не разрешено в явной форме;

2) разрешать все, что не запрещено в явной форме.

Реализация межсетевого экрана на основе первого

принципа обеспечивает значительную защищенность. Однако

правила доступа, сформулированные в соответствии с этим

принципом, могут доставлять большие неудобства

пользователям, а кроме того, их реализация обходится

достаточно дорого. При реализации второго принципа

внутренняя сеть оказывается менее защищенной от

нападений хакеров, однако, пользоваться ей будет удобнее

и потребуется меньше затрат.

Эффективность защиты внутренней сети с помощью

межсетевых экранов зависит не только от выбранной

политики доступа к сетевым сервисам и ресурсам

внутренней сети, но и от рациональности выбора и

использования основных компонентов межсетевого экрана.

Функциональные требования к межсетевым экранам

включают:

. требования к фильтрации на сетевом уровне;

. требования к фильтрации на прикладном уровне;

. требования по настройке правил фильтрации и

администрированию;

. требования к средствам сетевой аутентификации;

. требования по внедрению журналов и учету.

Основные компоненты межсетевых экранов

Большинство компонентов межсетевых экранов можно

отнести к одной из трех категорий:

. фильтрующие маршрутизаторы;

. шлюзы сетевого уровня;

. шлюзы прикладного уровня.

Эти категории можно рассматривать как базовые

компоненты реальных межсетевых экранов. Лишь немногие

межсетевые экраны включают только одну из перечисленных

категорий. Тем не менее, эти категории отражают ключевые

возможности, отличающие межсетевые экраны друг от друга.

Фильтрующие маршрутизаторы

Фильтрующий маршрутизатор представляет собой

маршрутизатор или работающую на сервере программу,

сконфигурированные таким образом, чтобы фильтровать

входящее и исходящие пакеты. Фильтрация пакетов

осуществляется на основе информации, содержащейся в TCP-

и IP- заголовках пакетов .

Фильтрующие маршрутизаторы обычно может

фильтровать IP-пакет на основе группы следующих полей

заголовка пакета:

. IP- адрес отправителя (адрес системы, которая послала

пакет);

. IP-адрес получателя (адрес системы которая принимает

пакет);

. Порт отправителя (порт соединения в системе

отправителя );

. Порт получателя (порт соединения в системе получателя

);

Порт – это программное понятие, которое

используется клиентом или сервером для посылки или

приема сообщений; порт идентифицируется 16 – битовым

числом.

В настоящее время не все фильтрующие

маршрутизаторы фильтруют пакеты по TCP/UDP – порт

отправителя, однако многие производители маршрутизаторов

начали обеспечивать такую возможность. Некоторые

маршрутизаторы проверяют, с какого сетевого интерфейса

маршрутизатора пришел пакет, и затем используют эту

информацию как дополнительный критерий фильтрации.

Фильтрация может быть реализована различным

образом для блокирования соединений с определенными

хост-компьютерами или портами. Например, можно

блокировать соединения, идущие от конкретных адресов тех

хост-компьютеров и сетей. которые считаются враждебными

или ненадежными.

Добавление фильтрации по портам TCP и UDP к

фильтрации по IP-адресам обеспечивает большую гибкость.

Известно, что такие серверы, как демон TELNET, обычно

связаны с конкретными портами (например, порт 23

протокола TELNET). Если межсетевой экран может

блокировать соединения TCP или UDP с определенными

портами или от них, то можно реализовать политику

безопасности, при которой некоторые виды соединений

устанавливаются только с конкретными хост-компьютерами.

Например, внутренняя сеть может блокировать все

входные соединения со всеми хост-компьютерами за

исключением нескольких систем. Для этих систем могут

быть разрешены только определенные сервисы (SMTP для

одной системы и TELNET или FTP -для другой). При

фильтрации по портам TCP и UDP эта политика может быть

реализована фильтрующим маршрутизатором или хост-

компьютером с возможностью фильтрации пакетов.

В качестве примера работы фильтрующего

маршрутизатора рассмотрю реализацию политики

безопасности, допускающей определенные соединения с

внутренней сетью с адресом 123.4.*.* Соединения TELNET

разрешаются только с одним хост-компьютером с адресом

123.4.5.6, который может быть прикладным TELNET-шлюзом,

а SMTP-соединения - только с двумя хост-компьютерами с

адресами 123.4.5.7 и 123.4.5.8, которые могут быть двумя

шлюзами электронной почты. Обмен по NNTP (Network News

Transfer Protocol) разрешается только от сервера

новостей с адресом 129.6.48.254 и только с NNTP-сервером

сети с адресом 123.4.5.9, а протокол NTP (сетевого

времени)-для всех хост-компьютеров. Все другие серверы и

пакеты блокируются. рации

Первое правило позволяет пропускать пакеты TCP из

сети Internet от любого источника с номером порта

большим, чем 1023, к получателю с адресом 123.4.5.6 в

порт 23. Порт 23 связан с сервером TELNET, а все клиенты

TELNET должны иметь непривилегированные порты с номерами

не ниже 1024.

Второе и третье правила работают аналогично и

разрешают передачу пакетов к получателям с адресами

123.4.5.7 и 123.4.5.8 в порт 25, используемый SMTP.

Четвертое правило пропускает пакеты к NNTP-серверу

сети, но только от отправителя с адресом 129.6.48.254 к

получателю с адресом 123.4.5.9 с портом назначения 119

(129.6.48.254 -единственный NNTP-сервер, от которого

внутренняя сеть получает новости, поэтому доступ к сети

для выполнения протокола NNTP ограничен только этой

системой).

Пятое правило разрешает трафик NTP, который

использует протокол UDP вместо TCP. от любого источника

к любому получателю внутренней сети.

Наконец, шестое правило блокирует все остальные

пакеты. Если бы этого правила не было, маршрутизатор

мог бы блокировать, а мог бы и не блокировать другие

типы пакетов. Выше был рассмотрен очень простой пример

фильтрации пакетов. Реально используемые правила

позволяют осуществить более сложную фильтрацию и

являются более гибкими.

Правила фильтрации пакетов формулируются сложно, и

обычно нет средств для тестирования их корректности,

кроме медленного ручного тестирования. У некоторых

фильтрующих маршрутизаторов нет средств

протоколирования, поэтому, если правила фильтрации

пакетов все-таки позволят опасным пакетам пройти через

маршрутизатор, такие пакеты не смогут быть выявлены до

обнаружения последствий проникновения. Даже если

администратору сети удастся создать эффективные правила

фильтрации, их возможности остаются ограниченными.

Например, администратор задает правило, в соответствии

с которым маршрутизатор будет отбраковывать все пакеты

с неизвестным адресом отправителя. Однако хакер может

использовать в качестве адреса отправителя в своем

"вредоносном" пакете реальный адрес доверенного

(авторизированного) клиента. В этом случае фильтрующий

маршрутизатор не сумеет отличить поддельный пакет от

настоящего и пропустит его. Практика показывает, что

подобный вид нападения, называемый подменой адреса,

довольно широко распространен в сети Internet и часто

оказывается эффективным.

Межсетевой экран с фильтрацией пакетов, работающий

только на сетевом уровне эталонной модели взаимодействия

открытых систем OSI-ISO, обычно проверяет информацию,

содержащуюся только в IP-заголовках пакетов. Поэтому

обмануть его несложно: хакер создает заголовок, который

Страницы: 1, 2, 3, 4