Современное состояние информационной безопасности
Общие характеристики объекта внедрения системы защиты. Основные преднамеренные искусственные угрозы. Средства аппаратной защиты сети от почтовой бомбардировки, вирусов и атаки с подбором пароля. Конструкция маршрутизатора. Методы аутентификации.
| Рубрика | Программирование, компьютеры и кибернетика |
| Вид | дипломная работа |
| Язык | русский |
| Дата добавления | 01.10.2017 |
| Размер файла | 2,3 M |
Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже
Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.
1.5.9 Использование "дыр" и "багов" в ПО
Весьма и весьма распространенный тип хакерских атак - использование уязвимых мест (чаще всего банальных недоработок) в широко используемом программном обеспечении, прежде всего для серверов. Особо "славится" своей ненадежностью и слабой защищенностью ПО от Microsoft. Обычно ситуация развивается следующим образом: кто-либо обнаруживает "дыру" или "баг" в программном обеспечении для сервера и публикует эту информацию в Интернете в соответствующей конференции. Производитель данного ПО выпускает патч ("заплатку"), устраняющий данную проблему, и публикует его на своем web-сервере. Проблема в том, что далеко не все администраторы, по причине элементарной лени, постоянно следят за обнаружением и появлением патчей, да и между обнаружением "дыры" и написанием "заплатки" тоже какое-то время проходит: Хакеры же тоже читают тематические конференции и, надо отдать им должное, весьма умело применяют полученную информацию на практике. Основная цель подобной атаки - получить доступ к серверу от имени пользователя, работающего с приложением, обычно с правами системного администратора и соответствующим уровнем доступа. Защититься от подобного рода атак достаточно сложно. Одна из причин, помимо низкокачественного ПО, состоит в том, что при проведении подобных атак злоумышленники часто пользуются портами, которым разрешен проход через межсетевой экран и которые не могут быть закрыты по чисто технологическим причинам. Так что лучшая защита в данном случае - грамотный и добросовестный системный администратор.
1.6 Средства аппаратной защиты сети
Средств для защиты от разного рода атак извне (то есть из Интернета) на локальную сеть разработано очень много, но все они имеют один серьезный недостаток: чтобы реализовать такого рода защиту, необходимо выделить ПК, на котором будет установлено и настроено специализированное ПО. Если речь идет о достаточно крупной сети, насчитывающей не менее сотни ПК, то такое решение вполне оправданно. В нашем случае мы будем применять совмещенные методы. Т.е. программно аппаратные меры. Для начала приведём основные определения и принципы работы аппаратных средств. Для рассмотрения возьмём аппаратуру компании D-Link.
1.6.1 Конструкция маршрутизатора
Поскольку маршрутизаторы являются пограничными сетевыми устройствами, то есть устанавливаются на границе между двумя сетями или между локальной сетью и Интернетом, выполняя роль сетевого шлюза, то они должны иметь как минимум два порта (см. рисунок). К одному из этих портов подключается локальная сеть, и этот порт называется внутренним LAN-портом. Ко второму порту подключается внешняя сеть (Интернет), и этот порт называется внешним WAN-портом. Как правило, маршрутизаторы класса SOHO имеют один WAN-порт и несколько (от одного до четырех) внутренних LAN-портов, которые объединяются в коммутатор. В большинстве случаев WAN-порт коммутатора имеет интерфейс 10/100Base-TX, и к нему может подключаться xDSL-модем с соответствующим интерфейсом либо сетевой Ethernet-кабель.
В некоторых моделях маршрутизаторов, кроме WAN-порта, есть последовательный порт для подключения аналогового модема. Как правило, этот порт предназначен для создания резервного низкоскоростного соединения по коммутируемой линии с провайдером.
Учитывая широкое распространение беспроводных сетей, создан целый класс так называемых беспроводных маршрутизаторов. Эти устройства, кроме классического маршрутизатора с WAN- и LAN-портами, содержат интегрированную точку беспроводного доступа, поддерживающую протокол IEEE 802.11a/b/g. Беспроводной сегмент сети, которую позволяет организовать точка доступа, относится к внутренней сети с точки зрения маршрутизатора, и в этом смысле компьютеры, подключаемые к маршрутизатору беспроводным образом, ничем не отличаются от компьютеров сети, подключенных к LAN-порту.
Рисунок 8
Типичная схема использования маршрутизатора класса SOHO
Любой маршрутизатор, как устройство сетевого уровня, имеет свой IP-адрес. Кроме того, IP-адрес есть и у его WAN-порта. К примеру, маршрутизатор может иметь следующий IP-адрес:
IP-адрес: 192.168.1.254;
маска подсети: 255.255.255.0.
При этом у его WAN-порта может быть такой адрес:
IP-адрес: 10.0.0.254;
маска подсети: 255.255.255.0.
Компьютеры, подключаемые к LAN-портам маршрутизатора, должны иметь IP-адрес той же подсети, что и сам маршрутизатор. Кроме того, в сетевых настройках этих ПК необходимо задать адрес шлюза по умолчанию, совпадающий с IP-адресом маршрутизатора. К примеру, в рассмотренном выше случае сетевые настройки ПК, подключаемого к LAN-порту, могут быть следующими:
IP-адрес: 192.168.1.10;
маска подсети: 255.255.255.0;
шлюз по умолчанию: 192.168.1.254.
