7 Защита сети от несанкционированного доступа

7.1 Внутренняя защита сети

Права доступа сотрудников фирмы определим с помощью Access Control List. ACL — список контроля доступа, который определяет, кто или что может получать доступ к конкретному объекту, и какие именно операции разрешено или запрещено этому субъекту проводить над объектом. В сетях ACL представляют список правил, определяющих порты служб или имена доменов, доступных на узле или другом устройстве третьего уровня OSI, каждый со списком узлов и/или сетей, которым разрешен доступ к сервису. В данном случае ACL настроен на маршрутизаторе и может управлять как входящим, так и исходящим трафиком, в качестве межсетевого экрана.

Сведем вышеперечисленные разграничения для пользователей в таблицу 7.1.

Таблица 7.1. Разграничение доступа

Отделы	Сервера
	Srv1	Srv2	Srv3	Srv4	Srv5
Дирекция	Доступ в схеме	Доступ в схеме	Полный доступ	Полный доступ	Только чтение
Бухгалтерия	Доступ в схеме	Доступ в схеме	Полный доступ	Полный доступ	Только чтение
Маркетинговый отдел	Доступ в схеме	Доступ в схеме	-	-	Только чтение
Рекламный	Доступ в схеме	Доступ в схеме	-	-	Только чтение
Отдел кадров	Доступ в схеме	Доступ в схеме	-	-	Только чтение
Отделы раб. с клиентами	Доступ в схеме	Доступ в схеме	-	-	Только чтение

Доступ в схеме подразумевает привилегии на отдельную часть схемы.

Так же для дополнительного разграничения доступа в сеть вводится понятие VLAN.

VLAN (аббр. от англ. Virtual Local Area Network) — виртуальная локальная компьютерная сеть, представляет собой группу хостов с общим набором требований, которые взаимодействуют так, как если бы они были подключены к широковещательному домену, независимо от их физического местонахождения. VLAN имеет те же свойства, что и физическая локальная сеть, но позволяет конечным станциям группироваться вместе, даже если они не находятся в одной физической сети. Такая реорганизация может быть сделана на основе программного обеспечения вместо физического перемещения устройств.

Таким образом каждая граппа устройств находится в отдельном VLANе, что позволяет дополнительно разграничить доступ.

7.2 Внешняя защита

Для защиты подключения к Интернету воспользуемся методом динамической фильтрации пакетов. Просто фильтрация пакетов подразумевает, что у пакетов просматривается поля, а затем пропускают и удаляют их в зависимости, например, от IP-адресов отправителя и получателя, номеров портов отправителя и получателя. Фильтр сравнивает полученную информацию со списком правил фильтрации для принятия решения о разрешении и запрещении передачи пакета. Список правил фильтрации содержит разрешенные IP-адреса, типы протоколов, номера портов отправителей и номера портов получателей. Фильтр пакетов проверяет только заголовок пакета, но не данные внутри его. Технология фильтрации пакетов является самым «дешевым» способом защиты. Но при имитации IP-пакетов такой способ не годится. Существует усовершенствованная версия фильтрации пакетов - динамическая фильтрация пакетов. При этом производится ping адреса отправителя.

Связь с филиалами осуществляется через Интернет с помощью VPN-туннелирования через протокол РРТР. Существует возможность подключения к частной сети через Интернет или другую общую сеть с помощью виртуального частного подключения (VPN-подключения) по протоколу РРТР (Point-to-Point Tunneling Protocol).

РРТР обеспечивает безопасную передачу данных между удаленным компьютером и сервером частной сети путем создания виртуальной частной сети (VPN) в сетях TCP/IP. РРТР позволяет создавать многопротокольные виртуальные частные на основе общих сетей, таких как Интернет.

Разработанный как расширение протокола Point-to-Point Protocol (PPP), протокол РРТР добавляет новый уровень безопасности и многопротокольной связи по Интернету. Благодаря использованию нового протокола ЕАР (Extensible Authentication Protocol), передача данных по виртуальной частной сети РРТР столь же безопасна, как и в локальной сети предприятия. РРТР инкапсулирует протоколы IP, IPX и NetBEUI в датаграммы РРР (создает «туннель» для этих протоколов). Тем самым он позволяет запускать удаленные приложения, работающие с конкретными сетевыми протоколами. Сервер туннеля выполняет все необходимые проверки, связанные с защитой, и включает шифрование данных, что делает передачу информации по открытым сетям гораздо более безопасной.

Виртуальные частные сети (VPN) используют различные методы шифрования, в зависимости от типа сервера, к которому они подключаются. Если VPN-подключение настроено на работу через РРТР-сервер, то используется шифрование МРРЕ. Метод МРРЕ (Microsoft Point-to-Point Encryption) шифрует данные в РРР-соединениях удаленного доступа и в VPN-подключениях, использующих протокол РРТР. Поддерживаются усиленная (со 128-битным ключом) и стандартная (с 40-битным ключом) схемы шифрования МРРЕ. МРРЕ обеспечивает защиту данных, передаваемых между локальным РРТР-подключением и сервером туннеля. 40-битную версию можно использовать во всем мире; она встроена во все версии Windows 2000. 128-битная версия доступна только в США и Канаде.

Также для защиты от вторжений используются средства маршрутизатора Cisco - межсетевой экран и система обнаружения вторжений. Увеличению безопасности также способствует выделение так называемой демилитаризованной зоны между маршрутизатором и прокси-сервером. В эту зону помещён Web-сервер, который наиболее уязвим для атак извне. Дополнительным преимуществом такого способа построения сети является сложность исследования злоумышленником внутренней структуры сети. Даже если обойти средства защиты маршрутизатора, то доступны будут только Web-сервер и прокси-сервер, за которым располагается внутренняя сеть.