Установка Microsoft Forefront Threat Management Gateway в виртуальной среде Microsoft Hyper-V

Данный материал является практическим применением двух конкретных технологий: Microsoft Hyper-V и Microsoft Forefront Threat Management Gateway, которые предлагает компания Microsoft.

Технические данные

В рамках проекта есть ОДИН физический сервер с двумя сетевыми картами, поддерживающий технологию виртуализации. В рамках данной статьи необходимо решить задачу развертывания демилитаризованной зоны (ДМЗ) в виртуальной сети.
Прежде чем произвести установку всеx программных продуктов необходимо прочитать правила лицензирования, которые позволят рассчитать стоимость владения ПО. Лицензионное соглашение компании Microsoft регулярно обновляется и всегда доступно на сайте Microsoft.

Этап 1. Установка операционной системы на физический сервер.

Компания Microsoft предлагает 2 варианта виртуализации:

C использование гипервизора Microsoft Hyper-V™ Server 2008 .
C использование роли сервера Hyper-V в составе Microsoft Windows 2008 R2 Server.

В рамках текущей статьи будет представлен вариант с использованием роли сервера Hyper-V.

Использование гипервизора Microsoft Hyper-V™ Server 2008 .

Компания Microsoft выпустила продукт, который позволяет физический сервер превратить в сервер виртуальных машин без установки операционной системы (на самом деле операционная система устанавливается, но она является специализированной для виртуализации). Продукт называется Microsoft Hyper-V Server.

Для его администрирования необходимо использовать оболочку Диспетчер Hyper-V, которую можно установить в операционные системы Windows 7 и Windows Vista, либо обладать знаниями по использованию оболочки Powershell.

Гипервизор Microsoft Hyper-V Server 2008 обеспечивает возможность использования технологии виртуализации БЕСПЛАТНО, но требует специализированных знаний и навыков при обслуживании и использовании дополнительного оборудования, например, ленточных накопителей или систем хранения данных.

Использование роли сервера Hyper-V в составе Microsoft Windows 2008 R2 Server.

В рамках операционной системы Microsoft Windows 2008 R2 существует роль Hyper-V, которая предоставляет возможность создания виртуальных машин. При этом на физическом сервере существует возможность использования полноценной операционной системы, которая предоставит администраторам необходимую свободу действий.

Подробнее про установку гипервизора Microsoft Hyper-V™ Server и роли Hyper-V можно найти на сайте www.microsoft.ru .
Этап 2. Управление виртуальной сетевой инфраструктурой.

Несмотря на то, что сервер физический, существует возможность не назначать сетевые адреса на физические сетевые карты, что позволит обеспечить безопасность физического сервера. Однако отсутствие сетевого подключения к локальной сети исключает удаленное администрирование сервера, на котором установлена роль Hyper-V. Обычно для администрирования сервера назначают IP адрес доступа из внутренней сети.

Назначать сетевой адрес на сетевую карту, подключенную к сети Интернет не рекомендуется, так как нет средств для обеспечения полноценной защиты физического сервера.

Лучше всего настроить текущую сетевую инфраструктуру на сервере виртуализации. Так как рассматриваемая сетевая инфраструктура представляет собой трехноговую инфраструктуру (Внутренняя – ДМЗ – Внешняя), то необходимо создать три сети, две из которых будут физически присвоены к различным сетевым адаптерам, а третья будет виртуальной – для демилитаризованной зоны. Это делается через «Диспетчер виртуальной сети», как показано на рисунке 1.

В окне «Диспетчер виртуальных сетей» выбираем пункт «Создать виртуальную сеть». Выбираем тип «Внешний» и нажимаем «Добавить». Процесс создания сети представлен на рис. 2.

В рамках создаваемой инфраструктуры нам необходимо создать 3 вида сетей: две внешних сети с подключением к разным адаптерам (подключение к внутренний сети и подключение к провайдеру) и одну частную сеть из виртуальных машин (подключение серверов ДМЗ). В результате мы получим три сети (рис.3.)

3 Этап. Создание виртуальных машин.

При создании виртуальных машин, находящихся в демилитаризованной зоне, необходимо указать созданный адаптер Virtual DMZ. Основным шлюзом (default gateway) будет являться сервер Microsoft Forefront Threat Management Gateway. Конфигурацию и объем жестких дисков выбирают исходя из задач, возложенных на сервера.

Для создания виртуальной машины необходимо кликнуть правой кнопкой на сервере Hyper-V, выбрать пункт «Создать - Виртуальную машину». После чего откроется окно приглашения.

В окне «Укажите имя и месторасположение» необходимо определить название и месторасположение файла конфигурации виртуального сервера (рис. 4.).

В окне «Выделить память» (рис. 5) необходимо выбрать размер оперативной памяти. Для Microsoft Forefront Threat Management Gateway по минимальным требованиям необходимо 2Гб оперативной памяти.

В окне «Настройка сети» выбираем подключение к внутренней сети (Virtual Internal).

В окне «Подключить виртуальный жесткий диск» необходимо выбрать пункт «Создать виртуальный жесткий диск». Указать размер (для Microsoft Windows 2008 R2 не менее 11 Гб) (рис. 7).

В окне «Параметры установки» выбираем пункт «Установить операционную систему позднее» и нажимаем «Далее» (рис. 8).

После окна «Сводка» нажимаем «Готово».

Прежде чем преступить к установке Windows 2008 R2 Server необходимо зайти в настройки виртуальной машины FOREFRONT. Правой кнопкой кликаем на виртуальной машине – Параметры…

И в окне «Настройки для FOREFRONT»

В окне выбираем «Установка оборудования» - «Сетевой адаптер» и нажимаем «Добавить». Добавляем два оставшихся адаптера Virtual Internet и Virtual DMZ. После добавления конфигурация компьютера будет выглядеть так:

после этого приступаем к установке Microsoft Windows 2008 R2 Server.

Этап 4. Установка Microsoft Windows 2008 R2 Server.

Приступаем к установке Windows 2008 R2 Server. Для этого необходим образ диска. Его можно скачать с сайта Microsoft. На сайте www.microsoft.ru можно найти жесткий диск для виртуальных машин и заменить его созданным ранее нами.

В «Контроллере 1 IDE» устанавливаем «Файл изображения» и указываем расположение файла образа.

Запускаем виртуальную машину.

После этого можно отправлять установку Microsoft Windows 2006 R2 и Microsoft ForeFront Threat Management Gateway по умолчанию. Определяем сетевые адаптеры и назначаем IP адреса согласно конфигурации сети. ВНИМАНИЕ! На компьютере может быть определен только единственный Default Gateway. Обычно его назначают default gateway провайдера.

Этап 5. Настройка Microsoft Forefront Threat Management Gateway.

После первоначального запуска появится окно «Started Wizard». Также его можно запустить через «Launch Getting Started Wizard».

В настройках «Network Template selection» выбираем «3-Leg perimeter»(трехногий периметр), который позволит ограничить и создать ДМЗ. Нажимаем «Далее».

В окне «Local Area Network (LAN) Setting» выбираем сетевой адаптер, который подключен к внутренней локальной сети.

В окне «Internet Setting» выбираем сетевой адаптер, подключенный к провайдеру.

В окне «Perimeter Network Setting» определяем сетевой адаптер, подключенный к серверам в ДМЗ. Далее необходимо выбрать тип доверия к данной сети. Он может быть либо Public(публичный), когда на серверах находящихся в ДМЗ будет настроена маршрутизация без использования NAT, либо Private (приватный), когда будет настроена маршрутизация с использованием NAT. Данный режим определятся уровнем доверия к сети ДМЗ. Режим Private позволит в полной мере защитит вашу сеть от видимости со стороны ДМЗ, но могут возникнуть проблемы с настройкой правил доступа.

В этой статье было показано каким образом можно настроить 3-leg периметр. К сожалению, в рамках данной статьи невозможно показать полную настройку Microsoft Forefront Threat Management Gateway для организаций, так как для каждой организации будут существовать свои правила доступа и отношения между сетями и пользователями, которые описаны в политике безопасности.

Microsoft Forefront Threat Management Gateway (TMG) 2010 очень сильно зависит от самых различных служб для поддержания безопасности сети и оптимального быстродействия. Настройка сетевых интерфейсов и в особенности разрешение имен имеет ключевую роль, особенности в случае если TMG настроен как прямой и обратный прокси. В моей практике очень много проблем с TMG были вызваны неправильной настройкой DNS. В этой статье я хотел бы поговорить о настройке сетевых интерфейсов и требований к DNS серверам для правильного разрешения имен в TMG.

Требования к DNS серверам

При выборе DNS сервера в TMG необходимо принять во внимание несколько важных факторов. За очень редким исключением TMG должен быть настроен на использование только внутренних DNS серверов, которые могут резолвить внутреннее пространство адресов а также внешние адреса. Для обеспечения безотказной работы данные DNS сервера должны быть подключены по быстрым соединениям и иметь достаточно ресурсов для успешной обработки всех входящих запросов на разрешение имен. Это целиком зависит от того, как много пользователей подключены к TMG и каким образом они подключены. Клиент веб-прокси и TMG клиент целиком и полностью зависят от TMG в процессе разрешения имен, увеличивая загрузку DNS серверов. Клиенты SecureNAT выполняют разрешение самостоятельно. Если DNS сервера слишком перегружены или между TMG и DNS проблемы с каналами связи, вы можете испытывать самые разнообразные проблемы в работе TMG. Например результатом этого может быть медленная загрузка страниц или запрос на аутентификацию для пользователей, которые должны быть аутентифицировы прозрачно с помощью NTLM или Kerberos.

Конфигурация сетевых интерфейсов

Настройка сетевого интерфейса в TMG c одним сетевым интерфейсом очень проста: IP адрес, маска, шлюз и DNS сервера все настраиваются в локальном интерфейсе. Ситуация несколько усложняется когда имеется несколько сетевых интерфейсов. Если TMG имеет несколько сетевых интерфейсов, то каждый интерфейс должен иметь свой собственный уникальный IP и маску подсети. Однако вне зависимости от того, как много у вас сетевых интерфейсов вы можете иметь только один дефолтный шлюз, причем на внешнем интерфейсе. Никогда не настраивайте шлюз по умолчанию на другом интерфейсе, отличном от внешнего (кроме случая настройки ISP redundancy, при котором оба внешний интерфейса имеют свои собственные шлюзы по умолчанию). С случае необходимости получения доступа к любой удаленной подсети внутри сети или в сети периметра используйте постоянные статические маршруты.

Порядок назначения сетевых интерфейсов

Для TMG c несколькими сетевыми интерфейсами есть ещё одна настройка, про которую очень часто и не обоснованно забывают. Это порядок привязки сетевых интерфейсов. Откройте Network and Sharing Center , нажмите ссылку Change adapter settings . Далее нажмите наAdvanced и Advanced Settings…

Выберите вкладку Adapters and Bindings и убедитесь что внутренний сетевой интерфейс идет первым по списку. Если это не так, выберите его и с помощью стрелочек справа передвиньте на первое место.

Настройка DNS

DNS сервера должны быть указаны только на внутреннем интерфейсе. Не настраиваете DNS на любом другом интерфейсе. Очень частой ошибкой является когда администраторы указывают адреса DNS серверов провайдера на внешнем интерфейсе в дополнение в внутренним DNS серверам, указанным на внутреннем интерфейсе.

Исключение из правила

Существует только один вид развертывания TMG при котором допускается указывание DNS серверов на внешнем интерфейсе. В этом сценарии TMG не является членом домена и не связан с внутренними ресурсами.

Внутренние корневые DNS сервера

В некоторых ситуациях внутрениие DNS сервера не могут резолвить внешние адреса. Это может быть например в случае когда внутренние DNS сервера настроены как корневые сервера для вашего внутреннего простанства имен. Тем не менее требования TMG остаются неизменными. Для его работы требуется возможность резолвинга как внутренних так и внешних адресов.

В данном сценарии вам нужно настроить DNS сервер для TMG для соответствия этим требованиям. Лучшим способом для этого является настройка выделенного кэширующего DNS сервера с настроенной пересылкой.

Полезная информация

sivpk.ru - сайт о выборе и сборке компьютера. Здесь можно прочитать о выборе и составе игрового, мультимедийного и офисного компьютера.

Интересный сайт, на котором есть подробный обзор хостингов и другие интересные статьи по выбору хостинга, инструментах для веб-мастера и многое другое.

И Win7 корпорация Microsoft анонсировала ряд решений, направленных
на усиление безопасности сетей и серверов. Вместо ставших уже привычными имен и
технологий, на IT-сцене появились совершенно новые названия. В статье
познакомимся с назначением продуктов семейства Forefront "Stirling" и подробно
разберем пакет Forefront TMG , который стал преемником ISA Server 2006.

Интегрированная система безопасности Forefront "Stirling"

Практически 9 лет компьютерные сети многих организаций бессменно защищал ISA
Server (Microsoft Internet Security and Acceleration Server). Основа, заложенная
еще в первом релизе, мало изменилась и в третьей версии ISA Server 2006:
фильтрация трафика на нескольких уровнях, поддержка VPN, работа с Active
Directory, анализ посещения внешних ресурсов, IDS/IPS и так далее. Нет, конечно,
продукт развивался: был существенно переработан интерфейс, появились новые
функции, но со временем менялась идеология защиты сетей, и соответственно
администраторы стали требовать большего, чем мог дать ISA Server, который к тому
же не совместим с новыми серверными ОС Win2k8/R2.

Результат не заставил себя долго ждать. В 2008 году на конференции RSA
Security был представлен преемник ISA Server, получивший новое имя Forefront
Threat Management Gateway (Forefront TM G, Шлюз управления угрозами).
Одной из основных особенностей Forefront TMG стала совместная работа с
другими продуктами новой платформы Forefront Protection Suite (кодовое
имя "Stirling",

www.microsoft.com/forefront/stirling), предназначенной для всесторонней
защиты и централизованного управления параметрами безопасности корпоративных
сетей, серверов и рабочих станций. В настоящее время в ее состав входит:

Forefront Client Security (FCS, ранее Microsoft Client Protection)
— обеспечивает защиту серверов, рабочих станций от разного рода угроз,
вирусов, программ-шпионов, руткитов и прочего вредоносного кода с возможностью
простого централизованного управления и получения отчетов. FCS интегрируется с
существующей инфраструктурой программ и дополняет другие технологии
безопасности Microsoft;
Forefront Security for Exchange Server (ранее Microsoft Antigen для
Exchange, в дальнейшем Forefront Protection 2010 for Exchange Server) —
защищает среду обмена сообщениями Exchange Server от вирусов, червей, спама и
недопустимого содержимого, для этих целей в его состав включено несколько
антивирусных ядер;
Forefront Online Security for Exchange (FOSE) — является "облачным"
вариантом предыдущего пункта, то есть FOSE предоставляется как услуга,
позволяющая обеспечить защиту электронной почты компании и снизить затраты на
содержание серверов. Интегрируется с Active Directory и Exchange Server, хотя
в качестве почтового сервера можно использовать любой другой сервер;
Forefront Security for Office Communications Server — обеспечивает
защиту системы мгновенных сообщений, предоставляемую этим сервером, проверяя
трафик несколькими антивирусами и блокируя мессаджи с подозрительным
содержимым;
Forefront Security for SharePoin t (ранее Antigen для SharePoint, в
дальнейшем Forefront Protection for SharePoint) — антивирусная защита хранилищ
документов (в реальном времени и по расписанию), реализуемых при помощи
сервиса SharePoint, применение политик компании к содержимому, типам и
расширениям файлов;
Forefront Unified Access Gateway (UAG, ранее Intelligent
Application Gateway — IAG 2007) — шлюз удаленного (входящего) доступа (а не
защиты) к приложениям, позволяющий контролировать и управлять доступом к
сетевым службам "из вне", через единую точку входа;
Forefront Identity Manager (FIM, ранее Identity Lifecycle Manager)
— усовершенствованная платформа управления идентификационной информацией на
базе веб-сервисов, в которой используются гибкие средства делегирования
полномочий на основе политик, что в итоге позволяет повысить безопасность и
управляемость корпоративных сред;
Forefront Threat Management Gateway (главный герой нашей статьи) —
защита от интернет угроз, фильтрация трафика, IDS/IPS, контентная фильтрация.

Ранее Microsoft предлагала несколько разобщенных продуктов, каждый их которых
защищал свой участок, имел свою консоль управления и систему отчетов. Такие
системы защиты плохо масштабируются, ими неудобно управлять. Сегодня вместо
этого специалистам предоставляется комплексное решение, которое работает с общей
базой настроек, информацией об угрозах, управляется из единой консоли, и которое
можно легко подстроить под конкретные нужды.

Возможности Forefront TMG

Основным компонентом Forefront TMG (на момент написания статьи была
доступна версия 2010 Release Candidate) является межсетевой экран, который
контролирует входящий и исходящий трафик в соответствии с установленными
политиками. Этот компонент "достался" по наследству от ISA Server. Среди новинок
можно отметить улучшенную поддержку NAT (например, теперь нет проблем в случае,
если внешний интерфейс имеет несколько IP-адресов), функцию управления
резервными интернет-каналами (ISP Redundancy, только для исходящего трафика),
появление в настройках firewall вкладки VoIP, где производится настройка защиты
и поддержки VoIP сервиса (VoIP traversal).

Функцию IDS/IPS выполняет компонент Network Inspection System (NIS,
Служба проверки сети), главным отличием которого от подобных решений является
контроль над попытками использования известных уязвимостей, обнаруженных в
защищаемых системах, а не поиск сигнатур эксплоитов. Такой подход позволяет
закрыть брешь в период обнаружения уязвимости до выхода устраняющего ее патча.
Основой NIS служит GAPA (Generic Application-Level Protocol Analyzer),
обеспечивающий быстрый низкоуровневый поиск данных. Кроме сигнатурного анализа,
в NIS заложен поведенческий анализатор (Security Assessment and response, SAS),
способный определять вторжения на основе поведения (Behavioral Intrusion
Detection).

Никуда не исчезла возможность предоставления безопасного доступа
к ресурсам интернет и контроля за трафиком (Web Client Protection). Здесь
отмечаем появление в списках протокола SSTP (Secure Socket Tunneling Protocol,
подробнее о нем читай в статье " " ), поддержка которого была впервые реализована в Vista
SP1 и Win2k8.

TMG проверяет HTTP и HTTPS (чего не было ранее, при этом TMG
выступает как посредник) трафик на наличие вредоносного ПО, используя те же
механизмы защиты, что и Forefront Client Security и Windows Defender.
Администратор может указать узлы, для которых не следует производить проверку,
максимальный размер скачиваемого файла, при превышении которого загрузка будет
блокирована, разрешенные типы файлов. Еще одна новинка в этом разделе —
возможность URL фильтрации, которая дает возможность контролировать доступ к
определенным веб-ресурсам, основываясь на 80-ти категориях. Список возможных
категорий и их состав динамически обновляется по подписке.

В TMG интегрирован SMTP прокси, обеспечивающий функции защиты от
вирусов, спама и прочих угроз, распространяемых по e-mail. Причем почтовый
трафик могут сканировать до 5 программ, большая часть функций по фильтрации
реализована за счет интеграции с Exchange Server 2007 Edge. В политиках (E-Mail
policy) администратор может задавать расширения, шаблоны имени, MIME типы
файлов, которые будут блокироваться при пересылке. Также TMG может просматривать
сообщения на наличие определенных фраз во входящих и исходящих сообщениях, затем
на основе политик такие письма могут быть удалены с отправкой уведомления
админу.

TMG поддерживает Win2k8R2, может интегрироваться с Exchange 2007
SP1 или грядущим Exchange 2010. Первые версии TMG нельзя было развернуть в
рабочей группе (только в доменной среде), что снижало область применения
продукта. Теперь такая возможность имеется, хотя в этом случае придется
потратить некоторое время на эффективную настройку локальной SAM базы (Security
Accounts Manager). В режиме рабочей группы возможна аутентификация средствами
RADIUS или SecurID сервера.

Перечислю несколько важных моментов касательно IPv6, которые
следует учесть при развертывании TMG:

будет блокирован весь IPv6 трафик;

протокол ISATAP (Intra-Site Automatic Tunnel Addressing
Protocol) и 6to4 интерфейс, инкапсулирующие пакеты IPv6 в IPv4, будут
отключены;

при рестарте будет обновляться только "A" DNS запись для
сервера, но не "AAAA";

будут очищены кэши DNS, ARP и Neighborhood Discovery (IPv6
версия ARP).

Да, протокол IPv6 TMG не поддерживает в полной мере, но работать
с ним умеет. Также возможно развертывание DirectAccess (который, кстати, завязан
на IPv6/IPsec) и TMG на одной системе. Хотя это потребует плясок с бубном, так
как при установленной роли DirectAccess некоторые мастера TMG отказываются
работать, так как не могут определить настройки сети.

Поставляется TMG в двух версиях: Enterprise и Standard Edition,
хотя первоначально такое разделение не планировалось. Основных преимуществ
Enterprise перед Standart два. Это снятие лимита на количество CPU (в Standart
до 4) и работа в массиве TMG, управляемом Enterprise Management Server (Сервер
управления предприятием) с поддержкой "Stirling". Настройки в этом случае
хранятся централизованно на сервере Configuration Storage Server. Чтобы
проапгрейдить Standart до Enterprise, необходимо установить новый лицензионный
ключ: Forefront TMG Management console — System node — выбираем сервер и в
контекстном меню Properties — Upgrade to Enterprise Edition вводим новый ключ.

