4.2 Защита от внешнего нсд

Корпоративная сеть нашего предприятия имеет выход в Internet, поэтому помимо защиты от внутреннего НСД необходимо обеспечить защиту и от внешних атак. Для этого так же разграничим права доступа. Внешние права доступа сведены в таблицу 4.2.

Таблица 4.2

Внешние права доступа

	Сервер 4							Сервер 2
	Pr	WS	MS	AS	DNS3	AVS	VPN	CM	PS
Филиал 1	+	r	r/w	r/w	r	+	+	+	+
Филиал 2	+	r	r/w	r/w	r	+	+	+	-
Моб. сотрудник	+	r	r/w	r	r	+	+	+	+
Клиент	+	r	r/w	-	r	+	+	+	-
Гость	+	r	r/w	-	r	+	-	-	-

Подход к построению систем, включающих в себя публичные серверы, должен быть иным, нежели подход к построению систем на базе внутренних серверов. Диктуется это специфическими рисками, которые возникают из-за публичной доступности сервера. Решение заключается в разделении локальной сети и публичных серверов на отдельные части. Та, в которой будут размещены публичные сервисы, называется "демилитаризованной зоной" (DMZ — Demilitarized Zone).

Суть DMZ заключается в том, что она не входит непосредственно ни во внутреннюю, ни во внешнюю сеть, и доступ к ней может осуществляться только по заранее заданным правилам межсетевого экрана.

Межсетевой экран (Brandmauer, Firewall)— комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами.

В DMZ нет пользователей - там располагаются только серверы. Демилитаризованная зона как правило служит для предотвращения доступа из внешней сети к хостам внутренней сети за счет выноса из локальной сети в особую зону всех сервисов, требующих доступа извне. Фактически получается, что эта зона будет являться отдельной подсетью с публичными адресами, защищенной (или отделенной) от публичных и корпоративных сетей межсетевыми экранами.

Для корректной работы FireWall следует создать для него специальную таблицу внешних прав доступа по отделам.

Таблица 4.3

Таблица FireWall

Отделы	FireWall
	Internet	Филиал 1	Филиал 2
Администрация	+	+	+
Отдел работы с персоналом	+	-	+
Бухгалтерия	+	-	+
Отдел кадров	+	-	+
Торговая секция	-	-	-
Охрана	-	-	-
ИТ	+	-	-
Отдел 7-9	+	+	-