Відсутність захисту для нестандартних або нових мережних сервісів

Рішенням тут в певній мірі можуть бути шлюзи на рівні з'єднання або пакетні фільтри, але, їм бракує гнучкості. Звичайно, існують певні можливості з просування нестандартного трафіку, наприклад в HTTP, але цей варіант не можна назвати зручним. Є багато успадкованих систем, код яких переписати неможливо, проте залишати їх беззахисними теж не можна.

Зниження продуктивності

На щастя, подібні питання виникають все рідше, особливо в індивідуальних користувачів, що прагнуть захистити свій комп’ютер чи невелику локальну мережу. В той же час великі локальні мережі як і раніше генерують доволі великий трафік, тому звичайними програмними (дешевими або безкоштовними) рішеннями мережу не захистити.

Апаратні рішення демонструють високу продуктивність і масштабованість, але ціна (деколи десятки тисяч доларів) переводить питання їх застосування в абсолютно іншу площину, тому, часто максимумом можливого є виділення спеціального сервера виключно під обслуговування брандмауера. Природно, що подібне універсальне рішення автоматично позначається на зменшенні швидкості доступу.

Загальні принципи налаштування брандмауера

Конфігурація брандмауера — предмет достатньо складний, і зазвичай всі мережні екрани мають індивідуальну конфігурацію, що відображає специфіку роботи конкретної інформаційної системи. Проте, тут слід дотримуватися певних загальних принципів:

• Слід пропускати крізь систему лише ті сервіси, які є необхідними для забезпечення достатньої функціональності інформаційної системи.

• Все, що явним чином не дозволено, повинно бути заборонено. Це означає, що всі служби, що не згадані при конфігурації брандмауера, повинні бути заборонені.

• При конфігурації мережних екранів слід вести докладну документацію.

Проксі-сервер

Проксі-сервер (proxy-server) регулює доступ абонентів до ресурсів Інтернету. Він має гнучкі налаштування, що дозволяють обмежити доступ користувачів до певних сайтів, контролювати об'єм завантаженої з Інтернету інформації і надавати можливість доступу до Інтернету для різних користувачів залежно від дня тижня і години доби.

Проксі-сервер дозволяє користувачу не виходити в Інтернет з своєї адреси, а заміняє при запитах адресу користувача на свою власну і посилає запит вже не від імені реального користувача, а від свого власного. Це не лише допомагає приховати в цілях безпеки внутрішню структуру своєї мережі, але і дозволяє не орендувати додаткову кількість адрес для всіх користувачів локальної мережі, а обійтися однією загальною адресою для проксі-сервера.

Система виявлення атак

IDS (Intrusion Detection System) — комплекс програмного забезпечення, який зазвичай встановлюється на брандмауері і призначений для аналізу різних подій, що відбуваються як на самому комп'ютері з IDS (host-based IDS), так і в мережі навколо нього (network IDS). Принцип роботи host-based IDS засновано на аналізі журналів подій системи.

В основі роботи network IDS лежить аналіз мережного трафіку, що проходить через систему. При виявленні події, що кваліфікується, як спроба проникнення, IDS посилає повідомлення про атаку до відповідального за безпеку системи. Одночасно проводиться запис в журналі атак. Подібна поведінка є характерною для пасивних IDS. Якщо ж при певних типах атак система здатна проводити ряд дій, що скеровані на віддзеркалення атаки, то вона відноситься до активних IDS .