Также следует отметить наличие несколько урезанной версии
Forefront TMG Medium Business Edition (MBE) для Essential Business Server (ESB).
Это решение предназначено для защиты сетей небольших и средних размеров (до 300
рабочих станций). В нем отсутствует Network Inspection System, не реализована
возможность проверки защищенного HTTPS трафика и защиты e-mail, не предусмотрено
использование балансировки нагрузки и создание отказоустойчивых кластеров, он не
интегрируется с продуктами семейства "Stirling". TMG MBE доступен как в составе
ESB, так и как самостоятельное решение. Возможна установка на 32-х битную
систему.

Установка Forefront TMG

Для установки Forefront TMG понадобится сервер с x64 CPU
(32-х разрядные CPU не поддерживаются) и 2 Гб ОЗУ, работающий под управлением
x64-версии Win2k8/2k8R2, а также 2.5 Гб места на харде (раздел должен быть
отформатирован в NTFS). Среди требований есть еще Microsoft SQL Server 2005
Express Edition (MSEE), но он будет установлен автоматически, поэтому не нужно
отдельно его скачивать.

Возможно несколько вариантов использования шлюза TMG. Он может
стоять на границе зоны, это классический вариант, когда с одной стороны
подключен интернет, с другой — внутренняя сеть (требуется наличие двух сетевых
адаптеров). Развитием этого варианта является вывод DMZ на отдельный сетевой
интерфейс. В документации еще описан вариант Back Firewall, когда TMG выступает
как второй брандмауэр, размещенный за аппаратным решением (например, шлюз с
функциями фильтрации). И наконец, возможна работа на сервере с одним сетевым
интерфейсом. В этом случае TMG будет выступать просто как кэширующий
прокси-сервер с возможностями по аутентификации пользователей в Active
Directory, фильтрации URL и блокировки контента. Учитывая, что TMG
устанавливается на входе сети, вполне логично, что сервер не должен быть
контроллером домена. Если при развертывании на сервере будет найдена роль
"Active Directory Domain Services" (даже без последующего запуска dcpromo),
установка прекратится без объяснений. Теперь рассмотрим процесс установки
Forefront TMG на Win2k8R2.

Запускаем инсталляционный пакет, скаченный с сайта Microsoft, и
щелкаем по пункту "Setup Preparation Tool". Следуя подсказкам этого
инструментального средства, устанавливаем все роли и компоненты, необходимые для
работы Forefront TMG. На втором шаге "Installation Type" нужно определиться с
вариантом установки. По умолчанию предлагается "Install Forefront Threat
Management Gateway services", при котором будет установлен собственно TMG и
консоль управления. Другие варианты позволяют инсталлировать только консоль
управления Forefront TMG Management или консоль управления массивами TMG. По
окончании работы "Preparation Tool" в системе появятся роли: "Network Policy and
Access Services", "Web Server (IIS)", компонент.Net Framework 3.5 и MSEE. Если
не снимать на последнем шаге флажок "Launch Microsoft Forefront TMG Setup", по
окончании работы "Setup Preparation Tool" запустится мастер установки TMG.
Ничего сложного он собой не представляет — подтверждаем лицензию, вводим
название организации и серийный номер, затем параметры внутренней сети. В
последнем случае можно выбрать сетевой адаптер, ввести адрес сети или диапазон
IP-адресов. По завершении этого этапа сервер лучше перезагрузить.

Настройки TMG

После установки TMG в меню обнаружим консоль управления
"Forefront TMG Management" и монитор производительности "Forefront TMG
Perfomance Monitor". По умолчанию консоль подключается к локальному серверу, но
вряд ли админ будет работать из серверной. Чтобы подключиться к удаленному
серверу с установленным TMG, выбираем в контекстном меню пункт "Connect" и,
следуя указаниям "Configuration Storage Server Connection Wizard", отмечаем
локальную систему, отдельный сервер или подключение к массиву TMG.
Настроек в консоли более чем предостаточно. Спасает продуманный интерфейс,
который существенно переработан в сторону улучшения юзабилити. Все настройки
сгруппированы в 12 меню, в каждом производятся установки специфических политик:
Firewall, WebAccess, E-mail, IPS и так далее. Некоторые пункты позволяют
получить доступ к функциям мониторинга, отчетов и обновлений. И в какой пункт не
зайди, везде тебя встретит пошаговый мастер.

При первом запуске консоли активируется "Getting Started
Wizard", который по сути открывает доступ к трем другим визардам: Network,
System Configuration и Deployment. Некоторые настройки будут взяты из системных
установок, при необходимости их уточняем.
В самом начале работы мастера сетевых настроек будет предложено выбрать шаблон
сети (Network Template), соответствующий текущему применению TMG: Edge firewall,
3-Leg Perimeter, Back firewall, Single network adapter. При выборе каждого
пункта будет показана схема сети, поэтому в назначении шаблонов легко
разобраться. По умолчанию предлагается "Edge firewall", который соответствует
"стандартному" режиму использования, когда с одной стороны подключается
интернет, с другой — локальная сеть. Его и оставляем, указываем LAN и WAN
интерфейсы. Настройки системы заключаются в уточнении принадлежности к домену
или рабочей группе, а также вводу DNS суффикса. В большинстве случаев здесь
нужно оставить все, как есть. В Deployment Wizard указываются параметры "Windows
Update". Далее активируем лицензии NIS, Web- и Email Protection и на следующих
этапах работы мастера задаем порядок обновления соответствующих сигнатур.
Установленный в последнем окне флажок "Run Web Access Wizard" позволяет сразу
запустить мастер настройки веб-доступа, но с этим пока можно не спешить.

Выбираем в меню консоли свой сервер. В среднем окне появится
окно "Roles Configuration", в нем даны ссылки на 5 задач: доступ внутренних
пользователей к веб-сайтам (Web Access Policy), политики E-mail, настройка NIS,
публикация внутренних ресурсов для предоставления доступа "из вне", активация и
настройка доступа к VPN. Конечно, это не все задачи по обеспечению полноценной
защиты и работы сервисов, конкретный список для каждой сети админ уже составляет
сам. После работы "Started Wizard" будет активирована NIS, и установлены
блокирующие правила в Firewall и Web Access. Соответственно, выйти в интернет,
получать и отправлять почту не получится, также будет закрыт доступ к внутренним
ресурсам "из вне", поэтому последовательно перебираем каждый шаг и настраиваем
политику доступа.

Настройка политик веб-доступа и использования E-mail

Для примера рассмотрим настройки по обеспечению веб-доступа и
работы электронной почты. Переходим во вкладку "Web Access Policy" и выбираем в
поле "Task" ссылку "Configure Web Access Policy", запустится мастер настроек.
Определяемся, будем ли использовать блокировку веб-ресурсов по категориям. Если
отметить "Yes, create a rule blocking …", то на следующем шаге нужно указать
категории ресурсов, которые будут блокироваться. В списке уже есть с десяток
категорий, чтобы добавить новую категорию в список, нажимаем кнопку "Add" и
отмечаем в появившемся окне все необходимое. Следующий шаг мастера — "Malware
Inspection Setting", здесь выбираем, будем ли проверять HTTP трафик на наличие
вредоносного кода. Дополнительный флажок "Block encrypted archives" разрешает
блокировку зашифрованных архивов. Далее настраивается проверка HTTPS трафика.
Здесь возможны четыре варианта:

проверять;

не проверять и разрешать трафик;

не проверять трафик, проверять сертификат и при несоответствии
блокировать;

блокировать HTTPS.

