Экран как средство разграничения доступа
Межсетевой экран - инструмент реализации политики безопасности.
Рассмотрим структуру информационной системы предприятия (организации). В общем случае она представляет собой неоднородный набор (комплекс) из различных компьютеров, управляемых различными операционными системами и сетевого оборудования, осуществляющего взаимодействие между компьютерами. Поскольку описанная система весьма разнородна (даже компьютеры одного типа и с одной ОС могут, в соответствии с их назначением, иметь совершенно различные конфигурации), вряд ли имеет смысл осуществлять защиту каждого элемента в отдельности. В связи с этим предлагается рассматривать вопросы обеспечения информационной безопасности для локальной сети в целом. Это оказывается возможным при использовании межсетевого экрана (firewall). Концепция межсетевого экранирования формулируется следующим образом. Пусть имеется два множества информационных систем. Экран - это средство разграничения доступа клиентов из одного множества к серверам из другого множества. Экран выполняет свои функции, контролируя все информационные потоки между двумя множествами систем (рис. 1).
Рис. 1. Экран как средство разграничения доступа
В простейшем случае экран состоит из двух механизмов, один из которых ограничивает перемещение данных, а второй, наоборот, ему способствует (то есть осуществляет перемещение данных). В более общем случае экран (полупроницаемую оболочку) удобно представлять себе как последовательность фильтров. Каждый из них может задержать (не пропустить) данные, а может и сразу "перебросить" их "на другую сторону". Кроме того, допускается передача порции данных на следующий фильтр для продолжения анализа, или обработка данных от имени адресата и возврат результата отправителю (рис.2).
Рис. 2. Экран как последовательность фильтров
Помимо функций разграничения доступа, экраны осуществляют также протоколирование информационных обменов.
Обычно экран не является симметричным, для него определены понятия "внутри" и "снаружи". При этом задача экранирования формулируется как защита внутренней области от потенциально враждебной внешней. Так, межсетевые экраны устанавливают для защиты локальной сети организации, имеющей выход в открытую среду, подобную Internet. Другой пример экрана - устройство защиты порта, контролирующее доступ к коммуникационному порту компьютера до и независимо от всех прочих системных защитных средств.
Экранирование позволяет поддерживать доступность сервисов внутренней области, уменьшая или вообще ликвидируя нагрузку, индуцированную внешней активностью. Уменьшается уязвимость внутренних сервисов безопасности, поскольку первоначально сторонний злоумышленник должен преодолеть экран, где защитные механизмы сконфигурированы особенно тщательно и жестко. Кроме того, экранирующая система, в отличие от универсальной, может быть устроена более простым и, следовательно, более безопасным образом. Экранирование дает возможность контролировать также информационные потоки, направленные во внешнюю область, что способствует поддержанию режима конфиденциальности.
Чаще всего экран реализуют как сетевой сервис на третьем (сетевом), четвертом (транспортном) или седьмом (прикладном) уровнях семиуровневой эталонной модели OSI. В первом случае мы имеем экранирующий маршрутизатор, во втором - экранирующий транспорт, в третьем - экранирующий шлюз. Каждый подход имеют свои достоинства и недостатки; известны также гибридные экраны, где делается попытка объединить лучшие качества упомянутых подходов.
Экранирующий маршрутизатор имеет дело с отдельными пакетами данных, поэтому иногда его называют пакетным фильтром. Решения о том, пропустить или задержать данные, принимаются для каждого пакета независимо, на основании анализа полей заголовков сетевого и (быть может) транспортного уровней, путем применения заранее заданной системы правил. Еще один важный компонент анализируемой информации - порт, через который пакет поступил в маршрутизатор.
Современные маршрутизаторы (такие, как продукты компаний Bay Networks или Cisco) позволяют связывать с каждым портом несколько десятков правил и фильтровать пакеты как на входе (при поступлении в маршрутизатор), так и на выходе. В принципе, в качестве пакетного фильтра может использоваться и универсальный компьютер, снабженный несколькими сетевыми картами.
