Прикладные посредники

Модуль мониторинга и оповещения

Модуль мониторинга и оповещения генерирует все динамичес­кие и статистические данные всех подсистем МЭ и ОС (количе­ство принятых/отправленных, разрешенных/запрещенных пакетов, попыток неудачной аутентификации, расходование дискового про­странства и оперативной памяти и др.) и оповещает администра­тора о критических и иных событиях (обнаружение типовых атак, исчерпание системных ресурсов, подключение к определенному ресурсу новых пользователей и др.).

Большинство МЭ позволяют определять действия, которые дол­жен осуществить экран в случае выполнении правила или наступ­ления какого-либо события. К таким действиям относятся:

• запуск внешних программ с передачей им параметров;

• вывод сообщений на консоль управления МЭ;

• подача звукового сигнала;

• запись в журнал;

• отправка сообщения по электронной почте;

• отправка сообщения на пейджер;

• отправка SNMP-трапа.

Выбор того или иного способа оповещения зависит от типа пра­вила, для которого определено событие МЭ. Например, для разре­шающего правила нет смысла отправлять администратору сооб­щение по электронной почте, поскольку администратору нет необходимости отслеживать нормальную активность. Но в случае срабатывания запрещающих правил или обнаружения вторжений администратор должен быть информирован об этом как можно скорее. Но и для запрещающих правил определять выполняемые действия МЭ нужно осторожно, поскольку взрывной рост выпол­нения таких правил (например, при сканировании портов, выполне­нии атаки SYN-flood на запрещенные порты) может привести к отказу обслуживания как самого МЭ, так и используемой схемы оповещения. Чтобы исключить подобную ситуацию, некоторые МЭ имеют опцию «регистрировать только первое событие» или «при­менить только для первого пакета».

При организации защиты грамотное использование системы сигнализации МЭ играет огромную роль, поскольку она в первую очередь предназначена для выявления аномалий активности и пре-

дупреждения администратора безопасности о попытках наруше­ния ИБ или ситуациях, требующих его вмешательства.

Модули мониторинга и оповещения современных МЭ частично выполняют функции систем обнаружения вторжений (IDS - intrusion detection system), целью которых является обнаружить и предотв­ратить вторжения на первых стадиях их проявления.

Прикладные посредники являются неотъемлемой частью боль­шинства МЭ. Они позволяют управлять ПБ на прикладном уровне сетевых приложений. Принцип действия посредников основывает­ся на установлении посредничества между клиентом и сервером. В самом общем случае клиент устанавливает соединение с по­средником и запрашивает его об установлении соединения с сер­вером. Таким образом устанавливается два соединения: между клиентом и посредником и между посредником и сервером. По­средник контролирует корректность и допустимость команд и па­раметров, передаваемых клиентом с одной стороны, а при приеме данных от сервера выполняет их проверку на ряд условий безопас­ности. Очевидно, для каждого прикладного протокола должен быть разработан собственный прикладной посредник, и для каждого при­кладного протокола реализуемые функции безопасности также бу­дут различными.

Поскольку посредники прикладного уровня понимают приклад­ной протокол, то имеется возможность более тонко управлять по­литикой доступа к сетевым сервисам. Например, большинство посредников HTTP (HTTP-proxy) позволяет управлять доступом к различным WEB-ресурсам по имени универсального локатора ре­сурсов (URL), а также блокировать активные компоненты - Java, Java script, ActiveX, теги HTML. Для протокола FTP возможно раз­деление полномочий по доступу к файлам FTP-сервера по различ­ным критериям. Например, разрешить доступ только к строго оп­ределенным директориям или файлам, ограничить выполнение FTP-команд, запретить загрузку файлов при превышении макси­мально установленного размера файла.

Большинство ограничений использования прикладного сервиса может быть установлено на самом сервере. Перечислим некото­рые причины, когда использование посредника предпочтительнее (иногда это единственный способ реализации той или иной задачи

безопасности):

• прикладной сервер находится не в локальной сети и его нельзя

контролировать;

• отсутствуют функциональные возможности программного обеспечения прикладного сервера по реализации требуемых огра­ничений;

• МЭ реализует более гибкое обеспечение безопасности ис­пользования сервиса.

Подробно прикладные посредники как МЭ прикладного уровня

рассматриваются в гл. 3.

Дата добавления: 2014-01-07