1.3. Недостатки

Выше уже были перечислены некоторые недостатки, присущие межсете­вым экранам, а также способы их обхода.

Потенциально опасные возможности

Новые возможности, которые появились недавно и которые облегчают жизнь пользователям Internet, разрабатывались практически без учета требова­ний безопасности. Например, JavaScript, Java, ActiveX и другие сервисы, ори­ентированные на работу с данными. Специфика мобильного кода такова, что он может быть использован и как средство для проведения атак, и как объект ата­ки. В первом варианте опасность заключается в том, что мобильный код загру­жается на компьютер пользователя и выполняется на нем как обычная про­грамма, получая доступ к системным ресурсам. Второй вариант, как правило, используется для модификации мобильного кода — как предварительный этап перед проведением атак на локальный компьютер пользователя. Атаки на моби­льный код, как на средство выполнения каких-либо функций, пока не получили широкого распространения. Связано это с тем, что мобильный код пока не при­меняется для выполнения каких-либо серьезных операций, например проведе­ния финансовых транзакций. Хотя уже известны примеры банковских систем, в том числе и российских, использующих технологию Java для работы с клиен­том [8].

Как средство для проведения атак мобильный код может быть реализован в виде:

• вируса, который вторгается в информационную систему и уничтожает дан­ные на локальных дисках, постоянно модифицируя свой код, затрудняя тем самым свое обнаружение и удаление;

• агента, перехватывающего пароли, номера кредитных карт и т. п.;

• программы, копирующей конфиденциальные файлы, содержащие деловую и финансовую информацию;

• прочее.

Маскироваться такие программы могут под анимационные баннеры, интерак­тивные игры, звуковые файлы и т. п. Российские пользователи не так часто ис­пользуют компьютер для совершения финансовых сделок и других действий, ко­торые могли бы нарушить конфиденциальность данных. Поэтому рассмотрим при­меры враждебного мобильного кода, который нарушает функционирование узла, на котором он запускается. Это наиболее простая в реализации и, как следствие, часто применяемая угроза, которой может подвергнуться любой пользователь сети Internet.

Такая угроза может осуществляться путем:

• создания высокоприоритетных процессов, выполняющих несанкциониро­ванные действия;

• генерации большого числа окон;

• «захвата» большого объема памяти и важных системных классов;

• загрузки процессора бесконечным циклом;….

Обычный подход, используемый при обнаружении мобильного кода, заключа­ется в том, чтобы сканировать весь входящий трафик на 80-м или 443-м портах, используемых протоколами ННТР и HTTPS, с целью выявить такие элементы, как соответствующие теги. Но этого недостаточно, чтобы остановить мобильный код, потому что можно получить управляющие элементы ActiveX и апплеты Java и другими способами.

Вирусы и атаки

Практически ни один межсетевой экран не имеет встроенных механизмов за­щиты от вирусов и, в общем случае, от атак. Как правило, эта возможность реали­зуется путем присоединения к МСЭ дополнительных модулей или программ тре­тьих разработчиков (например система антивирусной защиты Trend Micro для МСЭ Check Point Firewall-1 или система обнаружения атак RealSecure для него же). Использование нестандартных архиваторов или форматов передаваемых дан-ных, а также шифрование трафика сводит всю антивирусную защиту «на нет». Как можно защититься от вирусов или атак, если они проходят через межсетевой экран в зашифрованном виде и расшифровываются только на оконечных устрой­ствах клиентов?

В таком случае лучше перестраховаться и запретить прохождение через меж­сетевой экран данных в неизвестном формате. Для контроля содержимого зашиф­рованных данных в настоящий момент ничего предложить нельзя. В этом случае остается надеяться, что защита от вирусов и атак осуществляется на оконечных устройствах.

Снижение производительности

Очень часто межсетевые экраны являются самым узким местом сети, снижая ее пропускную способность. В тех случаях, когда приходится анализировать не только заголовок (как это делают пакетные фильтры), но и содержание каждого пакета («proxy»), существенно снижается производительность межсетевого экра­на. Для сетей с напряженным трафиком использование обычных межсетевых эк­ранов становится нецелесообразным. В таких случаях на первое место надо ста­вить обнаружение атак и реагирование на них, а блокировать трафик необходимо только в случае возникновения непосредственной угрозы-. Тем более что некото­рые средства обнаружения атак (например BlacklCE Gigabit Sentry) могут функ­ционировать и на гигабитных скоростях.