Основные достоинства экранирующих маршрутизаторов - дешевизна (на границе сетей маршрутизатор нужен практически всегда, дело лишь в том, чтобы задействовать его экранирующие возможности) и прозрачность для более высоких уровней модели OSI. Основной недостаток - ограниченность анализируемой информации и, как следствие. относительная слабость обеспечиваемой защиты.
Экранирующий транспорт позволяет контролировать процесс установления виртуальных соединений и передачу информации по ним. С точки зрения реализации экранирующий транспорт представляет собой довольно простую, а значит, надежную программу. Пример экранирующего транспорта - продукт TCP wrapper.
По сравнению с пакетными фильтрами, экранирующий транспорт обладает большей информацией, поэтому он может осуществлять более тонкий контроль за виртуальными соединениями (например, он способен отслеживать количество передаваемой информации и разрывать соединения после превышения определенного предела, препятствуя тем самым несанкционированному экспорту информации). Аналогично, возможно накопление более содержательной регистрационной информации. Главный недостаток - сужение области применимости, поскольку вне контроля остаются датаграммные протоколы. Обычно экранирующий транспорт применяют в сочетании с другими подходами, как важный дополнительный элемент. Экранирующий шлюз, функционирующий на прикладном уровне, способен обеспечить наиболее надежную защиту. Как правило, экранирующий шлюз представляет собой универсальный компьютер, на котором функционируют программные агенты - по одному для каждого обслуживаемого прикладного протокола. При подобном подходе, помимо фильтрации, реализуется еще один важнейший аспект экранирования. Субъекты из внешней сети видят только шлюзовой компьютер; соответственно, им доступна только та информация о внутренней сети, которую шлюз считает нужным экспортировать. Шлюз на самом деле экранирует, то есть заслоняет, внутреннюю сеть от внешнего мира. В то же время субъектам внутренней сети кажется, что они напрямую общаются с объектами внешнего мира. Недостаток экранирующих шлюзов - отсутствие полной прозрачности, требующее специальных действий для поддержки каждого прикладного протокола.
Примером инструментария для построения экранирующих шлюзов является TIS Firewall Toolkit компании Trusted Information Systems. В гибридных системах, таких как Firewall-1 компании Sun Microsystems, действительно удается объединить лучшие качества экранирующих систем, то есть получить надежную защиту, сохранить прозрачность для приложений и удержать накладные расходы в разумных пределах. Кроме того, появляются и очень ценные новые возможности, такие как отслеживание передачи информации в рамках датаграммных протоколов.
Важным понятием экранирования является зона риска, которая определяется как множество систем, которые становятся доступными злоумышленнику после преодоления экрана или какого-либо из его компонентов. Как правило, для повышения надежности защиты экран реализуют как совокупность элементов, так что "взлом" одного из них еще не открывает доступ ко всей внутренней сети. Пример возможной конфигурации многокомпонентного экрана представлен на рис. 3.
Рис. 3. Многокомпонентный экран
Рассмотрим требования к реальной системе, осуществляющей межсетевое экранирование. В большинстве случаев экранирующая система должна:
Обеспечивать безопасность внутренней (защищаемой) сети и полный контроль над внешними подключениями и сеансами связи;
Обладать мощными и гибкими средствами управления для полного и, насколько возможно, простого воплощения в жизнь политики безопасности организации. Кроме того, экранирующая система должна обеспечивать простую реконфигурацию системы при изменении структуры сети;
Работать незаметно для пользователей локальной сети и не затруднять выполнение ими легальных действий;
Работать достаточно эффективно и успевать обрабатывать весь входящий и исходящий трафик в "пиковых" режимах. Это необходимо для того, чтобы firewall нельзя было, образно говоря, "забросать" большим количеством вызовов, которые привели бы к нарушению работы;
Обладать свойствами самозащиты от любых несанкционированных воздействий, поскольку межсетевой экран является ключом к конфиденциальной информации в организации;
Если у организации имеется несколько внешних подключений, в том числе и в удаленных филиалах, система управления экранами должна иметь возможность централизованно обеспечивать для них проведение единой политики безопасности;
Иметь средства авторизации доступа пользователей через внешние подключения. Типичной является ситуация, когда часть персонала организации должна выезжать, например, в командировки, и в процессе работы им требуется доступ, по крайней мере, к некоторым ресурсам внутренней компьютерной сети организации. Система должна надежно распознавать таких пользователей и предоставлять им необходимый виды доступа.