Если выбран первый вариант, мастер потребует ввести сертификат,
который необходимо предварительно создать (подробности смотри в уже упомянутой
статье "Слоеный VPN"). Затем идет настройка кэширования. Отмечаем флажок "Enable
Web caching" и, нажав "Cache Drives", указываем диск и вводим максимальный
размер кэша (по умолчанию 0, т.е. неограничен). После нажатия кнопки "Finish"
будут созданы новые настройки, чтобы они вступили в силу, нажимаем кнопку
"Apply" вверху окна. Теперь пользователи внутренней сети могут просматривать
информацию на веб-ресурсах.

Используя ссылки во вкладке "Task", можно изменить установки без
повторного запуска мастера. Чтобы изменить отдельное правило, дважды щелкаем по
нему и, перемещаясь по вкладкам свойств, отключаем/включаем правило, изменяем
From/To, указываем протокол, расписание, тип контента. Состояние отдельных
элементов можно увидеть и изменить в поле "Web Access Setting".

Для настройки работы с E-mail выбираем в меню "E-Mail Policy".
Здесь действуем аналогично предыдущему пункту. Нажимаем "Configure E-Mail
Policy". Запустившийся мастер вначале попросит указать IP-адрес внутреннего
почтового сервера и ввести список разрешенных доменов. Отмечаем сети, на которых
будут слушаться почтовые запросы, указываем FQDN (Fully Qualified Domain Name),
используемый для связи с сервером при ответе на HELO/EHLO запросы. По умолчанию
TLS (Transport Layer Security) шифрование трафика отключено, для его активации
устанавливаем флажок "Enable TLS Encryption". На последнем шаге, установив
соответствующие флажки, активируем функции антиспама и антивирусной проверки
почтового трафика (если, конечно, их предполагается использовать). Нажимаем
"Finish" и применяем настройки щелчком по "Apply". Правила, созданные в
результате работы мастера, будут показаны в окне консоли. Настройка правил
антиспама и антивируса производится во вкладках "Spam Filtering" и "Virus and
Content Filtering" соответственно.

Заключение

Как видишь, нововведений в семействе Forefront достаточно много,
и главное из них — тесная интеграция продуктов, которая позволит на порядок
повысить эффективность использования различных решений и добавить удобство
работы админу. На примере Forefront TMG хорошо видно, что одной лишь
сменой имени дело не обошлось. В нем появилось достаточно много функций, которые
уже не раз запрашивались администраторами.

TMG vs UAG

Forefront TMG и UAG входят в группу Forefront Edge Security and
Access, в которой представлены решения, обеспечивающие защиту периметра и доступ
к внутренней сети, но назначение у них совершенно разное. У TMG главное
назначение — это защита внутреннего периметра, UAG — обеспечение безопасного
доступа к сервисам "из вне". Хотя в TMG реализована возможность организации
доступа ко внутренним ресурсам посредством VPN и публикации внутренних сервисов
(Secure Web Publishing), но UAG в этом плане обеспечивает большие возможности и
гибкость.

INFO

Forefront "Stirling" — комплексное решение, предназначенное для
всесторонней защиты и централизованного управления параметрами безопасности
корпоративных сетей, серверов и рабочих станций.

Основой системы отчетов Forefront "Stirling" является MS SQL
Server 2008 Reporting Services, механизм отчетов способен удовлетворить запросы
большинства админов.

Перед началом установки Forefront TMG следует обновить систему
при помощи Windows Update: Control Panel — System and Security.

Антивирусные, антиспам обновления, сигнатуры NIS, URL Filtering
доступны по платной подписке.

Страница TechNet, посвященная Forefront —

technet.microsoft.com/en-us/library/cc901531.aspx

WARNING

Forefront TMG нельзя устанавливать на сервер, выполняющий
функции контроллера домена.

После установки Forefront TMG все сетевые соединения
блокируются.

На днях озадачились, и решили пересадить всех юзеров на проксю в TMG. Решил на виртуалке опробовать данный процесс.

Стандартные функции TMG клиента

Политика брандмауэра на базе пользователей или групп для Web- и non-Web proxy по TCP и UDP протоколу (только для этих протоколов)
Поддержка комплексных протоколов без необходимости использования прикладного фильтра TMG
Упрощенная настройка маршрутизации в больших организациях
Автоматическое обнаружение (Auto Discovery) информации TMG на базе настроек DNS и DHCP сервера.

Системные требования

TMG клиент имеет некоторые системные требования:

Поддерживаемые ОС

Windows 7
Windows Server 2003
Windows Server 2008
Windows Vista
Windows XP

Поддерживаемые версии ISA Server и Forefront TMG

ISA Server 2004 Standard Edition
ISA Server 2004 Enterprise Edition
ISA Server 2006 Standard Edition
ISA Server 2006 Enterprise Edition
Forefront TMG MBE (Medium Business Edition)
Forefront TMG 2010 Standard Edition
Forefront TMG 2010 Enterprise Edition

Настройки TMG клиента на TMG сервере

Есть лишь несколько параметров на сервере Forefront TMG, которые отвечают за настройку поведения Forefront TMG клиента. Прежде всего, можно включить поддержку TMG клиента для дефиниции внутренней сети на сервере TMG, как показано на рисунке ниже.

Рисунок 1: Параметры TMG клиента на TMG

После того, как поддержка TMG клиента включена (это умолчание при обычной установке TMG), можно также автоматизировать конфигурацию веб браузера на клиентских компьютерах. Во время нормальных интервалов обновления TMG клиента или во время запуска служб, браузер получает параметры, настроенные в консоли управления TMG.

В параметрах «Приложения» на TMG клиенте в консоли TMG можно включить или отключить некоторые настройки зависимости приложений.

AD Marker

Microsoft Forefront TMG предоставляет новую функцию автоматического определения TMG сервера для TMG клиента. В отличие от предыдущих версий Firewall клиентов, Forefront TMG клиент теперь может использовать маркер в Active Directory для поиска соответствующего TMG сервера. TMG клиент использует LDAP для поиска требуемой информации в Active Directory.

Примечание: если TMG клиент не нашел AD маркер, он не перейдет на классическую схему автоматического обнаружения через DHCP и DNS по соображениям безопасности. Это сделано для снижения риска возникновения ситуации, в которой взломщик пытается заставить клиента использовать менее безопасный способ. Если подключение к Active Directory удалось создать, но невозможно найти AD Marker, клиенты TMG переходят к DHCP и DNS.

Инструмент TMGADConfig

Для создания конфигурации маркера AD Marker в Active Directory вы можете загрузить TMG AD Config инструмент из центра загрузки Microsoft Download Center (вам нужно найти AdConfigPack.EXE). После загрузки и установки инструмента на TMG вам нужно выполнить следующую команду в интерпретаторе, чтобы внести ключ маркера AD в раздел реестра:

Tmgadconfig add ‘default ‘type winsock ‘url http://nameoftmgserver.domain.tld:8080/wspad.dat

Можно также удалить AD маркер с помощью инструмента tmgadconfig, если вы решите не использовать поддержку AD Marker.

Установка TMG клиента

Самую последнюю версию TMG клиента можно загрузить с веб-сайта компании Microsoft.

Начните процесс установки и следуйте указаниям мастера.

