Τραπέζι firewalls. Τείχος προστασίας επόμενης γενιάς με ενεργή προστασία από απειλές. Χορήγηση: ευκολία χρήσης

Όπως η τεχνολογία ασφάλεια δικτύουγια μεγάλες επιχειρήσεις, συμπεριλαμβανομένων πλήρες σετΕργαλεία επιθεώρησης και πρόληψης εισβολών, επιθεώρηση σε επίπεδο εφαρμογής και λεπτομερής έλεγχος βάσει πολιτικής.

Εάν ένας οργανισμός σκέφτεται να χρησιμοποιήσει ένα τείχος προστασίας επόμενης γενιάς, το πιο σημαντικό πράγμα είναι να καθορίσει εάν το τείχος προστασίας θα επιτρέψει την ασφαλή ανάπτυξη εφαρμογών προς όφελος του οργανισμού. Στο πρώτο στάδιο, θα χρειαστεί να λάβετε απαντήσεις στις ακόλουθες ερωτήσεις:

• Τα τείχη προστασίας επόμενης γενιάς θα παρέχουν μεγαλύτερη ορατότητα και εικόνα για την κίνηση εφαρμογών στο δίκτυο;
• Είναι δυνατόν να γίνει πιο ευέλικτη η πολιτική ελέγχου κυκλοφορίας προσθέτοντας επιπλέον επιλογέςάλλες ενέργειες εκτός από άδεια και απαγόρευση;
• Θα προστατεύεται το δίκτυό σας από απειλές και επιθέσεις στον κυβερνοχώρο, γνωστές και άγνωστες;
• Μπορείτε να προσδιορίσετε και να διαχειριστείτε συστηματικά άγνωστη κίνηση;
• Μπορείτε να εφαρμόσετε τις απαιτούμενες πολιτικές ασφαλείας χωρίς να θυσιάσετε την απόδοση;
• Θα μειωθεί ο χρόνος που αφιερώνει η ομάδα σας για τη διαχείριση του τείχους προστασίας;
• Αυτό θα διευκολύνει τη διαχείριση κινδύνου και αυτή η διαδικασίαπιο αποτελεσματικό;
• Οι εφαρμοζόμενες πολιτικές θα βελτιώσουν την κερδοφορία της επιχείρησης;

Εάν η απάντηση στα παραπάνω ερωτήματα είναι θετική, μπορείτε να κάνετε το επόμενο βήμα και να δικαιολογήσετε τη μετάβαση από το παλιό τείχη προστασίαςσε τείχη προστασίας επόμενης γενιάς. Αφού επιλέξετε έναν προμηθευτή ή ένα υποσύνολο προμηθευτών μέσω μιας προσφοράς, το επόμενο βήμα είναι να αξιολογήσετε τη φυσική λειτουργικότητα του τείχους προστασίας χρησιμοποιώντας διαφορετικούς τύπους και συνδυασμούς επισκεψιμότητας, καθώς και αντικείμενα και πολιτικές που αντιπροσωπεύουν με ακρίβεια τις επιχειρηματικές διαδικασίες του οργανισμού.

Ο κύριος σκοπός ενός τείχους προστασίας είναι η προστασία δίκτυα υπολογιστώνή μεμονωμένους κόμβους από μη εξουσιοδοτημένη πρόσβαση. Επίσης, τα τείχη προστασίας ονομάζονται συχνά φίλτρα, αφού το κύριο καθήκον τους είναι να μην αφήνουν (φιλτράρουν) πακέτα που δεν πληρούν τα κριτήρια που ορίζονται στη διαμόρφωση.

Η προστασία των εταιρικών δικτύων βασίζεται σε τείχη προστασίας, τα οποία πρέπει πλέον όχι μόνο να φιλτράρουν τις ροές πληροφοριών ανά θύρα, αλλά και να ελέγχουν τα δεδομένα που μεταδίδονται μέσω των πιο δημοφιλών από αυτά. Οι ειδικοί στο SophosLabs υπολογίζουν ότι έως και το 80% των επιθέσεων πραγματοποιούνται χρησιμοποιώντας ένα πρόγραμμα περιήγησης ιστού. Πρωτόκολλα HTTPή HTTPS, αλλά απλώς το φιλτράρισμα αυτών των πρωτοκόλλων δεν θα λύσει το πρόβλημα. Έτσι, προκύπτουν νέες απαιτήσεις για μια νέα γενιά τείχη προστασίας σε συνδυασμό με συστήματα ανίχνευσης εισβολών.

• έλεγχος μεμονωμένων εφαρμογών Ιστού·
• ανίχνευση εισβολής σύμφωνα με τα περισσότερα δημοφιλή πρωτόκολλαόπως HTTP, SMTP και POP3.
• δημιουργία συνδέσεων VPN για απομακρυσμένη σύνδεσηχρήστες κινητών?
• βελτιστοποίηση της αλληλεπίδρασης δικτύου.

Πρέπει να σημειωθεί ότι η παρουσία συστημάτων ανίχνευσης εισβολών απαιτείται και κατά την επεξεργασία προσωπικών δεδομένων, την προστασία τραπεζικών συστημάτων και συστημάτων πληρωμών, καθώς και άλλων πολύπλοκων υποδομών πληροφοριών. Ο συνδυασμός τους με τείχη προστασίας είναι πολύ βολικός και ωφέλιμος για τους χρήστες.

Αλλα ονόματα

Το τείχος προστασίας (γερμανικά: Brandmauer) είναι ένας όρος δανεισμένος από τη γερμανική γλώσσα, ο οποίος είναι ανάλογος του αγγλικού τείχους προστασίας στην αρχική του σημασία (τείχος που χωρίζει τα παρακείμενα κτίρια, προστατεύοντας από την εξάπλωση της φωτιάς). Είναι ενδιαφέρον, στην περιοχή τεχνολογία υπολογιστώνΣτα γερμανικά χρησιμοποιείται η λέξη «τείχος προστασίας».

Τείχος προστασίας, τείχος προστασίας, τείχος προστασίας, τείχος προστασίας - που σχηματίζεται από τη μεταγραφή του αγγλικού όρου τείχος προστασίας, που ισοδυναμεί με τον όρο τείχος προστασίας, επί του παρόντος δεν είναι επίσημο δάνειο στη ρωσική γλώσσα [η πηγή δεν διευκρινίζεται 169 ημέρες].

Ιστορία των τείχη προστασίας

Λειτουργίες τείχους προστασίας

Το σύγχρονο εταιρικό δίκτυο δεν είναι κλειστό χώρος πληροφοριών. Συχνά αυτό είναι ένα κατανεμημένο δίκτυο συνδεδεμένο με ένα εξωτερικό κέντρο δεδομένων, χρησιμοποιώντας σύννεφα και άκρες, που αποτελείται από πολλά τμήματα. Ένα σύγχρονο εταιρικό τείχος προστασίας πρέπει να διαθέτει τα κατάλληλα χαρακτηριστικά για την προστασία του. Το infographic εξηγεί τι ακριβώς χρειάζονται οι εταιρείες από ένα τείχος προστασίας.

Τύποι τείχη προστασίας

Τα τείχη προστασίας χωρίζονται σε Διάφοροι τύποιανάλογα με τα ακόλουθα χαρακτηριστικά:

• εάν η ασπίδα παρέχει σύνδεση μεταξύ ενός κόμβου και ενός δικτύου ή μεταξύ δύο ή περισσότερων διαφορετικών δικτύων.
• πραγματοποιείται έλεγχος ροής δεδομένων επίπεδο δικτύουή υψηλότερα επίπεδα του μοντέλου OSI.
• παρακολουθούνται τα κράτη; δραστικές ενώσειςή όχι.

Ανάλογα με την κάλυψη των ελεγχόμενων ροών δεδομένων, τα τείχη προστασίας χωρίζονται σε:

• οθόνη παραδοσιακού δικτύου (ή τείχους προστασίας) - ένα πρόγραμμα (ή αναπόσπαστο μέρος του λειτουργικό σύστημα) στην πύλη (διακομιστής που μεταδίδει κίνηση μεταξύ δικτύων) ή λύση υλικού, τον έλεγχο των εισερχόμενων και εξερχόμενων ροών δεδομένων μεταξύ συνδεδεμένων δικτύων.
• Το προσωπικό τείχος προστασίας είναι ένα πρόγραμμα που είναι εγκατεστημένο στον υπολογιστή ενός χρήστη και έχει σχεδιαστεί για να προστατεύει μόνο αυτόν τον υπολογιστή από μη εξουσιοδοτημένη πρόσβαση.

Μια εκφυλισμένη περίπτωση είναι η χρήση ενός παραδοσιακού τείχους προστασίας από έναν διακομιστή για να περιορίσει την πρόσβαση στους δικούς του πόρους.

