Межсетевой экранирование – технология защиты компьютерной информации
Концепция межсетевого экранирования
Концепцию межсетевого экранирования можно сформулировать следующим образом. Пусть имеется два множества информационных систем. Межсетевой экран (МЭ) - это средство разграничения доступа клиентов из одного множества к серверам из другого множества. МЭ выполняет свои функции, контролируя все информационные потоки между двумя множествами систем (рис. 1.1).
Рис. 1.1. Экран как средство разграничения доступа
В общем случае МЭ (полупроницаемую оболочку) удобно представлять в виде последовательности фильтров (рис.1.2). Каждый из них может задержать (не пропустить) данные, а может и сразу "перебросить" их "на другую сторону"
Рис. 1.2. Экран как последовательность фильтров
Кроме того, допускается передача порции данных на следующий фильтр для продолжения анализа, или обработка данных от имени адресата и возврат результата отправителю. Помимо своей основной функции - разграничения доступа - МЭ обычно выполняет целый ряд дополнительных функций по защите информации – выявление различного рода атак, трансляцию сетевых адресов, сокрытие внутренней структуры защищаемой сети и др. Как правило, МЭ осуществляют также протоколирование информационных обменов и действий администратора.
Обычно экран не является симметричным, для него определены понятия "внутри" и "снаружи". При этом задача экранирования (разграничения доступа) имеет двойственный характер.
С одной стороны задача формулируется как защита внутренней области от потенциально враждебной внешней. Так, межсетевые экраны устанавливают для защиты локальной сети организации, имеющей выход в открытую среду, подобную Internet.
С другой стороны, может решаться задача разграничения доступа пользователей из внутренней сети к внешним сетевым ресурсам, то есть экранирование дает возможность контролировать также информационные потоки, направленные во внешнюю область, что способствует поддержанию режима конфиденциальности.
Рассмотрим требования к реальной системе, осуществляющей межсетевое экранирование. В большинстве случаев экранирующая система должна:
Обеспечивать безопасность внутренней (защищаемой) сети и полный контроль над внешними подключениями и сеансами связи;
Обладать мощными и гибкими средствами управления для полного и, насколько возможно, простого воплощения в жизнь политики безопасности организации. Кроме того, экранирующая система должна обеспечивать простую реконфигурацию системы при изменении структуры сети;
Работать незаметно для пользователей локальной сети и не затруднять выполнение ими легальных действий;
Работать достаточно эффективно и успевать обрабатывать весь входящий и исходящий трафик в "пиковых" режимах. Обладать свойствами самозащиты от любых несанкционированных воздействий, поскольку межсетевой экран является ключом к конфиденциальной информации в организации.
Классификация мэ
Существует несколько схем классификации МЭ, отличающихся типом критерия, положенного в основу классификации.
По способу реализации различают:
программные,
аппаратно-программные МЭ.
По типу защищаемого объекта различают:
сегментные МЭ, устанавливаемые на границе двух или более сетей (или фрагментов сетей);
встраиваемые МЭ, функционирующие на одной платформе с защищаемыми серверами;
персональные МЭ, предназначенные для защиты отдельных рабочих станций.
Часто в качестве критерия принимается уровень эталонной модели взаимодействия ISO/OSI, на котором функционирует конкретный тип МЭ. Такая классификация достаточно условна, поскольку современные МЭ работают сразу на нескольких уровнях. Тем не менее, в литературе часто различают следующие типы МЭ:
управляемые коммутаторы,
пакетные фильтры,
инспекторы состояния,
МЭ прикладного уровня,
МЭ экспертного уровня.
Управляемые коммутаторы функционируют на канальном уровне модели ISO/OSI.
Пакетные фильтры контролируют заголовки сетевого и транспортного уровня. Причем каждый пакет проверяется независимо от предыдущих. Пакетные фильтры являются неотъемлемой частью более сложных МЭ.
Инспекторы состояния (МЭ сеансового уровня - StateFull-Inspection FW) осуществляют фильтрацию пакетов с учетом информации о текущей фазе виртуального соединения (ТCP-соединения или искусственного UDP- и/или ICMP-соединения). Для этого при фильтрации каждого пакета учитываются результаты обработки предыдущих пакетов данного соединения.
МЭ прикладного уровня осуществляют фильтрацию на основе контроля заголовков и/или данных прикладного уровня.
МЭ экспертного уровня реализуют все или большинство перечисленных технологий МЭ. В дополнение к ним МЭ этого типа реализуют дополнительные функции защиты информации: имеют встроенные механизмы обнаружения вторжений, системы поддержки VPN, усиленные системы аутентификации и др.
Отдельно выделяют особую группу – межсетевые экраны–посредники. В отличие от МЭ, рассмотренных выше, МЭ-посредники вместо прямого соединения “клиент-сервер” формируют два соединения “клиент–посредник” и “посредник-сервер”. При запросе соединения с каким-либо сервером посредник сначала проверяет права клиента на доступ к указанному сервису и (только при положительном результате) – устанавливает соединение с запрашиваемым узлом. Обычно различают МЭ-посредники следующих типов:
посредники сеансового уровня,
посредники прикладного уровня.
На практике важными являются и другие характеристики МЭ, в первую очередь это простота и удобство использования и собственная защищенность. В плане простоты и удобства - четкой классификации не существует. Однако при сравнении экранов учитывается степень дружелюбности интерфейса, наличие проверки набора правил на непротиворечивость, возможности анализа регистрационной информации, возможности централизованного администрирования несколькими МЭ, наличие сигнализации о “подозрительных” событиях в сети и т.п.
Собственная защищенность МЭ предполагает физическую и программную защиту его от взлома, в том числе удаленного, защиту управляющей информации от активного и пассивного прослушивания сети, идентификацию и аутентификацию пользователей, разграничение доступа, контроль целостности, протоколирование, аудит и т.п.
В официальных нормативных документах РФ обычно используется классификация и требования к различным классам МЭ, содержащиеся в руководящих документах ФСБ (Федеральная служба безопасности) и ФСТЭК (Федеральная служба по техническому и экспортному контролю) России. В частности, руководящий документ «Средства вычислительной техники. Межсетевые экраны. Защита от НСД к информации. Показатели защищенности от НСД к информации» (Гостехкомиссия России, 1997 г.) устанавливает 5 классов защищенности МЭ и определяет совокупность требований к ним. В данном документе показатели защищенности определяют уровень защищенности, который обеспечивает МЭ при межсетевом взаимодействии. Эти показатели включают требования как по фильтрации, так и по простоте использования и собственной защищенности МЭ.