Низкая производительность сети

 

В работе сети обязательно есть узкие места. Иногда на них необходимо обращать внимание, например увеличивая про­пускную способность канала от 64 Кбит/с до 1,5 или 2 Мбит/с. В правильно работающей (без сбоев) сети главными узкими ме­стами будут пропускная способность WAN-каналов и произ­водительность компьютерных систем. Не стоит предполагать, что низкая производительность сети объясняется медленным локальным соединением (Ethernet или Token Ring), и надеять­ся, что увеличение скорости локального соединения или уста­новка нового коммутатора решит эту проблему. На самом деле наиболее частые причины низкой производительности — это рабочая станция или медленный WAN-канал.

При рассуждениях о производительности сети следует учи­тывать пропускную способность и задержки (латентность).

Пропускная способность — это количество бит, передавае­мых по каналу в единицу времени.

Латентность — это задержка прохождения данных через компоненты системы или через систему в целом.

Выделенные ресурсы, такие как WAN-канал «точка—точка», имеют неизменную латентность. Однако общие ресурсы — локальные сети, компьютерные системы, маршрутизаторы и разделяемые ресурсы WAN — имеют изменяющуюся латент­ность. При высокой загрузке общих ресурсов время ожидания проходящих через них данных увеличивается, поскольку па­кеты должны ожидать в очереди передачи или прохождения участка в системе.

Работа в направлении улучшения производительности сети без понимания причин может обойтись очень дорого и при этом не приведет к ее повышению. Выводы по улучшению производительности можно сделать только после тщательных и длительных измерений.

Рассмотрим факторы, влияющие на производительность сети.

Мониторинг использования протоколов. Основная задача при поиске ошибок заключается в определении, какие сете­вые протоколы используются в сети и какой процент трафика сети создается каждым из протоколов. В то время как отдель­ная сеть может работать только с одним сетевым протоколом, крупные сети могут использовать множество протоколов.

Например, из-за ранней популярности ОС Novell NetWare большая часть серверов использует набор протоколов IPX/SPX. Однако по мере развития Internet добавился набор протоколов TCP/IP.

Кроме того, некоторые сети могут потребовать такие про­токолы, как NetBEUI, AppleTalk или DLC. По существу, сеть может работать с множеством различных протоколов.

Если пользователи жалуются на низкую производитель­ность сети, то администратору системы необходимо опреде­лить используемые протоколы и проанализировать, для чего каждый из них нужен. Несмотря на то что нет ничего критич­ного в использовании множества протоколов, сокращение их числа может повысить производительность сети.

Это особенно актуально в сетях, использующих операцион­ные системы и сетевые утилиты Microsoft. Сетевое программ­ное обеспечение Microsoft очень интенсивно пользуется сетью, чтобы составить список доступных сетевых ресурсов — browse list. Этот список пользователи могут увидеть, открыв сетевое окружение.

Результатом составления browse list является генерация зна­чительного количества широковещательного трафика (broad­cast traffic). Кроме того, отдельный browse list составляется для каждого протокола, используемого в сети. Так, если сеть имеет рабочие станции с операционной системой Microsoft, исполь­зующей стеки протоколов TCP/IP, IPX/SPX и NetBEUI, сетевое программное обеспечение создает три отдельных browse lists и зачастую генерирует три разных набора широковещательных пакетов. По этой причине АС должен уменьшить число про­токолов, используемых в сети.

Выявление чрезмерного широковещательного трафика. Па­кеты, пересылаемые в сети, могут быть нескольких типов. Они могут быть однонаправленными (Unicast) и широковещатель­ными (Broadcast).

Однонаправленные, или прямые пакеты посылаются в сети от одной станции к другой. Пакет содержит сетевой адрес отправителя и адрес получателя. Все сетевые адаптеры в сети получают пакеты, но только один адаптер компьютера- получателя передает пакет сетевому программному обеспече­нию для обработки. Однонаправленные пакеты используются для связи компьютер—компьютер например, для операции со­хранения файлов на сервере.