Ανάλογα με το επίπεδο στο οποίο πραγματοποιείται ο έλεγχος πρόσβασης, υπάρχει μια διαίρεση σε τείχη προστασίας που λειτουργούν σε:

• επίπεδο δικτύου, όταν πραγματοποιείται φιλτράρισμα με βάση τις διευθύνσεις του αποστολέα και του παραλήπτη των πακέτων, τους αριθμούς θυρών του επιπέδου μεταφοράς του μοντέλου OSI και τους στατικούς κανόνες που καθορίζονται από τον διαχειριστή.
• επίπεδο συνεδρίας (γνωστό και ως stateful) - παρακολούθηση περιόδων σύνδεσης μεταξύ εφαρμογών, μη επιτρέποντας πακέτα που παραβιάζουν τις προδιαγραφές TCP/IP, που χρησιμοποιούνται συχνά σε κακόβουλες λειτουργίες - σάρωση πόρων, παραβίαση μέσω εσφαλμένων υλοποιήσεων TCP/IP, πτώση/επιβράδυνση σύνδεσης, έγχυση δεδομένων.
• επίπεδο εφαρμογής, φιλτράρισμα με βάση την ανάλυση των δεδομένων εφαρμογής που μεταδίδονται εντός του πακέτου. Αυτοί οι τύποι οθονών σάς επιτρέπουν να αποκλείετε τη μετάδοση ανεπιθύμητων και δυνητικά επικίνδυνων πληροφοριών, βάσει πολιτικών και ρυθμίσεων.

Ορισμένες λύσεις τείχους προστασίας σε επίπεδο εφαρμογής είναι διακομιστές μεσολάβησης με ορισμένες δυνατότητες τείχους προστασίας, που υλοποιούν διαφανείς διακομιστές μεσολάβησης, με εξειδίκευση στα πρωτόκολλα. Οι δυνατότητες του διακομιστή μεσολάβησης και η εξειδίκευση σε πολλά πρωτόκολλα καθιστούν το φιλτράρισμα πολύ πιο ευέλικτο από τα κλασικά τείχη προστασίας, αλλά τέτοιες εφαρμογές έχουν όλα τα μειονεκτήματα των διακομιστών μεσολάβησης (για παράδειγμα, ανωνυμοποίηση κυκλοφορίας).

Ανάλογα με την παρακολούθηση των ενεργών συνδέσεων, τα τείχη προστασίας είναι:

• χωρίς κατάσταση (απλό φιλτράρισμα), που δεν παρακολουθούν τις τρέχουσες συνδέσεις (για παράδειγμα, TCP), αλλά φιλτράρουν τη ροή δεδομένων αποκλειστικά με βάση στατικούς κανόνες.
• κραταιός, κραταιός επιθεώρηση πακέτων(SPI) (context-aware filtering), παρακολουθεί τις τρέχουσες συνδέσεις και περνά μόνο εκείνα τα πακέτα που ικανοποιούν τη λογική και τους αλγόριθμους των αντίστοιχων πρωτοκόλλων και εφαρμογών. Αυτοί οι τύποι τείχη προστασίας καθιστούν δυνατή την αποτελεσματικότερη καταπολέμηση διαφόρων τύπων επιθέσεων DoS και τα τρωτά σημεία ορισμένων πρωτόκολλα δικτύου. Επιπλέον, διασφαλίζουν τη λειτουργία πρωτοκόλλων όπως H.323, SIP, FTP κ.λπ., τα οποία χρησιμοποιούν πολύπλοκα σχήματα μεταφοράς δεδομένων μεταξύ παραληπτών, δύσκολα περιγραφόμενα από στατικούς κανόνες και, συχνά, ασύμβατα με τυπικά τείχη προστασίας χωρίς κατάσταση.

Ένα προμήνυμα της επικείμενης κατάρρευσης των τείχη προστασίας - η αυξανόμενη δημοτικότητα των τεχνολογιών cloud

Η λειτουργικότητα των τείχη προστασίας αυτές τις μέρες έχει επεκταθεί σημαντικά πέρα ​​από την απλή παρακολούθηση συγκεκριμένων θυρών, διευθύνσεων IP ή δραστηριότητας πακέτων μεταξύ διευθύνσεων και λήψης αποφάσεων αποδοχής/άρνησης. Αρχικά, αυτά τα συστήματα περιελάμβαναν επιθεώρηση πακέτων με κατάσταση κατάστασης πρωτοκόλλου, παρακολούθηση ροής δεδομένων, αντιστοίχιση προτύπων και λειτουργίες ανάλυσης. Τα τείχη προστασίας επιθεωρούν τώρα τη δραστηριότητα συγκεκριμένων εφαρμογών και χρηστών λεπτομερώς. Τα τείχη προστασίας που μπορούν να αναγνωρίσουν τις εφαρμογές που χρησιμοποιούνται ονομάζονται συχνά τείχη προστασίας επόμενης γενιάς, αλλά αυτή είναι μια εσφαλμένη ονομασία, καθώς αυτή η λειτουργία χρησιμοποιείται για πάνω από μια δεκαετία.

Σε κάθε περίπτωση, το πιο πιεστικό πρόβλημα για τα τείχη προστασίας σήμερα είναι η μελέτη της κίνησης του Διαδικτύου που διέρχεται από αυτά και ο εντοπισμός των εταιρικών και διαδικτυακών εφαρμογών που χρησιμοποιούνται, καθώς και των χρηστών τους. Ο ακριβής προσδιορισμός του είδους της επισκεψιμότητας και του ποιος το ζητά είναι ζωτικής σημασίας για τους οργανισμούς, καθώς τους επιτρέπει να βελτιστοποιούν και να διαχειρίζονται τη χρήση δευτερευουσών εφαρμογών (όπως Facebook, YouTube, Google Apps και άλλες εφαρμογές Web 2.0). Με αυτή τη γνώση, τα τμήματα πληροφορικής είναι σε θέση να προσαρμόσουν τη χρήση των εφαρμογών στο δίκτυο ώστε να ταιριάζουν στις ανάγκες κάθε χρήστη και στις ανάγκες του οργανισμού.

Τα σύγχρονα τείχη προστασίας δεν εξελίσσονται μόνο όσον αφορά την επιθεώρηση και τον έλεγχο της κυκλοφορίας, αλλά παρέχουν επίσης πρόσθετες δυνατότητες ασφάλειας που μπορούν να επιτρέψουν οι οργανισμοί για να εξυπηρετήσουν τις ανάγκες τους. Μεταξύ αυτών των λειτουργιών είναι το φιλτράρισμα URL, η προστασία από ιούς, η προστασία από ανεπιθύμητα μηνύματα και bots, η πρόληψη διαρροής δεδομένων, ο έλεγχος πρόσβασης από κινητές συσκευές και πολλές άλλες που κάνουν το τείχος προστασίας μια πύλη ασφαλείας πολλαπλών υπηρεσιών. Με μια αρθρωτή προσέγγιση που βασίζεται σε λογισμικό, μπορείτε να προσθέσετε και να αναπτύξετε αυτές τις δυνατότητες, ενισχύοντας την ασφάλεια του δικτύου σας και αντιμετωπίζοντας νέα ζητήματα καθώς προκύπτουν.

Έτσι τα σημερινά τείχη προστασίας όχι μόνο προστατεύουν την περίμετρο του δικτύου όπως πάντα, αλλά μας επιτρέπουν επίσης να προσθέσουμε δυνατότητες ασφάλειας που θα ήταν αδιανόητες πριν από 20 χρόνια. Παρά τις τακτικές προβλέψεις για μια αναπόφευκτη απώλεια δημοτικότητας, τα τείχη προστασίας βρίσκονται τώρα στην ακμή της ανάπτυξής τους.

Το δίκτυο χρειάζεται προστασία από εξωτερικές απειλές. κλοπή δεδομένων, μη εξουσιοδοτημένη πρόσβασηκαι η ζημιά μπορεί να επηρεάσει το δίκτυο και να προκαλέσει σοβαρές απώλειες. Χρήση ειδικά προγράμματακαι συσκευές για να προστατευτείτε από καταστροφικές επιρροές. Σε αυτήν την ανασκόπηση θα μιλήσουμε για το τείχος προστασίας και θα δούμε τους κύριους τύπους του.

Σκοπός των τείχη προστασίας

Τα τείχη προστασίας (Firewalls) ή τα τείχη προστασίας είναι μέτρα υλικού και λογισμικού για την πρόληψη αρνητικές επιπτώσειςαπό έξω. Ένα τείχος προστασίας λειτουργεί σαν ένα φίλτρο: από ολόκληρη τη ροή κυκλοφορίας, μόνο η επιτρεπόμενη κυκλοφορία κοσκινίζεται. Αυτή είναι η πρώτη γραμμή άμυνας μεταξύ εσωτερικών και εξωτερικών δικτύων, όπως το Διαδίκτυο. Η τεχνολογία χρησιμοποιείται εδώ και 25 χρόνια.

Η ανάγκη για τείχη προστασίας προέκυψε όταν κατέστη σαφές ότι η αρχή της πλήρους συνδεσιμότητας δικτύου δεν λειτουργούσε πλέον. Οι υπολογιστές άρχισαν να εμφανίζονται όχι μόνο σε πανεπιστήμια και εργαστήρια. Με την εξάπλωση των υπολογιστών και του Διαδικτύου, κατέστη απαραίτητος ο διαχωρισμός των εσωτερικών δικτύων από τα μη ασφαλή εξωτερικά, προκειμένου να προστατευτείτε από εισβολείς και να προστατεύσετε τον υπολογιστή σας από το hacking.

Για φρουρά εταιρικό δίκτυοεγκαταστήστε ένα τείχος προστασίας υλικού - αυτό μπορεί να είναι μια ξεχωριστή συσκευή ή μέρος ενός δρομολογητή. Ωστόσο, αυτή η πρακτική δεν εφαρμόζεται πάντα. Ένας εναλλακτικός τρόπος είναι η εγκατάσταση ενός τείχους προστασίας λογισμικού στον υπολογιστή που χρειάζεται προστασία. Ένα παράδειγμα είναι το τείχος προστασίας που είναι ενσωματωμένο στα Windows.