Устройство, подключаемое к WAN-порту со стороны внешней сети, должно иметь IP-адрес из той же подсети, что и WAN-порт маршрутизатора. В нашем случае это могут следующие сетевые настройки:
IP-адрес: 10.0.0.10;
маска подсети: 255.255.255.0.
В рассмотренном выше примере использовался так называемый статический способ задания IP-адреса (Static IP), который поддерживают все маршрутизаторы. Его следует применять для ознакомления с возможностями работы маршрутизатора или для его тестирования. Однако в реальных условиях чаще используется динамический (Dynamic IP) способ задания IP-адреса, когда маршрутизатор выступает в роли DHCP-клиента, автоматически получая IP-адрес, адрес шлюза по умолчанию и сервера DNS от провайдера (DHCP-сервера). Этот способ обеспечивает провайдеру достаточную гибкость при конфигурировании своей сети и поддерживается всеми провайдерами.
1.6.2 Брандмауэр (firewall)
Поскольку маршрутизатор выполняет функцию шлюза между локальной сетью и Интернетом, было бы логично наделить его такой функцией, как защита внутренней сети от несанкционированного доступа. Поэтому практически все современные маршрутизаторы класса SOHO имеют встроенные аппаратные брандмауэры, называемые также сетевыми экранами, или firewall. Конечно, существуют брандмауэры и в виде отдельных аппаратных решений, но интеграция брандмауэра с маршрутизатором позволяет снизить совокупную стоимость оборудования.
Брандмауэры анализируют весь трафик между двумя сетями, соединяемыми посредством маршрутизатора, на предмет соответствия его определенным критериям. Если трафик отвечает заданным условиям, то брандмауэр пропускает его через себя (производит маршрутизацию). В противном случае, то есть если не соблюдены установленные критерии, трафик блокируется брандмауэром. Брандмауэры фильтруют как входящий, так и исходящий трафик, а также позволяют управлять доступом к определенным сетевым ресурсам или приложениям. Они могут фиксировать все попытки несанкционированного доступа к ресурсам локальной сети и выдавать предупреждения о попытках проникновения.
Брандмауэры способны осуществлять фильтрацию сетевых пакетов, основываясь на адресах отправителя и получателя и номерах портов, -- данная функция называется адресной фильтрацией. Кроме того, брандмауэры могут фильтровать специфические типы сетевого трафика, например HTTP, ftp или telnet, а также способны фильтровать трафик, основываясь на анализе атрибутов сетевых пакетов.
Существуют две методологии функционирования брандмауэров: согласно первой брандмауэр пропускает через себя весь трафик, за исключением того, который отвечает определенным критериям; вторая заключается в том, что брандмауэр, наоборот, блокирует весь трафик, кроме соответствующего определенным критериям.
Возможности брандмауэров и степень их интеллектуальности зависят от того, на каком уровне эталонной модели OSI они функционируют. Чем выше уровень OSI, на основе которой построен брандмауэр, тем выше обеспечиваемый им уровень защиты.
Напомним, что модель OSI (Open System Interconnection) включает семь уровней сетевой архитектуры. Первый, самый нижний уровень -- физический. За ним следуют канальный, сетевой, транспортный, сеансовый уровни, уровень представления и прикладной уровень, или уровень приложений.
Для того чтобы обеспечивать фильтрацию трафика, брандмауэр должен работать как минимум на третьем уровне модели OSI, то есть на сетевом уровне. На этом уровне происходит маршрутизация пакетов на основе преобразования MAC-адресов в сетевые адреса. С точки зрения протокола TCP/IP этот уровень соответствует уровню IP (Internet Protocol). Получая информацию сетевого уровня, брандмауэры способны определить адрес источника и получателя пакета и проверить, допустима ли передача трафика между данными адресатами. Однако информации сетевого уровня недостаточно для анализа содержимого пакета. Брандмауэры, функционирующие на транспортном уровне модели OSI, получают больше информации о пакетах и являются более интеллектуальными схемами защиты сетей. Если брандмауэры работают на уровне приложений, им доступна полная информация о сетевых пакетах, поэтому такие брандмауэры обеспечивают наиболее надежную сетевую защиту.
Профессиональные брандмауэры захватывают каждый входящий пакет, прежде чем он будет передан адресату и принят его операционной системой. Благодаря этому очень сложно получить контроль над компьютером, защищенным таким брандмауэром.
Все брандмауэры можно условно разделить на четыре категории в соответствии с теми уровнями модели OSI, на которых они работают:
пакетный фильтр (packet filter);
шлюз сеансового уровня (circuit-level gateway);
шлюз прикладного уровня (application-level gateway);
Stateful Packet Inspection.
1.6.3 Пакетные фильтры
Брандмауэры типа пакетных фильтров являются самыми простыми наименее интеллектуальными. Они работают на сетевом уровне модели OSI или на IP-уровне стека протоколов TCP/IP. Такие брандмауэры в обязательном порядке присутствуют в любом маршрутизаторе, поскольку все маршрутизаторы могут работать как минимум на третьем уровне модели OSI.
