Шлюзы сеансового уровня (инспекторы состояния)
Осуществляют фильтрацию сетевых пакетов с учётом информации о текущей фазе соединения. Инспектор состояния гарантирует, что ни один пакет не будет пропущен, если он не принадлежит ранее установленному соединению.
Для подтверждения TCP-сессии межсетевой экран исследует каждый процесс установки соединения, следующим за законным рукопожатием. Кроме того пакеты не отправляются до тех пор пока процесс рукопожатия не будет закончен.
Межсетевой экран поддерживает таблицу состоявшихся соединений и позволяет сетевым пакетам проходить тогда, когда информация о пакете соответствует фазе соединения. Как только соединение закрывается, запись о нём удаляется из таблицы, и виртуальное соединение удаляется между двумя транспортными уровнями. При установлении соединения шлюзы могут хранить следующую информацию:
уникальный идентификатор сессии для соединения
состояние соединения:
установлено
закрыто
рукопожатие
текущие значения номеров последовательности пакетов
IP-адрес источника и назначения
тип транспортного протокола
некоторые поля служебных заголовков пакетов
физический сетевой интерфейс, с которого ожидается поступление следующего пакета
время жизни виртуального соединения в случае отсутствия активности.
Используя эти данные, межсетевой экран контролирует информацию заголовков каждого сетевого пакета и определяет когда передающий хост имеет право передачи и когда нет. Также проверяет целостность и аутентичность пакетов.
Для протоколов UDP и ICMP инспекция состояния виртуального соединения реализуется искусственно с использованием данных прикладного уровня. Инспекторы состояния разрешают доступ при минимальном количестве исследований путём построения ограниченной формы состояния соединения.
Шлюзы сеансового уровня могут использовать технологию сетевой трансляции адресов.
Преимущества:
Быстрые
Контролируют всю сессию а не пакеты.
Исключена подделка трафика
Недостатки:
Полный функционал только для TCP
Отсутствие кэширования и фильтрации
Малые возможности аудита
Межсетевые экраны экспертного уровня
Включают в себя все вышерассмотренные типы МЭ за исключением управляемых коммутаторов.
Схемы подключения мэ
1. Dual Homed
Межсетевой экран в таком варианте подключения осуществляет физическое и логическое разделение двух сетей, принимая решение о возможности установления соединения между ними.
1.1. Демилитаризованная зона (ДМЗ)
В некоторых случаях межсетевым экраном допускается использование нескольких сетевых адаптеров с установленными различными политиками безопасности. Для этого используется ДМЗ.
Как правило, в ДМЗ размещают службы, которые должны быть доступны и клиентам внешней сети, и клиентам защищаемой сети. Поскольку доступ к сервисам ДМЗ должен осуществляться из открытой сети, то в ДМЗ определяются менее жёсткие требования к сетевой безопасности, но достаточные для организации защиты от угроз. Если в сети используются группы пользователей с чётким разграничением доступных сервисов или различными уровнями конфиденциальности обрабатываемой информации, то межсетевой экран может контролировать сетевые потоки не только во внешние сети, но и между внутренними сегментами сети. Выделение ДМЗ, а также поддержка нескольких сетевых интерфейсов позволяет вести централизованное управление защитой сетевых ресурсов с различными принятыми политиками безопасности.
Пример: Пусть имеется корпоративный web-сервер осуществляющий публикацию данных компании в корпоративной сети. Эти данные извлекаются web-сервером из внутреннего сервера баз данных. Доступ к серверу баз данных разрешён только во внутренней сети. Для обеспечения работы интерфейса web-системы управления базой данных необходимо разрешить доступ от web-сервера к серверу баз данных. Тогда при получении доступа к web-серверы мы запросто можем получить доступ к серверу баз данных.
Выделение web-сервера в ДМЗ не только решает задачи защиты от внешних угроз, но и минимизирует возможность проникновения в локальную сеть.
1.2. Разрешение маршрутизации между сетевыми интерфейсами
В большинстве случаев маршрутизация разрешена между сетевыми интерфейсами на уровне операционной системы, при этом механизмы динамической и статической фильтрации управляются трафиком. В процессе загрузки/перезагрузки операционной системы существует короткий момент времени, в который сетевой стек с загруженным сервисом маршрутизации включен, а межсетевой экран с его правилами фильтрации ещё не загрузился.
1.3. Запрещение маршрутизации между сетевыми интерфейсами
При использовании межсетевым экраном только прикладных посредников необходимость в маршрутизации пакетов отсутствует. В этом случае прикладные посредники устанавливают посредничество между клиентом и сервером без поддержки маршрутизации со стороны ОС. При этом маршрутизацию между сетевыми интерфейсами можно запретить.
1.4. Межсетевой экран в локальной вычислительной сети
Межсетевой экран можно использовать для сегментирования локальной вычислительной сети с целью повышения её уровня информационной безопасности и защиты отдельных сетевых сегментов. Сегментирование в локальной сети используется тогда:
когда в локальной сети присутствуют функциональные группы, обрабатывающие информацию с различным уровнем доступа,
когда необходимо осуществлять управляемый доступ к прикладным и служебным сервисах,
когда необходимо контролировать обмен информационными потоками между различными функциональными группами.
2. Экранирующий экран
В отличие от межсетевого экрана с несколькими интерфейсами, разделяющего две и более сетей, экранирующий экран (бастион хост) подключен только к внутренней сети и имеет один сетевой интерфейс. В такой схеме большое внимание уделяется настройке таблиц маршрутизации таким образом, чтобы весь входящий трафик отправлялся на интерфейс межсетевого экрана, а во внутренней сети в качестве шлюза был указан IP-адрес межсетевого экрана.
Экранирующая подсеть
Конфигурация экранирующая подсеть добавляет дополнительный уровень безопасности в конфигурацию экранирующего экрана путём внесения сетевого сегмента для улучшения изоляции экранирующей сети.