Είναι λογικό να χρησιμοποιείτε ένα τείχος προστασίας λογισμικού σε φορητό υπολογιστή της εταιρείας που χρησιμοποιείτε σε ένα ασφαλές εταιρικό δίκτυο. Έξω από τα τείχη του οργανισμού, βρίσκεστε σε ένα απροστάτευτο περιβάλλον - ένα εγκατεστημένο τείχος προστασίας θα σας προστατεύει σε επαγγελματικά ταξίδια, όταν εργάζεστε σε καφετέριες και εστιατόρια.

Πώς λειτουργεί τείχος προστασίας

Το φιλτράρισμα της κυκλοφορίας γίνεται με βάση την εκ των προτέρων καθιερωμένους κανόνεςασφάλεια. Για το σκοπό αυτό δημιουργείται ένας ειδικός πίνακας όπου εισάγεται περιγραφή των δεδομένων που είναι αποδεκτά και μη αποδεκτά για μετάδοση. Το τείχος προστασίας δεν επιτρέπει την κυκλοφορία εάν ενεργοποιηθεί ένας από τους κανόνες αποκλεισμού από τον πίνακα.

Τα τείχη προστασίας μπορούν να αρνηθούν ή να επιτρέψουν την πρόσβαση με βάση διάφορες παραμέτρους: διευθύνσεις IP, ονόματα τομέα, πρωτόκολλα και αριθμούς θυρών, και επίσης να τα συνδυάσετε.

• διευθύνσεις IP. Κάθε συσκευή που χρησιμοποιεί το πρωτόκολλο IP έχει μια μοναδική διεύθυνση. Μπορείτε να καθορίσετε μια συγκεκριμένη διεύθυνση ή εύρος για να σταματήσετε τις προσπάθειες λήψης πακέτων. Ή το αντίστροφο - δώστε πρόσβαση μόνο σε έναν συγκεκριμένο κύκλο διευθύνσεων IP.
• λιμάνια. Αυτά είναι τα σημεία που δίνουν στις εφαρμογές πρόσβαση στην υποδομή δικτύου. Π.χ, πρωτόκολλο ftpχρησιμοποιεί τη θύρα 21 και η θύρα 80 είναι για εφαρμογές που χρησιμοποιούνται για την περιήγηση σε ιστότοπους. Αυτό μας δίνει την ευκαιρία να αποτρέψουμε την πρόσβαση σε ορισμένες εφαρμογέςκαι υπηρεσίες.
• Ονομα τομέα. Η διεύθυνση του πόρου Διαδικτύου είναι επίσης μια παράμετρος φιλτραρίσματος. Μπορείτε να αποκλείσετε την επισκεψιμότητα από έναν ή περισσότερους ιστότοπους. Ο χρήστης θα προστατεύεται από ακατάλληλο περιεχόμενο και το δίκτυο από επιβλαβείς επιπτώσεις.
• Πρωτόκολλο. Το τείχος προστασίας έχει ρυθμιστεί ώστε να επιτρέπει την κυκλοφορία ενός πρωτοκόλλου ή να αποκλείει την πρόσβαση σε ένα από αυτά. Ο τύπος πρωτοκόλλου υποδεικνύει το σύνολο των παραμέτρων ασφαλείας και την εργασία που εκτελεί η εφαρμογή που χρησιμοποιεί.

Τύποι ITU

1. Διακομιστής μεσολάβησης

Ένας από τους ιδρυτές της ITU, η οποία λειτουργεί ως πύλη για εφαρμογές μεταξύ εσωτερικών και εξωτερικών δικτύων. Οι διακομιστές μεσολάβησης έχουν επίσης άλλες λειτουργίες, συμπεριλαμβανομένης της προστασίας δεδομένων και της προσωρινής αποθήκευσης. Επιπλέον, δεν επιτρέπουν απευθείας συνδέσεις εκτός των ορίων του δικτύου. Χρήση πρόσθετες λειτουργίεςμπορεί να φορολογήσει υπερβολικά την απόδοση και να μειώσει την απόδοση.

2. Τείχος προστασίας με έλεγχο κατάστασης περιόδου λειτουργίας

Οι οθόνες με δυνατότητα παρακολούθησης της κατάστασης των συνεδριών είναι ήδη καθιερωμένη τεχνολογία. Η απόφαση αποδοχής ή αποκλεισμού δεδομένων επηρεάζεται από την κατάσταση, τη θύρα και το πρωτόκολλο. Τέτοιες εκδόσεις παρακολουθούν όλη τη δραστηριότητα αμέσως μετά το άνοιγμα της σύνδεσης μέχρι να κλείσει. Το σύστημα αποφασίζει εάν θα αποκλείσει την κυκλοφορία ή όχι, με βάση τους κανόνες και το πλαίσιο που ορίζει ο διαχειριστής. Στη δεύτερη περίπτωση λαμβάνονται υπόψη τα δεδομένα που παρείχε η ITU από προηγούμενες συνδέσεις.

3. ITU Ενοποιημένη διαχείριση απειλών (UTM)

Σύνθετη συσκευή. Κατά κανόνα, ένα τέτοιο τείχος προστασίας επιλύει 3 προβλήματα:

• παρακολουθεί την κατάσταση συνεδρίας.
• αποτρέπει τις εισβολές.
• εκτελεί σάρωση κατά των ιών.

Μερικές φορές τα τείχη προστασίας που έχουν αναβαθμιστεί στην έκδοση UTM περιλαμβάνουν άλλες λειτουργίες, για παράδειγμα: διαχείριση cloud.

4. Τείχος προστασίας επόμενης γενιάς (NGFW)

Απάντηση σύγχρονες απειλές. Οι εισβολείς αναπτύσσουν συνεχώς τεχνολογίες επιθέσεων, βρίσκουν νέα τρωτά σημεία, βελτιώνουν το κακόβουλο λογισμικό και καθιστούν πιο δύσκολη την απόκρουση επιθέσεων σε επίπεδο εφαρμογής. Ένα τέτοιο τείχος προστασίας όχι μόνο φιλτράρει πακέτα και παρακολουθεί την κατάσταση των συνεδριών. Είναι χρήσιμο στη διατήρηση ασφάλεια πληροφοριώνχάρη στις ακόλουθες λειτουργίες:

• λαμβάνοντας υπόψη τα χαρακτηριστικά της εφαρμογής, γεγονός που καθιστά δυνατό τον εντοπισμό και την εξουδετέρωση κακόβουλων προγραμμάτων.
• άμυνα έναντι συνεχιζόμενων επιθέσεων από μολυσμένα συστήματα·
• μια ενημερωμένη βάση δεδομένων που περιέχει περιγραφές εφαρμογών και απειλών·
• Παρακολούθηση κίνησης που είναι κρυπτογραφημένη χρησιμοποιώντας το πρωτόκολλο SSL.

5. Τείχος προστασίας νέας γενιάς με ενεργή προστασία από απειλές

Αυτός ο τύπος τείχους προστασίας είναι μια βελτιωμένη έκδοση του NGFW. Αυτή η συσκευή βοηθά στην προστασία από προηγμένες απειλές. Η πρόσθετη λειτουργικότητα μπορεί:

• εξετάστε το πλαίσιο και εντοπίστε τους πόρους που κινδυνεύουν περισσότερο.
• αποκρούει γρήγορα επιθέσεις μέσω αυτοματισμού ασφαλείας, ο οποίος διαχειρίζεται ανεξάρτητα την προστασία και ορίζει πολιτικές.
• να προσδιορίσει περισπασμούς ή ύποπτη δραστηριότητα, χάρη στη χρήση συσχέτισης συμβάντων στο δίκτυο και σε υπολογιστές.

Αυτή η έκδοση του τείχους προστασίας NGFW εισάγει ενοποιημένες πολιτικές που απλοποιούν σημαντικά τη διαχείριση.

Μειονεκτήματα της ITU

Τα τείχη προστασίας προστατεύουν το δίκτυο από εισβολείς. Ωστόσο, πρέπει να λάβετε σοβαρά υπόψη τη διαμόρφωσή τους. Προσέξτε: εάν κάνετε λάθος κατά τη διαμόρφωση των παραμέτρων πρόσβασης, θα προκληθεί βλάβη και το τείχος προστασίας θα σταματήσει την απαραίτητη και περιττή κίνηση και το δίκτυο θα καταστεί αδύνατο.

Η χρήση τείχους προστασίας μπορεί να προκαλέσει μείωση της απόδοσης του δικτύου. Να θυμάστε ότι αναχαιτίζουν τα πάντα εισερχόμενη κίνησηγια έλεγχο. Με μεγάλα μεγέθη δικτύου, υπάρχει υπερβολική επιθυμία για παροχή ασφάλειας και εισαγωγής περισσότεροκανόνες θα κάνουν το δίκτυο να λειτουργεί αργά.

Συχνά, ένα τείχος προστασίας από μόνο του δεν αρκεί για την πλήρη ασφάλεια ενός δικτύου από εξωτερικές απειλές. Επομένως, χρησιμοποιείται σε συνδυασμό με άλλα προγράμματα, όπως το antivirus.

Απαιτήσεις για γνώσεις και δεξιότητες

Ο μαθητής πρέπει να γνωρίζει:

• μηχανισμός τείχους προστασίας.

Ο μαθητής πρέπει να είναι σε θέση:

• επιλέξτε τείχη προστασίας για την προστασία των πληροφοριακών συστημάτων.