Экранирование позволяет поддерживать доступность сервисов внутри информационной системы, уменьшая или вообще ликвидируя нагрузку, инициированную внешней активностью. Уменьшается уязвимость внутренних сервисов безопасности, поскольку первоначально злоумышленник должен преодолеть экран, где защитные механизмы сконфигурированы особенно тщательно и жестко. Кроме того, экранирующая система, в отличие от универсальной, может быть устроена более простым и, следовательно, более надежным образом. Экранирование дает возможность контролировать информационные потоки, направленные во внешнюю область, обеспечивая режим конфиденциальности. Таким образом, экранирование в сочетании с другими мерами безопасности использует идею многоуровневой защиты. За счет этого внутренняя сеть подвергается риску только в случае преодоления нескольких, по-разному организованных защитных рубежей.
Наличие инструмента межсетевого экранирования позволяет использовать его и для контроля доступа к информационным ресурсам организации по коммутируемым каналам связи. Для этого необходимо использовать устройство, называемое терминальным сервером. Терминальный сервер представляет собой программно-аппаратную конфигурацию, рассмотренную в следующем разделе. В качестве средства работы с коммутируемыми каналами связи предлагается терминальный сервер "Annex" компании "Bay Networks".
Особенности и преимущества предлагаемого решения
Конфигурация межсетевого экрана с экранирующей подсетью (рис. 3) является одной из наиболее надежных на сегодняшний день. Причиной этому является наличие по крайней мере трех уровней защиты:
Внешний экранирующий маршрутизатор;
Экранирующий шлюз;
Внутренний экранирующий маршрутизатор.
Слабые места каждой из этих систем различны. Экранирующая подсеть позволяет также простое включение коммутируемых каналов связи в общий контур обеспечения безопасности. Критичным в случае предлагаемого решения будет эффективность работы экранирующего шлюза, его способность эффективно перерабатывать проходящую через экран информацию. Это, в свою очередь, требует установки программного обеспечения с малыми потерями в производительности системы на экранирующий компьютер-шлюз, который сам достаточно надежно защищен встроенными средствами ОС - например, компьютер фирмы SUN под управлением ОС Solaris c программой межсетевого экранирования Firewall-1. Программа межсетевого экранирования Firewall-1 является лидером в своем классе программ - на ее основе построено более 4000 систем, что в четыре раза больше, чем у следующего за ним продукта. Причиной этому является ряд отличительных черт, которыми обладает указанная программа:
Высокая надежность, обеспечивающаяся как работой на уровне фильтрации сетевых пакетов, так и на уровне приложений;
Централизованное управление работой нескольких фильтрующих модулей;
Возможность работы с любым сетевым сервисом, как стандартным, так и определенным пользователем;
Возможность фильтрации UDP пакетов;
Возможность управления фильтрами маршрутизаторов компаний Bay Networks и CISCO;
Высокая эффективность работы: использование Firewall-1 уменьшает пропускную способность информационного канала не более чем на 10%;
Полная прозрачность работы сервисов и приложений для пользователей;
Дополнительная аутентификация клиентов для большого набора сервисов;
Дружественный интерфейс, позволяющий легко перестраивать правила фильтрации, описывая их в терминах политики безопасности;
Для каждого правила (политики доступа) могут быть определены условия протоколирования, оповещения администратора либо иной реакции системы;
Средства проверки правил работы фильтра на внутреннюю непротиворечивость;
Средства мониторинга состояния компонент системы, позволяющие своевременно обнаружить попытку нападения на нее;
Средства детального протоколирования и генерации отчетов;
Трансляция адресов локальной сети, позволяющая реализовать как дополнительную защиту компьютеров локальной сети, так и более эффективное использование официального набора IP-адресов;
Простота установки и администрирования.
