|
|
|
сделать стартовой | добавить в избранное |
 |
|
Компьютеры, Программирование Программное обеспечение
Введение в брандмауэры |
Карабин, 6x60 мм. 
Забавная пачка "5000 дублей". 
Фонарь садовый «Тюльпан». План Понятие брандмауэра Почему именно брандмауэры? Проблемы, возникающие из-за брандмауэров Компоненты брандмауэра Можно найти решение ряд проблем с безопасностью в Интернете, или, по крайней мере, сделать их менее опасными, если использовать существующие и хорошо известные технологии и меры защиты на уровне хостов. Брандмауэр может значительно повысить уровень безопасности сети организации и сохранить в то же время доступ ко всем ресурсам Интернете. Эта глава дает обзор брандмауэров, который включает в себя описание того, как они устраняют опасность уязвимых мест, описанных в главе 1, от чего не защищают брандмауэры и компоненты, составляющие брандмауэр. Эта глава особое внимание обращает на использование усиленной аутентификации и важность политики безопасности при определении того, как брандмауэр будет реализовывать схему защиты. Рисунок 2.1 Пример брандмауэра с маршрутизатором и прикладным шлюзом Понятие брандмауэра Наверное, лучше всего начать с описания того, что НЕ является брандмауэром: брандмауэр - это не просто маршрутизатор, хост или группа систем, которые обеспечивают безопасность в сети. Скорее, брандмауэр - это подход к безопасности; он помогает реализовать политику безопасности, которая определяет разрешенные службы и типы доступа к ним, и является реализацией этой политики в терминах сетевой конфигурации, нескольких хостов и маршрутизаторов, и других мер защиты, таких как усиленная аутентификация вместо статических паролей. Основная цель системы брандмауэра - управление доступом К или ИЗ защищаемой сети. Он реализует политику сетевого доступа, заставляя проходить все соединения с сетью через брандмауэр, где они могут быть проанализированы и разрешены либо отвергнуты. Система брандмауэра может быть маршрутизатором, персональным компьютером, хостом, или группой хостов, созданной специально для защиты сети или подсети от неправильного использования протоколов и служб хостами, находящимися вне этой подсети. Обычно система брандмауэра создается на основе маршрутизаторов верхнего уровня, обычно на тех, которые соединяют сеть с Интернетом, хотя может быть создана и на других маршрутизаторах, для защиты только части хостов или подсетей. Проблемы, возникающие из-за брандмауэров Помимо описанных выше преимуществ использования брандмауэров, имеет место ряд недостатков при их использовании и ряд проблем, от которых брандмауэры не могут защитить. Брандмауэр не является панацеей от всех проблем безопасности, связанных с Интернетом. 2.3.1 Ограничение в доступе к нужным службам Самым очевидным недостатком брандмауэра является то, что он может блокировать ряд служб, которые используют пользователи, такие как EL E , F P, X Wi dows, FS и др. Тем не менее, эти недостатки не присущи только брандмауэрам; сетевой доступ также может ограничиваться при защите на уровне хостов в соответствии с политикой безопасности. Хорошо продуманная политика безопасности, в которой найден баланс между требованиями безопасности и потребностями пользователей, может сильно помочь при решении проблем из-за ограничений в доступе к службам. Некоторые сети могут иметь топологию, которая не позволяет применить брандмауэр, или использовать службы, такие как FS, таким образом, что использование брандмауэра потребует серьезных ограничений при работе в сети.
Например, в сети может требоваться использование FS и IS через основные маршрутизаторы. В такой ситуации стоимость установки брандмауэра нужно сравнить с ущербом, который понесет организация от атаки, использующей уязвимые места, защищаемые брандмауэром, то есть провести анализ риска, а затем принять решение на основании его результатов. Могут оказаться более уместными другие решения, такие как Керберос, но эти решения также имеют свои недостатки. содержит дополнительную информацию о Керберос и других потенциальных решениях. 2.3.2 Большое количество остающихся уязвимых мест Во-вторых, брандмауэры не защищают от черных входов(люков) в сети. Например, если можно осуществить неограниченный доступ по модему в сеть, защищенную брандмауэром, атакующие могут эффективно обойти брандмауэр . Сейчас скорости модемов достаточны для того, чтобы сделать возможным использование SLIP (Serial Li e IP) и PPP(Poi - o-Poi Pro ocol); SLIP или PPP-соединение внутри защищенной сети по сути является еще одним соединением с сетью и потенциальным уязвимым местом. Зачем нужен брандмауэр, если разрешен неограниченный доступ по модему? 2.3.3 Плохая защита от атак своих сотрудников Брандмауэры обычно не обеспечивают защиты от внутренних угроз. Хотя брандмауэр может защищать от получения посторонними лицами критических данных, он не защищает от копирования своими сотрудниками данных на ленту или дискету и выноса ее за пределы сети. Поэтому, было бы ошибкой думать, что наличие брандмауэра защищает от атак изнутри или атак, для защиты от которых нужен не брандмауэр. Наверное, не стоит вкладывать значительные ресурсы в брандмауэр, если есть другие способы украсть данные. 