Технические аспекты обеспечения безопасности

В этом разделе мы более подробно рассмотрим основные аппаратные и программные компоненты, используемые для достижения защиты локальной сети организации.

2.1. Аппаратное обеспечение и компоновка системы безопасности

2.1.1. Структура экранирующего сегмента

В конфигурации firewall с экранирующей подсетью создается дополнительный сетевой сегмент, который размещается между Internet и локальной сетью организации. В типичном случае эта подсеть изолируется маршрутизаторами, которые могут выполнять роль фильтров.

Обычно экранирующая подсеть конфигурируется таким образом, чтобы обеспечить доступ к компьютерам подсети как из внешних сетей, так и изнутри. Однако, прямой обмен информационными пакетами между внешними и защищенными сетями невозможен.

Экранирующий шлюз является единственной точкой, к которой возможен доступ извне. Это предельно сужает зону риска, состоящую из шлюза и всех маршрутизаторов, осуществляющих связь между экранирующими подсетями, внешними сетями и закрытой локальной сетью.

При атаке системы с экранирующей подсетью необходимо преодолеть по крайней мере три независимых линии защиты, что является весьма сложной задачей. Средства мониторинга состояния компонент межсетевого экрана практически неизбежно обнаруживают подобную попытку и администратор системы своевременно может предпринять необходимые действия по предотвращению несанкционированного доступа.

В большинстве случаев работа экранирующей подсети очень сильно зависит от комплекта программного обеспечения, установленного на компьютере-шлюзе.

2.1.2. Конфигурация компьютера-шлюза

Компьютер-шлюз с программным обеспечением, несущим основную нагрузку, связанную с реализацией политики безопасности, является ключевым элементом межсетевого экрана. В связи с этим он должен удовлетворять ряду требований:

· быть физически защищенным;

· иметь средства защиты от загрузки ОС с несанкционированного носителя;

· иметь средства защиты на уровне ОС, разграничивающие доступ к ресурсам системы;

· ОС компьютера должна запрещать привилегированный доступ к своим ресурсам из локальной сети;

· ОС компьютера должна содержать средства мониторинга/аудита любых административных действий.

2.1.3. Обеспечения безопасности удаленного доступа

Работа удаленных пользователей, подключаемых через коммутируемые линии связи, также должна контролироваться в соответствии с политикой безопасности, проводимой в организации. Поскольку телефонные линии невозможно держать под контролем, необходимы дополнительные средства аутентификации пользователей. При этом каждый из легальных пользователей должен иметь возможность доступа к нужным ресурсам.

Типовое решение этой задачи - установка терминального сервера, который обладает необходимыми функциональными возможностями. Сетевой терминальный сервер Annex компании Bay Networks является системой с несколькими асинхронными портами и одним интерфейсом локальной сети. Обмен информацией между асинхронными портами и локальной сетью, осуществляется только после соответствующей авторизации и аутентификации внешнего пользователя.

Программное обеспечение терминального сервера предоставляет возможности администрирования и контроля сеансов связи через коммутируемые каналы.

2.2. Программное обеспечение и конфигурация

2.2.1. Средство аутентификации S/key

Программа S/key предназначена для генерации одноразовых паролей, используемых для аутентификации удаленных пользователей. Основным преимуществом этой программы является отсутствие передачи пароля через общедоступные коммуникации. Это, в свою очередь, делает невозможным получение несанкционированного доступа путем перехвата сетевых пакетов, что возможно, например, в случае стандартных сервисов типа telnet.

В основе работы программы S/key лежит использование односторонних функций - функций, для которых восстановление значения аргумента по значению функции (обращение) требует практически недоступных вычислительных ресурсов. Работа S/key состоит из инициализации, когда пользовательский пароль используется как аргумент односторонней функции, применяемой последовательно N раз, и сеансовой аутентификации, которая сводится к следующему:

· удаленный пользователь сообщает серверу свое имя;

· сервер возвращает пользователю число, равное N-1;

· пользователь на локальном компьютере вводит пароль, с которым клиентская часть производит N-1 вычислений односторонней функции;

· результат вычислений посылается серверу;

· сервер проводит еще одно вычисление односторонней функции и сравнивает результат с полученным от клиента в предыдущий раз.

