95. Перечислите задачи, выполняемые брандмауэрами.

1) Управление сервисами определяет типы служб интернет в которых можно получать доступ из внутренней сети наружу и из внешней сети окружения во внутреннюю.

Бран-р может фильтровать поток данных на основе IP-адресов и номеров портов ТСР. Может предлагать такой компонент как прокси-сервер, через который может проходить каждый запрос сервиса и который принимает решения о том, пропускать данный запрос или нет, может содержать и сервисные компоненты, такие как веб-сервер или почтовая служба и т.д.

2) Управление направлением движения. Определение направления в котором могут инициализироваться и проходить ч/з бр-р запросы к тем или иным службам.

3) Управление пользователем. Предоставление доступа к службам в зависимости от прав доступа пользователей обращающихся к этим службам. Эта функция обычно применяется пользователями внутри сети, защищаемой с помощью брандмауеров, однако она может применяться и к потоку данных, поступающих от внешних пользователей. Но при этом необходимо реализовать технологию аутентификации

4) Управление поведением. Контроль за исполнением отдельных служб. Например бр-р может фильтровать электронную почту отсеивая спам или же разрешать доступ только к определённой части информации находящейся на локальном веб-сервере.

96. Приведите ограничения, существующие для брандмауэров.

Брандмауэр имеет следующие ограничения:

1) Брандмауэр не может защитить от атак идущих в обход брандмауэра.

2) Брандмауэр не может защитить от внутренних угроз безопасности, например, от сотрудника вступившего в сговор с нарушителем.

3) Брандмауэр не может защитить от угрозы передачи инфицированного вирусами программ или файлов.

97. Охарактеризуйте типы брандмауэров.

1) Фильтрующий маршрутизатор

Принимает решение о том, передавать по сети поступивший пакет IP данных или не передавать. Обычно маршрутизатор настраивается таким обр. чтобы фильтровать пакеты в обоих направлениях. Правило фильтрования основывается на значениях полей заголовков IP, заголовка транспортного уровня, а также номера порта. Пакетный фильтр обычно представлен в виде списка правил списка иск-щих значения полей заголовка IP или ТСР.

Если обнаружится соответствие одному из правил, то это правило служит критерием для принятия решения о передаче пакета дальше. В отсутствии соответствия любому из правил выполняется операция предусмотренная для использования по умолчанию. Для этого имеются 2 следующие возможности:

Default=discord –все что не разрешено, запрещено.

Default=forward –все, что не запрещено, разрешено.

Очевидно, что первая пометка соответствует более консервативному подходу. Изначально все оказывается запрещенным добавление конкретных служб осуществляется в отдельности. Вторая пометка облегчает работу конечных пользователей, но зато обеспечивает более низкий уровень защиты.

Одно из достоинств фильтрующего маршрутизатора, связано с его простатой. Кроме этого пакетные фильтры остаются незаметными для пользователей для пользователей для пользователей и обеспечивают высокую скорость работы.

Основными недостатками являются сложность правильного выбора правил фильтрации и отсутствие средств аутентификации.

Остановимся на анализе типов атак, которые могут предприниматься для нарушения системы защиты фильтрующего маршрутизатора, а также приведем контрмеры:

1) Подмена IP адреса. При этом нарушитель передает извне пакеты, в которых поле отправителя содержит IP адрес внутреннего узла сети. Нарушитель надеется, что использование такого адреса дает возможность проникнуть в системы в которых пропускаются пакеты с адресами внутренних узлов, считающихся надежными. Контрмеры являются отторжением пакетов с внутр. адресами источника, поступивших извне.

2) Использование маршрутизации от источника. Отправитель указывает маршрут по которому пакет должен пересылаться по интернету в надежде на то, что удастся обойти средства защиты, не анализирующие инф-ию о марш-ции, задаваемую отправителем. Контрмерой явл. запрет прохождения всех пакетов, использующих данную возможность.

3) Разделение на мелкие фрагменты. При этом нарушитель исп-ет опцию фрагментации IP пакетов для создания фрагментов исключительно малой длинны, чтобы инф-ия заголовка ТСР попала в отдельный фрагмент. Этот тип атаки пытается обойти правила фильтр-ии пакетов, исп-их инф-ию заголовка ТСР. При этом нарушитель надеется что фильтрующим маршрутизатором будет просмотрен только первый пакет, а остальные фрагменты будут пропущены. Контрмерой является отторжение всех пакетов в которых указан протокол ТСР.

2) Шлюз уровня приложений

3) Шлюз уровня коммутации