2.3.4 Другие проблемы С брандмауэром также связан ряд других проблем: WWW, gopher - новые информационные сервера и клиенты, такие как WWW, gopher, WAIS и ряд других не рассчитаны на совместную работу с брандмауэром, и из-за их новизны вообще достаточно рискованны. Имеется потенциальная возможность атак с помощью передачи специальных данных, при которых данные, обрабатываемые клиентом, могут содержать команды клиенту, эти команды могут заставлять клиента изменить параметры средств управления доступом или модифицировать важные файлы, связанные с защитой машины клиента. MBO E - групповые передачи с помощью IP(MBO E), содержащие речь и изображение, инкапсулируются в других пакетах; брандмауэры обычно пропускают эти пакеты, не проверяя их содержимое. Передачи типа MBO E представляют потенциальную угрозу, если пакеты содержат команды, изменяющие параметры работы средств защиты и позволяющие злоумышленникам получить доступ. Вирусы - брандмауэры не защищают от пользователей, загружающих программы для ПЭВМ, зараженные вирусами, из Интернетовских архивов или передачи таких программ в качестве приложений к письму. Так как эти программы могут быть закодированы или сжаты большим числом способов, брандмауэр не может сканировать такие программы на предмет обнаружения сигнатур вирусов. Проблема вирусов будет оставаться и должна быть решена с помощью других антивирусных мер защиты. Пропускная способность - брандмауэры являются потенциально узким местом, так как все соединения должны проходить через брандмауэр и, в некоторых случаях, изучаться брандмауэром.
Тем не менее, сегодня это не является проблемой, так как брандмауэры могут обрабатывать данные со скоростями 1.5 Мбита/с, а большинство сетей, подключенных к Интернету, имеют подключение со скоростью меньшей или равной этой. "Все яйца в одной корзине" - система брандмауэра концентрирует безопасность в одном месте, а не распределяет ее среди группы систем. Компрометация брандмауэра может быть ужасной для плохо защищенных систем в подсети. Этому тезису можно противопоставить контраргумент, что при увеличении подсети возрастают шансы того, что в ней появятся уязвимые места в безопасности. Несмотря на эти недостатки IS рекомендует, чтобы организации защищали свои ресурсы с помощью брандмауэров и других средств безопасности. Компоненты брандмауэра Основными компонентами брандмауэра являются: политика сетевого доступа механизмы усиленной аутентификации фильтрация пакетов прикладные шлюзы Следующие разделы описывают более детально каждую из этих компонент. 2.4.1 Политика сетевого доступа Имеется два вида политики сетевого доступа, которые влияют на проектирование, установку и использование системы брандмауэра. Политика верхнего уровня является проблемной концептуальной политикой, которая определяет, доступ к каким сервисам будет разрешен или явно запрещен из защищаемой сети, как эти сервисы будут использоваться, и при каких условиях будет делаться исключение и политика не будет соблюдаться. Политика нижнего уровня описывает, как брандмауэр должен на самом деле ограничивать доступ и фильтровать сервисы, которые указаны в политике верхнего уровня. Следующие разделы кратко описывают эти политики. Политика доступа к сервисам Политика доступа к сервисам должна фокусироваться на проблемах использования Интернета, описанных выше, и, судя по всему, на всем доступе к сети извне( то есть политика доступа по модемам, соединений SLIP и PPP). Эта политика должна быть уточнением общей политики организации в отношении защиты информационных ресурсов в организации. Чтобы брандмауэр успешно защищал их, политика доступа к сервисам должна быть реалистичной и согласовываться с заинтересованными лицами перед установкой брандмауэра. Реалистическая политика - это такая политика, в которой найден баланс между защитой сети от известных рисков, но в то же время обеспечен доступ пользователей к сетевым ресурсам. Если система брандмауэра запрещает или ограничивает использование некоторых сервисов, то в политике должна быть явно описана строгость, с которой это делается, чтобы предотвратить изменение параметров средств управления доступом сиюминутным образом. Только поддерживаемая руководством реалистическая политика может обеспечить это. Брандмауэр может реализовывать ряд политик доступа к сервисам, но типичная политика может запрещать доступ к сети из Интернета, и разрешать только доступ к Интернету из сети. Другой типичной политикой может быть разрешение некоторого доступа из Интернета, но только к избранным системам, таким как информационные сервера и почтовые сервера. Брандмауэры часто реализуют политик доступа к сервисам, которые позволяют пользователям сети работать из Интернета с некоторыми избранными хостами, но этот доступ предоставляется, только если он сочетается с усиленной аутентификацией.
