вращает ответ
        доверенному клиенту. </li>
    <li>„оверенный клиент,
        используЯ опцию маршрутизации
        источника, переправлЯет пакет
        к хосту атакующего. </li>
</ol>

<p>Њногие хосты Unix принимают
пакеты с маршрутизацией источника
и будут передавать их по пути,
указанному в пакете. Њногие
маршрутизаторы также принимают
пакеты с маршрутизацией источника,
в то времЯ как некоторые
маршрутизаторы могут быть
сконфигурированы таким образом,
что будут блокировать такие пакеты.
</p>

<p>…ще более простым
способом маскировки под клиента
ЯвлЯетсЯ ожидание того момента
времени, когда клиентскаЯ система
будет выключена, и последующаЯ
маскировка под нее. ‚о многих
организациЯх сотрудники
используют персональные ќ‚Њ с
сетевой математикой TCP/IP длЯ
подключениЯ к хостам с Unixом и
используюют машины с Unix как серверы
‹‚‘. Џќ‚Њ часто используют NFS длЯ
получениЯ доступа к директориЯм и
файлам на сервере(NFS использует
только IP-адреса длЯ аутентификации
клиентов). Ђтакующий может
сконфигурировать по окончании
работы свой Џќ‚Њ таким образом, что
он будет иметь то же самое имЯ и
IP-адрес, что и другаЯ машина, а затем
инициировать соединение с Unixовским
хостом, как если бы он был
доверенным клиентом. ќто очень
просто сделать и именно так
поступают атакующие-сотрудники
организации. </p>

<p>ќлектронную почту в
€нтернете особенно легко
подделать, и ей вообще нельзЯ
доверЯть, если в ней не применЯютсЯ
расширениЯ, такие как электроннаЯ
подпись письма[NIST94a]. Ќапример,
давайте рассмотрим взаимодействие
между хостами €нтернета при обмене
почтой. ‚заимодействие происходит
с помощью простого протокола,
использующего текстовые команды.
‡лоумышленник может легко ввести
эти команды вручную, используЯ TELNET
длЯ установлениЯ сеанса с портом
SMTP( простой протокол передачи
почты). Џринимающий хост доверЯет
тому, что заЯвлЯет о себе
хост-отправитель, поэтому можно
легко указать ложный источник
письма, введЯ адрес электронной
почты как адрес отправителЯ,
котоырй будет отличатьсЯ от
истинного адреса. ‚ результате,
любой пользователь, не имеющий
никаких привилегий, может
фальсифицировать электронное
письмо. </p>

<p>‚ других сервисах, таких
как DNS, также можно замаскироватьсЯ
под другую машину, но сделать это
несколько сложнее, чем длЯ
электронной почты. „лЯ этих
сервисов до сих пор существуют
угрозы, и их надо учитывать тому,
кто собираетсЯ пользоватьсЯ ими.
</p>

<h3>1.3.5 Ќедостатки служб ‹‚‘ и
взаимное доверие хостов друг к
другу<br>
</h3>

<p>•осты тЯжело
поддерживать в безопасном
состоЯнии и это занимает много
времени. „лЯ упрощениЯ управлениЯ
хостами и большего использованиЯ
преимуществ ‹‚‘, некоторые
организации используют такие
сервисы, как NIS(Network Information Service) и
NFS(Network File system). ќти сервисы могут
сильно уменьшить времЯ на
конфигурирование хостов, позволЯЯ
управлЯть рЯдом баз данных, таких
как файлы паролей, с помощью
удаленного доступа к ним и
обеспечиваЯ возможность
совместного использованиЯ файлов и
данных. Љ сожалению, эти сервисы
небезопасны по своей природе и
могут использоватьсЯ длЯ получениЯ
доступа грамотными
злоумышленниками. …сли
скомпрометирован центральный
сервер, то другие системы,
доверЯющие центральной системе,
также могут быть легко
скомпрометированы. </p>

<p>Ќекоторые сервисы, такие
как rlogin, позволЯют хостам
&quot;доверЯть&quot; друг другу длЯ
удобства работы пользователей и
облегчениЯ совместного
использованиЯ систем и устройств.
…сли в систему было совершено
проникновение или ее обманули с
помощью маскарада, и этой системе
другие системы, то длЯ
злоумышленника не составит труда
получить доступ к другим системам.
Ќапример, пользователь,
зарегистрированный на нескольких
машинах, может избавитьсЯ от
необходимости вводить пароль,
сконфигурировав себЯ на этих
машинах так, что они будут доверЯть
подключению с основной системы
пользователЯ. Љогда пользователь
использует rlogin длЯ подключениЯ к
хосту, то машина, к которой
подключаютсЯ, не будет спрашивать
пароль, а подключение будет просто
разрешено. •отЯ это и не так уж
плохо, так как пароль пользователЯ
не передаетсЯ и не сможет быть
перехвачен, это имеет тот
недостаток, что если злоумышленник
проникнет на основную машину под
именем пользователЯ, то
злоумышленник легко сможет
воспользоватьсЯ rlogin длЯ
проникновениЯ в счета пользователЯ
на других системах. Џо этой причине
использование взаимного довериЯ
хостов друг к другу не
рекомендуетсЯ[Bel89][Ches94]. </p>

<h3>1.3.6 ‘ложность конфигурированиЯ и
мер защиты</h3>

<p>‘истемы управлениЯ
доступом в хостах часто сложны в
настройке и тЯжело проверить,
правильно ли они работают. ‚
реузльтате неправильно
сконфигурированные меры защиты
могут привести к проникновению
злоумышленников. Ќесколько крупных
производителей Unix все еще продают
свои системы с системой управлениЯ
доступом, сконфигурированной так,
что пользователЯм предоставлен
маскимальный ( то есть наименее
безопасный) доступ, который может
привести к неавторизованному
доступу, если не будет произведена
переконфигурациЯ. </p>