В пакетных фильтрах каждый пакет, прежде чем быть переданным, анализируется на предмет соответствия критериям передачи или блокировки передачи. В зависимости от пакета и сформированных критериев передачи брандмауэр может передать пакет, отвергнуть его или послать уведомление инициатору передачи. Критерии, или правила, передачи пакетов могут формироваться на основе IP-адресов источника и получателя, номеров портов источника и получателя и используемых протоколов.
Преимуществом пакетных фильтров является их низкая цена. Кроме того, они практически не влияют на скорость маршрутизации, то есть не оказывают негативного влияния на производительность маршрутизатора.
1.6.4 Шлюзы сеансового уровня
Шлюзы сеансового уровня -- это брандмауэры, работающие на сеансовом уровне модели OSI или на уровне TCP (Transport Control Protocol) стека протоколов TCP/IP. Они отслеживают процесс установления TCP-соединения (организацию сеансов обмена данными между узлами сети) и позволяют определить, является ли данный сеанс связи легитимным. Данные, передаваемые удаленному компьютеру во внешней сети через шлюз на сеансовом уровне, не содержат информации об источнике передачи, то есть все выглядит таким образом, как будто данные отправляются самим брандмауэром, а не компьютером во внутренней (защищаемой) сети. Все брандмауэры на основе NAT-протокола являются шлюзами сеансового уровня (протокол NAT будет описан далее).
К преимуществам шлюзов сеансового уровня относится их низкая цена, к тому же они не оказывают существенного влияния на скорость маршрутизации. Однако шлюзы сеансового уровня не способны осуществлять фильтрацию отдельных пакетов.
1.6.5 Шлюзы прикладного уровня
Шлюзы прикладного уровня, которые также называются proxy-серверами, функционируют на прикладном уровне модели OSI, отвечающем за доступ приложений в сеть. На этом уровне решаются такие задачи, как перенос файлов, обмен почтовыми сообщениями и управление сетью. Получая информацию о пакетах на прикладном уровне, такие шлюзы могут реализовывать блокировку доступа к определенным сервисам. Например, если шлюз прикладного уровня сконфигурирован как Web-proxy, то любой трафик, относящийся к протоколам telnet, ftp, gopher, будет заблокирован. Поскольку данные брандмауэры анализируют пакеты на прикладном уровне, они способны осуществлять фильтрацию специфических команд, например http:post, get и т.д. Эта функция недоступна ни пакетным фильтрам, ни шлюзам сеансового уровня. Шлюзы прикладного уровня могут также использоваться для регистрации активности отдельных пользователей и для установления ими сеансов связи. Эти брандмауэры предлагают более надежный способ защиты сетей по сравнению со шлюзами сеансового уровня и пакетными фильтрами, однако в значительно большей степени оказывают влияние на уменьшение скорости маршрутизации.
1.6.6 SPI-брандмауэры
Брандмауэы типа Stateful Packet Inspection (SPI) объединяют в себе преимущества пакетных фильтров, шлюзов сеансового уровня и шлюзов прикладного уровня. Фактически это многоуровневые брандмауэры, которые работают одновременно на сетевом, сеансовом и прикладном уровнях.
SPI-брандмауэры осуществляют фильтрацию пакетов на сетевом уровне, определяют легитимность установления сеанса связи, основываясь на данных сеансового уровня, и анализируют содержимое пакетов, используя данные прикладного уровня.
SPI-брандмауэры обеспечивают наиболее надежную защиту сетей и применяются во многих современных маршрутизаторах.
1.6.7 Протокол NAT
Большинство современных маршрутизаторов поддерживают протокол NAT (Network Address Translation), базирующийся на сеансовом уровне и по сути представляющий собой протокол трансляции сетевых адресов. NAT позволяет реализовать множественный доступ компьютеров локальной (частной) сети (каждый из которых имеет собственный внутренний IP-адрес) в Интернет, используя всего один внешний IP-адрес WAN-порта маршрутизатора. При этом все компьютеры во внутренней локальной сети становятся невидимыми извне, но для каждого из них внешняя сеть является доступной. Протокол NAT пропускает в сеть только те данные из Интернета, которые поступили в результате запроса от компьютера из локальной сети.
Протокол NAT решает две главные задачи:
помогает справиться с дефицитом IP-адресов, который становится все более острым по мере роста количества компьютеров;
обеспечивает безопасность внутренней сети -- компьютеры локальной сети, защищенные маршрутизатором с активированным NAT-протоколом (устройством NAT), становятся недоступными из внешней сети.
Хотя протокол NAT не заменяет брандмауэр, он все же является важным элементом безопасности.
Принцип работы протокола NAT достаточно прост. Когда клиент внутренней сети устанавливает связь с сервером внешней сети, открывается сокет, определяемый IP-адресом источника, портом источника, IP-адресом назначения, портом назначения и сетевым протоколом. Когда приложение передает данные через этот сокет, то IP-адрес источника и порт источника вставляются в пакет в поля параметров источника. Поля параметров пункта назначения будут содержать IP-адрес сервера и портсервера.
