Межсетевые экраны прикладного уровня.

Данные МЭ оценивают сетевые пакеты на соответствие определенному уровню на соответствие определенному приложению.

Устанавливается состояние полного (завершенного) соединения. Кроме того, межсетевые могут проверять другие параметры безопасности, которые содержатся внутри данных прикладного уровня.

Большинство МЭ прикладного уровня включают в себя приложения ПО и службу Proxy.

Обозначения:

1 – Proxy-сервер

2 – Анализ прикладного протокола

3 – Proxy-клиент

Каждая proxy-служба является специфичной для каждого протокола и может осуществлять усиленный контроль доступа, проверку данных, а также генерировать записи аудит. службы proxy не позволяет прямого соединения пользователя с серверами. Они прозрачны для пользователя и работают в прикладной области ОС.

Использование Proxy позволяет производить анализ множества команд и проводить анализ содержания данных.

Рисунок «Функционирование МЭ», обозначения:

1 – служба Proxy

2 – список разрешений и запретов (accept/denied)

3 – анализ данных в сравнении со списками допустимых команд

4 – специальный сетевой стек

5 – Отфильтрованные пакеты

Достоинства:

1. Работа с протоколами высшего уровня (HTTP, FTP)

2. Возможность хранения частичной информации о состоянии, полной информации о состоянии приложений, частичной информации о сеансе.

3. Возможность ограничения доступа к определенным сетевым службам.

4. Возможность оперирования с информацией данных пакетов.

5. Запрещение прямого соединения с внешними серверами.

6. Прозрасность Proxy.

7. Возможность реализации дополнительных свойств (фильтрация адресов, аутентификация, кеширование…)

8. Хороший аудит.

Недостатки:

1. Служба Proxy требует замены сетевого стека на сервера межсетевого экрана.

2. Служба Proxy «слушает» порты.

3. Временная задержка.

4. Новый Proxy обычно требует модификации процедур клиента.

5. Служба Proxy обычно требует модификации процедур клиента.

6. Служба Proxy уязвима к ошибкам ОС и программного обеспечения прикладного уровня.

7. Не осуществляется проверка информации в пакетах, содержащихся в низших уровнях.

8. Служба Proxy может требовать дополнительные пароли или процедуры аутентификации.

Дата добавления: 2015-08-09