<p>ђЯд инцидентов с
безопасностью произошел в
€нтернете отчасти из-за того, что
злоумышленники обнаружили
уЯзвимые места( позднее их
обнаружили пользователи, группы
компьютерной безопасности и сами
производители) . ’ак как большаЯ
часть современных вариантов Unix
позаимствовала свой сетевой код из
версии BSD, и так как исходный код
этой версии широко доступен,
злоумышленники смогли изучить его
на предмет ошибок и условий, при
которых их можно использовать длЯ
получениЯ доступа к системам.
Ћтчасти ошибки существуют из-за
сложности программ и невозможности
проверить их во всех средах, в
которых они должны работать. €ногда
ошибки легко обнаруживаютсЯ и
исправлЯютсЯ, но бывает и так, что
надо, как минимум, переписать все
приложение, что ЯвлЯетсЯ последним
средством( программа sendmail тому
пример).<br>
</p>

<h3>1.3.7 Ѓезопасность на уровне хостов
не мсштабируетсЯ.</h3>

<p>Ѓезопасность на уровне
хостов плохо шкалируетсЯ: по мере
того, как возрастает число хостов в
сети, возможности по обеспечению
гарантий безопасности на высоком
уровне длЯ каждого хоста
уменьшаютсЯ. “читываЯ то, что
админстрирование даже одной
системы длЯ поддержаниЯ
безопасности в ней может оказатьсЯ
сложным, управление большим
чсислом таких систем может легко
привести к ошибкам и упущениЯм.
‚ажно также помнить, что зачастую
важность работы системных
администраторов не понимаетсЯ и
эта работа выполнЯетсЯ кое-как. ‚
результате некоторые системы могут
оказатьсЯ менее безопасными, чем
другие, и именно эти системы станут
слабым звеном, которое в конечном
счете приведет к поЯвлению
уЯзвимого места в системе
безопасности. </p>

<p>…сли обнаруживаетсЯ
уЯзвимость в сетевом ЏЋ, сети,
котораЯ не защищена брандмауэром,
нужно срочно исправить ошибку на
всех системах, где она обнаружена.
Љак уже говорилось в пункте 1.3.2,
некоторые уЯзвимые места позволЯют
получить легкий доступ с правами
суперпользователЯ Unix. ЋрганизациЯ,
имеющаЯ много Unix-хостов, будет
особенно уЯзвима к атакам
злоумышленников в такой ситуации.
‡аделывание уЯзвимых мест на
многих системах за короткий
промежуток времени просто
невозможно, и если исопльзуютсЯ
различные версии Ћ‘, может
оказатьсЯ вообще невозможным.
’акие сети будутт просто-таки
напрашиватьсЯ на атаки
злоумышленников. </p>

<h2>1.4 Ќасколько уЯзвимы сети
организаци в €нтернете?</h2>

<p>Љак уже отмечалось в
предыдущих разделах, рЯд служб TCP и
UDP плохо обеспечивают безопасность
в современной среде в €нтернете.
Џри миллионах пользователей,
подключенных к €нтернету, и при том,
что правительства и промышленность
зависЯт от €нтернета, недостатки в
этих службах, а также
легкодоступность исходного кода и
средств длЯ автоматизации
проникновениЯ в системы могут
сделать сети уЯзвиыми к
проникновениЯм в них. ’ем не менее,
настоЯщий риск при использовании
€нтернета трудно оценить, и
непросто сказать, насколько
уЯзвима сеть к атакам
злоумышленников. ’акой статистики
не ведетсЯ. </p>

<p>Љоординационный –ентр по
групп расследованиЯ происшествий с
компьютерной безопасностью(CERT/CC)
ведет некоторую статистику о числе
инцидентов, которые они
расследовали после его созданиЯ в
1988 году. —исла в этой статистике
увеличиваютсЯ скачкообразно
каждый год, но следует помнить, что
и число машин в €нтернете также
растет. ‚ некоторых случаЯх CERT
считает несколько проникновений
одного и того жн типа одним
происшествием, поэтому одно
происшествие может состоЯть из
нескольких сотен проникновений в
рЯд систем. ’рудно сказать,
насколько пропорциональны число
инцидентов и число проникновений.
ќта проблема также осложнЯетсЯ тем,
что чем больше людей знают о
существовании групп по
расследованию инцидентов, тем
больше вероЯтность того, что они
сообщат о происшествии, поэтому на
самом деле непонЯтно, то ли
происходит все больше
происшествий, то ли сообщаетсЯ о
все большем их проценте. </p>

<p>NIST считает, что €нтернет,
хотЯ и ЯвлЯетсЯ очень полезной и
важной сетью, в то же самое времЯ
очень уЯзвим к атакам. ‘ети, которые
соединены с €нтернетом,
подвергаютсЯ некоторому риску
того, что их системы будут
атакованы или подвергнуты
некоторому воздействию со стороны
злоумышленников, и что риск этого
значителен. ‘ледующие факторы
могут повлиЯть на уровень риска:
</p>

<ul>
    <li>число систем в сети
    </li>
    <li>какие службы
        используютсЯ в сети </li>
    <li>каким образом сеть
        соединена с €нтернетом </li>
    <li>профиль сети, или
        насколько известно о ее
        существовании </li>
    <li>насколько готова
        организациЯ к улаживанию
        инцидентов с компьютерной
        безопасностью </li>
</ul>

<p>—ем больше систем в сети,
тем труднее контролировать их
безопасность. Ђналогично, если сеть
соединена с €нтернетом в
нескольких местах, то она будет
более уЯзвима чем сеть с одним
шлюзом. ‚ то же самое времЯ, то,
насколько готова к атаке
организациЯ, или то, насколько она
зависит от €нтернета, может
увеличить или уменьшить риск. ‘еть,
имеющаЯ привлекательный длЯ
злоумышленников профиль, может
подвергнутьсЯ большему числу атак
с целью получениЯ информации,
хранЯщейсЯ в ней. •отЯ, стоит
сказать, что &quot;молчаливые&quot; мало
посещаемые сети также
привлекательны длЯ
злоумышленников, так как им легче
будет скрыть свою активность. </p>

