Параграф. 1.2. Подсистема управления и анализа трафика

С целью избежания несанкционированного доступа к своим сетям, многие компании, подключенные к Internet, полагаются на брандмауэры. Однако, достигая при этом своей основной цели, пользователь брандмауэра столкнётся с необходимостью выбора между простой работой и безопасностью системы.
Брандмауэр – это один из нескольких путей защиты вашей сети, от другой, которой вы не доверяете. Вообще существует множество вариантов обеспечения такой защиты, но в принципе брандмауэр можно представить как пару механизмов: один – для блокировки, второй – для разрешения трафика.
Основной причиной для установки в частной сети брандмауэра практически всегда является стремление пользователя защитить сеть от несанкционированного вторжения. В большинстве случаев сеть защищают от нелегального доступа к системным ресурсам, а также от отправки какой либо информации вовне баз ведома её владельца. В некоторых случаях экспорт информации не рассматривается как особо важная проблема, однако, для многих корпораций, подключение к Internet, это вопрос первостепенной важности.

Параграф. 1.3. Конструктивные решения

В процессе конфигурирования брандмауэра конструктивные решения зачастую диктуются корпоративной и организационной политикой компании в области обеспечения защиты сетей. В частности, любая фирма должна сделать очень серьезный выбор: что для нее важнее — высокая степень защиты или простота в использовании. Существует два подхода к решению этой дилеммы.
1. Что не было специально разрешено, то запрещено (DROP);
2. Что не было специально запрещено, то разрешено (ACCEPT).
Важность данного разграничения переоценить невозможно. В первом случае брандмауэр должен будет блокировать все, а системные службы будут доступны пользователям лишь после тщательной оценки их потребности в этих службах, а также степени риска. Подобный подход непосредственно осложняет пользователям жизнь, в результате чего многие из них считают брандмауэры помехой в работе.

Во втором случае эту же реакционную роль играет системный администратор, который обязан уметь предвидеть, какие действия, сетевых пользователей способные ослабить надежность брандмауэра, и принять соответствующие меры для предотвращения таких попыток. В результате данного подхода конфликт между администратором брандмауэра и пользователями развивается по нарастающей и может стать действительно серьезным. Если пользователи не осознают важности мер предосторожности в плане обеспечения безопасности сети и не выполняют их, они зачастую способны подвергнуть риску всю сеть. Если пользователи при входе в систему (login) будут получать неограниченный доступ к брандмауэру, в системе безопасности сети может возникнуть большая брешь. Вообще говоря, наличие пользовательских входов в брандмауэрную систему имеет тенденцию в значительной мере увеличивать проблему сохранности системы.

Вторая важнейшая формулировка в области политики безопасности гласит: "Что не было специально запрещено, то разрешено" Такой подход наиболее надежен, ибо он освобождает системного администратора от необходимости принимать решения, какие TCP—порты безопасны или какие еще бреши оставили в системе производители ядра или программ. (TCP — протокол транспортного уровня, применяемый в Internet для организации надежной двусторонней доставки данных, используемый многими прикладными программами TCP/IP). Поскольку продавцы вовсе не спешат обнародовать изъяны своего программного обеспечения, данный подход более эффективен, ибо, в сущности, в основе его лежит утверждение, что абсолютно все, чего вы не знаете, может нанести вам вред.