Широковещательные пакеты посылаются от станции- источника всем станциям в сети. Все сетевые адаптеры полу­чают пакет и передают его на обработку сетевому программно­му обеспечению. Широковещательные пакеты используются в различных контекстах. Например, когда компьютер включили первый раз, он подключается к сети и рассылает широкове­щательные пакеты, чтобы идентифицировать себя и зареги­стрировать свое имя в сети. Сервера периодически рассылают широковещательные пакеты, информируя о своих сервисах. Когда пользователи хотят сохранить маршрут до конкретно­го сервера, их компьютеры могут посылать широковещатель­ные запросы для определения местоположения компьютеров в сети. Некоторые сетевые протоколы, такие как NetBEUI, пол­ностью работают через Broadcast- пакеты, чтобы установить соединение между компьютерами.

Недостаток широковещательных пакетов в том, что все компьютеры должны потратить время, обрабатывая каждый из них. Если значительный процент сетевого трафика состав­ляют широковещательные пакеты, сетевые адаптеры на каж­дом компьютере могут быть настолько загружены обработкой Broadcast-трафика, что будут медленно рассылать или полу­чать свой собственный трафик.

Большинство тестирующего оборудования имеет механизм измерения количества Broadcast-трафика. Допустимое количе­ство широковещательного трафика варьируется в зависимости от конфигурации сети. Обычно Broadcast-трафик не превыша­ет 5—10% всего трафика в сетях Ethernet [51].

При обнаружении в сети станции, которая генерирует большое количество широковещательного трафика, необходи­мо проанализировать ее конфигурацию. Поврежденный драй­вер сетевого адаптера, неправильная работа оборудования могут быть вызваны неверной конфигурацией программного обеспечения, что в свою очередь ведет к чрезмерному росту Broadcast-трафика. Также необходимо проанализировать, ка­кие протоколы используются на этой станции и какие из них могут быть удалены. Кроме того, стек протоколов TCP/IP пре­доставляет возможность рассылки multicast-пакетов, где один пакет отправляется только группе компьютеров в сети, тем самым уменьшая широковещательный трафик.

Выбор протокола маршрутизации. Маршрутизаторы IP- пакетов используют различные протоколы, чтобы обмени­ваться данными друг с другом и обеспечивать самый быстрый способ перемещения IP-пакетов по сети. Интерпретация се­тевой топологии маршрутизирующим протоколом зачастую сильно влияет на производительность сети.

Одни протоколы маршрутизации, например RIP, использу­ют метод дистанционно-векторной маршрутизациии. При этом считается, что самый короткий путь, содержащий наименьшее число промежуточных маршрутизаторов, является лучшим пу­тем. Но иногда это не лучший выбор, потому что пакеты на этом коротком пути могут пересылаться через один низкоско­ростной и перегруженный WAN-канал, вместо, например, по­следовательной передачи через два свободных WAN-канала.

Другие протоколы, такие как OSPF и IGRP и EIGRP (см. на­пример главу 4), рассматривают другие параметры оптимиза­ции пути передачи, такие как скорость соединения, загружен­ность LAN- или WAN-сегментов. Протокол OSPF принимает во внимание и такие параметры, как надежность, задержка и пропускная способность. Как правило, эти протоколы прини­мают лучшие решения маршрутизации в сложных сетях.

Утилита Traceroute может показать путь IP-пакетов, про­ходящих через сеть. Сравнение пути Traceroute со скоростями каналов может помочь в определении ошибок маршрутизации, возникающих из-за некорректного использования каналов передачи.

Низкая пропускная способность WAN-каналов. Локальные и глобальные сети, в которых периодически возникают про­блемы физического уровня, могут создать проблемы низкой производительности во многих реализациях, разрушая паке­ты. Потеря пакетов приводит к их повторной передаче, создает заторы на маршрутизаторах, т. е. очередь трафика на передачу в канал.

