А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 3. Основные пути обеспечения безопасности информации 163
тупа. Фильтрация пакетов позволяет пропускать или блокировать пакеты в момент пересечения
ими некоторых границ в зависимости от адреса отправителя или получателя.
Системы защиты функционируют на прикладном уровне; в этом случае системы
или приложения, которым адресованы пакеты, запрашивают у пользователя пароль,
проверяют его и затем предоставляют доступ в соответствии с предопределенными
правилами.
Виртуальная частная сеть (VPN) по своей природе уже определяется некоторыми
правилами (во всяком случае, так должно быть). VPN — это защищенный канал между
несколькими офисами через общедоступную сеть, который представляет собой экономически
выгодный способ связать друг с другом многочисленные филиалы, партнеров
и заказчиков.
В простейшем случае сеть VPN связывает двух или более лиц или групп по защищенному
соединению. В идеале организация этого соединения определяется совокупностью
правил. Однако данная простейшая модель не учитывает необходимости контроля доступа:
к чему будет иметь доступ удаленный пользователь после подключения к сети VPN?
Конечная цель сети VPN — введение строгих детализированных правил: с увеличением
размеров сеть VPN требует более жесткого надзора, определения правил и их
соблюдения.
Некоторые сети VPN предназначены не для замены брандмауэров, у которых есть
свои правила, а, скорее, для их дополнения. В идеале правила для обеих систем должны
быть согласованы. Правила VPN регламентируют в первую очередь, как пользователи
могут подключиться к сети: уровень шифрования, использование паролей и другие
зависящие от соединения факторы. Ничто не угрожает защите больше, чем активный
код. Благодаря ActiveX и Java компьютерные программы получили возможность перемещаться
по WWW, позволяя тем самым проделывать всевозможные полезные трюки,
а также открывая возможность проводить опасные атаки на сеть.
Помимо введения ограничений на тип активного кода, политика защиты в отношении
WWW может запрещать доступ из корпоративной сети к определенным IP-адресам.
Часто причиной введения подобных ограничений являются не столько требования
защиты, сколько политика в отношении персонала.
Тем не менее иногда запрещение доступа к определенным узлам бывает обусловлено
соображениями защиты, в первую очередь это касается хакерских серверов, откуда
сотрудник может непреднамеренно загрузить вредоносный апплет или почерпнуть
информацию, которую он может использовать для атаки на сеть. Нужно постоянно
помнить, что большинство атак совершается сотрудниками организации, так что предусмотрительность
не помешает.
Политика защиты — это всего лишь бумажный документ. Для ее реализации и
соблюдения требуется технология. Более того, как только политика будет разработана,
ее предстоит воплотить в жизнь.
Один из простейших способов реализовать защиту — поручить заняться этим специализированной
компании. К тому же, одна из самых грубых ошибок, совершаемых
многими, состоит в том, что, разработав политику и купив оборудование, они на том и
успокаиваются.
Систему защиты сначала надо правильно подключить, а потом ее необходимо регулярно
пересматривать. Потребности, задачи и правила могут со временем измениться.