Βασικός όρος

Όρος κλειδί: Τείχος προστασίας.

Τείχος προστασίαςή τείχος προστασίας (τείχος προστασίας) - ένα λογισμικό ή σύστημα υλικού-λογισμικού που ελέγχει τις ροές πληροφοριών που εισέρχονται ή/και εξέρχονται από ένα σύστημα πληροφοριών και διασφαλίζει την προστασία του συστήματος πληροφοριών φιλτράροντας τις πληροφορίες.

Μικροί όροι

• Ταξινόμηση τείχη προστασίας.

• Χαρακτηριστικά των τείχη προστασίας.

Δομικό διάγραμμα όρων

4.5.1 Ταξινόμηση τείχη προστασίας

Ένας από τους αποτελεσματικούς μηχανισμούς για τη διασφάλιση της ασφάλειας πληροφοριών των κατανεμημένων δικτύων υπολογιστών είναι η θωράκιση, η οποία εκτελεί τις λειτουργίες οριοθέτησης των ροών πληροφοριών στα όρια του προστατευμένου δικτύου.

Το τείχος προστασίας αυξάνει την ασφάλεια των αντικειμένων του εσωτερικού δικτύου αγνοώντας μη εξουσιοδοτημένα αιτήματα από το εξωτερικό περιβάλλον, διασφαλίζοντας έτσι όλα τα στοιχεία της ασφάλειας πληροφοριών. Εκτός από τις λειτουργίες ελέγχου πρόσβασης, η θωράκιση διασφαλίζει την καταγραφή των ανταλλαγών πληροφοριών.

τείχος προστασίαςή τείχος προστασίας, το οποίο νοείται ως λογισμικό ή σύστημα υλικού-λογισμικού που ελέγχει τις ροές πληροφοριών που εισέρχονται ή/και εξέρχονται από ένα σύστημα πληροφοριών και διασφαλίζει την προστασία του συστήματος πληροφοριών φιλτράροντας τις πληροφορίες. Το φιλτράρισμα πληροφοριών συνίσταται στην ανάλυση πληροφοριών με βάση ένα σύνολο κριτηρίων και στη λήψη απόφασης για τη λήψη ή/και τη μετάδοσή τους.

Τα τείχη προστασίας ταξινομούνται σύμφωνα με τα ακόλουθα κριτήρια:

• κατά τοποθεσία στο δίκτυο - εξωτερικό και εσωτερικό, παρέχοντας προστασία αντίστοιχα από το εξωτερικό δίκτυο ή προστασία μεταξύ τμημάτων δικτύου.

• σύμφωνα με το επίπεδο φιλτραρίσματος που αντιστοιχεί στο μοντέλο αναφοράς OSI/ISO.

Τα εξωτερικά τείχη προστασίας συνήθως λειτουργούν μόνο με το πρωτόκολλο TCP/IP του παγκόσμιου Διαδικτύου. Τα εσωτερικά τείχη προστασίας μπορούν να υποστηρίζουν πολλαπλά πρωτόκολλα, για παράδειγμα, όταν χρησιμοποιείτε το λειτουργικό σύστημα δικτύου Novell Netware, θα πρέπει να λαμβάνεται υπόψη το πρωτόκολλο SPX/IPX.

4.5.2 Χαρακτηριστικά τείχους προστασίας

Η λειτουργία όλων των τείχη προστασίας βασίζεται στη χρήση πληροφοριών από διαφορετικά επίπεδα του μοντέλου OSI. Γενικά, όσο υψηλότερο είναι το επίπεδο του μοντέλου OSI στο οποίο ένα τείχος προστασίας φιλτράρει πακέτα, τόσο υψηλότερο είναι το επίπεδο προστασίας που παρέχει.

Τα τείχη προστασίας χωρίζονται σε τέσσερις τύπους:

• τείχη προστασίας με φιλτράρισμα πακέτων.

• πύλες επιπέδου συνεδρίας.

• πύλες επιπέδου εφαρμογής.

• Τείχη προστασίας ειδικού επιπέδου.

Πίνακας 1. Τύποι τείχους προστασίας και επίπεδα μοντέλου ISO OSI

Τείχη προστασίας φιλτραρίσματος πακέτωνείναι δρομολογητές ή προγράμματα που εκτελούνται σε διακομιστή που έχουν ρυθμιστεί να φιλτράρουν τα εισερχόμενα και τα εξερχόμενα πακέτα. Επομένως, τέτοιες οθόνες μερικές φορές ονομάζονται φίλτρα πακέτων. Το φιλτράρισμα πραγματοποιείται αναλύοντας τις διευθύνσεις IP προέλευσης και προορισμού, καθώς και τις θύρες των εισερχόμενων πακέτων TCP και UDP και συγκρίνοντάς τα με τον διαμορφωμένο πίνακα κανόνων. Αυτά τα τείχη προστασίας είναι εύχρηστα, χαμηλού κόστους και έχουν ελάχιστο αντίκτυπο στην απόδοση υπολογιστικό σύστημα. Το κύριο μειονέκτημα είναι η ευπάθειά τους στην πλαστογράφηση διευθύνσεων IP. Επιπλέον, είναι πολύπλοκες στη διαμόρφωση: η εγκατάστασή τους απαιτεί γνώση των πρωτοκόλλων δικτύου, μεταφοράς και εφαρμογής.

Session Gatewaysέλεγχος του παραδεκτού της συνεδρίας επικοινωνίας. Παρακολουθούν τη χειραψία μεταξύ ενός εξουσιοδοτημένου πελάτη και ενός εξωτερικού κεντρικού υπολογιστή (και αντίστροφα), προσδιορίζοντας εάν η ζητούμενη συνεδρία επικοινωνίας είναι έγκυρη. Όταν φιλτράρετε πακέτα, η πύλη επιπέδου συνεδρίας βασίζεται σε πληροφορίες που περιέχονται στις κεφαλίδες πακέτων του επιπέδου συνεδρίας Πρωτόκολλο TCP, δηλαδή λειτουργεί δύο επίπεδα υψηλότερα από ένα τείχος προστασίας φιλτραρίσματος πακέτων. Εκτός, καθορισμένα συστήματασυνήθως έχουν λειτουργίες μετάφρασης διευθύνσεις δικτύου, το οποίο κρύβει εσωτερικές διευθύνσεις IP, αποτρέποντας έτσι την πλαστογράφηση διευθύνσεων IP. Ωστόσο, τέτοια τείχη προστασίας δεν ελέγχουν τα περιεχόμενα των πακέτων που παράγονται από διάφορες υπηρεσίες. Για να εξαλειφθεί αυτό το μειονέκτημα, χρησιμοποιούνται πύλες επίπεδο εφαρμογής.

Πύλες εφαρμογώνεπιθεωρήστε τα περιεχόμενα κάθε πακέτου που διέρχεται από την πύλη και μπορεί να φιλτράρει συγκεκριμένους τύπους εντολών ή πληροφοριών στα πρωτόκολλα του επιπέδου εφαρμογής που είναι επιφορτισμένοι να εξυπηρετήσουν. Είναι πιο προχωρημένο και αξιόπιστο τύποτείχος προστασίας που χρησιμοποιεί διακομιστές μεσολάβησης ή πράκτορες επιπέδου εφαρμογής. Οι πράκτορες μεταγλωττίζονται για συγκεκριμένες υπηρεσίες Διαδικτύου (HTTP, FTP, telnet, κ.λπ.) και χρησιμεύουν για έλεγχο πακέτα δικτύουγια τη διαθεσιμότητα αξιόπιστων δεδομένων.

Οι πύλες επιπέδου εφαρμογής μειώνουν τα επίπεδα απόδοσης του συστήματος λόγω της επανεπεξεργασίας στο πρόγραμμα διακομιστή μεσολάβησης. Αυτό δεν γίνεται αντιληπτό όταν εργάζεστε στο Διαδίκτυο όταν εργάζεστε σε κανάλια χαμηλής ταχύτητας, αλλά είναι σημαντικό όταν εργάζεστε σε ένα εσωτερικό δίκτυο.

Τα τείχη προστασίας ειδικού επιπέδου συνδυάζουν στοιχεία και των τριών κατηγοριών που περιγράφονται παραπάνω. Όπως τα τείχη προστασίας φιλτραρίσματος πακέτων, λειτουργούν στο επίπεδο δικτύου του μοντέλου OSI, φιλτράροντας εισερχόμενα και εξερχόμενα πακέτα με βάση την επιθεώρηση διευθύνσεων IP και αριθμών θυρών. Τα τείχη προστασίας σε επίπεδο ειδικού λειτουργούν επίσης ως πύλη σε επίπεδο συνεδρίας, προσδιορίζοντας εάν τα πακέτα ανήκουν στην κατάλληλη περίοδο λειτουργίας. Τέλος, τα έμπειρα τείχη προστασίας αναλαμβάνουν το ρόλο μιας πύλης εφαρμογής, αξιολογώντας τα περιεχόμενα κάθε πακέτου σύμφωνα με την πολιτική ασφαλείας του οργανισμού.

Αντί να χρησιμοποιούν προγράμματα man-in-the-middle για συγκεκριμένες εφαρμογές, τα έμπειρα τείχη προστασίας χρησιμοποιούν εξειδικευμένους αλγόριθμους για την αναγνώριση και επεξεργασία δεδομένων σε επίπεδο εφαρμογής. Αυτοί οι αλγόριθμοι συγκρίνουν πακέτα με γνωστά πρότυπα δεδομένων, τα οποία θεωρητικά θα πρέπει να παρέχουν πιο αποτελεσματικό φιλτράρισμα πακέτων.