Кроме того, физические проблемы могут вызвать пробле­мы маршрутизации, называемые маршрутными колебаниями. Эта проблема уже упоминалась в подразделе 8.9.5. Если кана­лы (линки) постоянно включаются и выключаются, они часто меняют свой статус. Протоколы маршрутизации шлют обнов­ления, реагируя на статус линка, и воздействуют на рабочие маршрутизаторы. Эти обновления могут негативно сказаться на производительности маршрутизатора и соответственно на производительности сети, так как процессор маршрутизатора будет все время пересчитывать маршруты.

Понимание топологии сети. Понимание топологии сети и пути, по которому IP-пакеты перемещаются из одной сети в другую, очень важно при распознавании проблем, связан­ных с производительностью.

Во многих сетях процесс соединения сегментов начинает­ся с использования каналов с низкой скоростью. Этих «мед­ленных» каналов может быть достаточно для начальных (про­стых) приложений и для небольшого числа пользователей. Однако чем больше установлено критических приложений и чем больше пользователей генерируют трафик, тем в большей степени использование низкоскоростных каналов становится узким местом для увеличения производительности. Утилита Traceroute может помочь идентифицировать медленные, пере­груженные каналы. Тест покажет время ответа от каждой та­блицы маршрутизации (hop) по пути к узлу назначения.

Перегруженные каналы. Пока трафик, проходящий по сег­менту сети, меньше чем доступная пропускная способность, система должна справиться с нагрузкой без каких-либо про­блем. Когда поступающая нагрузка становится больше, чем доступная пропускная способность, маршрутизаторы начнут формировать очередь пакетов для передачи их по мере осво­бождения канала. Пакеты будут отвергнуты, если буфер ввода- вывода маршрутизатора переполнится данными очереди. Кроме того, приложения более высокого уровня, такие как NFS (см. главу 5) или TCP, приостановятся (timeout) и приготовятся по­вторить передачу данных. Это может только усугубить проблему, так как в результате в сеть будет отправлено еще больше данных. Специальные усовершенствованные алгоритмы в реализациях TCP используются, чтобы замедлить ретрансляцию данных и предотвратить дополнительную загрузку.

Медленные маршрутизаторы. LAN- и WAN-маршрутизаторы являются очень важной частью сети TCP/IP. Относительно легко добавить функцию IP-маршрутизации персональному компьютеру или серверу. Это будет дешевое и простое реше­ние. Однако передача IP-пакетов от одного интерфейса к дру­гому требует затрат оперативной памяти и времени централь­ного процессора. Производительность будет ухудшаться, если эти ресурсы будут использоваться и другими приложениями. Всегда лучше пользоваться специализированными маршрути­заторами в виде отдельно стоящих устройств.

Когда несколько LAN- и/или WAN-каналов подсоединены к специализированному, отдельно стоящему маршрутизато­ру, ему почти всегда хватает оперативной памяти и ресурсов главного процессора для обработки трафика. В случаях, ког­да один маршрутизатор имеет множество высокоскоростных LAN-интерфейсов с большим количеством трафика на них, центральный процессор или память маршрутизатора могут быть перегружены. Большинство таких проблем может быть решено с помощью мультиинтерфейсных карт, которые марш­рутизируют трафик без дополнительной загрузки центрально­го процессора.

Индикацией загрузки канала на маршрутизаторе является пакет протокола ICMP Source Quench Packets. Маршрутизатор отправляет эти пакеты хосту, сигнализируя, что хост должен понизить скорость передачи. Следует учитывать, что многие реализации TCP/IP игнорируют такие пакеты. Чтобы понять, отвергаются ли пакеты маршрутизатором из-за перегруженных каналов, наиболее полезны ICMP эхо-пакеты утилиты Ping.

 

Медленные хосты

 

Неважно насколько быстра сеть и насколько быстрыми яв­ляются сервера, если сам хост работает медленно. Необходимо убедиться, что хост может обеспечить требуемую производи­тельность. Здесь возможны следующие проблемы.

