Статические фильтры пакетов

Фильтры пакетов - первое поколение технологии МЭ - анали­зируют сетевой трафик на сетевом и транспортных уровнях. Каж­дый IP-пакет проверяется на соответствие набору правил, опреде­ляющих разрешенные потоки данных. Фильтры пакетов или пакетные фильтры (ПФ) обычно позволяют контролировать сле­дующие поля сетевых пакетов:

• физический сетевой интерфейс, с которого получен пакет (МАС-адрес);

• IP-адрес источника;

• IP-адрес получателя;

• тип транспортного протокола (TCP, UDP, ICMP);

• поля служебных заголовков протоколов IP, TCP;

• порт источника транспортного уровня (TCP/UDP порт);

• порт назначения транспортного уровня (TCP/UDP порт). Фильтры пакетов не понимают прикладной уровень модели OSI.

Они работают, применяя набор правил, установленных в ядре TCP/IP стека МЭ. Этот набор правил содержит ассоциативные действия, которые будут применены ко всем входящим и исходя­щим пакетам.

Действие над поступающим на сетевой интерфейс или исходя­щим из него пакетом имеет одно из двух значений: запретить (deny) или разрешить (allow). Запрещение прохождения пакета выполня­ется одним из следующих способов:

1) пакет отбрасывается (drop) без каких либо дополнительных действий;

2) пакет отбрасывается (reject) и отправителю посылается па­кет с установленным флагом «сброс соединения». Правило reject используется только для TCP-пакетов;

3) пакет отбрасывается и отправителю посылается сообщения ICMP - хост недостижим или порт недоступен.

Последние два способа запрещения пакетов позволяют создать видимость отсутствия средств защиты (фильтрации) на пути про­хождения сетевых пакетов.

Два списка - запрещенный список и список доступа - обраба­тываются в ядре МЭ. Сетевой пакет, проходящий через МЭ, дол­жен пройти оба списка доступа. В большинстве МЭ применяется правило: что явно не разрешено, то запрещено. Некоторые фильт­ры пакетов, включенные в состав маршрутизаторов, используют Другую политику. В таких фильтрах пакетов пакет должен быть явно запрещен или иначе он будет разрешен. По этой причине необходимо ясно понимать политику фильтрации, используемой в активном оборудовании и МЭ. При задании правил фильтра паке­тов используют и другие более сложные подходы, реализующие многоуровневую иерархическую структуру.

Фильтры пакетов обычно оперируют набором команд, контро­лирующих IP-адреса, номера портов источника и назначения TCP и UDP. Поскольку протокол ICMP не использует портов, это зат­рудняет реализацию политики безопасности для него. Для обеспе­чения эффективной политики безопасности для ICMP фильтр паке­тов должен установить таблицу состояний, чтобы обеспечить работу протокола (транслировать ICMP-отклик) для внутренних хостов. Эта способность «контроля состояния» является одной из основных различий между простым фильтром пакетов и динами­ческим фильтром пакетов.

Основные достоинства МЭ на базе фильтров пакетов заключа­ются прежде всеф в простоте реализации и широкой доступности как в программном исполнении, так и аппаратном (в составе мар­шрутизаторов). Кроме того:

• фильтры пакетов обычно быстрее (более производительны) других типов МЭ, поскольку выполняют меньшее количество опе­раций в процессе анализа;

• пакетные фильтры не требуют специального конфигурирова­ния клиентских компьютеров;

• в сочетании с сетевой трансляцией адресов использование МЭ фильтрации пакетов позволяет скрыть внутренние адреса сети от внешних пользователей.

Фильтр пакетов не контролирует данные сетевого пакета на прикладном уровне и состояние соединения, поэтому он обеспечи­вает наименьшую защищенность, что позволяет получить доступ через МЭ с минимальным числом дополнительных исследований. Другими словами, если доступ разрешен, сетевой пакет будет мар­шрутизирован через МЭ как определенный правилами в таблице маршрутизации МЭ. Поскольку такой МЭ требует минимальных вычислительных затрат и обеспечивает самую высокую произво­дительность, его часто используют в таких аппаратных решениях, как IP-маршрутизаторы.

Фильтр пакетов часто реализуют модификацию IP-адреса сетевых пакетов. Процесс переадресации сетевых пакетов называется сетевой трансляцией адресов (network address translation - NAT). Сетевая трансляция адресов скрывает топологию и адреса защи­щенной сети от внешней сети и позволяет работать в ограниченном зарегистрированном адресном блоке.

