Ѓрандмауэр

Ѓрандмауэр

Original is at
http://koi.www.alpha.ru/Security/firewall.html

Ѓрандмауэр - это система или комбинациЯ систем, позволЯющие разделить сеть на две или более частей и реализовать набор правил, определЯющих условиЯ прохождениЯ пакетов из одной части в другую (см рис.1). Љак правило, зта граница проводитсЯ между локальной сетью предприЯтиЯ и €Ќ’…ђЌ…’, хотЯ ее можно провести и внутри локальной сети предприЯтиЯ. Ѓрандмауэр таким образом пропускает через себЯ весь трафик. „лЯ каждого проходЯщего пакета брандмауэр принимает решение пропускать его или отбросить. „лЯ того чтобы брандмауэр мог принимать эти решениЯ, ему необходимо определить набор правил. Ћ том, как эти правила описываютсЯ и какие параметры используютсЯ при их описании речь пойдет ниже.

Љак правило, брандмауэры функционируют на какой-либо UNIX платформе - чаще всего это BSDI, SunOS, AIX, IRIX и т.д., реже - DOS, VMS, WNT, Windows NT. €з аппаратных платформ встречаютсЯ INTEL, Sun SPARC, RS6000, Alpha , HP PA-RISC, семейство RISC процессоров R4400-R5000. Џомимо Ethernet, многие брандмауэры поддерживают FDDI, Token Ring, 100Base-T, 100VG-AnyLan, различные серийные устройства. ’ребованиЯ к оперативной памЯти и объему жесткого диска зависЯт от количества машин в защищаемом сегменте сети, но чаще всего рекомендуетсЯ иметь не менее 32Њб Ћ‡“ и 500 Њб на жестком диске.

Љак правило, в операционную систему, под управлением которой работает брандмауэр вносЯтсЯ изменениЯ, цель которых - повышение защиты самого брандмауэра. ќти изменениЯ затрагивают как Ядро Ћ‘, так и соответствующие файлы конфигурации. Ќа самом брандмауэре не разрешаетсЯ иметь счетов пользователей (а значит и потенциальных дыр), только счет администратора. Ќекоторые брандмауэры работают только в однопользовательском режиме. Њногие брандмауэры имеют систему проверки целостности программных кодов. Џри этом контрольные суммы программных кодов хранЯтсЯ в защищенном месте и сравниваютсЯ при старте программы во избежание подмены программного обеспечениЯ.

‚се брандмауэры можно разделить на три типа:

пакетные фильтры (packet filter)
сервера прикладного уровнЯ (application gateways)
сервера уровнЯ соединениЯ (circuit gateways)

‚се типы могут одновременно встретитьсЯ в одном брандмауэре.

Џакетные фильтры

Ѓрандмауэры с пакетными фильтрами принимают решение о том, пропускать пакет или отбросить, просматриваЯ IP-адреса, флаги или номера TCP портов в заголовке этого пакета. IP-адрес и номер порта - это информациЯ сетевого и транспортного уровней соответственно, но пакетные фильтры используют и информацию прикладного уровнЯ, т.к. все стандартные сервисы в TCP/IP ассоциируютсЯ с определенным номером порта.

„лЯ описаниЯ правил прохождениЯ пакетов составлЯютсЯ таблицы типа:

„ействие тип пакета адрес источн. порт источн. адрес назнач. порт назнач. флаги

Џоле "действие" может принимать значениЯ пропустить или отбросить. ’ип пакета - TCP, UDP или ICMP. ”лаги - флаги из заголовка IP-па-кета. ЏолЯ "порт источника" и "порт назначениЯ" имеют смысл только длЯ TCP и UDP пакетов.

‘ервера прикладного уровнЯ Ѓрандмауэры с серверами прикладного уровнЯ используют сервера конкретных сервисов - TELNET, FTP и т.д. (proxy server), запускаемые на брандмауэре и пропускающие через себЯ весь трафик, относЯщийсЯ к данному сервису. ’аким образом, между клиентом и сервером образуютсЯ два соединениЯ: от клиента до брандмауэра и от брандмауэра до места назначениЯ.

Џолный набор поддерживаемых серверов различаетсЯ длЯ каждого конкретного брандмауэра, однако чаще всего встречаютсЯ сервера длЯ следующих сервисов:

терминалы (Telnet, Rlogin)
передача файлов (Ftp)
электроннаЯ почта (SMTP, POP3)
WWW (HTTP)
Gopher
Wais
X Window System (X11)
Џринтер
Rsh
Finger
новости (NNTP) и т.д.

€спользование серверов прикладного уровнЯ позволЯет решить важную задачу - скрыть от внешних пользователей структуру локальной сети, включаЯ информацию в заголовках почтовых пакетов или службы доменных имен (DNS). „ругим положительным качеством ЯвлЯетсЯ возможность аутентификации на пользовательском уровне (аутентификациЯ - процесс подтверждениЯ идентичности чего-либо; в данном случае это процесс подтверждениЯ, действительно ли пользователь ЯвлЯетсЯ тем, за кого он себЯ выдает). Ќемного подробнее об аутентификации будет сказано ниже.

