На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Межсетевое экранирование

Межсетевой экран и его назначение
Основная исследуемая в книге задача это эффективная защита ком­пьютера (автономного, либо в составе ЛВС), предназначенного для об­работки информации, требующей защиты от НСД. Вместе с тем, ком­пьютер может решать и отдельные функциональные задачи, не связанные непосредственно с обработкой данных пользователями. В частности, ком­пьютер с установленным на него специальным программным обеспече­нием может решать задачи межсетевого экранирования.
Межсетевой экран, как правило, служит для фильтрации исходящего и входящего трафика, циркулирующего между ЛВС и внешней сетью свя­зи. Направление теории защиты информации, связанное с созданием средств межсетевого экранирования, наверное, наиболее полно освеще­но на сегодняшний день в литературе, поэтому мы не будем подробно
останавливаться на этом вопросе. Для нас важным является вопрос, на­сколько актуальным является задача защиты компьютера, на который установлен межсетевой экран и в какой мере рассмотренные ранее под­ходы могут усилить межсетевую защиту.
Межсетевой экран может быть выполнен, как приложение, так и вхо­дить в состав ядра ОС. В частности, пакетные фильтры, обеспечиваю­щие фильтрацию на сетевом и транспортном уровнях (в соответствии с моделью OSI), присутствуют в некоторых реализациях ОС UNIX.
Атаки на межсетевые экраны
Не останавливаясь подробно на исследовании атак на межсетевые экра­ны, в очень общем виде их цели (опять же не способы, которых может
быть множество) можем классифицировать следующим образом:
» В первую очередь, это осуществление каких-либо действий для пре­одоления разграничений, реализуемых межсетевым экраном для воз­можности, прежде всего, получения несанкционированного доступа к ресурсам ЛВС извне.
• Во вторую очередь, это так называемые DoS атаки, призванные при­вести межсетевой экран к отказу для последующего обращения к другим ресурсам корпоративной сети от лица этого межсетевого эк­рана (в сети не может одновременно находиться два вычислительных
устройства с одним адресом).
Разграничение доступа реализуется с использованием пакетных фильт­ров, а противодействия DoS атакам -- фильтрами прикладного уровня.
Естественно, что как по назначению атаки, так и по возможности про­тиводействия атакам рассматриваемыми в книге способами нас будут ин­тересовать атаки, целью которых является НСД к информации ЛВС в
обход разграничительной политики доступа к ресурсам, реализуемой па­кетным фильтром межсетевого экрана.
Примечание
К Вопрос фильтрации на прикладном уровне не рассматривается, так как он /'"! выходит за рамки рассматриваемых в данной книге задач.
Использование расширенных возможностей механизмов управления доступом к ресурсам в решении задач межсетевого экранирования
Итак, межсетевой экран содержит в своем составе средство управления
удаленным доступом к ресурсам ЛВС -- пакетный фильтр. Настроенный
пакетный фильтр разграничивает доступ к узлам ЛВС по IP-адресам и TCP(UDP)-noPTaM. Пакетный фильтр, пропуская через себя весь исхо­дящий и входящий трафик, фильтрует каждый запрос к ресурсу (ресурс -
адрес и порт), пропуская только санкционированные (запросы, не соот­ветствующие заданным разграничениям, им отклоняются). Таким обра­зом, задача преодоления разграничительной политики доступа к ресур­сам здесь полностью аналогична по постановке и по решению
соответствующей задаче, рассмотренной выше для локальных ресурсов
защищаемого компьютера.
Таже как и раньше можем выделить явные и скрытые угрозы. Явные угрозы связаны с корректностью построения пакетного фильтра (коррек­тность реализуемой им модели управления доступом к ресурсам). Дан­ная задача нами не рассматривается — это вопрос разработчиков межсе-
экранов (приложений, фильтрующих запросы на доступ к ресур­сам). Вторая задача — задача противодействия скрытым угрозам, напря­мую связана с рассматриваемой нами задачей защиты компьютера, на ко­тором установлено средство межсетевого экранирования.
Как отмечали ранее, любая попытка преодоления механизма управления доступом (в предположении корректности его реализации) связана с выполнением какого-либо действия. Для межсетевых экранов — это уда­ленное внедрение какой-либо программы с последующим ее запуском с системными правами (либо с правами «root»). Очевидно, что основная возможность противодействия данным атакам состоит в возможности разграничения прав доступа для процессов, а также в обеспечении замк­нутости программной среды. При этом сетевым службам и порождаемым ими процессам должен запрещаться доступ к системному диску и фай­лам «на запись» с целью подмены системных программ на собственные,
соответственно, к файлам настройки ОС (к реестру ОС) и т.д.
Кроме того, в системе следует предотвратить механизмом обеспечения замкнутости программной среды возможность запуска каких-либо внеш­них программ. К исполняемым же файлам санкционированных программ сетевым приложением следует запретить доступ «на запись» с целью про­тиводействия их модификации. При этом гарантируется невозможность осуществления злоумышленником какого-либо действия (причем в об­щем случае — противодействие осуществляется скрытой угрозе) по пре­одолению разграничительной политики доступа к ресурсам, реализуемой
пакетным фильтром межсетевого экрана.
Отметим, что более подробно в работе данный вопрос не рассматрива­ется, т.к. это не является исследуемой областью защиты информации. Однако сказанного достаточно, чтобы сделать вывод о целесообразности
использования рассмотренных подходов при защите компьютера, реша­ющего задачи межсетевого экранирования, т.к. при их использовании возможность преодоления разграничительной политики доступа к ресур­сам защищаемой ЛВС решается в принципе (при условии корректной
реализации пакетного фильтра — модели управления доступом). При этом
противодействие оказывается не конкретной атаке, а скрытой угрозе, т.е.
цели атаки. Другими словами, задача защиты решается в общем случае.

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика