Использование межсетевого экрана для обеспечения информационной безопасности кис
Совместно с комплексной антивирусной защитой, еще одним наиболее эффективным методом защиты КИС предприятия от внешних угроз является использование межсетевого экрана – программного или аппаратного маршрутизатора, совмещённого с firewall (особой системой, осуществляющей фильтрацию пакетов данных).
Ни для кого не секрет, что данные в сети, будь то локальная сеть или Интернет, передаются относительно небольшими пакетами. Каждый пакет несёт в себе признак используемого протокола, адреса источника и приёмника, а так же номера соответствующих портов. Последние – это числа, по которым операционная система распознаёт, какое приложение получит конкретный пакет данных. Например, при загрузке страницы с сервера http://ya.ru/ интернет-браузер получает данные с веб-сайта по протоколу HTTP. При этом обмен данными между компьютером и сервером происходит по более низкоуровнему протоколу TCP/IP, а пересылаемые от сервера к компьютеру пакеты данных имеют номер порта приёмника, скажем, 1121, а номер порта источника – всегда 80. Конечно, в реальной сети идёт постоянный обмен данными, и взаимодействие компьютеров всегда намного сложнее, однако этот простой пример доказывает, что если даже для несведущего человека вполне ясно, откуда и куда идёт выбранный пакет данных, то человек искушённый извлечёт из него куда больше информации. По этой причине нельзя позволять пакетам, курсирующим в локальной сети, попадать в Интернет. Также нельзя разрешать некоторым пакетам из Интернета попадать в локальную сеть предприятия.
На каждом предприятии доступ компьютеров в Интернет по локальной сети обеспечивается с помощью отдельно стоящего компьютера (его ещё называют сервером доступа). Иногда это специализированный компьютер, но чаще всего обычный, расположенный близко к устройству, обеспечивающему выход в Глобальную сеть (например, модему). К сожалению, стандартные средства операционных систем не позволяют вести гибкую настройку маршрутизации и фильтрования пакетов, поэтому на таком компьютере следует разместить специальное ПО: маршрутизатор и firewall. Это ПО не так дорого, но если имеется возможность поставить специализированное оборудование, например фирмы Cisco, то этим не следует пренебрегать: подобные аппаратные маршрутизаторы отличаются большей надёжностью.
Настройка ПО гораздо проще конфигурирования специализированного оборудования и может быть выполнена системным администратором средней квалификации. При этом следует запретить трансляцию пакетов, содержащих адрес приёмника в диапазоне адресов локальной сети предприятия или равный широковещательному адресу, в Интернете. Также следует запретить трансляцию пакетов, не содержащих адреса локальной сети предприятия, из Интернета в локальную сеть. Это позволит оградить сеть предприятия от прослушивания извне, а также минимизировать возможности для передачи в локальную сеть враждебных пакетов. Время работы маршрутизатора, когда осуществляется трансляция пакетов, следует выбрать равным времени работы организации плюс небольшой временной резерв для задерживающихся в офисе или пришедших раньше времени сотрудников.
Настройка firewall потребует более серьёзного подхода, но также не должна вызвать затруднений: следует разрешить обмен данными с Интернетом только по тем протоколам, которые реально используются на предприятии. Например, это могут быть протоколы HTTP, HTTPS, SMTP, POP3, DNS, ICQ и т.д. Попытка обмена данными по неразрешённым протоколам должна блокироваться firewall и записываться им в журнал. Особо следует отметить, что требуется обязательно запретить обмен пакетами NETBIOS с Интернетом, так как этот протокол очень слабо защищён от взлома.
Собственно говоря, межсетевой экран готов: он не пропускает наружу внутренние пакеты локальной сети предприятия и блокирует доступ к ней чужих компьютеров. Практика показывает, что при определённой сноровке системного администратора, межсетевой экран может быть введён в эксплуатацию в течение рабочего дня. Также необходимо отметить, что при вводе межсетевого экрана в эксплуатацию следует сначала испытать его на одном компьютере, чтобы проверить настройки и уровень обеспечения безопасности с помощью, скажем, специализированных сайтов вроде