<p>NIST заЯвлЯет, что сети,
которые используют
рекомендованные процедуры и меры
защиты длЯ повышениЯ компьютерной
безопасности, будут подвергатьсЯ
значительно меньшему риску атак.
Ѓрандмауэры в сочетании с
одноразовыми паролЯми, которые
устойчивы к их перехвату, могут
увеличить общий уровень
безопасности сети и сделать
использование €нтернета
достаточно безопасным. ‘ледующие
главы содержат более детальное
описание брандмауэров и того, как
они могут использованы длЯ защиты
от многих угроз и уЯзвимых мест,
описанных в этой главе. <br>
</p>

        ѓлава 2. ‚ведение в брандмауэры

---------------------------------------------------------------
Original is here
http://eye.wplus.spb.ru/www/kvn/800-10/chap2.htm і http://eye.wplus.spb.ru/www/kvn/800-10/chap2.htm
Џеревод ‚ладимира Љазеннова (kvn@win.wplus.net)
---------------------------------------------------------------

<P>Њожно найти решение рЯд проблем с безопасностью в €нтернете,
описанных в главе 1, или, по крайней мере, сделать их менее опасными, если
использовать существующие и хорошо известные технологии и меры защиты на
уровне хостов. Ѓрандмауэр может значительно повысить уровень безопасности
сети организации и сохранить в то же времЯ доступ ко всем ресурсам €нтернете.
ќта глава дает обзор брандмауэров, который включает в себЯ описание того,
<B>как</B> они устранЯют опасность уЯзвимых мест, описанных в главе 1,
<B>от чего</B> не защищают брандмауэры и компоненты, составлЯющие брандмауэр.
ќта глава особое внимание обращает на использование усиленной аутентификации
и важность политики безопасности при определении того, как брандмауэр будет
реализовывать схему защиты. </P>

<P><IMG SRC="chap201.gif" HEIGHT=433 WIDTH=658>
</P>

<P>ђисунок 2.1 Џример брандмауэра с маршрутизатором и прикладным
шлюзом </P>

<H2>2.1 ЏонЯтие брандмауэра</H2>

<P>Ќаверное, лучше всего начать с описаниЯ того, что Ќ… ЯвлЯетсЯ
брандмауэром: брандмауэр - это не просто маршрутизатор, хост или группа
систем, которые обеспечивают безопасность в сети. ‘корее, брандмауэр -
это подход к безопасности; он помогает реализовать политику безопасности,
котораЯ определЯет разрешенные службы и типы доступа к ним, и ЯвлЯетсЯ
реализацией этой политики в терминах сетевой конфигурации, нескольких хостов
и маршрутизаторов, и других мер защиты, таких как усиленнаЯ аутентификациЯ
вместо статических паролей. ЋсновнаЯ цель системы брандмауэра - управление
доступом <B>Љ</B> или <B>€‡ </B>защищаемой сети. Ћн реализует политику
сетевого доступа, заставлЯЯ проходить все соединениЯ с сетью через брандмауэр,
где они могут быть проанализированы и разрешены либо отвергнуты.
</P>

<P>‘истема брандмауэра может быть маршрутизатором, персональным
компьютером, хостом, или группой хостов, созданной специально длЯ защиты
сети или подсети от неправильного использованиЯ протоколов и служб хостами,
находЯщимисЯ вне этой подсети. Ћбычно система брандмауэра создаетсЯ на
основе маршрутизаторов верхнего уровнЯ, обычно на тех, которые соединЯют
сеть с €нтернетом, хотЯ может быть создана и на других маршрутизаторах,
длЯ защиты только части хостов или подсетей. </P>

<H2>2.2 Џочему именно брандмауэры?</H2>

<P>Ћснвоной причиной использованиЯ брандмауэров ЯвлЯетсЯ
тот факт, что без брандмауэра системы подсети подвергаютсЯ опасности использованиЯ
уЯзвимых мест служб, таких NFS и NIS, или сканированиЯ и атак со стороны
хостов в €нтернете. ‚ среде без брандмауэра сетеваЯ безопасность целиком
зависит от безопасности хостов и все хосты должны в этом случае взаимодействовать
длЯ достижениЯ одинаково высокого уровнЯ безопасности. —ем больше подсеть,
тем труднее поддерживать все хосты на одном уровне безопасности. Ћшибки
и упущениЯ в безопасности стали распространенными, проникновениЯ происходЯт
не в результате хитроумных атак, а из-за простых ошибок в конфигурировании
и угадываемых паролей. </P>

<P>Џодход с использованием брандмауэра имеет многочисленные
преимущества длЯ сетей и помогает повысить безопасность хостов. ‘ледующие
разделы кратко описывают выгоды использованиЯ брандмауэра. </P>

<H3>2.2.1 ‡ащита от уЯзвимых мест в службах</H3>

<P>Ѓрандмауэр может значительно повысить сетевую безопасность
и уменьшить риски длЯ хостов в подсети путем фильтрации небезопасных по
своей природе служб. ‚ результате подсеть будет подвергатьсЯ гораздо меньшему
числу опасностей, так как только через брандмауэр смогут пройти только
безопасные протоколы. </P>

<P>Ќапример, брандмауэр может запретить, чтобы такие уЯзвимые
службы, как NFS, не использовались за пределами этой подсети. ќто позволЯет
защититьсЯ от использованиЯ этих служб посторонними атакующими, но продолжать
использовать их внутри сети, не подвергаЯсь особой опасности. Џоэтому можно
будет спокойно использовать такие удобные службы, как NFS и NIS, специально
разработанные длЯ уменьшениЯ затрат на администрирование в локальной сети.
</P>