Но на этот шаг ученый идет лишь в том случае, если перепробованы все традиционные пути решения проблемы. Так, основатели электродинамики были вынуждены отказаться от принципа дальнодействия, который в ньютоновской физике имел фундаментальное значение. М.Планк, перепробовав множество путей традиционного объяснения излучения абсолютно черного тела, отказался от принципа непрерывности действия, который до этого момента считался в физике "неприкосновенным". Такого рода гипотезы Н. Бор и называл "сумасшедшими идеями". Но от шизофренического бреда эти идеи и догадки отличает то, что, порывая с одним или двумя принципами, они сохраняют согласие с другими фундаментальными принципами, что и обусловливает серьезность выдвигаемой научной гипотезы. На четвертой стадии происходит разворачивание выдвинутого предположения и дедуктивное выведение из него эмпирически проверяемых следствий. На этой стадии возможна частичная переработка гипотезы, введение в нее с помощью мысленных экспериментов уточняющих деталей. На пятой стадии проводится экспериментальная проверка выведенных из теории следствий
1. Введение в популяционную и медицинскую генетику
2. Введение «Временного положения» 1867-1868 гг. и политико-правовые последствия для казахов
3. Введение новых правил в орфографии в немецком языке
4. Лекции по курсу "Введение в языкознание"
9. Введение в маркетинг (Доклад)
10. Ведение в курс "Основы экономической теории" (Введення в курс "Основи економiчної теорiї)
11. Введение и пересмотр хазарско-еврейской переписки
12. Люк Клапье Вовенарг. Введение в познание человеческого разума
13. Введение в онтологию языка
14. Введение в практику радиоэлектроники
15. Информационная деятельность в области здравоохранения: введение в проблему
16. Литература - Фармакология (введение)
Средство для мытья посуды Finish "Power Powder", порошкообразное, 2,5 кг. 
Цветные карандаши Color Peps, трехгранные, 12 цветов, в металлической коробке. 
Стул детский Ника складной, моющийся (цвет: синий, рисунок: птички). 17. Введение в предмет гипноза
18. Введение в специализацию Менеджмент
19. Введение в капельный анализ
25. Введение в использование шпаргалок
28. Проблемы студентов и преподавателей при введении ЕГЭ
29. Введение к книге «Мифы древнего Китая»
30. Введение в догматическое богословие - лекция 1
31. Введение в догматическое богословие - лекция 3
Ручки гелевые "Пчелка", 30 цветов. 
Машина "Ракетовоз АРК". 
Подушка с наполнителем "Лебяжий пух. Стандарт", 50x70 см. 33. Введение в организационное поведение
34. Введение в специализацию Менеджмент
35. Философское введение в "Основы построения систем искусственного интеллекта"
36. "Лекции по введению в психоанализ"
37. Введение в теорию эволюции
41. История английского языка и введение в спецфилологию
42. О способах введения «чужой» речи в текст (знаки препинания при прямой речи и цитировании)
43. Введение в курс эргономики
44. Влияние иммобилизации на иммунологические показатели на фоне введения меланотропина
46. Введення в курс “Основи економічної теорії”
48. Введение в философию компьютерных существ
Кувшин "Бистро", 1,8 л. 
Набор детской посуды "Белоснежка", 3 предмета. 
Говорящий планшетик "Сказочка". 49. Введение в проектирование реляционных баз данных
51. Введение в ADO
53. Введение кантонной системы управления и ее эволюция
57. Таинства Церкви: введение в изучение
58. Введение в историю русской социологии
60. Активность основных карбоксипептидаз в тканях мышей при введении тестостерона и прогестерона
62. Введение в юридическую специальность
63. Порядок введения военного положения. Система политических прав и свобод граждан России
Увлекательная настольная игра "Турбосчет". 
Бутылка под оливковое масло "Тоскана", 18x8,5x24 см, 1100 мл. 
Сковорода гриль-газ, мраморное антипригарное покрытие. 65. Аналіз методів введення обмежених обсягів текстової інформації
66. Введение в интернет. Доменные имена
67. Введение в программирование
68. Пристрої введення (виведення) аналогової інформації в ЕОМ (аналого-цифрові інтерфейси)
73. Ефекти, обумовлені введенням у клітини ссавців трансгена аполіпопротеїну А-1 людини
74. Патологическая анатомия: введение в предмет, общие аспекты, методы исследования в патологии
76. Обоснование введения конкурсного производства на примере ОАО "Кимрыинжсельстрой"
77. Проект мероприятий и апробация введения новых образовательных программ в МДОУ № 165 г. Новокузнецка
79. Введение в концептуальную психотерапию
Альбом для пастели "Pastel", А2, 20 листов. 
Бутылочка для кормления "Avent" Natural (260 мл). 
Ранец ортопедический "Kitty", цвет розовый. 82. Введение в этническую психологию
83. Краткое введение в анекантаваду
84. Введение в технологические процессы на автомобильном транспорте
85. Введение в специализацию: "Теория и методика гандбола"
89. Введение в экономическую теорию
