Брандмауэрлер
Кез-келген компьютерлерді бір-бірімен байланыстыру мүмкіндігі кей жағдайда жетістік болып есепте-леді, ал кейбіреулерінде, керісінше, кемшілік болып есептеледі. Интернетте ке-зігіп жүру мүмкіндігі үй қолданушыларына көп қуаныш әкеледі. Ал қауіпсіздік корпорация-сының бөлімінің менеджеріне бұл мүмкіндік жаман болып көрінеді. Көптеген компаниялар-дың үлкен көлемдегі жасырын ақпараттары желіге қосылған компьютерлерде орнатылған—коммерциялық құпиялар, өндірістің даму жоспары және т.б. Бәсекелестердің алдында осы мәліметтердің ашылуы қорқынышты нітижелерді тудыруы мүмкін.
Ақпараттың сыртқа шығу қаупінен басқа сонымен қатар, зиянды ақпараттың кіруі мүмкін, мысалы, вирус, құрт және т.б. цифрлық жұқпалы аурулар, олар құпияларды, құнды мәлі-меттерді жоюға қабілетті, және олармен күреске желілік администраторлардың көп уақыты кетеді. Көбінесе осы инфекцияны жаңа компьютерлік ойындарды ойнаған кезде қамсыз жұ-мыскерлер әкеледі.
Осының салдарынан арнаулы қорғану құралдары талап етіледі, олар “керекті” ақпаратты ішінде, ал ”зиянды” ақпаратты сыртта ұстайды. Осындай әдістің бірі ол IPsec- ті қолдану. Бұл әдіс мәліметтерді жіберу кезінде сақтайды. Алайда, шифрлеу локальдік желілерге кіре ала-тын вирустар мен хакерлерден қорғай алмайды. Оны тек брандмаэурлерді орнату арқылы қорғауға болады, енді соларға тоқталамыз.
Брандмаэурлер қазіргі заманда ортағасырлық қауіпсіздік қамтамасыз етілу принципінің жүзеге асырылуымен көрсетіледі. Олар бекініс айналасындағы қазылған орды еске түсіреді. Осы конструкцияның мағынасы мынада: бекініске кіретіндердің және шығатындардың бәрі оларды кіріп-шығу полициялары тексеретін көпірден өту керек. Осы принцип желілерде де қолданылуы мүмкін: компанияларда еркін әдіспен жалғанған локальді желілер болуы мүмкін, бірақ сыртқы трафик электронды көтермелі көпірден (Брандмаэур)өту керек. Ол 8.25- суретте көрсетілген.
8.25-сурет. Екі пакетті фильтрден және қолданбалы деңгейдегі шлюзден құралған брандмаэур
Брандмаэур берілген конфигурацияда екі компоненттен тұрады: екі маршрутизатордан, фильтрлі пакеттен және қолданбалы деңгейдегі шлюзден.Сонымен қатар қарапайым констру-кциялар да болады, бірақ олардың артықшылығы мынада: әрбір кіргісі немесе шыққысы келе-тін пакет екі фильтрден және бір қолданбалы шлюз деңгейінен өту керек. Басқа жол жоқ.
Әрбір пакетті фильтр кең функциялары бар стандартты маршрутизаторды ұсынады, олар кі-ретін және шығатын пакеттерді анализдеуге мүмкіндік береді. Анықталған критерияларды қа-нағаттандыратын пакеттер фильтр арқылы өткізіледі. Тексеруден өте алмаған пакеттер өшірі-леді.
8.25- суретте көрсетілген ішкі локальді желінің пакетті фильтрі шығатын пакеттерді тексе-реді, ал сыртқы локальді желінің пакетті фильтрі кіретін пакеттерді тексереді. Бірінші бөгет-тен өткен пакеттер әрі қарай зерттеуді жалғастыру үшін қолданбалы шлюз деңгейіне барады. Екі фильтрдің әр түрлі локальді желілерде орналасуы ешқандай пакет бір желіден екіншісіне қолданбалы шлюз деңгейін өтпей бармайтынына кепілдік береді. Оның айналасында айналып өтетін жол жоқ.
Пакетті фильтрлер әдетте жүйелік администраторлар ұсынған кестелермен басқарылады. Бұл таблицаларда мүмкін және айырушы жіберушілер мен қабылдаушылар, сонымен қатар шығатын және кіретін пакеттердің істерін сипаттайтын ережелер көрсетңлген.
Жалпы жағдайда TCP/IP ақпараттарының қабылдаушысы немесе алушысы IP- адрестен және порт номерінен тұрады. Порт номерлері керекті қызметтерді анықтайды. Мысалы, порт 23 -- Telnet программасы үшін, порт 79 – Finger прграммасы үшін, ал порт 119 – USENET желісінің жаңалықтары үшін. Компания барлық кіретін пакеттерді барлық IP- адрестерінің кез-келген осы порт номерлері үшін жабуы(блокирование) мүмкін. Осыдан, енді бөтен біреу желіге Telnet арқылы кіре алмайды немесе Finger прграммасы арқылы ағымдағы желіні қол-данушылар ті-зімін көре алмайды. Және де осындай әдіспен компания өзінің қызметкерлері күні бойы USENET-ті оқытқызбай алады.