Устаревшие интерфейсы и драйверы. Периодически необхо­димо проверять по спецификациям производителя, не внесены ли какие-нибудь значимые обновления по производительности в новом программном обеспечении. В таком случае нужно сво­евременно обновлять драйверы и программное обеспечение.

Перегруженный сервер. Сервер с более быстрым централь­ным процессором, с большим объемом оперативной памяти и быстрыми жесткими дисками может работать намного бы­стрее, чем слабая система. Однако важно понимать, что не все приложения одинаковы и, соответственно, имеют разные тре­бования к производительности системы и сети. Администра­тор системы должен учитывать, что слабость даже небольшой части системы отражается на всей системе и будет ее узким местом. Возможна ситуация, когда более быстрая сетевая кар­та или более быстрый интерфейс ввода-вывода (например, SCSI) улучшат производительность больше, чем замена цен­трального процессора.

Необходим особый контроль над приложениями, к кото­рым могут подключаться много пользователей, а также над приложениями, которые загружают систему намного больше, чем локальные приложения. Примером является приложение, которое позволяет пользователям удаленно управлять серве­ром (Х-окна). При этом конечный пользователь получает гра­фическое отображение окон серверных приложений у себя на мониторе. Обычно приложение Х-окна задействует намного больше ресурсов центрального процессора и намного боль­ше перегружает оперативную память, чем обычное удаленное управление через Telnet.

 

 

Дополнительная информация

www.fluke-networks.ru — Информация о диагностике оши­бок и средствах поиска ошибок

www.fluke.ru — Информация о диагностике ошибок и средствах поиска ошибок

www.netqos.com — Информация о NMS

nexus.realtimepublishers.com — Публикации по вопросам диагностики и поиска ошибок

4. www.solarwinds.com — Информация о средствах поиска ошибок

 

 

Контрольные вопросы

1. В чем суть автоматического режима устранения ошибок?

2. Перечислите 12 задач управления при обнаружении оши­бок.

3. Какие действия предусматривает базовая модель поиска ошибок?

4. В каком порядке проверяются гипотезы о причинах воз­никновения ошибки?

5. В чем заключается проактивная стратегия поиска оши­бок?

6. Когда администратором системы применяется пассивная технология работы NMS?

7. Какие действия по управлению ошибками позволяет ад­министратору системы осуществлять система управле­ния?

8. Какие средства диагностики ошибок входят обычно в со­став операционной системы?

9. Перечислите средства эмуляции системной консоли ад­министратора системы, ставшие промышленным стан­дартом.

10. Какие три бизнес-метрики работы ИС чаще всего приме­няются? Что такое метрика работы MTTR, метрика UP­TIME, метрика MTBF?

11. Что такое коллизия в современных версиях Ethernet? Яв­ляется ли она ошибкой?

12. В чем заключается минутная проверка Ethernet?

13. Перечислите ошибки Ethernet.

14. Приведите пример основных ошибок адресации протоко­лов TCP/IP.

15. Что надо сделать администратору системы для предупре­ждения ошибок TCP/IP?

16. Что надо сделать АС для решения локальных проблем установки соединения? Глобальных проблем установки соединения?

17. В чем суть проблемы дублирования IP-адреса?

18. В чем суть проблемы некорректных DNS-серверов?

19. Каковы признаки отсутствия нужного хоста в сети?

20. В каких случаях эффективна утилита Traceroute при ре­шении проблем маршрутизации?

21. В каких случаях средства безопасности доступа могут помешать зарегистрированному пользователю получить нужный доступ к сети?

22. В чем суть проблемы колебания маршрута?

23. Какие факторы влияют на производительность сети?

24. В чем заключаются проблемы медленных хостов?

 

Глава 9

АДМИНИСТРИРОВАНИЕ
ПРОЦЕССА УЧЕТА И ОБЕСПЕЧЕНИЯ
ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ

Данная глава посвящена вопросам управления процессами учета ресурсов ИС и вопросам обеспечения информационной безопасности. В разделе 10.1 определяются основные задачи учета, в подразделе 10.2.1 рассматриваются наиболее типич­ные виды угроз безопасности, в подразделе 10.2.2 — средства, мероприятия и нормы защиты безопасности.