Συμπεράσματα για το θέμα

1. Το τείχος προστασίας αυξάνει την ασφάλεια των αντικειμένων του εσωτερικού δικτύου αγνοώντας μη εξουσιοδοτημένα αιτήματα από το εξωτερικό περιβάλλον, διασφαλίζοντας έτσι όλα τα στοιχεία της ασφάλειας πληροφοριών. Εκτός από τις λειτουργίες ελέγχου πρόσβασης, η θωράκιση παρέχει καταγραφή των ανταλλαγών πληροφοριών.

2. Οι λειτουργίες θωράκισης εκτελούνται από τείχος προστασίαςή τείχος προστασίας, το οποίο νοείται ως λογισμικό ή σύστημα υλικού-λογισμικού που ελέγχει τις ροές πληροφοριών που εισέρχονται ή/και εξέρχονται από ένα σύστημα πληροφοριών και διασφαλίζει την προστασία του συστήματος πληροφοριών φιλτράροντας τις πληροφορίες.

3. Τα τείχη προστασίας ταξινομούνται σύμφωνα με τα ακόλουθα κριτήρια: κατά θέση στο δίκτυο και κατά επίπεδο φιλτραρίσματος που αντιστοιχεί στο μοντέλο αναφοράς OSI/ISO.

4. Τα εξωτερικά τείχη προστασίας συνήθως λειτουργούν μόνο με το πρωτόκολλο TCP/IP του παγκόσμιου Διαδικτύου. Τα εσωτερικά τείχη προστασίας μπορούν να υποστηρίξουν πολλαπλά πρωτόκολλα.

5. Τα τείχη προστασίας χωρίζονται σε τέσσερις τύπους:

• τείχη προστασίας με φιλτράρισμα πακέτων.

• πύλες επιπέδου συνεδρίας.

• πύλες επιπέδου εφαρμογής.

• Τα τείχη προστασίας είναι ειδικά προστατευτικά συστήματα λογισμικού (firewalls) που αποτρέπουν μη εξουσιοδοτημένα και δημιουργούν ένα εμπόδιο όπως ξεχωριστός υπολογιστής, και ολόκληρο το τοπικό δίκτυο από κακόβουλη διείσδυση Με βάση τον κύριο σκοπό τους - να μην περάσουν ύποπτα πακέτα, τέτοια προγράμματα έλαβαν άλλο όνομα - φίλτρα. Σήμερα τα περισσότερα γνωστούς κατασκευαστέςΤα προστατευτικά τείχη προστασίας είναι τα εξής: ZyXEL, Firewall, TrustPort Total Protection, ZoneAlarm, D-Link, Secure Computing, Watchguard Technologies.

  Ρύθμιση τείχους προστασίας

  Τα τείχη προστασίας ρυθμίζονται χειροκίνητα, κάτι που επιτρέπει αναλυτική εγκατάστασηΠΡΟΣΤΑΣΙΑ. Ενας από κρίσιμες ευκαιρίες- Ρύθμιση προστασίας από ιούς απευθείας στη θύρα USB. Έχοντας ρωτήσει απαραίτητες ρυθμίσεις, με τη βοήθεια ενός τέτοιου προγράμματος μπορείτε να δημιουργήσετε πλήρη έλεγχο της εισόδου και της εξόδου στο τοπικό δίκτυο και σε κάθε ηλεκτρονική συσκευή εντός αυτού.

  Έχοντας καταφέρει χειροκίνητη ρύθμιση προστατευτική οθόνησε έναν από τους υπολογιστές του δικτύου, μπορείτε όσο το δυνατόν συντομότερααναπρογραμματίσει ήδη έτοιμες ρυθμίσειςσε άλλες μονάδες δικτύου. Επιπλέον, η σύγχρονη λειτουργία εξασφαλίζεται ακόμη και με ασύρματο σύνδεση δικτύου. Ασκηση απαιτούμενες παραμέτρουςΤο τείχος προστασίας χρειάζεται λίγο χρόνο για να λειτουργήσει, αλλά αν το αμελήσετε, οι περιορισμοί προστασίας μπορεί να εμποδίσουν ορισμένες υπηρεσίες που είναι απαραίτητες για τη λειτουργία.

  Επιπρόσθετα χαρακτηριστικάφίλτρα δικτύου

  Υπάρχουν τείχη προστασίας που μπορούν να ρυθμιστούν πρόσθετη προστασία μεμονωμένες υπηρεσίεςκαι εφαρμογές. Για παράδειγμα, για να αποτρέψετε το hacking " γονικοί ελέγχοι"ή εγκαταστήστε το "antispam". Η ρύθμιση της πρόσβασης στο Διαδίκτυο και των δικαιωμάτων λειτουργίας σε ένα κλειστό τοπικό δίκτυο για κάθε πρόγραμμα και εφαρμογή μπορεί να καθοριστεί ξεχωριστά. Ένα τείχος προστασίας σάς επιτρέπει να ελέγχετε την πρόσβαση σε τοποθεσίες, να παρακολουθείτε τη σάρωση των πυλών και να φιλτράρετε περιεχόμενο Ιστού. Είναι επίσης ικανό να αποκλείει την πρόσβαση από ύποπτες διευθύνσεις IP και να ειδοποιεί για προσπάθειες επίθεσης ή διερεύνησης.

  Τύποι τείχη προστασίας

  Τα τείχη προστασίας χωρίζονται στους ακόλουθους τύπους:

  Ένα παραδοσιακό τείχος προστασίας που παρέχει φιλτράρισμα πρόσβασης για αποστολή και λήψη πακέτων.

  Ένα τείχος προστασίας συνεδρίας που παρακολουθεί μεμονωμένες συνεδρίες μεταξύ εγκατεστημένων εφαρμογών, διασφαλίζοντας έγκαιρο αποκλεισμό της πρόσβασης σε μη πιστοποιημένα πακέτα, τα οποία συνήθως χρησιμοποιούνται για παραβίαση, σάρωση εμπιστευτικών δεδομένων κ.λπ.

  Αναλυτικό τείχος προστασίας που εκτελεί φιλτράρισμα με βάση την ανάλυση πληροφοριών εσωτερικών πακέτων με επακόλουθο αποκλεισμό ταυτοποιημένων Trojans.

  Τείχος προστασίας υλικού εξοπλισμένο με ενσωματωμένο επιταχυντή που επιτρέπει ταυτόχρονη αποτροπή εισβολής (IPS), σάρωση προστασίας από ιούς, πρόληψη χρηστών ιδιωτικό δίκτυο, και την ανωνυμία VPN, καθώς και να κάνουν το τείχος προστασίας να λειτουργεί πιο αποτελεσματικά.

  Προληπτικά μέτρα

  Για να διασφαλιστεί η υψηλή ποιότητα και η αξιόπιστη ασφάλεια έναντι μη εξουσιοδοτημένων εισβολών και παραβίασης, είναι απαραίτητο να εγκαταστήσετε μόνο ένα πιστοποιημένο τείχος προστασίας σε κόμβους δικτύου. Επί του παρόντος, οι νομοθετικές πράξεις της Ρωσικής Ομοσπονδίας προβλέπουν πιστοποίηση από την FSTEC, την Gazpromsert και την FSB. Για παράδειγμα, πιστοποιεί ότι αυτό το φίλτρο τείχους προστασίας πληροί όλες τις απαιτήσεις που ορίζονται στο πρώτο μέρος του εγγράφου της Κρατικής Τεχνικής Επιτροπής της Ρωσίας. Και τα πιστοποιητικά FSB δείχνουν ότι το σύστημα προγραμμάτων προστασίας συμμορφώνεται με το ρωσικό κρατικό πρότυπο για τις απαιτήσεις για τη διασφάλιση της ασφάλειας και του απορρήτου των πληροφοριών.

  Μόλις πριν από λίγα χρόνια για αξιόπιστη προστασίαΉταν αρκετό να εγκαταστήσετε έναν καλό υπολογιστή πρόγραμμα προστασίας από ιούςκαι προσέχετε τακτικές ενημερώσειςβάσεις Ωστόσο, η ευρηματικότητα των επιτιθέμενων γεννά όλο και περισσότερους νέους τρόπους πρόκλησης ζημιών. Συχνά ο κύριος τρόπος διείσδυσης στον υπολογιστή ενός χρήστη είναι μέσω του δικού του δικτυακές συνδέσεις, ή μάλλον τα τρωτά σημεία του συστήματος που σχετίζονται με αυτά. Το πακέτο προστασίας από ιούς μπορεί μόνο να ανιχνεύσει κακόβουλος κώδικας, ωστόσο, δεν είναι όλα τα προγράμματα προστασίας από ιούς σε θέση να εντοπίσουν μη εξουσιοδοτημένη πρόσβαση σε δεδομένα.

  Με την ανάπτυξη των σχέσεων αγοράς, οι πληροφορίες αποκτούν όλο και περισσότερο τις ιδιότητες ενός εμπορεύματος, δηλαδή μπορούν να αγοραστούν, να πουληθούν, να μεταφερθούν και, δυστυχώς, να κλαπούν. Ως εκ τούτου, το πρόβλημα της διασφάλισης της ασφάλειας των πληροφοριών γίνεται όλο και πιο επείγον κάθε χρόνο. Μια πιθανή λύση σε αυτό το πρόβλημα είναι η χρήση τείχους προστασίας.