Одним из наиболее распространенных средств аутентификации удаленных пользователей является программа S/key компании Bellcore. Эта программа представляет собой средство обмена одноразовыми паролями, что делает невозможным несанкционированный доступ в систему, даже если эта информация кем-либо перехвачена. Программа S/key совместима со средствами аутентификации системы Firewall-1.
Бурное развитие сети Интернет, появление новых технологий поиска и обработки данных привлекает к всемирной сети все больше внимания. Многие организации принимают решение об интеграции своих локальных и корпоративных сетей в Интернет, а также установки серверов WWW-, FTP- и СУБД. Однако использование сети Интернет для организации информационного обмена, а также при передаче информации, содержащей коммерческую или государственную тайну, влечет за собой необходимость построения системы защиты информации.
Межсетевые экраны (МЭ) - программные или программно-аппаратные средства, предназначенные для защищенного подключения корпоративной сети к сетям общего пользования на базе протоколов TCP/IP, X.25; разграничения ресурсов внутри корпоративной сети; а также для обеспечения контроля информационных потоков между различными сегментами корпоративной сети и внешними сетями. МЭ пропускает через себя весь трафик, принимая для каждого проходящего пакета решение, пропускать его или нет, в соответствии с заданными правилами фильтрации.
Функциональные требования к межсетевым экранам регламентированы Руководящим документом Государственной технической комиссии при Президенте Российской Федерации "Межсетевые экраны. Защита от несанкционированного доступа к информации. Классификация межсетевых экранов и требования по защите информации".
Большинство компонент МЭ можно отнести к одной из следующих групп:
Маршрутизаторы с фильтрацией пакетов;
Шлюзы сетевого уровня;
Шлюзы прикладного уровня.
Фильтрующий маршрутизатор являет собой маршрутизатор с определенным программным обеспечением или программу на сервере доступа, сконфигурированные таким образом, чтобы фильтровать проходящие пакеты на основании информации, находящейся в полях их заголовков. Фильтрация обычно осуществляется на основании следующих полей:
IP-адрес отправителя;
IP-адрес получателя;
Порт отправителя;
Порт получателя.
К достоинствам МЭ этого вида можно отнести:
Высокая пропускная способность;
Невысокая стоимость.
К недостаткам МЭ данного вида можно отнести:
Прозрачность топологии внутренней сети;
Отсутствие аутентификации на сетевом или пользовательском уровне;
Не способны защитить от IP-spoofing (атак с подменой IP-адреса);
Высокие требования к знанию протоколов IP, TCP, UDP - трудность конфигурации.
Шлюз сетевого уровня представляет собой сервис посредника между внешним и внутренними узлами и исключает их прямое взаимодействие. Он устанавливает доверенную связь между узлами, осуществляет квитирование связи по протоколу TCP. После установления связи шлюз сетевого уровня всего лишь переправляет IP-пакеты между узлами не осуществляя дополнительной фильтрации. Основной функцией защиты шлюза сетевого уровня является функция трансляции IP-адресов, то есть он преобразует внутренний IP-адрес узла в адрес шлюза сетевого уровня. Таким образом для всех внешних узлов активен только IP-адрес шлюза. Выполняя данную функцию шлюз сетевого уровня маскирует топологию внутренней сети и частично производят защиту от атак с подменой IP-адреса.Обычно такие шлюзы никогда не являются самостоятельными продуктами, а входят в состав МЭ более высокого класса.
Шлюз прикладного уровня представляет собой программное средство, осуществляющее дополнительную фильтрацию. При фильтрации на прикладном уровне решение о пропускании или запрещении прохождении пакета принимается после обработки запроса от клиента на программе-сервере конкретного сервера (WWW, Telnet, FTP, SMTP, Gopher и т.п.). Данный сервер носит название proxy-server (уполномоченный или доверенный сервер). Название "доверенный" - происходит из-за того, что сервер, к которому производится обращение, доверяет proxy-серверу установить связь с клиентом, идентифицировать его и провести аутентификацию. Proxy-сервер пропускает через себя весь трафик, относящийся к данному сервису.