Џри описании правил доступа используютсЯ такие параметры как название сервиса, имЯ пользователЯ, допустимый временной диапазон использованиЯ сервиса, компьютеры, с которых можно пользоватьсЯ сервисом, схемы аутентификации. ‘ервера протоколов прикладного уровнЯ позволЯют обеспечить наиболее высокий уровень защиты - взаимодействие с внешним миров реализуетсЯ через небольшое число прикладных программ, полностью контролирующих весь входЯщий и выходЯщий трафик.

‘ервера уровнЯ соединениЯ

‘ервер уровнЯ соединениЯ представлЯет из себЯ транслЯтор TCP соединениЯ. Џользователь образует соединение с определенным портом на брандмауэре, после чего последний производит соединение с местом назначениЯ по другую сторону от брандмауэра. ‚о времЯ сеанса этот транслЯтор копирует байты в обоих направлениЯх, действуЯ как провод.

Љак правило, пункт назначениЯ задаетсЯ заранее, в то времЯ как источников может быть много ( соединение типа один - много). €спользуЯ различные порты, можно создавать различные конфигурации.

’акой тип сервера позволЯет создавать транслЯтор длЯ любого определенного пользователем сервиса, базирующегосЯ на TCP, осуществлЯть контроль доступа к этому сервису, сбор статистики по его использованию.

‘равнительные характеристики

Ќиже приведены основные преимущества и недостатки пакетных фильтров и серверов прикладного уровнЯ относительно друг друга.

Љ положительным качествам пакетных фильтров следует отнести следующие:

относительно невысокаЯ стоимость
гибкость в определении правил фильтрации
небольшаЯ задержка при прохождении пакетов

Ќедостатки у данного типа брандмауэров следующие :

локальнаЯ сеть видна ( маршрутизируетсЯ ) из €Ќ’…ђЌ…’
правила фильтрации пакетов трудны в описании, требуютсЯ очень хорошие знаниЯ технологий TCP и UDP
при нарушении работоспособности брандмауэра все компьютеры за ним становЯтсЯ полностью незащищенными либо недоступными
аутентификацию с использованием IP-адреса можно обмануть использованием IP-спуфинга (атакующаЯ система выдает себЯ за другую, используЯ ее IP-адрес)
отсутствует аутентификациЯ на пользовательском уровне

Љ преимуществам серверов прикладного уровнЯ следует отнести следующие:

локальнаЯ сеть невидима из €Ќ’…ђЌ…’
при нарушении работоспособности брандмауэра пакеты перестают проходить через брандмауэр, тем самым не возникает угрозы длЯ защищаемых им машин
защита на уровне приложений позволЯет осуществлЯть большое количество дополнительных проверок, снижаЯ тем самым вероЯтность взлома с использованием дыр в программном обеспечении
аутентификациЯ на пользовательском уровне может быть реализована система немедленного предупреждениЯ о попытке взлома.

Ќедостатками этого типа ЯвлЯютсЯ:

более высокаЯ, чем длЯ пакетных фильтров стоимость;
невозможность использовании протоколов RPC и UDP;
производительность ниже, чем длЯ пакетных фильтров.

‚иртуальные сети

ђЯд брандмауэров позволЯет также организовывать виртуальные корпоративные сети ( Virtual Private Network), т.е. объединить несколько локальных сетей, включенных в €Ќ’…ђЌ…’ в одну виртуальную сеть. VPN позволЯют организовать прозрачное длЯ пользователей соединение локальных сетей, сохранЯЯ секретность и целостность передаваемой информации с помощью шифрованиЯ. Џри этом при передаче по €Ќ’…ђЌ…’ шифруютсЯ не только данные пользователЯ, но и сетеваЯ информациЯ - сетевые адреса, номера портов и т.д.

‘хемы подключениЯ

„лЯ подключениЯ брандмауэров используютсЯ различные схемы. Ѓрандмауэр может использоватьсЯ в качестве внешнего роутера, используЯ поддерживаемые типы устройств длЯ подключениЯ к внешней сети (см рис. 1). €ногда используетсЯ схема, изображеннаЯ на рис 3, однако пользоватьсЯ ей следует только в крайнем случае, поскольку требуетсЯ очень аккуратнаЯ настройка роутеров и небольшие ошибки могут образовать серьезные дыры в защите.

…сли брандмауэр может поддерживать два Ethernet интерфейса (так называемый dual-homed брандмауэр), то чаще всего подключение осуществлЯетсЯ через внешний маршрутизатор (см рис. 4).

Џри этом между внешним роутером и брандмауэром имеетсЯ только один путь, по которому идет весь трафик. Ћбычно роутер настраиваетсЯ таким образом, что брандмауэр ЯвлЯетсЯ единственной видимой снаружи машиной. ќта схема ЯвлЯетсЯ наиболее предпочтительной с точки зрениЯ безопасности и надежности защиты.

„ругаЯ схема представлена на рис. 5.

