— Stateless (простая фильтрация) — не отслеживают текущие соединения (например, TCP), а фильтруют поток данных исключительно на основе статических правил;
— Stateful (фильтрация с учётом контекста) — отслеживают текущие соединения и пропускают только такие пакеты, которые удовлетворяют логике и алгоритмам работы соответствующих протоколов и приложений.
Рассмотрим некоторые популярные брандмауэры, реализованные в виде прикладных программ.
1. Outpost Firewall Pro. Персональный брандмауэер, обладает следующими функциональными возможностями:
— предотвращение несанкционированного доступа к данным;
— сокрытие присутствия зщищаемой системы в сети (таким образом она делается «неви-димой» для взломщиков);
— анализ входящих почтовых сообщений и блокировка потенциально опасных;
— мониторинг и анализ сетевой активности системы;
— блокировка доступа к «запрещенным» сайтам (для детей или сотрудников).
2. ZoneAlarm Pro. Мощный брандмауэр с гибко настраиваемыми функциональными возможностями, включающими:
— фильтр приложений, позволяющий устанавливать права для каждой программы, ис-пользуемой в сети;
— поддержку цифровой подписи;
— подробный лог-файл событий и средства для его анализа, с последующей выдачей тек-стовых и графических отчетов;
— настраиваемый контроль cookies;
— механизм мгновенной автоматической или ручной блокировки доступа приложений к Интернет;
— автоматическую проверку вложений электронной почты.
Виртуальные частные сети (VPN)
Виртуальная частная сеть (VPN) — логическая сеть, создаваемая поверх другой се-ти, чаще всего Интернет. Все данные, передающиеся между узлами этой сети шифруются, поэтому, хотя физически данные передаются по публичным сетям с использованием не-
безопасных протоколов, по сути, VPN представляет собой закрытые от посторонних каналы обмена информацией.
Канал между двумя узлами, защищенный за счет шифрования проходящего по нему трафика, называется туннелем.
Выделяют два основных класса VPN:
1. Защищенные. Наиболее распространённый вариант. C его помощью на основе не-надёжной сети (как правило, Интернета) создается надежная и защищенная подсеть. Примером защищённых VPN являются: IPSec, OpenVPN и PPTP (протокол тунеллирования от точки к точке).
2. Доверительные. Используются для создания виртуальной подсети в рамках дру-гой, надежной и защищенной сети, т.е. задача обеспечения безопасности по сути не ста-вится. К доверительным VPN относятся протоколы MPLS и L2TP.
По архитектуре технического решения выделяют следующие классы VPN:
1. Внутрикорпоративные. Предназначены для обеспечения защищенного взаимодействия между подразделениями внутри предприятия или между группой предприятий, объединенных корпоративными связями, включая выделенные линии.
2. VPN с удаленным доступом. Предназначены для обеспечения защищенного уда-ленного доступа мобильных или удаленных сотрудников компаний к корпоратив-ным информационным ресурсам.
3. Межкорпоративные (extranet VPN). Обеспечивают прямой защищенный доступ из сети одной компании к сети другой компании (партнера, клиента и т.д.).
По способу технической реализации различают VPN на основе маршрутизаторов (задача шифрования трафика ложится на маршрутизаторы, через которые проходит вся исходящая из локальных сетей информация), на основе межсетевых экранов, на основе программного обеспечения и на основе специализированных аппаратных средств.
Рассмотрим набор протоколов IPSec, предназначенный для обеспечения защиты данных, передаваемых по протоколу IP. Он позволяет осуществлять подтверждение подлинности и шифрование IP-пакетов, а также включает протоколы для защищенного обмена ключами через Интернет.
Протоколы IPsec работают на сетевом уровне модели OSI. Они подразделяются на два класса: протоколы отвечающие за защиту потока передаваемых пакетов (ESP, AH) и протоколы обмена ключами (IKE). Протоколы защиты передаваемого потока могут работать в двух режимах — в транспортном режиме и в режиме туннелирования. В транспортном режиме шифруется (или подписывается) только информативная часть IP-пакета, а заголовок не затрагивается (поэтому процедура маршрутизации не изменяется). В туннельном режиме IP-пакет шифруется целиком. Для того, чтобы его можно было передать по сети, он помещается в другой IP-пакет. Именно этот режим используется для организа-ции виртуальной частной сети.
Режим IPSec-тунеллирования работает следующим образом [6]:
1. Обычный IP-пакет посылается на отправляющее IPSec-устройство (межсетевой экран или маршрутизатор), где он должен быть зашифрован и направлен в конечную систему по локальной сети.
2. Отправляющее IPSec-устройство проводит аутентификацию принимающего устройства.
3. Два IPSec-устройства «договариваются» о шифре и алгоритме аутентификации, которыми будут пользоваться.
4. Отправляющее IPSec-устройство шифрует IP-пакет с информацией и помещает его в другой пакет с AH (аутентифицирующим заголовком).
5. Пакет пересылается по сети (по протоколам TCP/IP).
6. Принимающее IPSec-устройство читает IP-пакет, проверяет его подлинность и извлекает зашифрованное вложение для расшифровки.
7. Принимающее устройство отправляет исходный пакет в пункт его назначения.
Системы обнаружения вторжений (IDS)
Система обнаружения вторжений (Intrusion Detection System — IDS) — программное или аппаратное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную систему или сеть либо несанкционированного управления ими (в основном через Интернет).
Системы обнаружения вторжений используются для обнаружения некоторых типов вредоносной активности, которые могут нарушить безопасность системы или сети. К ним относятся сетевые атаки против уязвимых сервисов, атаки, направленные на повышение привилегий, неавторизованный доступ к важным файлам, а также действия вредоносного программного обеспечения (вирусов, троянских коней).
Структурно СОВ состоит из следующих компонентов:
1. Сенсорная подсистема отслеживает события, которые могут затрагивать безопасность защищаемой системы.
2. Подсистема анализа выявляет среди этих событий те, которые представляют уг-розу или нарушения безопасности (атаки, подозрительные действия). В пассивных СОВ при обнаружении такого события информация о нем помещается в хранилище, после чего сигнал опаности по определенному каналу направляется администратору системы. Активные СОВ (системы предотвращения вторжений) могут также предпринять ответные действия (например, прервать соединение или автоматически настроить межсетевой экран для блокирования трафика от злоумышленника).
3. Хранилище обеспечивает накопление и хранение данных сенсорной подсистемы и результатов их анализа;
4. Консоль управления используется для настройки СОВ, наблюдения за состоянием защищаемой системы, просмотра выявленных подсистемой анализа инцидентов.
Рассмотрим основные разновидности современных СОВ [8].
1. СОВ, защищающие сегмент сети. Развертываются на специализированном серве-ре, на котором не работают никакие другие приложения (поэтому он может быть особенно надежно защищен от нападения; кроме того, этот сервер может быть сделан «невидимым» для нападающего). Для защиты сети устанавливаются несколько таких серверов, которые анализируют сетевой трафик в различных сегментах сети. Таким образом, несколько удачно расположенных систем могут контролировать большую сеть.
К недостаткам таких систем относят проблемы распознавания нападений в момент высокой загрузки сети, и неспособность анализировать степень проникновения (система просто сообщает об инициированном нападении).
2. СОВ, защищающие отдельный сервер. Собирают и анализируют информацию о процессах, происходящих на конкретном сервере. Благодаря узкой направленности, могут проводить высоко детализированный анализ и точно определять, кто из пользователей выполняет злонамеренные действия. Некоторые СОВ этого класса могут управлять груп-пой серверов, подготавливая централизованные обобщающие отчеты о возможных напа-дениях. В отличие от предыдущих систем могут работать даже в сети, использующей шифрование данных (когда информация находится в открытом виде на сервере до ее от-правки потребителю). Однако систем этого класса не способны контролировать ситуацию во всей сети, так как видят только пакеты, получаемые «своим» сервером. Кроме того, снижается эффективность работы сервера вследствие использования его вычислительных ресурсов.
3. СОВ на основе защиты приложений. Контролируют события, проявляющиеся в пределах отдельного приложения. Знания о приложении, а также возможность анализировать его системный журнал и взаимодействовать с ним посредством API, позволяет таким системам контролировать деятельность пользователей (работающих с данным приложением) с очень высокой степенью детализации.
Аналогично антивирусным программам, системы обнаружения вторжений используют два основных подхода к методам обнаружения подозрительной активности. Подход на основе сигнатуры выявляет деятельность, которая соответствует предопределенному набору событий, уникально описывающиему известное нападение. Эта методика чрезвычайно эффективна и является основным методом, используемым в коммерческих про-граммах. Однако, такая СОВ не может бороться с новыми видами нападений, а также с видоизмененными вариантами традиционных нападений, сигнатура которых незначительно отличается от имеющейся в базе. СОВ на основе аномалий обнаруживают нападения, идентифицируя необычное поведение на сервере или в сети. Они способны обнаруживать нападения, заранее не запрограмированные в них, но производят большое количество ложных срабатываний.