При принятии решения о пропускании и запрещении прохождения пакета proxy-сервер может использовать следующие параметры:
имя пользователя;
название сервиса;
сетевое имя компьютера клиента;
способ аутентификации;
время и дата запроса.
Proxy-серверы пропускают только те службы, которые им поручено обслуживать. Это означает, что можно установить правила фильтрации, в соответствии с которыми будут пропускаться только те службы, которые считаются безопасными. Некоторые proxy-серверы поддерживают фильтрацию протокола на уровне команд, что обеспечивает дополнительные возможности фильтрации.
Достоинствами данного способа фильтрации являются:
невидимость структуры локальной сети из глобальной сети;
возможность организации большого числа проверок, что повышает защищенность локальной сети;
организация аутентификации на пользовательском уровне;
простые правила фильтрации.
Основными недостатками данного способа маршрутизации являются:
низкая производительность обработки;
высокая стоимость.
при реализации данного способа фильтрации появляется сложность использования протоколов UDP и RPC.
Выбор межсетевого экрана зависит от многих факторов:
Вида защищаемого объекта (ЛВС, сегмент сети, сервер транзакции, WWW-сервер);
Технологии доступа к глобальной сети;
Характера внешнего информационного обмена;
Уровня квалификации персонала;
Уровня секретности защищаемой информации;
Финансовых возможностей организации;
И многих других критериев.
Следует отметить, что межсетевой экран является необходимым средством защиты при подключении к глобальной сети, но не обеспечивает гарантированной защиты Вашей информации. Более того, как показал эксперимент Министерства обороны США система межсетевых экранов этого ведомства при организации массированных сетевых атак различного вида, отразила лишь треть из них. Это еще раз доказывает, что максимальной безопасности можно добиться только при реализации комплекса мер защиты, умелом подборе технологий и средств защиты
Современные требования к межсетевым экранам:
1. Основное требование — это обеспечение безопасности внутренней (защищаемой) сети и полный контроль над внешними подключениями и сеансами связи.
2. Экранирующая система должна обладать мощными и гибкими средствами управления для простого и полного проведения в жизнь политики безопасности организации.
3. Межсетевой экран должен работать незаметно для пользователей локальной сети и не затруднять выполнение ими легальных действий.
4. Процессор межсетевого экрана должен быть быстродействующим, работать достаточно эффективно и успевать обрабатывать весь входящий и исходящий поток в пиковых режимах, чтобы его нельзя было блокировать большим количеством вызовов и нарушить его работу.
5. Система обеспечения безопасности должна быть сама надежно защищена от любых несанкционированных воздействий, поскольку она является ключом к конфиденциальной информации в организации.
6. Система управления экранами должна иметь возможность централизованно обеспечивать проведение единой политики безопасности для удаленных филиалов.
7. Межсетевой экран должен иметь средства авторизации доступа пользователей через внешние подключения, что является необходимым в случаях работы сотрудников организации в командировках.
Классификация анализируемых межсетевых экранов
Как известно, для проведения сравнительного анализа необходимо, в первую очередь, провести классификацию анализируемых средств. Поскольку межсетевые экраны ориентированы на защиту информации в открытых сетях типа Интернет/Интранет, основой подхода служит семиуровневая модель ISO/OSI (Международной организации по стандартизации). В соответствии с этой моделью МЭ классифицируются по тому, на каком уровне производится фильтрация: канальном, сетевом, транспортном, сеансовом или прикладном. Поэтому можно говорить об экранирующих концентраторах (канальный уровень), маршрутизаторах (сетевой уровень), транспортном экранировании (транспортный уровень), шлюзах сеансового уровня (сеансовый уровень) и прикладных экранах (прикладной уровень).
Необходимо отметить, что в настоящее время наряду с одноуровневыми межсетевыми экранами все большую популярность приобретают комплексные экраны, охватывающие уровни от сетевого до прикладного, поскольку подобные продукты соединяют в себе лучшие свойства одноуровневых экранов разных видов. На схеме 1 представлена структура информационного экранирования между двумя системами при использовании эталонной модели ISO/OSI.