Рисунок 3: Установка TMG клиента

Можно указать месторасположение TMG сервера вручную, или автоматически во время процесса установки TMG клиента. После установки можно перенастроить параметры механизма определения в TMG клиенте с помощью инструмента настройки TMG клиента, который расположен в панели задач вашего клиента.

Рисунок 4: Выбор компьютера для установки TMG клиента

Расширенное автоматическое определение

Если вы хотите изменить поведение процесса автоматического определения, в клиенте TMG теперь есть новая опция для настройки метода автоматического определения.

Рисунок 5: Расширенное автоматическое определение

Уведомления HTTPS осмотра

Microsoft Forefront TMG обладает новой функцией осмотра HTTPS трафика для исходящих клиентских соединений. Для информирования пользователей об этом процессе новый TMG клиент может использоваться, чтобы информировать пользователей о том, что исходящие HTTPS подключения подвергаются проверке, если вам это нужно. У администраторов TMG также есть возможность отключения процесса уведомления централизованно с сервера TMG, или вручную на каждом Forefront TMG клиенте.

Microsoft Forefront Threat Management Gateway 2010 поддерживает только операционные системы Windows Server 2008 с пакетом обновления 2 (SP2) или Windows Server 2008 R2.

Минимальные системные требования:

поддерживаемые операционные системы: Windows Server 2008 с пакетом обновления 2 (SP2) или Windows Server 2008 R2;
компьютер с двухъядерным (1 ЦП x два ядра) 64-разрядным процессором ;
2 Гб оперативной памяти;
один раздел локального жесткого диска с файловой системой NTFS;

компьютер с четырехъядерным (2 ЦП x два ядра или 1 ЦП x четыре ядра) 64-разрядным процессором ;
4 Гб оперативной памяти
2,5 Гб свободного места на жестком диске (будет использоваться только для кэширования и временного хранения файлов в ходе проверки наличия вредоносных программ);
два диска для ведения системного журнала и журнала TMG и один - для кэширования и проверки наличия вредоносных программ;
одна сетевая плата, совместимая с операционной системой компьютера, для взаимодействия с внутренней сетью;
дополнительная сетевая плата для каждой сети, подключенной к серверу Forefront TMG.

Установка продукта

Комплексный набор программ для обеспечения безопасности в сети, позволяющий повысить надежность охраны и усилить контроль за клиентскими и серверными операционными системами, благодаря интеграции с существующей ИТ-инфраструктурой и упрощению развертывания, управления и анализа.

Усилиями компании Майкрософт полная версия продукта (Forefront TMG), являющегося прямым наследником Microsoft ISA Server, вышла в первом полугодии 2009 года. Помимо всего функционала Microsoft ISA Server новый продукт включает в себя улучшения существующих, а также множество новых функций.

Forefront TMG продается в двух вариантах: Standard и Enterprise. Функционально они практически не отличаются, различия состоят лишь в лицензионных ограничениях, которые приведены ниже.


Процессоры		Без ограничений
	Поддержка 2Гб RAM	Без ограничений
Балансировка загрузки сети
Поддержка протокола Cache Array Routing
Использование консоли Enterprise Management Console
Необходимость лицензирования всех виртуальных машин по CPU в добавление к физическому CPU
Возможность переноса на любой другой сервер	Лицензия выписывается на физический сервер и может меняться только раз в 90 дней	В любое время

* Сервера Standard Edition могут управляться при помощи TMG Enterprise Management Console.

Рисунок 1: Окно установки Forefront Threat Management Gateway

Так выглядит окно установки , непосредственно перед установкой продукта нам необходимо запустить средство подготовки, которое настроит роли и компоненты Windows.

Рисунок 2: Средство подготовки к установке Forefront Threat Management Gateway

После завершение работы средства подготовки можно приступать непосредственно к самой установке Forefront Threat Management Gateway , которая происходит в три этапа:

установка основных компонентов;
дополнительные компоненты (SQL Express);
инициализация системы.

Рисунок 3: Этапы установки Forefront Threat Management Gateway

На первом этапе установки предлагается выбрать директорию, куда будет установлен продукт, а так же указать диапазон адресов, которые будут входить во внутреннюю сеть сервера Forefront Threat Management Gateway .

Рисунок 4: Определение диапазона внутренней сети

Настройка выполняется с помощью специального мастера и не вызывает никаких сложностей.

Рисунок 5: Выбор IP-адресов

После указания сетевой платы автоматически будут подставлены диапазоны IP-адресов, которые будут входить во внутреннюю сеть сервера.

Рисунок 6: Выбор сетевой платы

Нам лишь остается подтвердить наш выбор нажатием ОК и мастер установки предупредит нас о том, что некоторые службы будут остановлены или перезапущены в момент установки продукта, далее все происходит в автоматическом режиме.

Процесс установки разработан таким образом, чтобы не вызывать вопросов даже у простого пользователя, хотя сам продукт рассчитан на системных администраторов и IT- специалистов. Надо сказать, что Microsoft заботится о своих пользователях и старается сделать все предельно просто и ясно.

В самом конце установки перед нами появляется окно, которое уведомляет нас о том, что установка закончена и сейчас нам следует запустить программу управления Forefront Threat Management Gateway .

Рисунок 7: Завершение установки Forefront Threat Management Gateway

Отмечаем галочкой предложенный пункт и нажимаем Готово. На этом установка завершена, и мы переходим на настройке продукта.

Первоначальная настройка

Перед нами появляется интерфейс продукта, но который нам пока не нужен, на этом этапе предлагается сделать первоначальную настройку программы, с помощью специального мастера, который проведет всю настройку в три этапа.

Рисунок 8: Мастер первоначальной настройки Forefront Threat Management Gateway

Внизу окна мы видим предупреждение о том, что в случае апгрейда с Microsoft ISA 2006 импортирование параметров конфигурации необходимо сделать до запуска этого мастера.

Сейчас нам следует выполнять простые инструкции мастера для того, чтобы Forefront TMG работал необходимым нам образом. На первом этапе мы будем настраивать параметры сети.

Рисунок 9: Настройка параметров сети Forefront TMG

Выбираем способ, который нам необходим и нажимаем Далее , на этом этот этап настройки будет завершен и мастер предлагает идти далее, к конфигурированию системы.

Рисунок 10: Настройка параметров сети Forefront TMG

Делаем настройку необходимых нам пунктов и выбираем Далее , на этом мастер заканчивает свою работу и нам остается еще один пункт настройки - это задание параметров развертывания Forefront TMG . Здесь первым делом мы должны выбрать использование службы Центра обновления Майкрософт для обеспечения работоспособности защитных механизмов, которые использует Forefront TMG .

Рисунок 11: Установка центра обновлений Майкрософт для Forefront TMG

Рисунок 12: Настройка параметров защиты Forefront TMG

На следующем этапе нам предлагается настроить выбранные нами компоненты.

Рисунок 13: Настройка обновлений антивирусных баз

Здесь все оставляем в соответствии с рекомендованными параметрами и нажимаем Далее . На этом этапе компания Microsoft предлагает нам участие в уже ставшей привычной для продуктов этого вендора программе, которая помогает улучшать программное обеспечение. Для этого с нашего компьютера будут собираться некоторые данные, такие как конфигурация оборудования и информация об использовании Forefront TMG , сбор данных происходит анонимно, поэтому мы выбираем рекомендуемый нам пункт.

