Классификация сетевых экранов

 

Сетевые экраны подразделяются на различные типы в зависимости от следующих характеристик:

· обеспечивает ли экран соединение между одним узлом и сетью или между двумя или более различными сетями;

· происходит ли контроль потока данных на сетевом уровне или более высоких уровнях модели OSI;

· отслеживаются ли состояния активных соединений или нет.

В зависимости от охвата контролируемых потоков данных сетевые экраны делятся на:

· традиционный сетевой (или межсетевой) экран — программа (или неотъемлемая часть операционной системы) на шлюзе (сервере передающем трафик между сетями) или аппаратное решение, контролирующие входящие и исходящие потоки данных между подключенными сетями.

· персональный сетевой экран — программа, установленная на пользовательском компьютере и предназначенная для защиты от несанкционированного доступа только этого компьютера.

Вырожденный случай — использование традиционного сетевого экрана сервером, для ограничения доступа к собственным ресурсам.

В зависимости от уровня, на котором происходит контроль доступа, существует разделение на сетевые экраны, работающие на:

· сетевом уровне, когда фильтрация происходит на основе адресов отправителя и получателя пакетов, номеров портов транспортного уровня модели OSI и статических правил, заданных администратором;

· сеансовом уровне (также известные как stateful) — отслеживающие сеансы между приложениями, не пропускающие пакеты нарушающих спецификации TCP/IP, часто используемых в злонамеренных операциях — сканировании ресурсов, взломах через неправильные реализации TCP/IP, обрыв/замедление соединений, инъекция данных.

· уровне приложений, фильтрация на основании анализа данных приложения, передаваемых внутри пакета. Такие типы экранов позволяют блокировать передачу нежелательной и потенциально опасной информации, на основании политик и настроек.

Некоторые решения, относимые к сетевым экранам уровня приложения, представляют собой прокси-серверы с некоторыми возможностями сетевого экрана, реализуя прозрачные прокси-серверы, со специализацией по протоколам. Возможности прокси-сервера и многопротокольная специализация делают фильтрацию значительно более гибкой, чем на классических сетевых экранах, но такие приложения имеют все недостатки прокси-серверов (например, анонимизация трафика).

В зависимости от отслеживания активных соединений сетевые экраны бывают:

· stateless (простая фильтрация), которые не отслеживают текущие соединения (например, TCP), а фильтруют поток данных исключительно на основе статических правил;

· stateful, stateful packet inspection (SPI) (фильтрация с учётом контекста), с отслеживанием текущих соединений и пропуском только таких пакетов, которые удовлетворяют логике и алгоритмам работы соответствующих протоколов и приложений. Такие типы сетевых экранов позволяют эффективнее бороться с различными видами DoS-атак и уязвимостями некоторых сетевых протоколов. Кроме того, они обеспечивают функционирование таких протоколов, как H.323, SIP, FTP и т. п., которые используют сложные схемы передачи данных между адресатами, плохо поддающиеся описанию статическими правилами, и, зачастую, несовместимых со стандартными, stateless сетевыми экранами.

Брэндмауэр Windows

 

Брэндмауэр Windows в Windows Vista – это двунаправленный брэндмауэр с отслеживанием состояния, который более совершенен по сравнению с брэндмауэром в Windows XP. Брэндмауэр Windows Vista осуществляет фильтрацию как входящего, так и исходящего трафика. Также здесь можно настроить правила для следующих элементов:

· Учетные записи и группы Active Directory

· Номер IP-протокола

· Определенные типы интерфейсов

· Службы

· ICMP и ICMPv6 по типу и коду

· IP-адреса источника и назначения

· Все порты TCP или UDP, или только определенные порты

В Windows Vista вы также можете разрешить определенной программе доступ к сети или запретить трафик, используя список исключений. Чтобы получить доступ к списку исключений, щелкните на Start | Control Panel | Security (Пуск | Панель управления | Безопасность) и затем выберите команду «Allow a program through Windows Firewall» (Разрешить работу программы через брэндмауэр Windows).

По умолчанию брэндмауэр Windows блокирует весь входящий трафик, который не разрешен специально или не соответствует правилу, и разрешает весь исходящий трафик, даже если он не соответствует правилу.

Windows Vista включает в себя новую оснастку Консоли управления (MMC), под названием «Windows Firewall with Advanced Security» (Брэндмауэр Windows в режиме повышенной безопасности) (см. Рисунок 9), которая позволяет администраторам конфигурировать параметры брэндмауэра Windows на удаленных компьютерах. Чтобы получить доступ к этой оснастке, в панели управления выберите System and Maintenance | Administrative Tools (Система и ее обслуживание | Администрирование), и затем щелкните на Windows Firewall with Advanced Security.

 

 

Чтобы добавить правило, также можно использовать редактор Групповых политик и через него выбрать Computer Configuration\Windows Settings\Security Settings\Windows Firewall with Advanced Security (Конфигурация компьютера\Параметры Windows\Параметры безопасности\Брэндмауэр Windows в режиме повышенной безопасности). Также вы можете настроить новые дополнительные параметры безопасности из командной строки, используя команду netsh advfirewall.

Каждый раз, когда вы подключаетесь к новой сети, Windows Vista создает профиль только для этой сети. Когда вы подключаетесь к этой сети снова, Windows Vista использует параметры, сохраненные в этом профиле. Одна из первых вещей, которые ОС спрашивает при подключении к новой сети – какая это сеть: общего пользования или частная. Это определяет тип профиля, который брэндмауэр Windows загружает для задания конфигурации и правил. Если вы хотите редактировать профили, выберите Windows Firewall Properties/Свойства брэндмауэра Windows в оснастке Windows Firewall with Advanced Security, затем выберите вкладку Private Profile/Частный профиль или Public Profile/Публичный профиль.

При желании вы можете изменить профиль, связанный с сетью, после того, как подключитесь к сети; это можно сделать из службы Network and Sharing Center/Центр управления сетями и общим доступом. Для этого перейдите в Control Panel | Network and Internet | Network and Sharing Center (Панель управления | Сеть и Интернет | Центр управления сетями и общим доступом). Чтобы изменять профиль сети, щелкните кнопку Customize/Настройка рядом с названием сети, к которой вы подключены.