<P>Ѓрандмауэры также могут обеспечить защиту от атак с использованием
маршрутизации, таких как маршрутизациЯ источника и попыток изменить маршруты
передачи данных с помощью команд перенаправлениЯ ICMP. Ѓрандмауэр может
заблокировать все пакеты с маршрутизацией источника и перенаправленЯ ICMP,
а затем информировать администраторов об инцидентах. </P>

<H3>2.2.2 “правлЯемый доступ к систем сети</H3>

<P>Ѓрандмауэр также предоставлЯет возможности по управлению
доступом к хостам сети. Ќапример, некоторые хосты могут быть сделаны достижимыми
из внешних сетей, в то времЯ как доступ к другим системам извне будет запрещен.
‘еть может запретить доступ к своим хостам извне, за исключением особых
случаев, таких как почтовые сервера или информационные сервера.
</P>

<P>ќти свойства брандмауэров требуютсЯ при политике управлениЯ
доступом, построенной по принципу: не предоставлЯть доступ к хостам или
службам, к которым доступ не требуетсЯ. „ругими словами, зачем давать доступ
к хостам и службам, которые могут использоватьсЯ атакующими, когда на самом
деле он не нужен или не требуетсЯ? …сли, например, пользователю не нужно,
чтобы кто-то в сети мог получить доступ к его рабочей станции, то брандмауэр
как раз и может реализовать этот вид политики. </P>

<H3>2.2.3 ЉонцентрированнаЯ безопасность</H3>

<P>Ѓрандмауэр может на самом деле оказатьсЯ недорогим длЯ
организации из-за того, что большинство или все изменениЯ в программах
и дополнительные программы по безопасности будут установлены на системе
брандмауэра, а не распределены по большому числу хостов. ‚ частности, системы
одноразовых паролей и другие дополнительные программы усиленной аутентификации
могут быть установлены только на брандмауэре, а не на каждой системе, которой
нужно обращатьсЯ к €нтернету. </P>

<P>„ругие подходы к сетевой безопасности, такие как Kerberos[NIST94c]
требуют модификации программ на каждой системе в сети. Џоэтому, хотЯ Kerberos
и другие технологии также должны рассматриватьсЯ из-за их преимуществ и
могут оказатьсЯ наиболее подходЯщими, чем брандмауэры в определенных ситуациЯх,
все-таки брандмауэры проще в реализации, так как специальные программы
требуютсЯ только на брандмауэре. </P>

<H3>2.2.4 ЏовышеннаЯ конфиденциальность<BR>
</H3>

<P>Љонфиденциальность очень важна длЯ некоторых организаций,
так как то, что обычно считаетсЯ безобидной информацией, может на самом
деле содержать полезные подсказки длЯ атакующего. €спользуЯ брандмауэр,
некоторые сети могут заблокировать такие службы, как finger и доменную
службу имен. finger дает информацию о пользователЯх, такую как времЯ последнего
сеанса, читалась ли почта, и другие данные. Ќо finger может дать атакующему
информацию о том, как часто используетсЯ система, работают ли сейчас в
этой системе пользователи, и может ли быть система атакована, не привлекаЯ
при этом вниманиЯ. </P>

<P>Ѓрандмауэры также могут быть использованы длЯ блокированиЯ
информации DNS о системах сети, поэтому имена и IP-адреса хостов в сети
не станут известны хостам в €нтернете. Ќекоторые организации уже убедились
в том, что блокируЯ эту информацию, они скрывают ту информацию, котораЯ
была бы полезна длЯ атакующего. </P>

<H3>2.2.5 Џротоколирование и статистика использованиЯ сети и попыток проникновениЯ</H3>

<P>…сли все доступ к €нтернету и из €нтернета осуществлЯетсЯ
через брандмауэр, то брандмауэр может протоколировать доступ и предоставить
статистику об использовании сети. Џри правильно настроенной системе сигналов
о подозрительных событиЯх (alarm), брандмауэр может дать детальную информацию
о том, были ли брандмауэр или сеть атакованы или зондированы. </P>

<P>‚ажно собирать статистику использованиЯ сети и доказательства
зондированиЯ по рЯду причин. Џрежде всего нужно знать навернЯка, что брандмауэр
устойчив к зондированию и атакам, и определить, адекватны ли меры защиты
брандмауэра. Љроме того, статистика использованиЯ сети важна в качестве
исходных данных при проведении исследований длЯ формулированиЯ требований
к сетевому оборудованию и программам и анализе риска. </P>

<H3>2.2.6 Џретворение в жизнь политики</H3>

<P>€ наконец, самое важное - брандмауэр предоставлЯет средства
реализации и претворениЯ в жизнь политики сетевого доступа. ”актически,
брандмауэр обеспечивает управление доступом длЯ пользователей и служб.
Џоэтому, политика сетевого доступа может быть реализована с помощью брандмауэра,
в то времЯ как без него, такаЯ политика зависит целиком от доброй воли
пользователей. ЋрганизациЯ может зависеть от своих пользователей, но не
должна зависеть от доброй воли всех пользователей €нтернета. </P>

<H2>2.3 Џроблемы, возникающие из-за брандмауэров</H2>

<P>Џомимо описанных выше преимуществ использованиЯ брандмауэров,
имеет место рЯд недостатков при их использовании и рЯд проблем, от которых
брандмауэры не могут защитить. Ѓрандмауэр не ЯвлЯетсЯ панацеей от всех
проблем безопасности, свЯзанных с €нтернетом. </P>

<H3>2.3.1 Ћграничение в доступе к нужным службам</H3>

<P>‘амым очевидным недостатком брандмауэра ЯвлЯетсЯ то, что
он может блокировать рЯд служб, которые используют пользователи, такие
как TELNET, FTP, X Windows, NFS и др. ’ем не менее, эти недостатки не присущи
только брандмауэрам; сетевой доступ также может ограничиватьсЯ при защите
на уровне хостов в соответствии с политикой безопасности. •орошо продуманнаЯ
политика безопасности, в которой найден баланс между требованиЯми безопасности
и потребностЯми пользователей, может сильно помочь при решении проблем
из-за ограничений в доступе к службам. </P>