Устройство NAT (маршрутизатор) перехватывает исходящий из внутренней сети пакет и заносит в свою внутреннюю таблицу сопоставления портов источника и получателя пакета, используя IP-адрес назначения, порт назначения, внешний IP-адрес устройства NAT, внешний порт, сетевой протокол, а также внутренние IP-адрес и порт клиента. Затем устройство NAT транслирует пакет, преобразуя в пакете поля источника: внутренние IP-адрес и порт клиента заменяются внешними IP-адресом и портом устройства NAT.
Преобразованный пакет пересылается по внешней сети и в итоге попадает на заданный сервер. Получив пакет, сервер будет направлять ответные пакеты на внешний IP-адрес и порт устройства NAT (маршрутизатора), указывая в полях источника свои собственные IP-адрес и порт.
Устройство NAT принимает эти пакеты от сервера и анализирует их содержимое на основе своей таблицы сопоставления портов. Если в таблице будет найдено сопоставление порта, для которого IP-адрес источника, порт источника, порт назначения и сетевой протокол из входящего пакета совпадают с IP-адресом удаленного узла, удаленным портом и сетевым протоколом, указанным в сопоставлении портов, то NAT выполнит обратное преобразование: заменит внешний IP-адрес и внешний порт в полях назначения пакета на IP-адрес и внутренний порт клиента внутренней сети. Однако если в таблице сопоставления портов не находится соответствия, то входящий пакет отвергается и соединение разрывается.
В некоторых маршрутизаторах возможно отключение NAT-протокола. Однако имеются модели, где NAT-протокол активирован и отключить его невозможно. При этом важно, чтобы маршрутизатор мог частично обойти ограничения NAT-протокола. Дело в том, что не все сетевые приложения пользуются протоколами, способными взаимодействовать с NAT. Поэтому все маршрутизаторы имеют функции, позволяющие наложить ограничения на использование протокола NAT. Сервер, устанавливаемый во внутренней сети и являющийся прозрачным для протокола NAT, называют виртуальным сервером (Virtual Server). Прозрачным для протокола NAT может быть не весь сервер, а лишь определенные приложения, запускаемые на нем. Для того чтобы реализовать виртуальный сервер во внутренней сети, на маршрутизаторе используется технология перенаправления портов.
1.6.8 Перенаправление портов (Port mapping)
Для того чтобы сделать доступными из внешней сети определенные приложения, запускаемые на сервере во внутренней сети (например, Web-сервер или ftp-сервер), в маршрутизаторе необходимо задать соответствие между портами, используемыми определенными приложениями, и IP-адресами тех виртуальных серверов внутренней сети, на которых эти приложения работают. В этом случае говорят о перенаправлении портов (Port mapping). В результате любой запрос из внешней сети на IP-адрес WAN-порта маршрутизатора (но не виртуального сервера) по указанному порту будет автоматически перенаправлен на указанный виртуальный сервер.
Существует несколько способов конфигурирования виртуального сервера. В простейшем случае задается статическое перенаправление портов, то есть IP-адрес виртуального сервера, разрешенный порт приложения на этом виртуальном сервере (Private Port) и порт запроса (Public Port). Если, к примеру, открыт доступ к Web-серверу (порт 80), расположенному во внутренней сети с IP-адресом 192.168.1.10, то при обращении из внешней сети по адресу 10.0.0.254 (адрес WAN-порта) по 80-му порту этот пакет будет перенаправлен маршрутизатором на Web-сервер. Если же происходит обращение по тому же адресу, но по 21-му порту, то такой пакет будет отвергнут маршрутизатором.
Маршрутизаторы позволяют создавать несколько статических перенаправлений портов. Так, на одном виртуальном сервере можно открыть сразу несколько портов или создать несколько виртуальных серверов с различными IP-адресами. Однако при статическом перенаправлении портов нельзя перенаправлять один порт на несколько IP-адресов, то есть порт может соответствовать только одному IP-адресу. Таким образом, невозможно, например, сконфигурировать несколько Web-серверов с разными IP-адресами -- для этого придется менять порт Web-сервера по умолчанию и при обращении по 80-му порту в настройке маршрутизатора в качестве Private Port указывать измененный порт Web-сервера.
Большинство моделей маршрутизаторов позволяют также задавать статическое перенаправление группы портов, то есть ставить в соответствие IP-адресу виртуального сервера сразу группу портов. Такая возможность полезна в том случае, если необходимо обеспечить работу приложений, использующих большое количество портов, например игр или аудио/видеоконференций. Количество перенаправляемых групп портов в разных моделях маршрутизаторов различно, но, как правило, их не менее десяти.
Статическое перенаправление портов позволяет лишь отчасти решить проблему доступа из внешней сети к сервисам локальной сети, защищаемой NAT-устройством. Однако существует и обратная задача -- обеспечить пользователям локальной сети доступ во внешнюю сеть через NAT-устройство. Дело в том, что некоторые приложения (например, Интернет-игры, видеоконференции, Интернет-телефония и другие, требующие одновременного установления множества сессий) не совместимы с NAT-технологией. Для того чтобы решить эту проблему, используется так называемое динамическое перенаправление портов, которое задается на уровне отдельных сетевых приложений.