Особое внимание уделено практическим рекомендациям администратору системы по обеспечению информационной безопасности. Так, для понимания конкретных мер, которые осуществляет администратор системы для обеспечения инфор­мационной безопасности ИС, в подразделе 10.3 рассматривается их реализация на примере системы обслуживания банкоматов. При этом излагаются аппаратные, программные и организаци­онные средства защиты от несанкционированного доступа.

Поскольку современная информационная система — это всегда сетевая система, в подразделе 10.4 приводится пример реализации средств безопасности сетевой подсистемы ИС.

Подраздел 10.5 посвящен вопросам организации удаленного до­ступа к сети предприятия на основе безопасной VPN-технологии, для чего рассматриваются различные типы частных виртуальных сетей (подраздел 10.5.1) и технология IPSec (подраздел 10.5.2).

9.1. Задачи учета

Задача учета ресурсов ИС и управление учетом — это от­носительно простые проблемы из тех, которые стоят перед ад­министратором системы. Обычно средства, входящие в состав ОС, СУБД, прикладных систем и коммуникационных систем достаточны для ее решения. Кроме того, средства учета (ауди­та) находятся и в составе систем MS или NMS.

Основные задачи учета перечислены ниже [64]:

— отслеживание исполняемых сервисов и затрачиваемых ресурсов;

— отслеживание цены сервисов, используемых в системе;

— учет лимитов пользователя в системе;

— учет квот ресурсов, которые выдавались процессам и пользователям ИС;

— получение отчетов о результатах решения всех предыду­щих задач;

— получение отчетов о жульничестве;

— интеграция различных отчетов и учет совокупной цены использования различных ресурсов.

Так, например, в ОС Windows ХР существует возможность аудита объектов (файлов и директорий) [29]. В журнал безо­пасности ОС вносятся сведения об определенных действиях пользователя: когда и кто открыл, изменил или удалил файл. Можно провести учет (аудит успехов) всех успешных доступов к объекту и всех неудачных попыток доступа с выдачей соот­ветствующих отчетов. Подробная информация о конкретных возможностях учета содержится в технической документации по ОС или СУБД (Technical reference, User’s Guide и т.п.).

Администратор системы может пользоваться общими сред­ствами учета управляющих систем ИС. В случае отсутствия MS или NMS возможно использование средств учета ОС или СУБД. В сложных случаях, например, диагностики причин несанкционированного доступа к данным, возможно комби­нированное использование всех имеющихся средств учета.

9.2 Защита от угроз безопасности

Угрозой является любая ситуация, вызванная преднаме­ренно или ненамеренно, которая способна неблагоприятно повлиять на систему [I].

Преднамеренные угрозы всегда осуществляются пользова­телями системы или прикладными программистами.

К основным преднамеренным угрозам относятся [1]:

— использование прав доступа другого пользователя сети;

— несанкционированный доступ к данным и их чтение, удаление, модифицирование или ввод;

— модификация программного продукта без санкции ад­ ад­министратора системы;

— несанкционированное копирование данных;

— несанкционированный доступ к зашифрованным данным, вскрытие системы кодирования данных или паролей;

— внедрение компьютерных вирусов;

— электронные помехи;

— несанкционированное подключение к кабельной системе;

— несанкционированный доступ к консолям серверов баз данных, систем управления информационных систем.

Непреднамеренная угроза всегда вызывается сбоями пита­ния, сбоями аппаратных или программных средств, неквали­фицированными действиями персонала.