<P>Ќекоторые сети могут иметь топологию, котораЯ не позволЯет
применить брандмауэр, или использовать службы, такие как NFS, таким образом,
что использование брандмауэра потребует серьезных ограничений при работе
в сети. Ќапример, в сети может требоватьсЯ использование NFS и NIS через
основные маршрутизаторы. ‚ такой ситуации стоимость установки брандмауэра
нужно сравнить с ущербом, который понесет организациЯ от атаки, использующей
уЯзвимые места, защищаемые брандмауэром, то есть провести анализ риска,
а затем принЯть решение на основании его результатов. Њогут оказатьсЯ более
уместными другие решениЯ, такие как Љерберос, но эти решениЯ также имеют
свои недостатки. [NIST94c] содержит дополнительную информацию о Љерберос
и других потенциальных решениЯх. </P>

<H3>2.3.2 Ѓольшое количество остающихсЯ уЯзвимых мест</H3>

<P>‚о-вторых, брандмауэры не защищают от черных входов(люков)
в сети. Ќапример, если можно осуществить неограниченный доступ по модему
в сеть, защищенную брандмауэром, атакующие могут эффективно обойти брандмауэр[
Iiaf91] . ‘ейчас скорости модемов достаточны длЯ того, чтобы сделать возможным
использование SLIP(Serial Line IP) и PPP(Point-to-Point Protocol); SLIP
или PPP-соединение внутри защищенной сети по сути ЯвлЯетсЯ еще одним соединением
с сетью и потенциальным уЯзвимым местом. ‡ачем нужен брандмауэр, если разрешен
неограниченный доступ по модему? </P>

<H3>2.3.3 ЏлохаЯ защита от атак своих сотрудников</H3>

<P>Ѓрандмауэры обычно не обеспечивают защиты от внутренних
угроз. •отЯ брандмауэр может защищать от получениЯ посторонними лицами
критических данных, он не защищает от копированиЯ своими сотрудниками данных
на ленту или дискету и выноса ее за пределы сети. Џоэтому, было бы ошибкой
думать, что наличие брандмауэра защищает от атак изнутри или атак, длЯ
защиты от которых нужен не брандмауэр. Ќаверное, не стоит вкладывать значительные
ресурсы в брандмауэр, если есть другие способы украсть данные. </P>

<H3>2.3.4 „ругие проблемы</H3>

<P>‘ брандмауэром также свЯзан рЯд других проблем:
</P>

<UL>
<LI><B>WWW, gopher</B> - новые информационные сервера и клиенты,
такие как WWW, gopher, WAIS и рЯд других не рассчитаны на совместную работу
с брандмауэром, и из-за их новизны вообще достаточно рискованны. €меетсЯ
потенциальнаЯ возможность атак с помощью передачи специальных данных, при
которых данные, обрабатываемые клиентом, могут содержать команды клиенту,
эти команды могут заставлЯть клиента изменить параметры средств управлениЯ
доступом или модифицировать важные файлы, свЯзанные с защитой машины клиента.
</LI>

<LI><B>MBONE </B>- групповые передачи с помощью IP(MBONE),
содержащие речь и изображение, инкапсулируютсЯ в других пакетах; брандмауэры
обычно пропускают эти пакеты, не проверЯЯ их содержимое. Џередачи типа
MBONE представлЯют потенциальную угрозу, если пакеты содержат команды,
изменЯющие параметры работы средств защиты и позволЯющие злоумышленникам
получить доступ. </LI>

<LI><B>‚ирусы </B>- брандмауэры не защищают от пользователей,
загружающих программы длЯ Џќ‚Њ, зараженные вирусами, из €нтернетовских
архивов или передачи таких программ в качестве приложений к письму. ’ак
как эти программы могут быть закодированы или сжаты большим числом способов,
брандмауэр не может сканировать такие программы на предмет обнаружениЯ
сигнатур вирусов. Џроблема вирусов будет оставатьсЯ и должна быть решена
с помощью других антивирусных мер защиты. </LI>

<LI><B>ЏропускнаЯ способность</B> - брандмауэры ЯвлЯютсЯ
потенциально узким местом, так как все соединениЯ должны проходить через
брандмауэр и, в некоторых случаЯх, изучатьсЯ брандмауэром. ’ем не менее,
сегоднЯ это не ЯвлЯетсЯ проблемой, так как брандмауэры могут обрабатывать
данные со скоростЯми 1.5 Њбита/с, а большинство сетей, подключенных к €нтернету,
имеют подключение со скоростью меньшей или равной этой. </LI>

<LI>&quot;<B>‚се Яйца в одной корзине</B>&quot; - система
брандмауэра концентрирует безопасность в одном месте, а не распределЯет
ее среди группы систем. ЉомпрометациЯ брандмауэра может быть ужасной длЯ
плохо защищенных систем в подсети. ќтому тезису можно противопоставить
контраргумент, что при увеличении подсети возрастают шансы того, что в
ней поЯвЯтсЯ уЯзвимые места в безопасности. </LI>
</UL>

<P>ЌесмотрЯ на эти недостатки NIST рекомендует, чтобы организации
защищали свои ресурсы с помощью брандмауэров и других средств безопасности.
</P>

