Дина Погонышева - Безопасность информационных систем. Учебное пособие

Программа Firewall устанавливается на компьютер-шлюз и выполняет основные функции экранирования межсетевого доступа. Структурно Firewall представляет собой административный модуль, управляющий набором модулей фильтров, установленных соответственно на маршрутизаторах, компьютере и при необходимости на выделенных серверах внутри локальной сети. Необходимо установка модулей фильтрации Firewall на компьютер-шлюз и маршрутизаторы экранирующей подсети.

Работа с программой Firewall состоит из следующих этапов:

• выработка правил фильтрации в соответствии с политикой безопасности предприятия;

• определение сетевых объектов, взаимоотношение которых регламентируется правилами фильтрации;

• определение набора используемых сервисов либо на основе встроенной базы данных, имеющей значительный набор TCP/IP сервисов, либо определяя собственные сервисы, используемые в организации;

• определение базы данных пользователей с указанием возможных рабочих мест, времени работы и порядок аутентификации;

• определение правил фильтрации в интерфейсе Firewall;

• проверка внутренней непротиворечивости набора правил фильтрации;

• компиляция фильтра и его установка на фильтрующих модулях;

• анализ протоколов работы для проверки адекватности политики безопасности предприятия.

Дополнительно включается трансляция адресов. Высокая производительность Firewall и прозрачность программы для пользователей позволяет эффективно использовать его как инструмент межсетевого экранирования в соответствии с политикой безопасности предприятия.

Для эффективной защиты компьютерных сетей также совместно с сетевыми экранами должны быть использованы средства аутентификации. В данном контексте информационной безопасности средство аутентификации предназначено для генерации одноразовых паролей, используемых для аутентификации удаленных пользователей. Преимуществом аутентификации является отсутствие передачи пароля через общедоступные коммуникации. Это делает невозможным получение несанкционированного доступа путем перехвата сетевых пакетов, что возможно, например, в случае стандартных сервисов типа telnet.

• В средствах аутентификации используются односторонние функции, для которых восстановление значения аргумента по значению функции (обращение) требует практически недоступных вычислительных ресурсов. Работа таких средств состоит из инициализации, когда пользовательский пароль используется как аргумент односторонней функции, применяемой последовательно N раз, и сеансовой аутентификации, которая сводится к следующему:

• удаленный пользователь сообщает серверу свое имя;

• сервер возвращает пользователю число, равное N – 1;

• пользователь на локальном компьютере вводит пароль, с которым клиентская часть производит N – 1 вычислений односторонней функции;

• результат вычислений посылается серверу;

• сервер проводит еще одно вычисление односторонней функции и сравнивает результат с полученным от клиента в предыдущий раз.

При использовании некриптографического средства обеспечивается проверка подлинности клиента, причем сеансовые пароли являются одноразовыми и не восстанавливаются с помощью предыдущих либо последующих паролей.

Модуль управления терминальным сервером имеет возможности обеспечения безопасности самого сервера и разграничения доступа клиентов, выполняя следующие функции:

• использование локального пароля на доступ к последовательному порту, для доступа по протоколу PPP, для доступа к административной консоли;

• использование запроса на аутентификацию с какой-либо машины локальной сети;

• использование внешних средств аутентификации;

• установку списка контроля доступа на порты терминального сервера;

• протоколирование сеансов связи через терминальный сервер. Установка терминального сервера должна быть такой, чтобы его работа осуществлялась исключительно через компьютер и с использованием аутентификации одноразовыми паролями. Это позволит достичь необходимой степени безопасности при работе удаленных пользователей с информационными ресурсами организации.

Проблемой защиты информации путем ее преобразования занимается криптология ( kryрtos — тайный, logos – наука). Криптология разделяется на два направления – криптографию и криптоанализ . Цели этих направлений прямо противоположны.