К непреднамеренным угрозам можно отнести следующий ряд событий [1]:

— разрушение данных в результате отключения питания серверного или сетевого оборудования;

— разрушение данных из-за сбоев оборудования серверов операционной системы, серверов баз данных или ком­мутационного оборудования;

— разрушение данных в результате сбоев операционной системы;

— разрушение данных в результате сбоев СУБД;

— ввод неправильных данных из-за ошибок прикладного обеспечения;

— нарушение целостности данных или их разрушение из- за ошибок прикладного математического обеспечения;

— нарушение целостности данных из-за сбоев системного прикладного математического обеспечения или аппа­ратных средств;

— недостаточный профессионализм персонала или его не­хватка;

— разрушение кабельной системы или аппаратуры;

— пожары по причине коротких замыканий;

— электростатические проблемы;

— неквалифицированные действия администратора систе­мы, что обычно является наиболее частой и самой опасной причиной всех проблем с информационной системой.

Идеальная система безопасности ИС должна обеспечить полностью прозрачный санкционированный доступ к дан­ным и непреодолимые трудности при попытках несанк­ционированного доступа [2]. Помимо этого необходимы средства управления санкциями и средства отслеживания всех попыток несанкционированного доступа. Система MS или NMS должна предоставить администратору системы, занимающемуся проблемами безопасности, средства для фиксации активности процессов ИС и фиксации перехода этих процессов в аномальное состояние. Основными для управляющей системы должны быть следующие возмож ности:

— контроль над различными журналами или интегриро­ванным журналом системы (системными логами дли анализа доступа пользователей и приложений);

— контроль над доступом к ресурсам (возможно, выбороч­ный);

— проверка прав пользователей;

— проверка информации на ее частную принадлежность пользователю;

— ведение отчетов о ситуациях, связанных с тревогами (alarm/event);

— ведение журнала проверок;

— распространение информации, связанной с защитой безопасности, соответствующим службам администра­тора системы и пользователям.

Обеспечение безопасности — чрезвычайно сложная про­блема. До настоящего времени не разработана единая и связная теория обеспечения безопасности ИС [2]. Это объ­ясняется не только сложностью, но и неоднозначностью за­дачи. Несанкционированный доступ к системе может быть получен не только посредством взлома пароля пользовате­ля, но и посредством физического похищения носителя или при помощи нелояльного сотрудника компании, имеющего доступ к данным. На практике на достаточно полное реше­ние проблемы безопасности не хватает денег, у администра­тора системы недостаточно соответствующих полномочий, а у служб безопасности нет соответствующих технических знаний.

 

Виды угроз безопасности

Наиболее типичньши видами угроз безопасности явля­ются несанкционированный доступ, низкий уровень аутен­тификации, взлом паролей, атаки приложений, вирусы, черви и «троянские кони», подделка IP-адресов, атаки вида «отказ в обслуживании», захват контроля над системой [2].

Рассмотрим эти виды угроз безопасности [2, 6, 29].

Несанкционированный доступ. В руководящих документах Государственной технической комиссии РФ доступ к инфор­мации определен как ознакомление с информацией, ее об­работка, в частности копирование, модификация или уни­чтожение информации. Под несанкционированным досту­пом (НСД) к информации понимается доступ, нарушающий правила разграничения доступа с использованием штатных средств, предоставляемых средствами вычислительной техни­ки или автоматизированными системами [6]. Защита от не­санкционированного доступа заключается в предотвращении или существенном затруднении последнего. Несанкциониро­ванный доступ к информационной системе — это использо­вание ИС (или ее подсистемы) без согласия владельца. При­мером является использование сети компании, использование программного обеспечения сервера в неразрешенных целях или похищение личной информации пользователя. Админи­стратору системы следует реализовать контроль доступа сред­ствами ИС и аудит потоков данных.

Низкий уровень аутентификации. Эта угроза существует, если ИС не имеет средств аутентификации (т. е. средств зада­ния и проверки паролей пользователей) или эти средства не­эффективны. Администратор системы должен в обязательном порядке использовать имеющиеся средства аутентификации, причем в наиболее строгом варианте, например все средства, предоставляемые сетевыми устройствами. Если требуется осо­бенно надежная аутентификация, АС должен применить до­полнительные средства, например биометрический анализ.