МЭ, основанные на статической фильтрации пакетов, имеют следующие недостатки:

• фильтры пакетов не интерпретируют прикладной уровень мо­дели OSI, не отслеживают текущие сессии. Поэтому они обеспе­чивают меньшую защищенность, чем МЭ прикладного уровня или уровня соединения;

• фильтры пакетов имеют ограниченные системы аудита и пре­дупреждений или вообще не имеют их;

• из-за сложности реализации большинства прикладных серви­сов возникают сложности определения разрешенных и запрещен­ных списков правил, что, в свою очередь, усложняет их админист­рирование.

Фильтры пакетов являются неотъемлемой частью МЭ эксперт­ного уровня.

МЭ прикладного уровня

МЭ прикладного уровня (application-level proxy, application proxy, посредник) - технология МЭ, которая проверяет информационные потоки на корректность данных на прикладном уровне. Дополни­тельно на этом уровне МЭ прикладного уровня могут контролиро­вать различные характеристики защищенности, присущие только прикладному уровню, такие как пароль пользователя и запрашива­емые объекты протоколов. Обратите внимание, посредники опе­рируют не пакетами, а информационными массивами в виде ко­манд и их параметров, результатами выполнения команд, различными высокоуровневыми объектами - файлами, элемента­ми баз данных, компонентами Java, Java script и др.

Большинство МЭ прикладного уровня включают специальное программное обеспечение и сервис-посредники (proxy services). Сервис-посредники - программы специального назначения, кото­рые управляют трафиком через МЭ для определенных сервисов, таких как HTTP, FTP, SMTP, POPS, Telnet, DNS, RealAudio, SQLnet и др. Как правило, каждый сервис-посредник, называемый также прокси-приложением, состоит из двух отдельных компонент - про-кси-клиента и прокси-сервера. Чаще всего сетевые приложения напрямую взаимодействуют с прокси-серверами, что не требует дополнительного программного обеспечения на клиентских рабо­чих местах. Прокси-сервер выступает конечным сервером для всех запросов от клиентов защищаемой сети.

Различают прозрачные (transparent proxy) и непрозрачные (not transparent) посредники прикладного уровня. Прозрачные посред­ники работают незаметно для соответствующих клиентских при-

ложений и не требуют их конфигурации. Это достигается за счет перехвата всех сетевых пакетов сервером-посредником, соответ­ствующим прикладному приложению (на основе TCP или UDP-nop-тов назначения). Непрозрачные посредники требуют специальной конфигурации клиентских приложений, которая заключается в ука­зании приложению адреса, порта посредника, параметров аутенти­фикации и при необходимости других дополнительных параметров. МЭ прикладного уровня позволяют блокировать потенциально опасные компоненты и команды прикладного протокола. Так, на­пример, они позволяют блокировать компоненты ActiveX, Java, Java script, банеры протокола HTTP, запрещать/разрешать команды про­токолов FTP и HTTP, блокировать несуществующие команды. Кро­ме того, МЭ прикладного уровня умеют кэшировать информацию и управлять характеристиками кэша, за счет чего уменьшают вре­мя загрузки данных и расходы за трафик.

Основными преимуществами сервис-посредников являются:

• интерпретация и усиление защиты высокоуровневых приклад­ных протоколов, таких как HTTP и FTP;

• блокирование напрямую установленных соединений между внешними серверами и внутренними хостами;

• перенаправление внешних запросов на другие серверы внут­ренних сервисов;

• широкий набор учетных данных для отчетности по сравне­нию с другими типами МЭ (идентификатор пользователя, время и продолжительность соединения для каждой пары адресов, имена и характеристики запрашиваемых объектов, статистика посещения узлов и запрашиваемых объектов, распределение затраченного сетевого времени между приложениями и пользователями и ряд

других);

• обеспечение дополнительных возможностей (кэширование объектов HTTP, фильтрация URL, аутентификация пользователей, балансировка нагрузки и др.).

Недостатки сервис-посредников:

• поскольку они прослушивают тот же порт, что и сам приклад­ной сервер, то не всегда есть возможность расположения сервера и МЭ на одном и том же компьютере;

• значительное время обработки, поскольку входящие данные обрабатываются дважды - приложением и его посредником;

• для каждого прикладного протокола, пропускаемого через МЭ, должен быть разработан собственный сервис-посредник.

Сервис-посредники обеспечивают самый высокий уровень защи­ты из всех типов МЭ, но имеют самую низкую производительность.

Дата добавления: 2014-01-07