В случае если маршрутизатор поддерживает данную функцию, необходимо задать номер внутреннего порта (или интервал портов), связанный с конкретным приложением (как правило, его обозначают Trigger Port), и номер внешнего порта (Public Port), который будет сопоставляться с внутренним портом.
При активации динамического перенаправления портов маршрутизатор следит за исходящим трафиком из внутренней сети и запоминает IP-адрес компьютера, от которого этот трафик исходит. При поступлении данных обратно в локальный сегмент включается перенаправление портов, и данные пропускаются внутрь. По завершении передачи перенаправление отключается, вследствие чего любой другой компьютер может создать новое перенаправление уже на свой IP-адрес.
Динамическое перенаправление портов используется в основном для служб, предусматривающих кратковременные запросы и передачу данных, поскольку если один компьютер применяет перенаправление данного порта, то другой в это же время перенаправление того же самого порта использовать не может. Если нужно настроить работу приложений, которым необходим постоянный поток данных и которые занимают порт на длительное время, то динамическое перенаправление помогает мало. Однако и в этом случае возможно решение проблемы, заключающееся в использовании демилитаризованной зоны.
1.6.9 DMZ-зона
Демилитаризованная зона (DMZ-зона) -- это еще один способ перенаправления портов. Данную возможность предоставляет большинство современных маршрутизаторов. При размещении в зоне DMZ компьютера внутренней локальной сети он становится прозрачным для протокола NAT. Фактически это означает, что компьютер внутренней сети виртуально располагается до брандмауэра. Для ПК, находящегося в DMZ-зоне, осуществляется перенаправление всех портов на один внутренний IP-адрес, что позволяет организовать передачу данных из внешней сети во внутреннюю.
Если, к примеру, сервер с IP-адресом 192.168.1.10, находящийся во внутренней локальной сети, размещен в DMZ-зоне, а сама локальная сеть защищена NAT-устройством, то поступивший из внешней сети по адресу WAN-порта маршрутизатора запрос будет переадресован по любому порту на IP-адрес 192.168.1.10, то есть на адрес виртуального сервера в DMZ-зоне.
1.6.10 Методы аутентификации
В настоящее время существует множество технологий аутентификации пользователей, поддерживаемых маршрутизаторами. Впрочем, если говорить о коммутаторах класса SOHO, то наиболее распространенными методами аутентификации являются следующие:
использование пароля и имени пользователя;
применение MAC-адреса;
использование протокола PPPoE.
Использование пароля и имени пользователя типично для коммутируемых соединений, когда маршрутизатор имеет дополнительный последовательный порт для подключения аналогового модема. В этом случае, как и при традиционной настройке удаленного соединения с применением аналогового модема, в маршрутизаторе при конфигурации последовательного порта указываются номер телефона провайдера, имя пользователя и пароль.
Использование аутентификации по MAC-адресу встречается довольно редко и подразумевает привязку соединения к MAC-адресу маршрутизатора. Смысл данной технологии достаточно прост: каждое сетевое устройство имеет свой уникальный MAC-адрес длиной 6 байт, или 12 шестнадцатеричных цифр. Подлинность пользователя проверяется провайдером с использованием запроса MAC-адреса маршрутизатора.
Аутентификация по MAC-адресу имеет один подводный камень: при подключении модема к новому маршрутизатору или к компьютеру соединение перестает работать. Для того чтобы этого не происходило, многие модели маршрутизаторов позволяют задавать внешний MAC-адрес.
Использование протокола PPPoE (Point-to-Point Protocol over Ethernet) для аутентификации пользователей поддерживается практически всеми моделями современных маршрутизаторов. Этот протокол является расширением протокола PPP, который был специально разработан для применения протокола TCP/IP в последовательных соединениях, к которым относятся коммутируемые соединения. Фактически, данный протокол предлагает механизм инкапсуляции TCP-пакетов для их передачи по последовательным соединениям. К примеру, протокол PPP используется для организации коммутируемого доступа в Интернет.
PPPoE (как и PPP) не является протоколом аутентификации в чистом виде, однако механизм аутентификации можно рассматривать в качестве составной части этого протокола. При аутентификации по протоколу PPPoE требуется указать имя и пароль.
DHCP-сервер
Любой современный маршрутизатор не только может быть DHCP-клиентом, но и может иметь встроенный DHCP-сервер, что позволяет автоматически присваивать IP-адреса всем клиентам внутренней сети. В настройках DHCP-сервера, как правило, указываются начало и конец диапазона выделяемых IP-адресов. Кроме того, иногда в заданном диапазоне можно указать IP-адреса, которые не будут динамически присваиваться клиентам.
1.6.11 Виртуальные сети VPN
Большинство маршрутизаторов в той или иной степени поддерживают возможность создания виртуальных частных сетей (Virtual Private Networking, VPN), что позволяет организовывать защищенное соединение с локальной (внутренней) сетью извне.
