Анализаторы протоколов

Анализаторы протоколов осуществляют:

• захват и анализ пакетов с возможностью их фильтрации;

• анализируют распределения потоков данных по заданным оператором критериям;

• декодируют пакеты для протоколов различных уровней;

• осуществляют мониторинг сетевых соединений (ЛВС, WAN, телефония);

• тестируют сетевые приложения;

• производят поиск проблемных мест в сети;

• обнаруживают ошибки в каналах передачи;

• генерируют потоки с заданными параметрами;

• тестируют соединения на частоту ошибок по битам (BER).

Рис. 5.3. Работа анализатора протоколов

Большинство анализаторов сетевых протоколов работают по схеме, представленной на рис. 5.3, и отображают, по крайней мере в некотором начальном виде, одинаковую базовую информацию. Анализатор работает на станции хоста. Когда анализатор запускается в беспорядочном режиме (promiscuous mode), драйвер сетевого адаптера, NIC, перехватывает весь проходящий через него трафик. Анализатор протоколов передает перехваченный трафик декодеру пакетов анализатора (packet-decoder engine), который идентифицирует и расщепляет пакеты по соответствующим уровням иерархии. Программное обеспечение протокольного анализатора изучает пакеты и отображает информацию о них на экране хоста в окне анализатора. Представленная информация может впоследствии дополнительно анализироваться и отфильтровываться.

Межсетевые экраны

Межсетевой экран или сетевой экран – комплекс аппаратных или программных средств, осуществляющий контроль и фильтрацию проходящих через него сетевых пакетов в соответствии с заданными правилами.

Основной задачей сетевого экрана является защита компьютерных сетей или отдельных узлов от несанкционированного доступа. Также сетевые экраны часто называют фильтрами, так как их основная задача – не пропускать (фильтровать) пакеты, не подходящие под критерии, определённые в конфигурации.

Достоинства:

• может значительно повысить безопасность сети и уменьшить риск для хостов подсети, фильтруя заведомо незащищенные службы. В результате, сетевая среда подвергается меньшему риску, поскольку через файрво́л смогут пройти только указанные протоколы;

• может препятствовать получению из защищенной подсети или внедрению в защищенную подсеть информации с помощью любых уязвимых служб;

• дает возможность контролировать доступ к системам сети;

• может регистрировать все попытки доступа и предоставлять необходимую статистику об использовании Internet;

• может сообщать с помощью соответствующих сигналов тревоги, которые срабатывают при возникновении какой-либо подозрительной деятельности, предпринимались ли какие-либо попытки зондирования или атаки;

• предоставляет средства регламентирования порядка доступа к сети, тогда как без файрво́л этот порядок целиком зависит от совместных действий пользователей.

Недостатки:

• может заблокировать некоторые необходимые пользователю службы, такие как Telnet, FTP, Windows, NFS, и т.д.;

• не защищает объект от проникновения через "люки" (back doors);

• не обеспечивает защиту от внутренних угроз;

• не защищает от загрузки пользователями зараженных вирусами программ из архивов Internet или от передачи таких программ через электронную почту;

• обладает низкой пропускной способностью, поскольку через него осуществляются все соединения, а в некоторых случаях еще и подвергаются фильтрации;

• все средства безопасности сосредоточены в одном месте, а не распределены между системами.