  Σύγχρονες τεχνολογίες προστασία δικτύουαποτελούν ένα από τα πιο δυναμικά τμήματα της σύγχρονης αγοράς ασφάλειας. Τα εργαλεία ασφάλειας δικτύου αναπτύσσονται τόσο γρήγορα που επί του παρόντος η γενικά αποδεκτή ορολογία σε αυτόν τον τομέα δεν έχει ακόμη καθιερωθεί πλήρως. Αυτά τα μέσα προστασίας εμφανίζονται στη βιβλιογραφία και τα μέσα ως τείχη προστασίας, τείχη προστασίας και ακόμη και μεμβράνες πληροφοριών. Αλλά ο πιο συχνά χρησιμοποιούμενος όρος είναι "τείχη προστασίας" (FW).

  Γενικά, για την παροχή ασφάλειας δικτύου μεταξύ δύο συνόλων πληροφοριακά συστήματα(IS) εγκαθίσταται μια οθόνη ή μια μεμβράνη πληροφοριών, η οποία είναι ένα μέσο οριοθέτησης της πρόσβασης των πελατών από ένα σύνολο συστημάτων σε πληροφορίες που είναι αποθηκευμένες σε διακομιστές σε ένα άλλο σύνολο. Με αυτή την έννοια, το ME μπορεί να αναπαρασταθεί ως ένα σύνολο φίλτρων που αναλύουν τις πληροφορίες που περνούν από αυτά και παίρνουν μια απόφαση: να διαβιβάσουν τις πληροφορίες ή να τις αποκλείσουν. Ταυτόχρονα, καταγράφονται συμβάντα και δημιουργούνται συναγερμοί εάν εντοπιστεί μια απειλή. Συνήθως, τα συστήματα θωράκισης γίνονται ασύμμετρα. Για τις οθόνες, ορίζονται οι έννοιες «μέσα» και «έξω» και η εργασία της οθόνης περιλαμβάνει προστασία εσωτερικό δίκτυοαπό ένα δυνητικά εχθρικό περιβάλλον. Επιπλέον, το ME μπορεί να χρησιμοποιηθεί ως εταιρικό ανοιχτό τμήμα του δικτύου, ορατό από Πλευρές Διαδικτύου. Για παράδειγμα, πολλοί οργανισμοί χρησιμοποιούν ME για την αποθήκευση δεδομένων ανοιχτής πρόσβασης, όπως πληροφορίες σχετικά με προϊόντα και υπηρεσίες, αρχεία από βάσεις δεδομένων FTP, μηνύματα λάθους κ.λπ.

  Τείχος προστασίας ή τείχος προστασίας - ένα σύμπλεγμα υλικού ή λογισμικό, το οποίο παρακολουθεί και φιλτράρει πακέτα δικτύου που διέρχονται από αυτό σύμφωνα με καθορισμένους κανόνες.

  Το κύριο καθήκον ενός τείχους προστασίας είναι να προστατεύει δίκτυα υπολογιστών ή μεμονωμένους κόμβους από μη εξουσιοδοτημένη πρόσβαση. Επίσης, τα τείχη προστασίας ονομάζονται συχνά φίλτρα, αφού το κύριο καθήκον τους είναι να μην αφήνουν (φιλτράρουν) πακέτα που δεν πληρούν τα κριτήρια που ορίζονται στη διαμόρφωση.

  Ορισμένα τείχη προστασίας επιτρέπουν επίσης τη μετάφραση διευθύνσεων - δυναμική αντικατάσταση των διευθύνσεων ή θυρών intranet (γκρι) με εξωτερικές που χρησιμοποιούνται εκτός του τοπικού δικτύου.

  Εικόνα 4. Γενική δομήτείχος προστασίας

  Αλλα ονόματα

  Το τείχος προστασίας (γερμανικά: Brandmauer) είναι ένας όρος δανεισμένος από τη γερμανική γλώσσα, ο οποίος είναι ανάλογος του αγγλικού τείχους προστασίας στην αρχική του σημασία (τείχος που χωρίζει τα παρακείμενα κτίρια, προστατεύοντας από την εξάπλωση της φωτιάς). Είναι ενδιαφέρον ότι στον τομέα της τεχνολογίας υπολογιστών, η λέξη "Firewall" χρησιμοποιείται στα γερμανικά.

  Τείχος προστασίας - σχηματίζεται από μεταγραφή του αγγλικού όρου τείχος προστασίας.

  Τύποι τείχη προστασίας

  Τα τείχη προστασίας χωρίζονται σε διαφορετικούς τύπους ανάλογα με τα ακόλουθα χαρακτηριστικά:

  εάν η ασπίδα παρέχει σύνδεση μεταξύ ενός κόμβου και ενός δικτύου ή μεταξύ δύο ή περισσότερων διαφορετικών δικτύων.

  στο επίπεδο των πρωτοκόλλων δικτύου ελέγχεται η ροή δεδομένων.

  είτε παρακολουθούνται οι καταστάσεις ενεργών συνδέσεων είτε όχι.

  Ανάλογα με την κάλυψη των ελεγχόμενων ροών δεδομένων, τα τείχη προστασίας χωρίζονται σε:

  παραδοσιακό δίκτυο (ή τείχος προστασίας) -- ένα πρόγραμμα (ή αναπόσπαστο μέρος του λειτουργικού συστήματος) σε πύλη (διακομιστής που μεταδίδει κίνηση μεταξύ δικτύων) ή λύση υλικού που ελέγχει τις εισερχόμενες και εξερχόμενες ροές δεδομένων μεταξύ συνδεδεμένων δικτύων.

  Το προσωπικό τείχος προστασίας είναι ένα πρόγραμμα που είναι εγκατεστημένο στον υπολογιστή ενός χρήστη και έχει σχεδιαστεί για να προστατεύει μόνο αυτόν τον υπολογιστή από μη εξουσιοδοτημένη πρόσβαση.

  Μια εκφυλισμένη περίπτωση είναι η χρήση ενός παραδοσιακού τείχους προστασίας από τον διακομιστή για να περιορίσει την πρόσβαση στους δικούς του πόρους.

  Ανάλογα με το επίπεδο στο οποίο πραγματοποιείται ο έλεγχος πρόσβασης, υπάρχει μια διαίρεση σε τείχη προστασίας που λειτουργούν σε:

  επίπεδο δικτύου, όταν πραγματοποιείται φιλτράρισμα με βάση τις διευθύνσεις του αποστολέα και του παραλήπτη των πακέτων, τους αριθμούς θυρών του επιπέδου μεταφοράς του μοντέλου OSI και τους στατικούς κανόνες που καθορίζονται από τον διαχειριστή.

  επίπεδο περιόδου λειτουργίας (γνωστό και ως stateful) - παρακολούθηση περιόδων σύνδεσης μεταξύ εφαρμογών, μη επιτρέποντας πακέτα που παραβιάζουν τις προδιαγραφές TCP/IP, που χρησιμοποιούνται συχνά σε κακόβουλες λειτουργίες - σάρωση πόρων, παραβίαση μέσω λανθασμένων υλοποιήσεων TCP/IP, απορριπτόμενες/αργές συνδέσεις, έγχυση δεδομένων.

  επίπεδο εφαρμογής, φιλτράρισμα με βάση την ανάλυση των δεδομένων εφαρμογής που μεταδίδονται εντός του πακέτου. Αυτοί οι τύποι οθονών σάς επιτρέπουν να αποκλείετε τη μετάδοση ανεπιθύμητων και δυνητικά επιβλαβών πληροφοριών βάσει πολιτικών και ρυθμίσεων.

  Ορισμένες λύσεις τείχους προστασίας σε επίπεδο εφαρμογής είναι διακομιστές μεσολάβησης με ορισμένες δυνατότητες τείχους προστασίας, που υλοποιούν διαφανείς διακομιστή μεσολάβησης με εξειδίκευση στο πρωτόκολλο. Οι δυνατότητες του διακομιστή μεσολάβησης και η εξειδίκευση σε πολλά πρωτόκολλα καθιστούν το φιλτράρισμα πολύ πιο ευέλικτο από τα κλασικά τείχη προστασίας, αλλά τέτοιες εφαρμογές έχουν όλα τα μειονεκτήματα των διακομιστών μεσολάβησης (για παράδειγμα, ανωνυμοποίηση κυκλοφορίας).

  Ανάλογα με την παρακολούθηση των ενεργών συνδέσεων, τα τείχη προστασίας είναι:

  χωρίς κατάσταση (απλό φιλτράρισμα), που δεν παρακολουθούν τις τρέχουσες συνδέσεις (για παράδειγμα, TCP), αλλά φιλτράρουν τη ροή δεδομένων αποκλειστικά με βάση στατικούς κανόνες.

  stateful, stateful packet inspection (SPI) (context-aware filtering), παρακολουθεί τις τρέχουσες συνδέσεις και διοχετεύει μόνο εκείνα τα πακέτα που ικανοποιούν τη λογική και τους αλγόριθμους των αντίστοιχων πρωτοκόλλων και εφαρμογών. Αυτοί οι τύποι τείχη προστασίας καθιστούν δυνατή την αποτελεσματικότερη καταπολέμηση διαφόρων τύπων επιθέσεων DoS και τρωτών σημείων ορισμένων πρωτοκόλλων δικτύου. Επιπλέον, διασφαλίζουν τη λειτουργία πρωτοκόλλων όπως H.323, SIP, FTP κ.λπ., τα οποία χρησιμοποιούν πολύπλοκα σχήματα μεταφοράς δεδομένων μεταξύ παραληπτών, δύσκολα περιγραφόμενα από στατικούς κανόνες και, συχνά, ασύμβατα με τυπικά τείχη προστασίας χωρίς κατάσταση.