Для создания VPN-сетей, как правило, используются три протокола: сквозной туннельный протокол (Point-to-Point Tunneling Protocol, PPTP), протокол IPsec и туннельный протокол второго уровня (Layer 2 Tunneling Protocol, L2TP).
PPTP
Сквозной туннельный протокол, созданный корпорацией Microsoft, никак не меняет протокол PPP, но предоставляет для него новое транспортное средство.
PPTP определяет протокол управления вызовами, который позволяет серверу управлять удаленным коммутируемым доступом через телефонные сети общего пользования (PSTN) или цифровые каналы (ISDN) либо инициализировать исходящие коммутируемые соединения. PPTP использует механизм общей маршрутной инкапсуляции (GRE) для передачи пакетов PPP, обеспечивая при этом контроль потоков и сетевых заторов. Безопасность данных в PPTP может обеспечиваться при помощи протокола IPsec.
Туннельный протокол второго уровня -- это своего рода объединение протокола PPTP и протокола эстафетной передачи на втором уровне (Layer 2 Forwarding, L2F), разработанного компанией Cisco. Протокол L2F обеспечивает туннелирование протоколов канального уровня с использованием протоколов более высокого уровня, например IP.
Протоколы L2F и PPTP имеют сходную функциональность, поэтому компании Cisco и Microsoft решили совместно разработать единый стандартный протокол, который и получил название туннельного протокола второго уровня.
IPsec -- это протокол защиты сетевого трафика путем использования алгоритмов шифрования на IP-уровне. Данный протокол предусматривает два режима функционирования: транспортный и туннельный. В транспортном режиме протокол IPsec применяется к содержимому IP-пакетов, при этом их исходные заголовки остаются видимыми. Туннельный режим инкапсулирует исходные IP-пакеты в IPsec-пакеты с новыми заголовками IP и позволяет эффективно скрывать исходные IP-пакеты.
Существует два режима функционирования VPN: сквозной (Pass Through) и активный. В первом случае маршрутизатор без вмешательства передает входящий и исходящий VPN-трафики, пропуская через себя инкапсулированные пакеты данных без просмотра их содержимого. Если маршрутизатор поддерживает режим VPN Pass Through, то необходимо только настроить соединение на VPN-клиентах (компьютеры во внутренней сети) таким образом, чтобы клиенты из внутренней сети могли свободно подключаться к серверу VPN снаружи. Однако при совместном использовании NAT- и VPN-туннелей могут возникать проблемы.
В активном режиме маршрутизатор выступает в роли сервера и может устанавливать VPN-соединение с узлом локальной сети, с другими шлюзами и маршрутизаторами или же в обоих направлениях. Мы рассмотрели только самые распространенные функции современных маршрутизаторов класса SOHO. Многие модели маршрутизаторов поддерживают и другие функции, которые, несмотря на различные названия, имеют одни и те же назначения. К примеру, это могут быть возможность блокирования определенных URL, запрет отклика на сканирование командой Рing, перевод маршрутизатора в режим Stealth, при котором он становится невидимым из внешней сети, и многое другое.
1.7 Структурная схема системы защиты от НСД.
Для того чтобы понять, какое оборудование нам необходимо, для начала рассмотрим схему проектируемой системы защиты:
Рисунок 9
При такой реализации ЛВС структурная схема потоков информации будет выглядеть следующим образом:
Рисунок 10
1.8 Характеристики выбранного оборудования
1.8.1 Межсетевой экран для сетей средних предприятий D-Link DFL-1100
Рисунок 11
D-Link DFL-1100 - легко развертываемый аппаратный межсетевой экран, разработанный для средних предприятий, требующих наилучшего соотношения цена/производительность. Это устройство является мощным решением по обеспечению безопасности, которое предоставляет интегрированные функции NAT, межсетевого экрана, проверку содержимого пакетов, защиту IDS и управление полосой пропускания наряду с поддержкой VPN. DFL-1100 имеет порт WAN, защищенный порт LAN и порт DMZ для поддержки локальных почтовых и Web серверов и порт для резервирования, для подключения к другому межсетевому экрану.
Многофункциональное устройство обеспечения безопасности.
DFL-1100 обеспечивает поддержку функций и технологий уровня предприятия, включая Stateful Packet Inspection (SPI), обнаружение/отбрасывание сторонних пакетов, поддержку VPN, физический порт DMZ, multiple-mapped IP и множество виртуальных серверов. Подключение DFL-1100 к глобальной сети выполняется через порт 10/100BASE-TX WAN.
Полный спектр функций межсетевого экрана.
DFL-1100 предоставляет полный спектр функций межсетевого экрана, поддерживая режимы работы NAT, PAT (Port Address Translation), Transparent, Routing и SPI. Он также поддерживает настройку политики безопасности и виртуальных серверов. Администраторы могут легко управлять сетью, используя систему протоколирования/ мониторинга и графическое отображение собранных ею статистических данных.
Поддержка высокопроизводительных VPN туннелей на основе IPSec.
