 |
|
|
|
Возможности файрволов уровня приложений
Возможности файрволов уровня приложений Шлюзы уровня приложений – это серьезное средство их защиты или бесполезная трата денег? Впервые межсетевые экраны были разработаны еще в конце 80-х компанией DEC, с тех пор эволюция этих решений прошла длинный путь. И сейчас уже не найти локальную сеть, в которой они не используются, а соответствующие решения предлагают десятки разработчиков, в том числе и встроенные в саму ОС. В зависимости от количества узлов, пропускной способности каналов подключения к Интернету и, конечно же, бюджета применяют как программные решения, так и аппаратные. Причем физические устройства тоже бывают различных видов – от домашних маршрутизаторов с функциями межсетевого экрана до мощных промышленных файрволов. Но все они имеют некоторые общие свойства, присущие всем классическим межсетевым экранам. Основное свойство – способность контролировать сетевой трафик только на нижних уровнях иерархической модели. То есть классический межсетевой экран проверяет IP, номера портов и тип транспортного протокола, но при этом не смотрит, что внутри, и неможет полноценно обеспечивать безопасность. К примеру, во многих организациях ICQ блокируется из соображений безопасности, однако гибкие настройки клиентских приложений позволяют обходить классические межсетевые экраны. Достаточно лишь использовать нестандартные порты или HTTP-прокси. Таким образом, возникла необходимость в анализе содержимого пакетов на уровне приложений. Для работы с трафиком на уровне приложений обычно используются прокси-серверы, пропускающие и фильтрующие весь трафик в соответствии с заданными политиками. Однако у этой технологии есть ряд недостатков. Прокси могут ограничивать пропускную способность сетевого канала, также они требуют дополнительной настройки на клиентских компьютерах. Кроме того, далеко не все сетевые приложения корректно работают через прокси. Для решения данных проблем были разработаны файрволы, которые инспектируют трафик на уровне приложения (седьмого), которые обеспечивают более высокую защиту по сравнению с пакетными фильтрами. Далее по ходу статьи длятаких МЭ я буду использовать термин NGFW (Next Generation Firewall). По сути, файрвол седьмого уровня выполняет роль сервера для клиента и клиента для реального сервера, обрабатывая запросы реального сервера вместо пользователей, которых он защищает. Каждое соединение начинается на системе-клиенте и поступает на внутренний интерфейс межсетевого экрана. Межсетевой экран принимает соединение, анализирует содержимое пакета ииспользуемый протокол и определяет, соответствует ли данный трафик правилам. В случае если такой трафик разрешен, инициируется новое соединение между своим внешним интерфейсом и системой-сервером. При этом межсетевые экраны прикладного уровня имеют модульную архитектуру. Модуль доступа является основным элементом МЭ (см. рис. 1). Он принимает входящее подключение и обрабатывает команды перед отправкой трафика получателю. В результате МЭ осуществляет защиту целевой системы от атак, выполняемых посредством приложений.
Рисунок 1. Соединения модуля доступа межсетевого экрана прикладного уровня Модули доступа обычно разрабатываются для наиболее часто используемых протоколов прикладного уровня, таких как HTTP, SMTP и других. Модули файрволов способны проверять трафик на соответствие стандартам RFC и удалять свеб-страниц активное содержимое, например, Java-апплеты и другие активные компоненты. Также возможен анализ передаваемых ссылок на принадлежность к вредоносным и фишинговым сайтам. При этом если нужный модуль доступа для того или иного протокола отсутствует, то данный протокол не может использоваться для соединения через МЭ. Но современные МЭ прикладного уровня умеют работать с сотнями протоколов прикладного уровня, поэтому проблем нет. Одним из первых файрволов уровня приложений можно считать открытое решение Firewall Toolkit (FWTK) от Trusted Information Systems, которое проверяет содержимое пакетов на соответствие требованиям для форматов пакетов протоколов. Это и был, по сути, первый NGFW. Однако сейчас NGFW – это не просто межсетевой экран, работающий на уровне приложений, но еще и система, выполняющая задачи по обнаружению и предотвращению вторжений, а также по контролю доступа пользователей к сети наосновании их учетных данных. Статью целиком читайте в журнале «Системный администратор», №1-2 за 2015 г. на страницах 13-17. PDF-версию данного номера можно приобрести в нашем магазине.
|
АНДРЕЙ БИРЮКОВ, ЗАО «НИП Информзащита», системный архитектор, 
Комментарии отсутствуют
| Добавить комментарий |
|
Комментарии могут оставлять только зарегистрированные пользователи |
|