Шығатын пакеттерді жабу (блокирование) жабу қиынырақ. Көптеген сайттардың атаулары стандартты келісімге сай келуіне қарамастан, ешкім оларды осыған ұстануға мәжбүрлемейді. Одан басқа, кейбір маңызды қызметтерге, мысалы FTP (File Transfer Protocol—файлдарды бе-ру протоколы ) үшін порттардың номерлері динамикалық тағайындалады. ТСР- қосылуын жабу(блокирование) оңай іс емес, ал UDP- пакеттерін жабу одан да қиын, өйткені, олар не іс-тейтінін алдын-ала айтуға болмайды. Сондықтан көптеген пакетті фильтрлер UDP- трафигіне тіптен тыйым салады.
Брандмаэурдың механизмінің екінші бөлігін қолданбалы деңгей шлюзі көрсетеді. Жай пакеттерді қараудың орнына бұл шлюз қолданбалы деңгейде жұмыс істейді. Мысалы, әрбір кіретін және шығатын мәлімдемені қарайтын почталық шлюз орнатылуы мүмкін. Әрбір мә-лімдеме бастаулар өрісінің құрамына қатысты, мәлімдеменің өлшеміне және құрамына( мы-салы, әскери объектіде жұмыс істейтін шлюз арнайы әдіспен “атомдық” немесе ”бомба” кілт-тік сөздеріне әрекет етуі мүмкін) қатысты өткізіледі немесе итеріледі.
Мүмкін бір уақытта ерекше үсемелерге бірнеше шлюздер орнатылуы мүмкін, бірақ , сақ ұйымдар жиі электрондық почталармен ауысуға рұқсат береді тіптен WWW, алайда, қалған-дарына тыйым салады. Пакеттердің шифрлеу мен фильтрлеу үйлесуінде сәйкес шаралар қау-іпсіздік деңгейін кейбір қолайсыздық жағдайлар арқасында қамтамасыз етеді.
Тіпті керемет құрылған брандмаэурдан қауіпсіздікпен байланысқан көптеген проблемалар қалады. Мысалы, егер кіретін пакеттер тек қана белгілі бір желілер жағынан өткізілсе, бранд-маэурдың жұмысынан тыс жерде орналасқан бұзушы жіберушінің адресін фальсифицирлейді және сол арқылы бөгеттен өтеді. Егерде компанияның адал емес жұмыскері құпиялық доку-ментті қайта жібергісі келсе, ол оны қайта шифрлей немесе фотоға түсіре алады, сонда осы мәліметтер кез келген лингвистикалық анализатордан өте алады. Біз тіпті мына фактті қозға-маймыз, алдамшылардың 70%-ы брандмаэур жұмыс зонасында болады. Көп жағдайда олар көңілсіз жұмыскерлер болады (Scheier, 2000).
Соған қарамастан ешқандай брандмаэурлер күресе алмайтын бірсыпыра шабуыл кластары болады. Брандмаэурлер негізінде жатқан идея—ол бұзушыларға жүйеге кіруге жол бермеу, ал құпия мәліметтерге – сыртқа шығармау. Өкінішке орай, әлемде сайттардың жұмыс істеуіне бөгет жасайтын адамдар бар. Олар сайт шамадан тыс жүктеменің әсерінен жұмыс істемеге-нінше заңды мәліметтерді жібере береді. Мысалы, мұндай бұзақылық пакеттер жіберуінде SYN байланысын орналастыру үшін. Сайт осы байланысқа кестенің бөлігін бөледі және жа-уабын SYN+ACK пакетіне жібереді. Егер бұзушы жауап бермесе, онда кестелік жазба тайм-аутқа бірнеше секунд қалғанша дейін тұрады. Егер байланысқа бір уақытта мың сұраныс жі-берілсе, онда ешқандай адал азаматтардың сұраныстары серверге келмейді, өйткені, таблица ұяшықтары бос болмайды. Құпиялық мәліметтерді алу емес, керісінше, мақсаты объект жұ-мысын бұзу болып келетін шабуылдар DOS (Denial of Service—сұраныс қызметін қабыл ал-мау) типті шабуылдар деп аталады. Әдетте, жіберушінің пакеттегі адресі сұраныстармен бірге фальсифицирленген, сондықтан вандалды табу оңай емес.
Сонымен қатар осындай шабуылдың қатаң түрі бар. Егер желілік бұзақы әлемде орналасқан жүздеген компьютерлерді сындырса, онда ол оларға бір ғана серверге сұраныстар жіберуін талап етеді. Осыдан бұзақыны табу қиынға түседі, өйткені пакеттер әр түрлі белгісіз ком-пьютерлерден келеді. Осындай шабуылдың типі DDoS (Distributed Denial of Service—белгі-ленген сұраныс қызметін қабыл алмау ). Егерде шабуыл жасалатын машина дұрыс сұранысты тез таба алатын болса, онда оның қайта өңдеуі мен шеттелуіне уақыт керек етіледі, ол орын-далғанша басқа сұраныстар келеді, және нәтижесінде орталық процессор әр уақытта олардың өңделуінен бос болмайды.