DFL-1100 имеет встроенную поддержку VPN, что позволяет создавать множество туннелей IPSec для удаленных офисов. Реализация IPSec в DFL-1100 использует надежное шифрование DES, 3DES, AES и управление ключами Automated Key Management согласно спецификации IKE/ISAKMP. Туннель VPN может быть активирован от DFL-1100 к удаленному офису или мобильному пользователю для надежной передачи потока данных с использованием шифрования triple DES. Это позволяет пользователям конфиденциально получать доступ и передавать важную информацию. Множество туннелей VPN могут быть легко созданы без необходимости определения правил протокола обмена ключами (Internet Key Exchange - IKE).
Списки управления доступом (ACL).
Блокирование URL - это одна из основных функций, поддерживаемых DFL-1100. Она позволяет ограничивать доступ к нежелательным ресурсам Интернет. Файлы протоколирования Интернет трафика, предупреждения об атаках из Интернет и уведомления об использовании ресурсов Интернет сохраняются и могут быть отправлены в виде отчета по электронной почте. DFL-1100 поддерживает аутентификацию Radius. Таким образом, можно использовать существующий сервер Radius и информацию о пользователях.
Расширенные возможности для полноценной защиты.
DFL-1100 имеет расширенные функции обеспечения безопасности, такие как фильтрация пакетов по содержимому, IDS (Intrusion Detection System, Система обнаружения вторжений), управление полосой пропускания, предлагая завершенное решение по обеспечению безопасности сети. Анализ и фильтрация пакетов по содержимому позволяют настроить политику безопасности сети. Управление полосой пропускания гарантирует выделенную полосу пропускания для различных сервисов. DFL-1100 защищает сеть от атак. Его можно настроить на протоколирование всех атак, определение IP-адреса источника атаки и посылку предупреждений об атаках в виде отчета по электронной почте. Кроме того, можно задать правила ограничения потока данных с указанных IP-адресов. Сетевые администраторы могут задать набор почтовых адресов (e-mail) для получения предупреждающих сообщений от DFL-1100. При обнаружении попытки вторжения DFL-1100 запротоколирует ее и отправит предупреждающее сообщение на адрес электронной почты. Администратор может проверить файл протокола на маршрутизаторе, чтобы выяснить, что произошло.
Высокая производительность и надежность.
DFL-1100 может работать с 200 000 параллельными сессиями, обеспечивая до 1 000 VPN туннелей для порядка 1000 мобильных пользователей, которым требуется безопасное удаленное подключение к сети компании. Дополнительно, межсетевой экран имеет порт для резервирования, используемый для подключения к другому межсетевому экрану с целью резервирования, позволяя сохранить непрерывную защиту критически важных приложений.
1 DMZ порт, 1 защищенный порт LAN, 1 порт для резервирования.
DFL-1100 имеет один порт LAN для подключения внутренней сети офиса, порт для резервирования для подключения к другому межсетевому экрану и выделенный физический порт DMZ, позволяющий организовать доступ к почтовому, Web или FTP серверу компании непосредственно из Интернет. Функция DMZ очень полезна, т.к. снижает трафик от сервера во внутренней сети и защищает ее компьютеры от атак из Интернет, скрывая их за межсетевым экраном.
Общие характеристики:
Аппаратура
Основные характеристики
· DRAM: 256 МБ SDRAM
· Flash-память: 64 МБ
· Аппаратная поддержка VPN для повышения производительности Порты
· WAN: 10/100BASE-TX порт
· LAN: 10/100BASE-TX порт
· DMZ: 10/100BASE-TX порт
· Sync: 10/100BASE-TX порт
· Консольный порт: последовательный COM порт Производительность и пропускная способность
· Межсетевой экран: 250 Мбит/с и выше
· Шифрование 3DES: 34 Мбит/с и выше
· Шифрование AES: 84 Мбит/с и выше
· Параллельные сессии: макс. 200 000
· VPN туннели: макс. 1000
Программное обеспечение
Режимы работы межсетевого экрана
· NAT (Network Address Translation)
· PAT (Port Address Translation)
· Режим Route
· Virtual IP
· NAT на основе настроенных правил безопасности
· Кол-во политик: 2,000 макс.
· Расписания: 256 макс.
