Недостатки, связанные с применением Firewall.

Кроме того, что существуют угрозы, которым Firewallне могут противостоять, их применение создает определенные трудности.

Наиболее очевидным недостатком Firewallявляется большая вероятность того, что он может заблокировать некоторые необходимые пользователю службы, такие какtelnet, ftp, X Windows, NFSи т.д. Однако, эти недостатки присущи не толькоFirewall, доступ к сети может быть ограничен также и на уровне хост-ЭВМ, в зависимости от методики обеспечения безопасности сети. Тщательно разработанная методика обеспечения безопасности должна приводить требования безопасности в соответствие с нуждами пользователя, что может оказать значительную помощь в сокращении проблем ограничения доступа к службам.

Некоторые объекты могут обладать топологией, не предназначенной для использования Firewall, или использовать службы типаNFSтаким образом, что его использование потребовало бы глобальной реорганизации сети. Например, объект может зависеть от использования на главных шлюзах системNFSиNIS. В этой ситуации нужно сопоставить относительную стоимость введенияFirewallи размер ущерба от возможных атак, которые существовали бы при его отсутствии.

Во-вторых, Firewallне защищают объект от проникновения через «люки». Например, если на объект, защищенный Firewall,все же разрешается неограниченный модемный доступ, нарушители могут с успехом обойтиFirewall. Скорости модемов в настоящее время достаточно велики для практической реализации протоколов SLIP (Serial Line IP)и PPP (Point-to-Point);связь через протоколы SLIPи РРР в рамках защищенной подсети является, по существу, еще одним сетевым соединением и потенциальным каналом нападения.

Firewall,как правило, не обеспечивают защиту от внутренних угроз. С одной стороны, Firewallможно разработать так, чтобы предотвратить получение конфиденциальных данных внешними нарушителями, однако, Firewall не запрещает внутренним пользователям копировать данные на магнитную ленту или выводить их на печатающие устройства. Таким образом, было бы ошибкой полагать, что наличие Firewallобеспечивает защиту от внутренних атак или вообще атак, для которых не требуется использованиеFirewall.

Кроме вышеперечисленных, укажем еще некоторые вопросы и проблемы, связанные с Firewall:

WWW, gopher —Более поздние версий информационных серверов и клиентов для WWW, gopher, WAISи др., не были предназначены для использованияFirewall-методикиз-за своей новизны и обычно считаются рискованными. Существует возможность атак, при которых данные, обрабатываемые клиентами, могут содержать инструкции для выполнения. В этих инструкциях клиенту может быть рекомендовано внести изменения в файлы управления доступом и другие важные для обеспечения безопасности хоста файлы.

MBONE —Групповые сообщения IP (MBONE)для передачи изображения и звука инкапсулируются в других пакетах. Firewall,как правило, передает пакеты, не просматривая их содержимое. Передачи MBONE представляют собой потенциальную угрозу в том случае, если пакеты содержат команды изменения параметров системы контроля безопасности, что позволит нарушителю вторгнуться в сеть.

вирусы — Firewallне защищают от загрузки пользователями зараженных вирусами программ из архивовInternetили от передачи таких программ через электронную почту. Поскольку эти программы можно каким угодно способом закодировать или сжать, у Firewallнет возможности проверить их на предмет наличия сигнатур вирусов. Проблема вирусов все еще существует, но она должна решаться с помощью других методик и антивирусного контроля.

пропускная способность — Firewallпредставляют собой потенциальноузкое место, поскольку все соединения должны осуществляться только через него, а в некоторых случаях еще и подвергаться фильтрации. Однако, на сегодняшний день это, в общем случае не является проблемой, поскольку Firewallмогут передавать данные на скорости Т1 (1,5Мбит/сек), а большинство сетей Internet имеют скорости соединения не больше Т1.

возможность общего риска —В Firewallвсе средства безопасности сосредоточены в одном месте, а не распределены между системами. Компрометация Firewall ведет к нарушению безопасности для других, менее защищенных систем. Однако, этот недостаток можно устранить, полагая, что чем больше будет систем в подсети, тем скорее будут обнаружены все упущения в безопасности. Несмотря на эти недостатки NISTнастоятельно рекомендует, чтобы объекты защищали свои ресурсы с помощью Firewallи других средств и методик безопасности.