<H2>2.4 Љомпоненты брандмауэра</H2>

<P>Ћсновными компонентами брандмауэра ЯвлЯютсЯ: </P>

<UL>
<LI>политика сетевого доступа </LI>

<LI>механизмы усиленной аутентификации </LI>

<LI>фильтрациЯ пакетов </LI>

<LI>прикладные шлюзы </LI>
</UL>

<P>‘ледующие разделы описывают более детально каждую из этих
компонент. </P>

<H3>2.4.1 Џолитика сетевого доступа</H3>

<P>€меетсЯ два вида политики сетевого доступа, которые влиЯют
на проектирование, установку и использование системы брандмауэра. Џолитика
верхнего уровнЯ ЯвлЯетсЯ проблемной концептуальной политикой, котораЯ определЯет,
доступ к каким сервисам будет разрешен или Явно запрещен из защищаемой
сети, как эти сервисы будут использоватьсЯ, и при каких условиЯх будет
делатьсЯ исключение и политика не будет соблюдатьсЯ. Џолитика нижнего уровнЯ
описывает, как брандмауэр должен на самом деле ограничивать доступ и фильтровать
сервисы, которые указаны в политике верхнего уровнЯ. ‘ледующие разделы
кратко описывают эти политики. </P>

<H4>Џолитика доступа к сервисам</H4>

<P>Џолитика доступа к сервисам должна фокусироватьсЯ на проблемах
использованиЯ €нтернета, описанных выше, и, судЯ по всему, на всем доступе
к сети извне( то есть политика доступа по модемам, соединений SLIP и PPP).
ќта политика должна быть уточнением общей политики организации в отношении
защиты информационных ресурсов в организации. —тобы брандмауэр успешно
защищал их, политика доступа к сервисам должна быть реалистичной и согласовыватьсЯ
с заинтересованными лицами перед установкой брандмауэра. ђеалистическаЯ
политика - это такаЯ политика, в которой найден баланс между защитой сети
от известных рисков, но в то же времЯ обеспечен доступ пользователей к
сетевым ресурсам. …сли система брандмауэра запрещает или ограничивает использование
некоторых сервисов, то в политике должна быть Явно описана строгость, с
которой это делаетсЯ, чтобы предотвратить изменение параметров средств
управлениЯ доступом сиюминутным образом. ’олько поддерживаемаЯ руководством
реалистическаЯ политика может обеспечить это. </P>

<P>Ѓрандмауэр может реализовывать рЯд политик доступа к сервисам,
но типичнаЯ политика может запрещать доступ к сети из €нтернета, и разрешать
только доступ к €нтернету из сети. „ругой типичной политикой может быть
разрешение некоторого доступа из €нтернета, но только к избранным системам,
таким как информационные сервера и почтовые сервера. Ѓрандмауэры часто
реализуют политик доступа к сервисам, которые позволЯют пользователЯм сети
работать из €нтернета с некоторыми избранными хостами, но этот доступ предоставлЯетсЯ,
только если он сочетаетсЯ с усиленной аутентификацией. </P>

<H4>Џолитика проекта брандмауэра</H4>

<P>Ћна специфична длЯ конкретного брандмауэра. Ћна определЯет
правила, используемые длЯ реализации политики доступа к сервисам. ЌельзЯ
разрабатывать эту политику, не понимаЯ такие вопросы, как возможности и
ограничениЯ брандмауэра, и угрозы и узЯвимые места, свЯзанные с TCP/IP.
Љак правило, реализуетсЯ одна из двух базовых политик проекта: </P>

<OL>
<LI><I><U>разрешить</U></I> доступ длЯ сервиса, если он Явно
не запрещен </LI>

<LI><I><U>запретить</U></I> доступ длЯ сервиса, если он Явно
не разрешен </LI>
</OL>

<P>Ѓрандмауэр, который реализует первую политику, пропускает
все сервисы в сеть по умолчанию, нсли только этот сервис не был Явно указан
в политике управлениЯ доступом как запрещенный. Ѓрандмауэр, который реализует
вторую политику, по умолчанию запрещает все сервисы, но пропускает те,
которые указаны в списке разрешенных сервисов. ‚тораЯ политика следует
классической модели доступа, используемой во всех областЯх информационной
безопасности. </P>

<P>ЏерваЯ политика менее желательна, так как она предоставлЯет
больше способов обойти брандмауэр, например, пользователи могут получить
доступ к новым сервисам, не запрещаемым политикой( или даже не указанных
в политике), или запустить запрещенные сервисы на нестандартных портах
TCP/UDP, которые не запрещены политикой. Ћпределенные сервисы, такие как
X Windows , FTP, ARCHIE и RPC, сложно фильтровать [Chap92],[Ches94], и
длЯ них лучше подходит брандмауэр, реализующий первую политику. ‚тораЯ
политика строже и безопаснее, но ее тЯжелее реализовать и она может повлиЯть
на работу пользователей в том отношении, что рЯд сервисов, такие, как описанные
выше, могут оказатьсЯ блокированными или использование их будет ограничено.
</P>

<P>‚заимосвЯзь между концептуальной политикой доступа к сервисам
и соответствующей ей второй частью описана выше. ќта взаимосвЯзь существует
из-за того, что реализациЯ политики доступа к сервисам сильно зависит от
возможностей и ограничений системы брандмауэра, а также уЯзвимых мест,
имеющихсЯ в разрешенных интернетовских сервисах. Ќапример, может оказатьсЯ
необходимым запретить сервисы, разрешенные политикой доступа к сервисам,
если уЯзвимые места в них не могут эффективно контролироватьсЯ политикой
нижнего уровнЯ и, если безопасность сети важнее всего. ‘ другой стороны,
организациЯ, котораЯ сильно зависит от этих сервисов при решении своих
задач, может принЯть это более высокий риск и разрешить доступ к этим сервисам.
ќта взаимосвЯзь приводит к тому, что формулирование обоих политик становитсЯ
итеративным процессом. </P>

<P>Џолитика доступа к сервисам - самый важный компонент из
четырех, описанных выше. Ћстальные три компонента используютсЯ длЯ реализации
политики. ( €, как отмечалось выше, политика доступа к сервисам должна
отражать общую политику безопасности организации). ќффективность системы
брандмауэра при защите сети зависит от типа используемой реализации его,
от правильности процедур работы с ним, и от политики доступа к сервисам.
</P>

