Інформаційна безпека в Intranet

При ухваленні рішення “пропустити/не пропустити”, міжмережеві екрани можуть використовувати не тільки інформацію, що міститься у фільтруючих потоках, але і дані, отримані з оточення, наприклад поточний час.

Таким чином, можливості міжмережевого екрана безпосередньо визначаються тим, яка інформація може використовуватися в правилах фільтрації і яка може бути потужність наборів правил. Узагалі говорячи, чим вище рівень у моделі ISO/OSI, на якому функціонує екран, тим більше змістовна інформація йому доступна і, отже, тим тонше і надійніше екран може бути сконфігурований. У той же час фільтрація на кожнім з перерахованих вище рівнів має свої достоїнства, такими як дешевина, висока чи ефективність прозорість для користувачів. У силу цієї, а також деяких інших причин, у більшості випадків використовуються змішані конфігурації, у яких об'єднані різнотипні екрани. Найбільш типовим є сполучення маршрутизаторів, що екранують, і прикладного екрана (Рис. 2.3.3).Приведена конфігурація називається що екранує під сіткою. Як правило, сервіси, що організація надає для зовнішнього застосування (наприклад “представницький” Web-сервер), доцільно виносити саме в що екранує під сіть.

Крім виразних можливостей і припустимої кількості правил якість міжмережевого екрана визначається ще двома дуже важливими характеристиками - простотою застосування і власною захищеністю. У плані простоти використання першорядне значення мають наочний інтерфейс при завданні правил фільтрації і можливість централізованого адміністрування складених конфігурацій. У свою чергу, в останньому аспекті хотілося б виділити кошти централізованого завантаження правил фільтрації і перевірки набору правил на несуперечність. Важливий і централізований збір і аналіз реєстраційної інформації, а також одержання сигналів про спроби виконання дій, заборонених політикою безпеки.

Власна захищеність міжмережевого екрана забезпечується тими ж засобами, що і захищеність універсальних систем. При виконанні централізованого адміністрування варто ще подбати про захист інформації від пасивного й активного прослуховування мережі, тобто забезпечити її (інформації) цілісність і конфіденційність.

Малюнок 2.3.3

Малюнок 2.3.3 Сполучення маршрутизаторів, що екранують, і прикладного екрана.

Хотілося б підкреслити, що природа екранування (фільтрації), як механізму безпеки, дуже глибока. Крім блокування потоків даних, що порушують політику безпеки, міжмережевий екран може ховати інформацію про мережу, що захищається, тим самим утрудняючи дії потенційних зловмисників. Так, прикладний екран може здійснювати дії від імені суб'єктів внутрішньої мережі, у результаті чого з зовнішньої мережі здається, що має місце взаємодія виняткова з міжмережевим екраном (Мал. 2.3.4). При такому підході топологія внутрішньої мережі схована від зовнішніх користувачів, тому задача зловмисника істотно ускладнюється.

Малюнок 2.3.4

Малюнок 2.3.4 Правдиві й удавані інформаційні потоки.

Більш загальним методом приховання інформації про топологію мережі, що захищається, є трансляція “внутрішніх” мережних адрес, що попутно вирішує проблему розширення адресного простору, виділеного організації.

Обмежуючий інтерфейс також можна розглядати як різновид екранування. На невидимий об'єкт важко нападати, особливо за допомогою фіксованого набору засобів. У цьому змісті Web-інтерфейс має природний захист, особливо в тому випадку, коли гіпертекстові документи формуються динамічно. Кожний бачить лише те, що йому покладене.

Роль Web-сервісу, що екранує, наочно виявляється і тоді, коли цей сервіс здійснює посередницькі (точніше, що інтегрують) функції при доступі до інших ресурсів, зокрема таблицям бази даних. Тут не тільки контролюються потоки запитів, але і ховається реальна організація баз даних.

БЕЗПЕКА ПРОГРАМНОГО СЕРЕДОВИЩА