Для тех, кто по какой-то причине не доверяет этой программе, есть возможность отказаться от участия, хотя, на мой взгляд, это абсурдно, мы уже доверили свою безопасность этому продукту, поэтому сомневаться в данной программе не имеет смысла, никакой личной информации с компьютера не собирается.

Рисунок 14: Программа улучшение качества программного обеспечения

На следующем шаге, нам предлагается выбрать уровень участия в программе Microsoft Telemetry Reporting . Этот сервис позволяет специалистам Microsoft улучшать шаблоны идентификации атак, а так же разрабатывать решения для устранения последствий угроз, мы соглашаемся на обычный уровень участия и нажимаем Далее .

Рисунок 15: Выбор уровня участия в Microsoft Telemetry Reporting

На этом действии работа мастера первоначальной настройки завершена.

Рисунок 16: Запуск мастера веб-доступа

Нажимаем Закрыть и тем самым сразу запускаем мастер настройки веб-доступа. Первым шагом в нем будет возможность выбора создания правил, блокирующих минимум рекомендуемых категорий URL-адресов.

Рисунок 17: Правила политики веб-доступа

На этом шаге мы выберем рекомендованное действие, т.е. правила будут создаваться. Далее нужно выбрать, к каким категориям веб-сайтов нужно заблокировать доступ для пользователей. При необходимости можно добавить свою группу веб-сайтов для блокировки, изменить какую-либо из предустановленных, а так же возможность создания исключений.

Отношение ресурса к тому или иному типу назначения осуществляется с помощью запроса к Microsoft Reputation Service , веб-адреса передаются серверу по защищенному каналу.

После этого мы приступаем к параметрам проверки трафика на наличие вредоносных программ. Естественно мы выбираем рекомендуемое действие, для того, чтобы наш HTTP трафик фильтровался Forefront TMG .

Важно отметить опцию блокировки передачи запароленных архивов. В таких архивах вредоносные файлы или другой нежелательный контент могут передаваться специально, чтобы избежать проверки.

Рисунок 19: Параметры проверки наличия вредоносных программ

На следующем шаге производится настройка действия по отношению к HTTPS трафику - проверять его или нет, проверять сертификаты или нет.

Рисунок 20: Параметры проверки HTTPS в Forefront TMG

Мы разрешаем пользователям устанавливать HTTPS-соединения с веб-сайтами, не будем проверять этот трафик, но будем блокировать его, если сертификат, который используется, является недопустимым.

Переходим к настройкам веб-кэширования часто запрашиваемого содержимого, которое используется для того, что ускорить доступ к популярным веб-сайтам и оптимизировать затраты компании на веб-трафик.

Рисунок 21: Настройка веб-кэширования

Включаем данную опцию и указываем место на диске и его размер, где будут храниться кэшированные данные. На этом настройка политик веб-доступа закончена.

Рисунок 22: Завершение настройки веб-доступа

По итогам установки и первоначальной настройки хочется сказать, что установщик позволяет сделать очень гибкую настройку Forefront TMG , множество стандартных схем предусмотрено самим установщиком, нам предоставляется возможность их редактирования, а так же возможность создания собственных условий и политик, которые в полной мере соответствуют нашим потребностям.

Функциональность Forefront TMG

Теперь посмотрим на внутренности Forefront TMG и по традиции начнем с интерфейса, который сделан по принципу «проще не придумаешь». Весь интерфейс делится на три столбца, каждый столбец содержит четко определенную информацию, которую он несет, ее можно разделить на три элемента:

название узла;
функционал и статистика его работы;
задачи, которые возможно выполнять с помощью данного узла.

Чтобы было более понятно, рассмотрим концепт на конкретном примере.

Отображение состояния защиты

Рисунок 23: Панель состояния работы Forefront TMG

В левой части мы видим название узла - Панель , по центру указана различная информация о модулях и статистика работы, а в самом правом столбце мы видим задачу, которую возможно выполнить – Обновить и этот концепт мы увидим, выбрав любой
узел Forefront TMG , так же в правом (3) столбце обычно расположена справка по данному узлу и задачам.

Это очень удобная концепция построения интерфейса, все «как на ладони» перед нашими глазами. Раздел Панель - это снимок сводки действий Forefront TMG , выполненный в реальном времени. Все важные сведения отображаются на одном экране, что помогает быстро определять и устранять возникающие проблемы.

Самый первый блок мы уже рассмотрели, поэтому двигаемся дальше к разделу Наблюдение . По своей сути этот раздел является расшифровкой тех событий, которые мы наблюдаем на экране Панель .

Наблюдение за событиями

Рисунок 24: Наблюдение за текущим состоянием Forefront TMG

Данный раздел разбит на пять вкладок:

оповещения;
сеансы;
средства проверки подключения;
службы;
конфигурация.

Оповещения - это реакция Forefront TMG на определенное событие. Для простоты и использования идентичные оповещения объединяются в группы. В правом блоке нам предоставляется возможность настройки определений.

Сеансы – функция наблюдения за сеансами Forefront TMG в реальном времени позволяет централизованно отслеживать клиентский трафик. Присутствует возможность изменения фильтра, приостановки и остановки сеанса наблюдения.

Рисунок 25: Наблюдение за сеансами в Forefront TMG

Средства проверки подключения - использую эту функцию можно выполнять регулярное наблюдение за подключениями определенного компьютера или url-адреса к компьютеру Forefront TMG .

Рисунок 26: Наблюдение за проверкой подключений в Forefront TMG

Службы – функция наблюдения за службами Forefront TMG в реальном времени. Есть возможность остановки и включения отдельных служб.

Рисунок 27: Наблюдение за службами Forefront TMG

Конфигурации – функция отслеживания репликации конфигурации на каждом элементе массива в реальном времени.

Теперь мы рассмотрим раздел Политика межсетевого экрана , в котором для защиты активов сети можно определить правила политики межсетевого экрана, разрешающие или запрещающие доступ к подключенным сетям, веб-сайтам и серверам.

Политики межсетевого доступа

Forefront TMG предоставляет возможности гибкой настройки правил и политик фильтрации трафика: добавление или удаление правил, а также внесение изменений в уже существующие правила.

Рисунок 28: Политика межсетевого экрана в Forefront TMG

Рисунок 29: Задачи политик межсетевого экрана в Forefront TMG

Каждая из задач осуществляется с помощью понятного и доступного мастера настройки.
В Forefront TMG появился новый узел конфигурации, именуемый Политика веб-доступа .

Фильтрация веб-трафика

В данном узле располагаются все настройки службы веб-прокси, параметры доступа пользователей к ресурсам Интернет по протоколам HTTP, HTTPS, FTP-over-HTTP (туннелированный FTP), а также параметры конфигурации модуля проверки пользовательского трафика на наличие вредоносного кода – Malware Inspection.

Рисунок 30: Политика веб-доступа в Forefront TMG

В правом углу мы можем наблюдать задачи, которые могут выполняться данным узлом. В состав данного узла входит компонент, который проверяет трафик на наличие malware – Malware Content Inspection .

Данный модуль использует движок Microsoft Antimalware Engine и позволяет инспектировать HTTP и туннелированный FTP-трафик клиентов веб-прокси.
Более того, можно проверять трафик даже исходящих HTTPS-соединений! При этом пользователь, чья SSL-сессия проверяется модулем Malware Inspection, получает уведомление об этом процессе. Также существует возможность исключить определённые веб-узлы из проверки.