<H3>2.4.2 “силеннаЯ аутентификациЯ</H3>

<P>ђазделы 1.3, 1.3.1 и 1.3.2 описывали инциденты в €нтернете,
произошедшие отчасти из-за уЯзвимости традиционных паролей. “же много лет
пользователЯм рекомендуетсЯ выбирать такие пароли, которые было бы тЯжело
угадать и не сообщать их никому. ’ем не менее, даже если пользователь следует
этому совету( а многие и этого не делают), то тот факт, что злоумышленники
могут наблюдать за каналами в €нтернете и перехватывать передающиесЯ в
них пароли, делает традиционные пароли устаревшими. </P>

<P>ђазработан рЯд мер усиленной аутентификации, таких как
смарт-карты, биометрические механизмы, и программные механизмы, длЯ защиты
от уЯзвимости обычных паролей. •отЯ они и отличаютсЯ друг от друга, все
они одинаковы в том отношении, что пароли, генерируемые устройством усиленной
аутентификации, не могут быть повторно использованы атакующим, который
перехватывает траффик соединениЯ. ’ак как проблема с паролЯми в €нтернете
ЯвлЯетсЯ постоЯнной, брандмауэр длЯ соединениЯ с €нтернетом, который не
имеет средств усиленной аутентификации или не использует их, бессмысленен.
</P>

<P>ђЯд наиболее популЯрных устройств усиленной аутентификации,
используемых сегоднЯ, называютсЯ <I>системами с одноразовыми паролЯми</I>.
‘март-карта, например, генерирует ответ, который хост использует вместо
традиционного паролЯ. ’ак как смарт-карта работает совместно с программой
или оборудованием на хосте, генерируемые ответы уникальны длЯ каждого установлениЯ
сеанса. ђезультатом ЯвлЯетсЯ одноразовый пароль, который, если перехватываетсЯ,
не может быть использован злоумышленником длЯ установлениЯ сеанса с хостом
под видом пользователЯ. [NIST94a] и [NIST91a] более детально описывают
устройства усиленной аутентификации и средства защиты на их основе.<BR>
</P>

<P><IMG SRC="chap202.gif" HEIGHT=197 WIDTH=682><BR>
</P>

<P>ђисунок 2.2 €спользование усиленной аутентификации в брандмауэре
длЯ предварительной аутентификации трафика TELNET, FTP </P>

<P>’ак как брандмауэры могут централизовать управление доступом
в сети, они ЯвлЯютсЯ логичным местом длЯ установки программ или устройств
усиленной аутентификации. •отЯ меры усиленной аутентификации могут использоватьсЯ
на каждом хосте, более практичным ЯвлЯетсЯ их размещение на брандмауэре.
ђисунок 2.2 показывает, что в сети без брандмауэра, использующего меры
усиленной аутентификации, неаутентифицированный траффик таких приложений
как TELNET или FTP, может напрЯмую проходить к системам в сети. …сли хосты
не используют мер усиленной аутентификации, злоумышленник может попытатьсЯ
взломать пароли или перехватывать сетевой трафик с целью найти в нем сеансы,
в ходе которых передаютсЯ пароли. ђисунок 2.2 также показывает сеть с брандмауэром,
использующим усиленную аутентификацию, при которой сеансы TELNET или FTP,
устанавливаемые со стороны €нтернета с системами сети, должны проходить
проверку с помощью усиленной аутентификации перед началом работы. ‘ами
системы сети могут продолжать требовать статические пароли перед доступом
к себе, но эти пароли нельзЯ будет использовать, даже если их перехватить,
так как меры усиленной аутентификации и другие компоненты брандмауэра не
позволЯт злоумышленнику проникнуть или обойти брандмауэр. </P>

<P>—асти 2.4.4 и 3 содержат дополнительную информацию об
использовании мер усиленной аутентификации с брандмауэрами. ‘мотри [NIST94b]
длЯ получениЯ более подробной информации об использовании мер усиленной
аутентификации на хостах.<BR>
</P>

<H3>2.4.3 ”ильтрациЯ пакетов</H3>

<P>”ильтрациЯ IP-пакетов обычно выполнЯетсЯ с помощью маршрутизатора
с фильтрацией пакетов, осуществлЯющего ее, когда пакеты передаютсЯ между
интерфейсами маршрутизатора. ”ильтрующий маршрутизатор обычно может фильтровать
IP-пакеты на основе группы полей из следующих полей пакета: </P>

<UL>
<LI>IP-адрес отправителЯ </LI>

<LI>IP-адрес получателЯ </LI>

<LI>TCP/UDP-порт отправителЯ </LI>

<LI>TCP/UDP-порт получателЯ </LI>
</UL>

<P>Ќе все фильтрующие маршрутизаторы сейчас фильтруют по
TCP/UDP-порту отправителЯ, но многие производители начали включать такую
возможность. Ќекоторые маршрутизаторы проверЯют, с какого сетевого интерфейса
маршрутизатора пришел пакет, и затем используют эту информацию как дополнительный
критерий фильтрации. Ќекоторые версии Unix имеют возможность фильтрации
пакетов, но далеко не все. </P>

<P>”ильтрациЯ может быть использована различным образом длЯ
блокированиЯ соединений от или к отдельным хостам или сетЯм, и длЯ блокированиЯ
соединений к различным портам. Ћрганизации может понадобитьсЯ блокировать
соединениЯ от специфических адресов, таких как хосты или сети, которые
считаютсЯ враждебными или ненадежными. €ли же организациЯ может захотеть
блокировать соединениЯ от всех адресов, внешних по отношению к организации(
с небольшими исключениЯми, такими как SMTP длЯ получениЯ почты).
</P>

<P>„обавление фильтрации по портам TCP и UDP к фильтрации
по IP-адресам дает большую гибкость. Ќапомним главу 1, в которой говорилось,
что сервера, такие как демон TELNET, свЯзаны обычно с конкретными портами,
такими как порт 23 длЯ TELNET. …сли брандмауэр может блокировать соединениЯ
TCP или UDP к или от определенных портов, то можно реализовать политику,
при которой определенные виды соединений могут быть осуществлены только
с конкретными хостами, но не с другими. Ќапример, организациЯ может захотеть
блокировать все входЯщие соединениЯ длЯ всех хостов, кроме нескольких систем,
входЯщих в состав брандмауэра. „лЯ этих систем могут быть разрешены только
определенные сервисы, такие как SMTP длЯ одной системы, и TELNET или FTP
длЯ другой. Џри фильтрации по портам TCP и UDP эта политика может быть
легко реализована маршрутизатором с фильтрацией пакетов или хостом с возможностью
фильтрации пакетов. </P>

<P><IMG SRC="chap203.gif" HEIGHT=242 WIDTH=679><BR>
</P>

<P>ђисунок 2.3 Џример фильтрации пакетов длЯ TELNET и SMTP<BR>
</P>

<P>„лЯ примера рассмотрим политику, в которой разрешаютсЯ
только определенные соединениЯ с сетью с адресом 123.4.*.* ‘оединениЯ TELNET
разрешаютсЯ только с одним хостом, 123.4.5.6, который может быть прикладным
TELNET-шлюзом сети, а SMTP-соединениЯ разрешаютсЯ только с двумЯ хостами,
123.4.5.7 и 123.4.5.8, которые могут быть двумЯ почтовыми шлюзами сети.
NNTP(Network News Transfer Protocol) разрешаетсЯ только от взаимодействующего
с сетью сервера новостей, 129.6.48.254, и только с NNTP-сервером сети,
123.4.5.9, а протокол NTP(сетевого времени) разрешен длЯ всех хостов. ‚се
другие сервисы и пакеты блокируютсЯ. Џример набора правил приведен ниже:
</P>

<TABLE>
<TR>
<TD WIDTH=61>’ип</TD>

<TD WIDTH=174>Ђдрес отправителЯ </TD>

<TD WIDTH=174>Ђдрес получателЯ</TD>

<TD WIDTH=174>Џорт источника </TD>

<TD WIDTH=174>Џорт получателЯ</TD>

<TD WIDTH=174>„ействие </TD>
</TR>

<TR>
<TD WIDTH=61>
<CENTER><P>tcp</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>* </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>123.4.5.6</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>&gt;1023 </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>23</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>разрешить </P></CENTER>
</TD>
</TR>

<TR>
<TD WIDTH=61>
<CENTER><P>tcp</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>* </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>123.4.5.7</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>&gt;1023 </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>25</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>разрешить </P></CENTER>
</TD>
</TR>

<TR>
<TD WIDTH=61>
<CENTER><P>tcp</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>* </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>123.4.5.8</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>&gt;1023 </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>25</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>разрешить </P></CENTER>
</TD>
</TR>

<TR>
<TD WIDTH=61>
<CENTER><P>tcp</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>129.6.48.254 </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>123.4.5.9</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>&gt;1023 </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>119</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>разрешить </P></CENTER>
</TD>
</TR>

<TR>
<TD WIDTH=61>
<CENTER><P>udp</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>* </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>123.4.*.*</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>&gt;1023 </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>123</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>разрешить </P></CENTER>
</TD>
</TR>

<TR>
<TD WIDTH=61>
<CENTER><P>*</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>* </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>*</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>* </P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>*</P></CENTER>
</TD>

<TD WIDTH=174>
<CENTER><P>запретить </P></CENTER>
</TD>
</TR>
</TABLE>

<P>Џервое правило позволЯет пропускать пакеты TCP из €нтернета
от любого источника, имеющие порт отправителЯ больше чем 1023, к адресу
123.4.5.6, если соединение устанавливаетсЯ с портом 23. Џорт 23 - это порт,
свЯзанный с сервером TELNETa, а все клиенты TELNETа должны использовать
непривилегированные порты больше, чем 1024. ‚торое и третье правило работают
аналогично, кроме того, что разрешаютсЯ адреса назначениЯ 123.4.5.7 и 123.4.5.8
и порт 25 - SMTP. —етвертое правило пропускает пакеты к NNTP-серверу сети,
но только от адреса 129.6.48.254 к адресу 123.4.5.9 с портом назначениЯ
119( 129.6.48.254 - единственный NNTP-сервер, от которого сеть получает
новости, поэтому доступ к сети в отношении NNTP ограничен только этой системой).
ЏЯтое правило разрешает траффик NTP, который использует UDP, а не TCP,
от любого источника к любой системе в сети. Ќаконец, шестое правило блокирует
все остальные пакеты - если этого правила не было бы, маршрутизатор мог
блокировать, а мог и не блокировать другие тиы пакетов. ќто очень простой
пример фильтрации пакетов. ЌастоЯщие правила позволЯют осуществить более
сложную фильтрацию и ЯвлЯютсЯ более гибкими. </P>

<H4>Љакие протоколы фильтровать</H4>

<P>ђешение о том, какие протоколы или группы портов фильтровать,
зависит от политики сетевого доступа, то есть от того, какие системы должны
иметь доступ к €нтернету и какие типы доступа разрешены. Ћписанные ниже
сервисы потенциально уЯзвимы к атакам и обычно блокируютсЯ на брандмауэре
при входе в сеть или выходе из нее[Chap92],[Garf92]. </P>

<UL>
<LI><B>Tftp,</B> порт 69, упрощенный FTP, используемый длЯ
загрузки Ћ‘ на безди
’ип	Ђдрес отправителЯ	Ђдрес получателЯ	Џорт источника	Џорт получателЯ	„ействие
tcp	*	123.4.5.6	>1023	23	разрешить
tcp	*	123.4.5.7	>1023	25	разрешить
tcp	*	123.4.5.8	>1023	25	разрешить
tcp	129.6.48.254	123.4.5.9	>1023	119	разрешить
udp	*	123.4..	>1023	123	разрешить
*	*	*	*	*	запретить