Таким образом, при использовании некриптографического средства обеспечивается проверка подлинности клиента, причем сеансовые пароли являются одноразовыми и не восстанавливаются с помощью предыдущих либо последующих паролей.

2.2.2. Модуль управления терминальным сервером

Модуль управления терминальным сервером Annex имеет достаточно продвинутые возможности обеспечения безопасности самого сервера и разграничения доступа клиентов, выполняя следующие функции:

· использование локального пароля на доступ к последовательному порту, для доступа по протоколу PPP, для доступа к административной консоли;

· использование запроса на аутентификацию с какой-либо машины локальной сети;

· использование внешних средств аутентификации, таких как S/key;

· установку списка контроля доступа на порты терминального сервера;

· протоколирование сеансов связи через терминальный сервер.

Предлагается установка терминального сервера таким образом, чтобы его работа осуществлялась исключительно через компьютер-бастион и с использованием аутентификации одноразовыми паролями (S/key). Это позволит достичь необходимой степени безопасности при работе удаленных пользователей с информационными ресурсами организации.

2.3. Разработка и коррекция правил политики безопасности

При конфигурировании межсетевых экранов основные конструктивные решения заранее задаются политикой безопасности, принятой в организации. В описываемом случае необходимо рассмотреть два аспекта политики безопасности: политику доступа к сетевым сервисам и политику межсетевого экрана.

При формировании политики доступа к сетевым сервисам должны быть сформулированы правила доступа пользователей к различным сервисам, используемым в организации. Этот аспект, таким образом, состоит из двух компонент.

База правил для пользователей описывает когда, какой пользователь (группа пользователей) каким сервисом и на каком компьютере может воспользоваться. Отдельно определяются условия работы пользователей вне локальной сети организации, равно как и условия их аутентификации.

База правил для сервисов описывает набор сервисов, проходящих через сетевой экран, а также допустимые адреса клиентов серверов для каждого сервиса (группы сервисов).

В политике, регламентирующей работу межсетевого экрана, решения могут быть приняты как в пользу безопасности в ущерб легкости использования, так и наоборот. Есть два основных:

· все, что не разрешено, то запрещено.

· все, что не запрещено, то разрешено.

В первом случае межсетевой экран должен быть сконфигурирован таким образом, чтобы блокировать все, а его работа должна быть упорядочена на основе тщательного анализа опасности и риска. Это напрямую отражается на пользователях и они, вообще говоря, могут рассматривать экран просто как помеху. Такая ситуация заставляет накладывать повышенные требования на производительность экранирующих систем и повышает актуальность такого свойства, как "прозрачность" работы межсетевого экрана с точки зрения пользователей.

Первый подход является более безопасным, поскольку предполагается, что администратор не знает, какие сервисы или порты безопасны, и какие "дыры" могут существовать в ядре или приложении разработчика программного обеспечения. Ввиду того, что многие производители программного обеспечения не спешат публиковать обнаруженные недостатки, существенные для информационной безопасности (что характерно для производителей так называемого "закрытого" программного обеспечения, крупнейшим из которых является Microsoft), этот подход является, несомненно, более консервативным. В сущности, он является признанием факта, что незнание может причинить вред.

Во втором случае, системный администратор работает в режиме реагирования, предсказывая, какие действия, отрицательно воздействующие на безопасность, могут совершить пользователи либо нарушители, и готовит защиту против таких действий. Это существенно восстанавливает администратора firewall против пользователей в бесконечных «гонках вооружений», которые могут оказаться весьма изматывающими. Пользователь может нарушить безопасность информационной системы, если не будет уверен в необходимости мер, направленных на обеспечение безопасности.

Дата добавления: 2015-10-21