Рисунок 31: Настройки модуля проверки трафика

При загрузке файлов большого объёма пользователю может быть продемонстрирована информация о процессе проверки загружаемых файлов на наличие вредоносного кода.

Теперь мы рассмотрим следующий узел, который называется Политика электронной почты .

Фильтрация электронной почты

Forefront TMG действует как релей между внутренними SMTP-серверами и внешними SMTP-серверами, расположенными за пределами организации, и применяет политики электронной почты к пересылаемым сообщениям.

Рисунок 32: Политика фильтрации электронной почты в Forefront TMG

Задачи, которые выполняются данным узлом, указаны в правом столбце, в соответствии с концепцией, которую мы разобрали вначале обзора. Следующий узел, который мы рассмотрим Система предотвращения вторжений.

Система предотвращения вторжений (IPS)

Forefront TMG включает в себя систему обнаружения вторжений уровня сети (Network based Intrusion Detection System, N-IDS), разработанную Microsoft Research и именуемую GAPA. В отличие от частичной реализации функционала механизма обнаружения сетевых вторжений, используемого в ISA Server, GAPA представляет собой полноценную систему N-IDS.

Microsoft обещает, что сигнатуры сетевых атак для расширения функционала GAPA будут периодически поставляться в виде пакетов обновлений через службу Microsoft Update.

Рисунок 33: Система предотвращения вторжений

В центральном столбце указаны названия сигнатур сетевых атак и действие, которое будет выполнено по умолчанию. Также в данном узле располагается модуль Обнаружение поведенческих вторжений , в нем можно настроить параметры для обнаружения предполагаемых вторжений на основе данных о сетевой активности.

Рисунок 34: Обнаружение вторжений по поведению в Forefront TMG

В этом разделе предлагается настройка параметров обнаружения для наиболее распространенных атак.

Рисунок 35: Настройка обнаружений вторжений

Так же присутствует обнаружение DNS-атак.

Рисунок 36: Настройка правил фильтрации (параметры IP)

При необходимости можно включить блокирование фрагментов IP.

Рисунок 37: Настройка параметров предотвращения Flood-атаки

В Forefront TMG реализована поддержка протокола SIP, а также функция VoIP (Voice over IP) NAT Traversal, позволяющая данному типу трафика проходить через шлюзы со службой преобразования сетевых адресов (NAT). Можно задать исключения IP-адресов, а так же назначить квоты SIP .

Политика удаленного доступа

Рисунок 38: Политика удаленного доступа в Forefront TMG

В этом разделе можно настроить и защитить виртуальную частную сеть VPN, которая позволяет двум компьютерам обмениваться данным через общедоступную сеть с имитацией частного подключения типа «точка-точка».

В Forefront TMG реализована поддержка протокола SSTP (Secure Socket Tunneling Protocol), позволяющего туннелировать трафик VPN-сессии внутри обычного протокола HTTP в рамках SSL-сессии. Этот механизм позволяет без проблем устанавливать VPN-соединения вне зависимости от конфигурации межсетевого экрана, веб-прокси сервера или службы трансляции сетевых адресов. На данный момент эту технологию поддерживают только ОС Windows Vista SP1 и Windows Server 2008.

Настройки сети

Данный узел разделен на семь вкладок:

Сети - настройка сетевой среды, осуществляется путем определения сетей и отношений между ними.
Наборы сетей - группировка сетей в наборы, которые могут использоваться в правилах Forefront TMG .
Сетевые правила – определяют наличие соединения между сетями и его тип.
Сетевые платы – в этом разделе представлены сведения о подключении для каждой установленной сетевой платы.
Маршрутизация – представляет сведения о каждом статическом и активном маршруте в системе.
Веб-цепочка – для запроса клиента веб-прокси следует создавать правила веб-цепочек, необходимых для определения способа маршрутизации подобных запросов.
Избыточность IPS – наблюдение за избыточностью ISP, позволяет отслеживать распределение трафика между двумя ISP соединениями.

Рисунок 39: Настройки сети в Forefront TMG

В Forefront TMG реализована функция ISP Link Redundancy , которая позволяет организовать отказоустойчивое подключение к сети Интернет посредством сразу двух ISP-каналов. Причем возможно как горячее резервирование интернет-канала, так и балансировка сетевой нагрузки между интернет-каналами. Наконец-то появилась возможность направления определенного сетевого трафика через конкретный интернет-канал!

Настройки самой системы

Этот узел разделен на три вкладки:

серверы;
фильтры приложений;
веб-фильтры.

Рисунок 40: Настройки системы в Forefront TMG

Вкладка Серверы представляет сведения обо всех серверах в конфигурации Forefront TMG . Фильтры приложений представляют собой дополнительный уровень безопасности и могут выполнять задачи, относящиеся к протоколу и системе, такие как проверка подлинности и проверка на наличие вирусов. Веб-фильтры могут отслеживать, анализировать и перехватывать данные, передаваемые по протоколу HTTP между локальной сетью и Интернетом.

Журналы и отчеты

Вкладка Ведение журнала - здесь собирается информация о событиях, которые происходили на компьютере Forefront TMG . При выборе Выполнить запрос в журнале начнут появляться данные о событиях в реальном времени с детальным описанием события.

Во вкладке «Отчет» создаются отчеты о работе Forefront TMG на основе файлов журнала, где регистрируются действия, выполняемые на компьютере. Отчет можно создать однократно или настроить создание периодических отчетов.

Рисунок 41: Журналы и отчеты в Forefront TMG

Центр обновления

Рисунок 42: Центр обновления Forefront TMG

В данном узле отображается состояние обновлений Майкрософт, установленных на данном сервере Forefront TMG. По умолчанию определения проверяются каждые 15 минут.

Устранение неполадок

На вкладке Устранение неполадок указаны полезные ссылки на материалы по обслуживанию и устранению неполадок связанных с Forefront TMG .

Рисунок 43: Устранение неполадок

Когда включено Отслеживание изменений и применяется изменение конфигурации, сведение об этих изменениях заносятся в виде записи в данный раздел. Имитатор трафика позволяет оценить политики межсетевого экрана по нескольким заданным параметрам.

Представление Сбор данных диагностики позволяет выполнить запрос к базе данных журнала диагностики в соответствии с критериями фильтра.
Проверка возможности подключения помогает проверить, могут ли серверы Forefront TMG подключаться к определенным узлам назначения
в интернете.

На этом мы заканчиваем наш обзор , и нам лишь остается сделать итоговые выводы и дать оценку продукту:

Выводы

Forefront TMG является очень функциональным, гибким в настройке, простым в интеграции и соответствует современным требованиям по обеспечения комплексной безопасности корпоративных сетей. На наш взгляд, простота и эффективность будут склонять корпоративных клиентов к этому решению при выборе защиты для своей корпоративной сети.

Forefront TMG представляет собой новое поколение систем защиты интернет-шлюза корпоративной сети, включает в себя, пожалуй, все необходимые функции и в ближайшем будущем должен серьезно потеснить своего предшественника Microsoft ISA Server 2006.

К небольшим минусам Forefront TMG можно отнести отсутствие системы квотирования трафика (автоматического отключения пользователя при исчерпании лимита) и отсутствие антивирусной проверки FTP-трафика. Тем не менее, наша субъективная оценка решения Forefront Threat Management Gateway 9 из 10.