17Защита локальной сети и одиночного компьютера от атак через Internet.

Основные схемы сетевой защиты на базе межсетевых экранов

При подключении корпоративной или локальной сети к глобальным сетям администратор сетевой безопасности должен решать следующие задачи:

• защита корпоративной или локальной сети от несанкционированного доступа со стороны глобальной сети;

• скрытие информации о структуре сети и ее компонентов от пользователей глобальной сети,

• разграничение доступа в защищаемую сеть из глобальной сети и из защищаемой сети в глобальную сеть.

Необходимость работы с удаленными пользователями требует установки жестких ограничений доступа к информационным ресурсам защищаемой сети. При этом часто возникает потребность в организации в составе корпорационной сети нескольких сегментов с разными уровнями защищенности

• свободно доступные сегменты (например, рекламный WWW-сервер),

• сегмент с ограниченным доступом (например, для доступа сотрудникам организации с удаленных узлов),

• закрытые сегменты (например, локальная финансовая сеть организации).

Административные методы защиты от удаленных атак в сети Internet

Административные методы защиты от информационно-разрушающих воздействий являются наиболее простыми и дешевыми. К ним относятся способы защиты систем, которые достигаются путём более рационального, с точки зрения безопасности, администрирования этих систем. Сюда включается: выбор тех или иных ОС под которыми будет функционировать РВС, определение используемых протоколов, установление уровней доступа к ресурсам системы и осуществление их контроля, и т.д. То есть это те методы, которые реализуются непосредственно на административном уровне и которые позволяют, таким образом, противостоять некоторым видам удалённых атак.

Ранее рассматривалась атака, позволяющая злоумышленнику при помощи программного прослушивания канала передачи сообщений в сети перехватывать любую информацию, которой обмениваются удаленные пользователи, если по каналу передаются только нешифрованные сообщения. Также было сказано, что базовые прикладные протоколы удаленного доступа TELNET и FTP не предусматривают элементарную криптозащиту передаваемых по сети даже идентификаторов (имен) и аутентификаторов (паролей) пользователей. Поэтому администраторам сетей, очевидно, можно порекомендовать не допускать использование этих базовых протоколов для предоставления удаленного авторизованного доступа к ресурсам своих систем.

В принципе приемлемых способов защиты от отказа в обслуживании в существующем стандарте сети Internet нет. Это связано с тем, что в данном стандарте невозможен контроль маршрута сообщений. Поэтому невозможно обеспечить надежный контроль сетевых соединений, так как у одного субъекта сетевого взаимодействия существует возможность занять неограниченное число каналов связи с удаленным объектом и при этом остаться анонимным. Поэтому, для повышения надежности работы системы в данных условиях можно предложить использовать как можно более мощные компьютеры. Чем больше число и частота работы процессоров, чем больше объем оперативной памяти, тем более надежной будет работа сетевой ОС, когда на нее обрушится направленный "шторм" ложных запросов на создание соединения, что в общем-то и приводит к отказу в обслуживании. Кроме того, необходимо использование соответствующих операционных систем с внутренней очередью, способной вместить большое число запросов на подключение.