Џри этом брандмауэром защищаетсЯ только одна подсеть из нескольких выходЯщих из роутера. ‚ незащищаемой брандмауэром области часто располагают серверы, которые должны быть видимы снаружи (WWW, FTP и т.д.). Ќекоторые брандмауэры предлагают разместить эти сервера на нем самом - решение, далеко не лучшее с точки зрениЯ загрузки машины и безопасности самого брандмауэра

‘уществуют решениЯ (см рис. 6),которые позволЯют организовать длЯ серверов, которые должны быть видимы снаружи, третью сеть; это позволЯет обеспечить контроль за доступом к ним, сохранЯЯ в то же времЯ необходимый уровень защиты машин в основной сети.
Џри этом достаточно много вниманиЯ уделЯетсЯ тому, чтобы пользователи внутренней сети не могли случайно или умышленно открыть дыру в локальную сеть через эти сервера

„лЯ повышениЯ уровнЯ защищенности возможно использовать в одной сети несколько брандмауэров, стоЯщих друг за другом.

Ђдминистрирование

‹егкость администрированиЯ ЯвлЯетсЯ одним из ключевых аспектов в создании эффективной и надежной системы защиты. Ћшибки при определении правил доступа могут образовать дыру, через которую может быть взломана система. Џоэтому в большинстве брандмауэров реализованы сервисные утилиты, облегчающие ввод, удаление, просмотр набора правил. Ќаличие этих утилит позволЯет также производить проверки на синтаксические или логические ошибки при вводе или редактированиЯ правил. Љак правило, эти утилиты позволЯют просматривать информацию, сгруппированную по каким либо критериЯм - например, все что относитсЯ к конкретному пользователю или сервису.

‘истемы сбора статистики и предупреждениЯ об атаке

…ще одним важным компонентом брандмауэра ЯвлЯетсЯ система сбора статистики и предупреждениЯ об атаке. €нформациЯ обо всех событиЯх - отказах, входЯщих, выходЯщих соединениЯх, числе переданных байт, использовавшихсЯ сервисах, времени соединениЯ и т.д. - накапливаетсЯ в файлах статистики. Њногие брандмауэры позволЯют гибко определЯть подлежащие протоколированию событиЯ, описать действиЯ брандмауэра при атаках или попытках несанкционированного доступа - это может быть сообщение на консоль, почтовое послание администратору системы и т.д. Ќемедленный вывод сообщениЯ о попытке взлома на экран консоли или администратора может помочь, если попытка оказалась успешной и атакующий уже проник в систему. ‚ состав многих брандмауэров входЯт генераторы отчетов, служащие длЯ обработки статистики. Ћни позволЯют собрать статистику по использованию ресурсов конкретными пользователЯми, по использованию сервисов, отказам, источникам, с которых проводились попытки несанкционированного доступа и т.д.

ЂутентификациЯ

ЂутентификациЯ ЯвлЯетсЯ одним из самых важных компонентов брандмауэров. Џрежде чем пользователю будет предоставлено право воспользоватьсЯ тем или иным сервисом, необходимо убедитьсЯ, что он действительно тот, за кого он себЯ выдает (предполагаетсЯ, что этот сервис длЯ данного пользователЯ разрешен: процесс определениЯ, какие сервисы разрешены называетсЯ авторизацией. ЂвторизациЯ обычно рассматриваетсЯ в контексте аутентификации - как только пользователь аутентифицирован, длЯ него определЯютсЯ разрешенные ему сервисы). Џри получении запроса на использование сервиса от имени какого-либо пользователЯ, брандмауэр проверЯет, какой способ аутентификации определен длЯ данного пользователЯ и передает управление серверу аутентификации. Џосле получениЯ положительного ответа от сервера аутентификации брандмауэр образует запрашиваемое пользователем соединение.

Љак правило, используетсЯ принцип, получивший название "что он знает" - т.е. пользователь знает некоторое секретное слово, которое он посылает серверу аутентификации в ответ на его запрос.

Ћдной из схем аутентификации ЯвлЯетсЯ использование стандартных UNIX паролей. ќта схема ЯвлЯетсЯ наиболее уЯзвимой с точки зрениЯ безопасности - пароль может быть перехвачен и использован другим лицом.

—аще всего используютсЯ схемы с использованием одноразовых паролей. „аже будучи перехваченным, этот пароль будет бесполезен при следующей регистрации, а получить следующий пароль из предыдущего ЯвлЯетсЯ крайне трудной задачей. „лЯ генерации одноразовых паролей используютсЯ как программные, так и аппаратные генераторы - последние представлЯют из себЯ устройства, вставлЯемые в слот компьютера. ‡нание секретного слова необходимо пользователю длЯ приведениЯ этого устройства в действие. ђЯд брандмауэров поддерживают Kerberos - один из наиболее распространенных методов аутентификации. Ќекоторые схемы требуют изменениЯ клиентского программного обеспечениЯ - шаг, который далеко не всегда приемлем. Љак правило, все коммерческие брандмауэры поддерживают несколько различных схем, позволЯЯ администратору сделать выбор наиболее приемлемой длЯ своих условий.

1996


Last-modified: Wed, 16 Apr 1997 11:51:30 GMT
Ћцените этот текст: