А,В,Соколов, 0,М, Степанюк - Скачать документы

Глава 3. Основные пути обеспечения безопасности информации 301
наиболее предпочтительны решения на основе UNIX-подобной операционной системы
(например, Solaris, BSD/OS 4.0 или Linux).
Шлюзы приложений контролируют содержимое пакетов данных на уровне приложений.
Они способны проверять программы на наличие вирусов или удалять с Webстраниц
активное содержимое, например, Java-апплеты или элементы управления
ActiveX. При этом для отдельных служб требуются proxy-процессы, пересылающие
запросы от компьютеров в локальной сети на Internet-сервер и проверяющие пакеты
данных. Поскольку анализ трафика между Internet и локальной сетью требует определенных
вычислительных ресурсов, решение этих задач должен взять на себя соответствующим
образом оборудованный компьютер. В отличие от пакетных фильтров, шлюзы
приложений позволяют ограничить количество допустимых операций за одно
соединение.
Чтобы при выходе из строя одного из компонентов обезопасить локальную сеть от
вторжений, рекомендуется создавать многоступенчатую систему межсетевых экранов.
Целесообразно использовать шлюз приложений, снабженный дополнительной защитой
в виде двух фильтров пакетов: одного — на входе в корпоративную сеть со стороны
Internet, а другого — на ее выходе в Internet.
Симметричное построение обеспечивает также определенную защиту от несанкционированных
действий в собственной сети компании. При этом Internet-сервер следует
подключать к одной или нескольким сетевым платам таким образом, чтобы он
был защищен шлюзом приложений и вместе с тем не находился бы непосредственно в
локальной сети. Он имеет право общаться с внутренней сетью лишь через шлюз приложений
и внутренние фильтры пакетов.
С другой стороны, безопасность данных не есть что-то застывшее. Одно лишь приобретение
и рациональное конфигурирование подходящего межсетевого экрана не
означает, что риск вторжений из Internet в корпоративную сеть исключен надолго.
Помимо регулярного и, по возможности, оперативного контроля протокольных данных,
администраторы должны неустанно следить за возникающими прорехами в системе
безопасности и узнавать о новых сценариях вторжений извне, чтобы своевременно
сделать в системе соответствующие «заплатки». Компаниям необходимо
Ethernet LAN
Cisco 1720 Cisco 1750
Ethernet LAN_1 Ethernet LAN_2 Ethernet LAN_3
Рис. 3.41. Вариант защиты на основе маршрутизаторов с листами доступа