4.2 Защита от внешнего нсд

Корпоративная сеть нашего предприятия имеет выход в Internet, поэтому помимо защиты от внутреннего НСД необходимо обеспечить защиту и от внешних атак. Для этого так же разграничим права доступа. Внешние права доступа сведены в таблицу 4.2.

Таблица 4.2

Внешние права доступа

	Сервер 4							Сервер 2
	Pr	WS	MS	AS	DNS3	AVS	VPN	CM	PS
Филиал 1	+	r	r/w	r/w	r	+	+	+	+
Филиал 2	+	r	r/w	r/w	r	+	+	+	-
Моб. сотрудник	+	r	r/w	r	r	+	+	+	+
Клиент	+	r	r/w	-	r	+	+	+	-
Гость	+	r	r/w	-	r	+	-	-	-

Подход к построению систем, включающих в себя публичные серверы, должен быть иным, нежели подход к построению систем на базе внутренних серверов. Диктуется это специфическими рисками, которые возникают из-за публичной доступности сервера. Решение заключается в разделении локальной сети и публичных серверов на отдельные части. Та, в которой будут размещены публичные сервисы, называется "демилитаризованной зоной" (DMZ — Demilitarized Zone).

Суть DMZ заключается в том, что она не входит непосредственно ни во внутреннюю, ни во внешнюю сеть, и доступ к ней может осуществляться только по заранее заданным правилам межсетевого экрана.

Межсетевой экран (Brandmauer, Firewall)— комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами.

Основной задачей сетевого экрана является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также сетевые экраны часто называют фильтрами, так как их основная задача — не пропускать (фильтровать) пакеты, не подходящие под критерии, определённые в конфигурации.

Типичные возможности межсетевого экрана:

• фильтрация доступа к заведомо незащищенным службам;

• препятствование получению закрытой информации из защищенной подсети, а также внедрению в защищенную подсеть ложных данных с помощью уязвимых служб;

• контроль доступа к узлам сети;

• может регистрировать все попытки доступа как извне, так и из внутренней сети, что позволяет вести учёт использования доступа в Internet отдельными узлами сети;

• регламентирование порядка доступа к сети;

• уведомление о подозрительной деятельности, попытках зондирования или атаки на узлы сети или сам экран.

В DMZ нет пользователей - там располагаются только серверы. Демилитаризованная зона как правило служит для предотвращения доступа из внешней сети к хостам внутренней сети за счет выноса из локальной сети в особую зону всех сервисов, требующих доступа извне. Фактически получается, что эта зона будет являться отдельной подсетью с публичными адресами, защищенной (или отделенной) от публичных и корпоративных сетей межсетевыми экранами.

Для корректной работы FireWall следует создать для него специальную таблицу внешних прав доступа по отделам.

Таблица 4.3

Таблица FireWall

Отдел 1 - 10	FireWall
	Internet	Филиал 1	Филиал 2
Директор	+	+	+
Секретаиат	+	-	+
Бугалтерия	+	-	+
Отдел кадров	+	-	+
Отдел продаж	+	-	+
Отдел Охраны	-	-	-
ОИТ	+	-	-
Отдел 8-10	+	+	-