Назначение, возможности, и основные защитные механизмы межсетевых экранов Введение

Периметр сети -  это граница, отделяющая внутреннюю (доверенную) сеть от внешних (недоверенных, un-trusted) сетей. Периметр -  это первая линия защиты от внешних угроз. Для зашиты периметра используются следующие средства:

• Межсетевые экраны (МЭ)

• Антивирусные системы сетевого уровня

• Устройства для построения виртуальных частных сетей (Virtual Private Network, VPN)

• Системы противодействия атакам

Периметр может состоять из одного или нескольких МЭ и набора контролируемых серверов, расположенных в так называемой демилитаризованной зоне (demilitarized zone, DMZ). DMZ обычно содержит почтовые серверы, Web-серверы, там же могут бьггь расположены и антивирусные средства сетевого уровня.

Защита периметра -  это контроль взаимодействия внутренней сети с внешними сетями. В рамках защиты периметра решаются следующие задачи:

• Фильтрация трафика

• Построение VPN

• Антивирусная защита

• Противодействие атакам

• Анализ содержимого трафика

• Защита от СПАМа

• Контроль беспроводных устройств

Мэ - основные сведения

Механизмы защиты, реализуемые МЭ

Межсетевой экран (МЭ) — это специализированное программное или аппаратное (или программно-аппаратное) средство, позволяющее разделить сеть на две или более частей и реализовать набор правил, определяющих условия прохождения сетевых пакетов из одной части в другую.

МЭ, установленные в точках соединения с сетью Интернет, обеспечивают защиту внешнего периметра сети предприятия и защиту собственных Intemet-cepBepoB, открытых для общего пользования (расположенных в DMZ), от несанкционированного доступа.

Вот основные механизмы защиты, реализуемые МЭ:

• Фильтрация сетевого трафика

• Трансляция адресов

• Шифрование (создание VPN)

Кроме того, МЭ могут обеспечивать и дополнительные механизмы защиты, например:

• Аутентификация (дополнительная)

• Противодействие некоторым сетевым атакам (наиболее распространённым)

Основная функция МЭ -  фильтрация сетевого трафика. Она может осуществляться на любом уровне модели OSI. В качестве критериев может выступать информация с разных уровней: адреса отправителя/получателя, номера портов, содержимое поля данных.

Фильтрация сетевого трафика

Это основная функция МЭ. В самом общем понимании фильтрация — это проверка сетевого трафика на соответствие каким-либо критериям. Это может быть определённое сочетание флагов в заголовке TCP-пакета или адрес отправителя IP-датаграммы. Могут использоваться и более сложные критерии, например, размер файла, передаваемого по FTP или содержимое почтового сообщения.

Фильтрация трафика может бьггь выполнена на разных уровнях сетевой модели OSL, т. е. с использованием критериев разных уровней. Рассматриваемые далее типы МЭ отличаются друг от друга именно тем, как они выполняют фильтрацию трафика.

Трансляция адресов

Трансляция адресов -  ещё один важный защитный механизм, реализуемый МЭ. Трансляция адресов -  это замена в заголовке IP-пакета адреса отправителя или получателя при прохождении пакета через МЭ. При этом часто требуется заменять информацию не только сетевого, но и транспортного уровня (номера портов). Кроме того, для корректной работы некоторых служб прикладного уровня требуется заменять и содержимое поля данных.

Существует несколько разновидностей трансляции3, две из которых наиболее распространены:

• Статическая (двунаправленная);

• Динамическая (трансляция адресов-портов).

При использовании статической трансляции устанавливается взаимно однозначное соответствие между внутренним адресом ресурса и его внешним адресом. Это соответствие не меняется всё время работы устройства, выполняющего трансляцию. Обычно такой способ используется для обеспечения доступа снаружи к внутренним узлам, имеющим произвольные (незарегистрированные) адреса. Динамическая трансляция (трансляция адресов-портов) предусматривает только исходящие соединения, инициируемые из внутренней сети. При этом достаточно иметь только один зарегистрированный адрес (обычно это внешний адрес устройства, осуществляющего трансляцию), чтобы обеспечить доступ в Internet всей внутренней сети.

Использование одного и того же адреса вносит неоднозначность. Возникает вопрос, какому внутреннему узлу передать пришедший от внешнего узла ответ? Установление взаимно однозначного соответствия возможно путём использования информации транспортного уровня, например, номера порта.

Трансляция адресов позволяет скрыть структуру внутренней сети и решить проблему нехватки адресов. Вместе с тем, трансляция адресов нарушает прозрачность взаимодействия сетевых узлов и может мешать работе приложений, использующих несколько независимых соединений (часть из которых - встречные) или обменивающихся данными, внутри которых фигурируют IР-адреса.

Шифрование трафика

Наряду с фильтрацией трафика и трансляцией адресов, МЭ могут шифровать проходящий через них сетевой трафик. Как правило, шифрование выполняется на сетевом уровне, т. е. шифруются IP-пакеты.

Эта функция МЭ используется для построения на их основе так называемых виртуальных частных сетей (см. далее). Т. е. МЭ используются в качестве VPN-шлюзов.