7.7. Экранирование

Механизмом обеспечения целостности данных в информационно-вычислительных сетях является экранирование, выполняющее функции разграничения информационных потоков на границе защищаемой сети. С одной стороны, это повышает безопасность объектов внутренней сети за счет игнорирования неавторизованных запросов из внешней среды. Указанное уменьшает уязвимость внутренних объектов потому, что сторонний нарушитель должен преодолеть некоторый защитный барьер — межсетевой экран, в котором механизмы ОБИ сконфигурированы особо тщательно и жестко. С другой стороны, экранирование позволяет контролировать информационные потоки, исходящие во внешнюю среду, что повышает режим конфиденциальности АС. Кроме функций разграничения доступа, экранирование обеспечивает регистрацию информационных обменов.

Функции экранирования выполняет межсетевой экран или брандмауэр (firewall), под которым понимают программную или программно-аппаратную систему, которая выполняет контроль информационных потоков, поступающих в АС и/или выходящих из АС, и обеспечивает защиту АС посредством фильтрации информации. Фильтрация информации состоит в анализе информации по совокупности критериев и принятии решения о ее распространении в/из АС [30].

В общем случае межсетевой экран выполняет свои функции, контролируя все информационные потоки между двумя сегментами сети или сетями (рис. 7.7).

Межсетевые экраны классифицируют следующим образом:

• на внешние и внутренние, обеспечивающие защиту соответственно от внешней сети или защиту между сегментами сети,

• по уровню фильтрации, соответствующему эталонной модели OSI ISO.

Говоря о внешних и внутренних сетевых экранах, следует отметить следующее. Внешние обычно имеют дело только с протоколом TCP/IP метасети Интернет. Для внутренних сетевых экранов может иметь место многопротокольность. Например, при использовании сетевой ОС Novell Netware, следует принимать во внимание протокол SPX/IPX.

Множество информационных систем 1				Множество информационных систем 2
		Э
КЛИЕНТЫ		К		СЕРВЕРЫ
		Р
СЕРВЕРЫ		А		КЛИЕНТЫ
		Н

Рис. 7.7. Экран как средство разграничения доступа

Работа всех межсетевых экранов основана на использовании информации разных уровней модели OSI (см. табл. 8.4). Как правило, чем выше уровень модели OSI, на котором межсетевой экран фильтрует пакеты, тем выше обеспечиваемый им уровень защиты. Межсетевые экраны разделяют на четыре типа:

• межсетевые экраны с фильтрацией пакетов;

• шлюзы сеансового уровня;

• шлюзы прикладного уровня;

• межсетевые экраны экспертного уровня.

Таблица 7.4.