  Πρέπει να σημειωθεί ότι αυτή τη στιγμή, μαζί με τα τείχη προστασίας ενός επιπέδου, τα πολύπλοκα τείχη προστασίας που καλύπτουν επίπεδα από δίκτυο σε εφαρμογή γίνονται όλο και πιο δημοφιλή, καθώς παρόμοια προϊόντασυνδυάζουν τις καλύτερες ιδιότητες των οθονών ενός επιπέδου ΔΙΑΦΟΡΕΤΙΚΟΙ ΤΥΠΟΙ. Το διάγραμμα 1 δείχνει τη δομή της θωράκισης πληροφοριών μεταξύ δύο συστημάτων κατά τη χρήση μοντέλο αναφοράς ISO/OSI.

  
  

  Εικόνα 5. Πλαίσιο θωράκισης πληροφοριών χρησιμοποιώντας το μοντέλο αναφοράς

  Σύγχρονες απαιτήσεις για τείχη προστασίας

  Η κύρια απαίτηση είναι η διασφάλιση της ασφάλειας του εσωτερικού (προστατευμένου) δικτύου και πλήρης έλεγχοςμέσω εξωτερικών συνδέσεων και συνεδριών επικοινωνίας.

  Το σύστημα ασφαλείας πρέπει να διαθέτει ισχυρά και ευέλικτα χειριστήρια για την εύκολη και πλήρη εφαρμογή της πολιτικής ασφαλείας του οργανισμού.

  Το τείχος προστασίας θα πρέπει να λειτουργεί απαρατήρητο από τους χρήστες του τοπικού δικτύου και να μην τους δυσκολεύει την εκτέλεση νομικών ενεργειών.

  Ο επεξεργαστής τείχους προστασίας πρέπει να είναι γρήγορος, να λειτουργεί αρκετά αποτελεσματικά και να μπορεί να χειρίζεται όλη την εισερχόμενη και εξερχόμενη κίνηση σε ώρες αιχμής, ώστε να μην μπορεί να αποκλειστεί. μεγάλο ποσόκαλεί και διακόπτει τη λειτουργία του.

  Το ίδιο το σύστημα ασφαλείας πρέπει να προστατεύεται αξιόπιστα από τυχόν μη εξουσιοδοτημένες επιρροές, καθώς είναι το κλειδί εμπιστευτικές πληροφορίεςΣτην οργάνωση.

  Το σύστημα διαχείρισης οθόνης πρέπει να μπορεί να επιβάλλει κεντρικά μια ενιαία πολιτική ασφαλείας για απομακρυσμένα υποκαταστήματα.

  Χαρακτηριστικά των σύγχρονων τείχη προστασίας

  Όπως φαίνεται από τον Πίνακα 3, ένα τείχος προστασίας είναι το πιο συνηθισμένο μέσο για τη βελτίωση των παραδοσιακών μέσων προστασίας από μη εξουσιοδοτημένη πρόσβαση και χρησιμοποιείται για τη διασφάλιση της προστασίας δεδομένων σε έναν οργανισμό διαδικτύου.

  Οι συγκεκριμένες υλοποιήσεις ME εξαρτώνται σε μεγάλο βαθμό από τις υπολογιστικές πλατφόρμες που χρησιμοποιούνται, αλλά, παρόλα αυτά, όλα τα συστήματα αυτής της κατηγορίας χρησιμοποιούν δύο μηχανισμούς, ένας εκ των οποίων παρέχει αποκλεισμό κυκλοφορίας δικτύου, και το δεύτερο, αντίθετα, επιτρέπει την ανταλλαγή δεδομένων.

  Ταυτόχρονα, ορισμένες εκδόσεις του ME επικεντρώνονται στο μπλοκάρισμα της ανεπιθύμητης κυκλοφορίας, ενώ άλλες επικεντρώνονται στη ρύθμιση της επιτρεπόμενης ανταλλαγής μεταξύ των μηχανών.

  Πίνακας 3 - Χαρακτηριστικά τείχους προστασίας

  Τύπος τείχους προστασίας	Αρχή λειτουργίας	Πλεονεκτήματα	Ελαττώματα
  Θωρακτικοί δρομολογητές (τείχη προστασίας φιλτραρίσματος πακέτων)	Το φιλτράρισμα πακέτων πραγματοποιείται σύμφωνα με την κεφαλίδα IP του πακέτου σύμφωνα με το κριτήριο: επιτρέπεται ό,τι δεν απαγορεύεται ρητά. Οι πληροφορίες που αναλύονται είναι: - διεύθυνση αποστολέα. - διεύθυνση του παραλήπτη· - πληροφορίες σχετικά με την εφαρμογή ή το πρωτόκολλο· - αριθμός θύρας πηγής. - αριθμός θύρας παραλήπτη	Χαμηλό κόστος Ελάχιστος αντίκτυπος στην απόδοση του δικτύου Εύκολη διαμόρφωση και εγκατάσταση Λογισμικό διαφανές	Ευπάθεια του μηχανισμού προστασίας για διάφοροι τύποι επιθέσεις δικτύου, όπως παραποίηση διευθύνσεων πηγής πακέτων, μη εξουσιοδοτημένη τροποποίηση του περιεχομένου του πακέτου Έλλειψη υποστήριξης αρχείων καταγραφής συμβάντων και εργαλείων ελέγχου σε ορισμένα προϊόντα
  Screening gateway (ESG)	Η ανταλλαγή πληροφοριών πραγματοποιείται μέσω ενός κεντρικού προμαχώνα που είναι εγκατεστημένο μεταξύ του εσωτερικού και εξωτερικά δίκτυα, το οποίο λαμβάνει αποφάσεις σχετικά με τη δυνατότητα δρομολόγησης της κυκλοφορίας. Υπάρχουν δύο τύποι ES: συνεδρία και επίπεδο εφαρμογής	· Έλλειψη από άκρο σε άκρο μετάδοσης πακέτων σε περίπτωση αστοχιών · Βελτιωμένοι, σε σύγκριση με το EM, μηχανισμοί προστασίας που επιτρέπουν τη χρήση πρόσθετα κεφάλαιαέλεγχος ταυτότητας, λογισμικό και υλικό · Χρήση της διαδικασίας μετάφρασης διευθύνσεων, η οποία επιτρέπει την απόκρυψη των διευθύνσεων των κεντρικών υπολογιστών σε ένα κλειστό δίκτυο	· Χρήση μόνο ισχυρών κεντρικών υπολογιστών προμαχώνων λόγω του μεγάλου όγκου υπολογισμών · Έλλειψη «διαφάνειας» λόγω του γεγονότος ότι τα ES εισάγουν καθυστερήσεις στη διαδικασία μετάδοσης και απαιτούν διαδικασίες ελέγχου ταυτότητας από τον χρήστη
  Υποδίκτυα θωράκισης (ES)	Δημιουργείται ένα απομονωμένο υποδίκτυο μεταξύ του εσωτερικού και του δημόσιου δικτύου. Τα μηνύματα από το ανοιχτό δίκτυο επεξεργάζονται από την πύλη εφαρμογής και καταλήγουν στην ηλεκτρονική υπογραφή. Αφού περάσουν επιτυχώς τον έλεγχο στην ηλεκτρονική υπογραφή, μπαίνουν σε κλειστό δίκτυο. Τα αιτήματα από κλειστό δίκτυο διεκπεραιώνονται μέσω της ηλεκτρονικής υπογραφής με τον ίδιο τρόπο. Το φιλτράρισμα βασίζεται στην αρχή: ότι δεν επιτρέπεται απαγορεύεται	Δυνατότητα απόκρυψης εσωτερικής διεύθυνσης δικτύου Αυξημένη αξιοπιστία ασφαλείας Δυνατότητα δημιουργίας υψηλή κίνησημεταξύ εσωτερικών και ανοιχτών δικτύων κατά τη χρήση πολλών προμαχώνων στις ηλεκτρονικές επικοινωνίες «διαφάνεια» της εργασίας για οποιονδήποτε υπηρεσίες δικτύουκαι οποιαδήποτε εσωτερική δομή δικτύου	Χρησιμοποιώντας μόνο ισχυρούς προμαχώνες λόγω υψηλού υπολογιστικού όγκου · Συντήρηση(εγκατάσταση, διαμόρφωση) μπορεί να πραγματοποιηθεί μόνο από ειδικούς

  Τυπικές επιλογές για την ενεργοποίηση τείχη προστασίας

  
  

  Εικόνα 6. Ενεργοποίηση του ME χρησιμοποιώντας ένα σχήμα πύλης δύο θυρών

  
  

  Εικόνα 7. Ενεργοποίηση ME απευθείας στον προστατευμένο διακομιστή

  
  

