Функции межсетевого экранирования

Для противодействия несанкционированному межсетевому доступу бранд­мауэр должен располагаться между защищаемой сетью организации, яв­ляющейся внутренней, и потенциально враждебной внешней сетью (рис. 8.9). При этом все взаимодействия между этими сетями должны осу­ществляться только через межсетевой экран. Организационно экран входит в состав защищаемой сети.

Межсетевой экран должен учитывать протоколы информационного обмена, положенные в основу функционирования внутренней и внешней сетей. Если эти протоколы отличаются, то брандмауэр должен поддерживать многопротокольный режим работы, обеспечивая протокольное преобразование отличающихся по реализации уровней модели OSI для объединяемых сетей. Чаще всего возникает необходимость в совместной поддержке стеков прото­колов SPX/IPX и TCP/IP.

Рис. 8.9. Схема подключения межсетевого экрана

Брандмауэр не является симметричным. Для него отдельно задаются прави­ла, ограничивающие доступ из внутренней сети во внешнюю сеть и наобо­рот. В общем случае работа межсетевого экрана основана на динамическом выполнении двух групп функций: фильтрации проходящих через него информационных потоков; посредничества при реализации межсетевых взаимодействий.

В зависимости от типа экрана эти функции могут выполняться с различной полнотой. Простые межсетевые экраны ориентированы на выполнение только одной из данных функций. Комплексные экраны обеспечивают со­вместное выполнение указанных функций защиты. Собственная защищен­ность брандмауэра достигается с помощью тех же средств, что и защищен­ность универсальных систем.

Чтобы эффективно обеспечивать безопасность сети, комплексный бранд­мауэр обязан управлять всем потоком, проходящим через него, и отслежи­вать свое состояние. Для принятия управляющих решений по используемым сервисам межсетевой экран должен получать, запоминать, выбирать и обра­батывать информацию, полученную от всех коммуникационных уровней и от других приложений. Недостаточно просто проверять пакеты по отдельно­сти.

Устройство, подобное межсетевому экрану, может использоваться и для защиты отдельного компьютера. В этом случае экран, уже не являющийся межсетевым, устанавливается на защищаемый компьютер. Такой экран, называемый бранд­мауэром компьютера или системой сетевого экранирования, контролирует весь исходящий и входящий трафик независимо от всех прочих системных защит­ных средств. При экранировании отдельного компьютера поддерживается дос­тупность сетевых сервисов, но уменьшается или вообще ликвидируется нагруз­ка, индуцированная внешней активностью. В результате снижается уязвимость внутренних сервисов защищаемого таким образом компьютера, поскольку пер­воначально сторонний злоумышленник должен преодолеть экран, где защитные средства сконфигурированы особенно тщательно и жестко.