Взлом паролей. При вскрытии систем безопасности часто используется неосторожность пользователей, выбирающих себе слишком простые пароли или действующих по легко рас­познаваемой схеме их создания. Как уже говорилось, обычно операционная система или ИС генерируют пароли пользова­телей по специальным алгоритмам, например MD5. При по­пытке их взломать применяются произвольные комбинации букв, цифр, специальных символов, которые генерируются по тем же алгоритмам, либо используются списки слов (словари) для генерации пробных паролей. АС должен дать пользова­телям рекомендации по длине пароля и его сложности. На­дежный пароль должен иметь длину 7—14 байт (символов), не включать в себя сленговые слова или наиболее вероятные комбинации, а также слова из словарей ОС. Следует устано­вить срок действия паролей.

Атаки с использованием сетевых анализаторов пакетов.

Анализаторы пакетов (Sniffers), или сетевые анализаторы, — это программно-аппаратные комплексы, перехватывающие пакеты, проходящие по кабельной системе. Они применяют­ся для поиска неисправностей, определения сетевых проблем, измерения характеристик трафика. Но хакерское сообщество разработало анализаторы пакетов, позволяющие перехва­тывать пароли для вскрытия систем доступа к ИС. Поэтому администратору системы следует использовать шифрование паролей (а иногда и данных), например, по протоколу IP Secu­rity (IPSec), а также применять одноразовые пароли (One Time Password — OTP-пароль).

Атаки приложений. Атаки приложений представляют со­бой попытки атаковать уязвимые места в прикладном про­граммном обеспечении. Например, атаки против серверов приложений. Администратору системы следует подписаться на официальную информационную рассылку производителя для получения информации об уязвимых местах приложений, устанавливать рассылаемые программные заплатки, связан­ные с защитой приложений, контролировать ресурсы серве­ров.

Вирусы, черви и «троянские кони». АС должен использовать антивирусное программное обеспечение на рабочих станци­ях, а также ограничить возможность записи пользователем на жесткие диски или внешние устройства несанкционирован­ных продуктов. На серверах могут быть использованы специ­альные средства контроля и фильтрации доступа, например сетевые экраны — фаерволлы или host-based IDS.

Подделка IP-адресов. При подделке IP-адресов хакер пыта­ется представиться санкционированным пользователем путем использования адреса из внутреннего диапазона IP-адресов или авторизованного внешнего адреса, с которого возможен доступ к некоторым ресурсам. АС должен руководствоваться рекомендациями RFC 2827 и RFC 1918 для организации филь­трации адресов.

Атаки вида «отказ в обслуживании» (Denial of Service, DoS).

Эта атака заключается в приведении атакуемой системы или ее части в неработоспособное состояние. Результат достигает­ся, например, путем взлома пароля и блокирования учетных записей пользователя, либо ищется неквотируемый ресурс, нужный прикладному процессу, или некорректно обрабатыва­емая ошибка в программном коде, приводящая к «зависанию» программы. Этот тип атак может привести к потере доходов предприятия. Вместе с входной и выходной фильтрацией АС должен согласовать свои действия с оператором связи, на­пример, по ограничению скорости передачи на пограничном маршрутизаторе корпоративной системы, а также контроли­ровать число соединений, разрешенных рабочей станции.

Захват контроля над системой в целях атаки на другие си­стемы. Это наиболее опасные атаки. Трудно найти рабочую станцию под управлением ОС Windows, которая ни разу не была бы заражена вирусом и не представляла бы угрозу для остальных пользователей. По-видимому, проблему можно ре­шить, если владелец, использованной таким образом системы, будет нести гражданско-правовую ответственность. Но тогда решение надо возложить (хотя бы частично) на разработчи­ков прикладного и системного ПО. Однако это противоречит бизнес-моделям поставщиков программного обеспечения. В первую очередь это касается корпорации Microsoft, постав­ляющей программное обеспечение в коробочном варианте (shrink-wrap software) без контракта на поддержку [2].