8.11Екрануванняі

8.11.1Основні поняття

Боротися з загрозами, властивими мережевому середовищу, засобами універсальних операційних систем не представляється можливим. Універсальна операційна система - це величезна програма, що напевно містить, крім явних помилок, деякі особливості, які можуть бути використані для нелегального отримання привілеїв. Сучасна технологія програмування не дозволяє зробити такі великі програми безпечними. Крім того, адміністратор, що має справу з складною системою, далеко не завжди в змозі врахувати всі наслідки вироблюваних змін. Нарешті, в універсальній розрахованій на багато користувачів системі загрози в безпеці постійно створюються самими користувачами (слабкі та/або рідко змінні паролі, невдало встановлені права доступу, залишений без нагляду термінал і т.п.). Єдиний перспективний шлях пов'язаний з розробкою спеціалізованих сервісів безпеки, які через свою простоту допускають формальну або неформальну верифікацію.

Звичайно екран не є симетричним, для нього визначені поняття "всередині" і "зовні". При цьому завдання екранування формулюється як захист внутрішньої області від потенційно ворожої зовнішньої. Так, міжмережеві екрани (МЕ) (анг. Firewall, рос. брандмаузер) найчастіше встановлюють для захисту корпоративної мережі організації, що має вихід в Internet.

МЕ розташовується між мережею, що захищається (внутрішній), і зовнішнім середовищем (зовнішніми мережами або іншими сегментами корпоративної мережі). У першому випадку говорять про зовнішній МЕ, в другому - про внутрішній. Залежно від точки зору, зовнішній міжмережевий екран можна вважати першою або останньою (але ніяк не єдиній) лінією оборони. Першій - якщо дивитися на світ очима зовнішнього зловмисника. Останній - якщо прагнути до захищеності всіх компонентів корпоративної мережі і припиненню неправомірних дій внутрішніх користувачів.

Формальна постановка завдання екранування, полягає в наступному. Хай є дві множини інформаційних систем.

Екран - це засіб розмежування доступу клієнтів з однієї множини до серверів з іншої множини.

Екран здійснює свої функції, контролюючи всі інформаційні потоки між двома множинами систем (рис. 8.3). Контроль потоків полягає в їх фільтрації, можливо, з виконанням деяких перетворень.

Рисунок 8.3 – Екран як засіб розмежування доступу

На наступному рівні деталізації екран (рис. 8.4) зручно представляти як послідовність фільтрів.

Рисунок 8.4 – Екран як послідовність фільтрів

Кожний з фільтрів, проаналізувавши дані, може затримати (не пропустити) їх, а може і відразу "перекинути" за екран. Крім того, допускається перетворення даних, передача порції даних на наступний фільтр для продовження аналізу або обробки даних від імені адресата і повернення результату відправнику.

8.11.2Архітектурні аспекти

Міжмережевий екран - ідеальне місце для вбудовування засобів активного аудиту. З одного боку, і на першому, і на останньому захисному рубежі виявлення підозрілої активності по-своєму важливе. З іншого боку, МЕ здатний реалізувати скільки завгодно могутню реакцію на підозрілу активність, аж до розриву зв'язку із зовнішнім середовищем. Правда, потрібно усвідомлювати те, що з'єднання двох сервісів безпеки у принципі може створити пролом, сприяючий атакам на доступність.

На МЕ доцільно покласти ідентифікацію/автентифікацію зовнішніх користувачів, що потребують доступу до корпоративних ресурсів (з підтримкою концепції єдиного входу в мережу).

Теоретично МЕ (особливо внутрішній) повинен бути багатопротокольним, проте на практиці домінування сімейства протоколів TCP/IP таке велике, що підтримка інших протоколів представляється надмірністю, шкідливою для безпеки (чим складніше сервіс, тим він більш уразливий).

Основний МЕ може проводити грубу класифікацію вхідного трафіку за видами і передовіряти фільтрацію відповідним посередникам (наприклад, посереднику, що аналізує HTTP-трафік).

Ситуації, коли корпоративна мережа містить лише один зовнішній канал, є швидше виключенням, ніж правилом. Навпаки, типова ситуація, при якій корпоративна мережа складається з декількох сегментів, що територіально рознесені, кожний з яких підключений до Internet. В цьому випадку кожне підключення повинне захищатися своїм екраном. Точніше кажучи, можна вважати, що корпоративний зовнішній МЕ є складеним, і потрібно вирішувати задачу узгодженого адміністрування (управління і аудиту) всіх компонентів.

При розгортанні МЕ слід дотримувати розглянуті нами раніше принципи архітектурної безпеки, в першу чергу поклопотавшись про простоту і керованість, про ешелонування оборони, а також про неможливість переходу в небезпечний стан. Крім того, слід приймати до уваги не тільки зовнішні, але і внутрішні загрози.

Екранування допомагає підтримувати доступність сервісів внутрішньої області, зменшуючи або взагалі ліквідовуючи навантаження, викликане зовнішньою активністю. Зменшується уразливість внутрішніх сервісів безпеки, оскільки спочатку зловмисник повинен подолати екран, де захисні механізми конфігуровані особливо ретельно. Крім того, екрануюча система, на відміну від універсальної, може бути влаштована простішим і, отже, безпечнішим чином.

Екранування дає можливість контролювати також інформаційні потоки, направлені в зовнішню область, що сприяє підтримці режиму конфіденційності в ІС організації.

Підкреслимо, що екранування може використовуватися як сервіс безпеки не тільки в мережі, але і в будь-якому іншому середовищі, де відбувається обмін повідомленнями.

Обмежувальний інтерфейс також можна розглядати як різновид екранування. На невидимий об'єкт важко нападати, особливо за допомогою фіксованого набору засобів. У цьому сенсі Web-інтерфейс володіє природним захистом, особливо у тому випадку, коли гіпертекстові документи формуються динамічно. Кожен користувач бачить лише те, що йому належить бачити. Тут не тільки контролюються потоки запитів, але і приховується реальна організація даних.

Власна захищеність МЕ забезпечується тими ж засобами, що і захищеність універсальних систем. Тобто фізичний захист, ідентифікація і автентифікація, розмежування доступу, контроль цілісності, протоколювання і аудит. При виконанні централізованого адміністрування слід також поклопотатися про захист інформації від пасивного і активного прослуховування мережі, тобто забезпечити її (інформації) цілісність і конфіденційність. Украй важливе оперативне накладення латок, що ліквідовують виявлені вразливі місця МЕ.

ПЗ проміжного шару, як і традиційні МЕ прикладного рівня, приховує інформацію про послуги, що надаються. За рахунок цього воно може виконувати такі функції, як маршрутизація запитів і балансування навантаження. Представляється цілком природним, щоб ці можливості були реалізовані в рамках МЕ. Це істотно спрощує дії з забезпечення високої доступності сервісів, що експортуються, і дозволяє здійснювати перемикання на резервні потужності прозорим для зовнішніх користувачів чином. В результаті до послуг, що традиційно надаються міжмережевими екранами, додається підтримка високої доступності мережевих сервісів.