  Εικόνα 8. Ενεργοποίηση ME στο σύστημα Internet Intranet

  Συγκριτικά χαρακτηριστικάσύγχρονα τείχη προστασίας

  Πίνακας 4 - Συγκριτικά χαρακτηριστικά σύγχρονων τείχη προστασίας

  		Πλατφόρμα	Εταιρία	Ιδιαιτερότητες
  Τείχος προστασίας Ηλιοστάσιου	Συγκρότημα	SunOS, UNIX, Solaris	Sun Microsystems	Υλοποιεί μια πολιτική ασφαλείας: όλα τα δεδομένα που δεν έχουν ρητή άδεια απορρίπτονται. Κατά τη λειτουργία, τα φίλτρα πακέτων σε πύλες και διακομιστές δημιουργούν εγγραφές όλων των συμβάντων και ενεργοποιούν μηχανισμούς συναγερμού που απαιτούν απόκριση διαχειριστή.
  			Milkyway Networks Corporation	Δεν χρησιμοποιεί μηχανισμό φιλτραρίσματος πακέτων. Αρχή λειτουργίας: ότι δεν επιτρέπεται ρητά απαγορεύεται. Καταχωρεί όλες τις ενέργειες του διακομιστή και προειδοποιεί για πιθανές παραβιάσεις. Μπορεί να χρησιμοποιηθεί ως αμφίδρομη πύλη.
  Διακομιστής τείχους προστασίας BorderWare	Application Level Screening Gateway	UNIX, Windows, DOS	Secure Computing Corporation	Λογισμικό ασφαλείας που διασφαλίζει τη λειτουργία υπό έλεγχο λειτουργικού συστήματος ( δική του ανάπτυξη). Σας επιτρέπει να καταγράψετε διευθύνσεις, ώρες, προσπάθειες, πρωτόκολλο που χρησιμοποιήθηκε.
  ALF (Φίλτρο επιπέδου εφαρμογής)	Application Level Screening Gateway			Μπορεί να φιλτράρει πακέτα IP κατά διευθύνσεις, περιοχές θυρών, πρωτόκολλα και διεπαφές. Ένα εισερχόμενο πακέτο μπορεί να χαθεί, να εξαλειφθεί ή να σταλεί στη διεύθυνσή του.
  Υπηρεσία InterLock ANS	Application Level Screening Gateway		Συστήματα ANS CO + RE	Χρησιμοποιεί ενδιάμεσα προγράμματα για υπηρεσίες Telnet, FTR, HTTR. Υποστηρίζει κρυπτογράφηση συνδέσεων από σημείο σε σημείο και το υλικό μπορεί να χρησιμοποιηθεί ως μέσο ελέγχου ταυτότητας.
  	Ενσωματωμένη οθόνη	SunOS, BSDI στην Intel, IRIX στο INDY και Challenge		Χρησιμοποιεί την ώρα, την ημερομηνία, τη διεύθυνση, τη θύρα κ.λπ. για ανάλυση. Περιλαμβάνει ενδιάμεσο λογισμικό επιπέδου εφαρμογής για Telnet, FTR, SMTP, X11, HTTP, Gopher και άλλα.
  	Application Level Screening Gateway	SunOS, BSDI, Solaris, HP-UX, AIX		Ένα κλειστό δίκτυο θεωρείται από έξω ως ένας ενιαίος κεντρικός υπολογιστής. Διαθέτει ενδιάμεσα προγράμματα για υπηρεσίες: email, πρωτόκολλο FTR κλπ. Καταγράφει όλες τις ενέργειες διακομιστή και προειδοποιεί για παραβιάσεις.
  	Application Level Screening Gateway		Λογισμικό Sterling	Είναι προϊόν λογισμικού, παρέχοντας προστασία πληροφοριών από μη εξουσιοδοτημένη πρόσβαση κατά τη σύνδεση κλειστή και ανοιχτά δίκτυα. Σας επιτρέπει να καταγράφετε όλες τις ενέργειες διακομιστή και να προειδοποιείτε για πιθανές παραβιάσεις.
  Τείχος προστασίας CyberGuard	Αμφίδρομη πύλη από άκρο σε άκρο (από κεντρικό υπολογιστή σε προμαχώνα ως φίλτρο, πύλη σε επίπεδο εφαρμογής ή οθόνη από άκρο σε άκρο)	Πλατφόρμα RISC, OS UNIX	Harris Computer Systems Corporation	Μεταχειρισμένος ολοκληρωμένες λύσεις, συμπεριλαμβανομένων μηχανισμών προστασίας UNIX OS και ενσωματωμένοι εργαλεία δικτύου, σχεδιασμένο για υπολογιστές RISC. Για ανάλυση χρησιμοποιούνται η διεύθυνση προέλευσης, η διεύθυνση προορισμού κ.λπ.
  Ψηφιακό τείχος προστασίας για UNIX	Ενσωματωμένη οθόνη		Digital Equipment Corporation	Προεγκατεστημένο σε συστήματα Digital Alpha, παρέχει δυνατότητες φίλτρου θωράκισης και πύλης επιπέδου εφαρμογής.
  Eagle Enterprise	Application Level Screening Gateway	Εφαρμογή τεχνολογίας Virtual Private Networking		Περιλαμβάνει ενδιάμεσα προγράμματα σε επίπεδο εφαρμογής για υπηρεσίες FTR, HTTP, Telnet. Καταχωρεί όλες τις ενέργειες διακομιστή και προειδοποιεί για παραβιάσεις.
  Τείχος προστασίας IRX Router	Θωρακιστικό δρομολογητή			Σας επιτρέπει να αναλύσετε το δίκτυο για να βελτιστοποιήσετε την κυκλοφορία του δικτύου, να συνδέσετε με ασφάλεια το τοπικό δίκτυο απομακρυσμένα δίκτυαβασίζονται σε ανοιχτά δίκτυα.
  	Ολοκληρωμένο τείχος προστασίας	Intel x86, Sun Sparc κ.λπ.		Παρέχει προστασία από επιθέσεις χάκερ, όπως πλαστογράφηση διευθύνσεων (πλαστογραφία διευθύνσεων πακέτων) και αντιπροσωπεύει έναν συνδυασμό εργαλείων προστασίας σε επίπεδο δικτύου και εφαρμογής.
  Τείχος προστασίας-1/VPN-1	Ολοκληρωμένο τείχος προστασίας	Intel x86, Sun Sparc κ.λπ.	Check Point Software Technologies	Είναι ανοιχτή διεπαφήΕφαρμογές OPSEC API. Παρέχει: - ταυτοποίηση ιούς υπολογιστών; - Σάρωση URL. - αποκλεισμός Java και ActiveX. - υποστήριξη Πρωτόκολλο SMTP; - Φιλτράρισμα HTTP. - Επεξεργασία πρωτοκόλλου FTP
  TIS Firewall Toolkit	Ένα σύνολο προγραμμάτων για τη δημιουργία και τη διαχείριση συστημάτων τείχους προστασίας		Αξιόπιστα Πληροφοριακά Συστήματα	Κατανεμημένα σε πηγαίο κώδικα, όλες οι ενότητες είναι γραμμένες σε C. Το σετ προορίζεται για έμπειρους προγραμματιστές.
  Gauntlet Internet Firewall	Application Level Screening Gateway	UNIX, Ασφαλές BSD	Αξιόπιστα Πληροφοριακά Συστήματα	Υποστηρίζει υπηρεσίες: ΗΛΕΚΤΡΟΝΙΚΗ ΔΙΕΥΘΥΝΣΗ, υπηρεσία Web, υπηρεσίες τερματικού κ.λπ. Χαρακτηριστικά: κρυπτογράφηση σε επίπεδο δικτύου, προστασία από επιθέσεις χάκερ όπως πλαστογράφηση διευθύνσεων, προστασία από προσπάθειες αλλαγής δρομολόγησης.
  	Τείχος προστασίας πολλαπλών πρωτοκόλλων	Διάφορες πλατφόρμες υλικού	Network-1 Software and Technology	Ο έλεγχος υλοποιείται σε επίπεδο πλαισίου, πακέτου, καναλιού και εφαρμογής (για κάθε πρωτόκολλο). Σας επιτρέπει να εργάζεστε με περισσότερα από 390 πρωτόκολλα, καθιστά δυνατή την περιγραφή τυχόν συνθηκών φιλτραρίσματος για επόμενες εργασίες.
  Zastava-Jet	Ολοκληρωμένο τείχος προστασίας	SPARC, Solaris, UNIX		Υλοποιεί μια πολιτική ασφαλείας: όλα τα δεδομένα που δεν έχουν ρητή άδεια απορρίπτονται.

  Ένα τείχος προστασίας από μόνο του δεν είναι πανάκεια για όλες τις απειλές δικτύου. Συγκεκριμένα, ο ίδιος:

  δεν προστατεύει τους κόμβους του δικτύου από τη διείσδυση από τις πίσω πόρτες ή τις ευπάθειες λογισμικού.

  δεν παρέχει προστασία από πολλές εσωτερικές απειλές, κυρίως από διαρροές δεδομένων.

  δεν προστατεύει από λήψεις χρηστών κακόβουλο λογισμικό, συμπεριλαμβανομένων των ιών.

  Για την επίλυση των δύο τελευταίων προβλημάτων, χρησιμοποιούνται κατάλληλα πρόσθετα εργαλεία, ιδίως antivirus. Συνήθως, συνδέονται σε ένα τείχος προστασίας και διέρχονται από το αντίστοιχο τμήμα της κίνησης του δικτύου, λειτουργώντας ως διακομιστής μεσολάβησης διαφανής σε άλλους κόμβους δικτύου ή λαμβάνουν ένα αντίγραφο όλων των δεδομένων που μεταδίδονται από το τείχος προστασίας. Ωστόσο, μια τέτοια ανάλυση απαιτεί σημαντικούς πόρους υλικού, επομένως συνήθως πραγματοποιείται ανεξάρτητα σε κάθε κόμβο δικτύου.