· On-line пользователей: 500 макс. Безопасность VPN
· IPSec/PPTP/L2TP сервер/клиент
· IPSec/PPTP/L2TP pass through
· Алгоритм аутентификации: MD5 и SHA-1
· Алгоритм шифрования: без шифрования, DES, 3DES и AES
· Управление ключами: вручную и IKE
· Режим работы ключа: Pre-Shared Key
· Обмен ключами: DH1, DH2 и DH5
· Режим автосогласования: Quick, Main и Aggressive
· Удаленный доступ VPN
· Межсетевой экран с настраиваемыми правилами безопасности и защитой соединения
· Настраиваемый режим Keep-Alives для туннеля
· Hub-n-spoke Функции межсетевого экрана
· NAT
· Stateful Packet Inspection (SPI)/защита от атак Denial of Service (DoS)
· Фильтрация пакетов
· Фильтрация по содержимому (блокирование URL; блокирование Java/ ActiveX/Cookie/Proxy)
· Настраиваемые фильтры по протоколам
· Настраиваемый фильтр по ICMP
· Интеграция с Microsoft Active Directory (через MS IAS) Администрирование
· Множественное администрирование
· Права пользователей Root Admin, Admin и Read Only
· Настройка и обновление программного обеспечения
· Определение станций управления Сетевые сервисы
· DHCP сервер/клиент
· DHCP Relay
· DHCP over IPSec
· PPPoE для хDSL
· PPTP для хDSL
· BigPond Cable
· Свободная настройка МТU
· Шлюз уровня приложений H.323*
· Шлюз уровня приложений SIP*
· Шлюз уровня приложений FTP
· Разрешение имен DNS для удаленного шлюза* Функция будет доступна в новой версии ПО. Система
· Системные файлы протокола
· Резервное копирование ПО
· Уведомления по электронной почте
· Операции при фильтрации (регистрация отклоненных внутренних и внешних запросов на соединение)
· Протоколирование доступа через Web
· Мониторинг доступа в Интернет
· Удаленное управление через порт WAN
· Поддержка Simple Network Time Protocol (SNTP)
· Поддержка Simple Network Management Protocol (SNMP)
· Сервис SDI, использующий Ericsson's Home Internet Solution
· Https
· Проверка достоверности Аутентификация пользователей межсетевого экрана и VPN
· База данных (внешняя) RADIUS
· Встроенная база данных: максимум 1 500 пользователей IDS
· Модель NIDS
· Обнаружение атак DoS и DDoS
· Обновление модели обнаружения атак через Интернет
· Обнаружение CodeRed
· Уведомление об атаке (через электронную почту)
· Протоколирование и отчет Управление полосой пропускания
· Выделение гарантированной полосы пропускания
· Выделение максимальной полосы пропускания
· Загрузка полосы пропускания по приоритету
· Обработка кода типа сервиса DiffServ
· Правила управления трафиком на основе классов сервиса
· Классы трафика, определенные по приложениям
· Формирование трафика на основе определенных правил
· Классы трафика, определенные для подсетей Высокая доступность
· Защита сессий для межсетевого экрана и VPN
· Кластер Active-Active и балансировка нагрузки
· Определение неисправности устройства
· Синхронизация состояния
· Синхронизация VPN
· Метод синхронизации: Ethernet
· Среднее время восстановления после сбоя: <800 мс
· Уведомление по сети в случае неисправности Обновление ПО
· Через Web-интерфейс Индикаторы
· Power
· Status
· WAN
· LAN
· DMZ
· Backup
Физические параметры и условия эксплуатации:
Питание
· Внутренний универсальный источник питания Размеры
· 295 x 440 x 44 мм (только устройство) Вес
· 3,8 кг (только устройство) Рабочая температура
· 0o до 60o C Температура хранения
· -20o до 70o C Рабочая влажность
· От 5% до 95% без образования конденсата Влажность хранения
· От 5% до 95 % без образования конденсата Сертификаты EMI
· FCC Class A
· CE Class A
· C-Tick
· BSMI Безопасность
· UL
· TUV/GS
· LVD (EN60950)
1.8.2 Настраиваемый коммутатор 10/100 Мбит/с Fast Ethernet
Настраиваемый коммутатор D-Link DES-1226G представляет собой экономичное решение для малого и среднего бизнеса для создания коммутируемых сетей Ethernet с простой настройкой производительности и безопасности сети. Коммутатор имеет 24 порта 10/100BASE-TX Fast Ethernet и 2 комбо 1000BASE-T/SFP (Mini GBIC) порта для гибкого подключения по меди или оптике. Агрегирование портов обеспечивает высокоскоростное подключение к серверам или магистрали сети, в то время как функции необходимые для приложений, требовательных к полосе пропускания, такие как очереди приоритетов и VLAN, позволяют реализовать качество обслуживания QoS и защиту.
Рисунок 12
24 порта 10/100Мбит/с для подключения рабочих станций.
Коммутатор имеет 24 порта 10/100 Мбит/с с поддержкой автоопределения скорости и автосогласования полно/полудуплексного режима работы. Эти порты могут подключаться к рабочим станциям и принт-серверам, предоставляя каждому подключенному устройству выделенную полосу пропускания. Все порты поддерживают автоматическое определение полярности MDI/MDIX, позволяя подключить любой узел с помощью обычно используемого "прямого" кабеля на основе витой пары.
2 комбо 1000BASE-T/SFP порта для гибкого подключения Gigabit Ethernet.
2 комбо 1000BASE-T/SFP (Mini GBIC) порта обеспечивают гибкое подключение Gigabit Ethernet по оптике или витой паре. В SFP слоты можно установить дополнительные модули трансиверов для подключения оптоволоконных магистралей, передающих данные на короткие, средние и большие расстояния. Использование SFP отключит соответствующие встроенные порты 1000BASE-T.
Объединение каналов для агрегирования полосы пропускания.
Порты коммутатора могут быть объединены вместе для создания канала связи с агрегированной полосой пропускания для подключения к серверам или магистрали сети. При расширении сети можно создать несколько транковых групп, что исключит узкие места между коммутаторами. Коммутатор позволяет объединить от 2-х до 4 портов в транковую группу и создать до 2 групп агрегированных каналов.
VLAN для повышения производительности и безопасности.
Поддержка виртуальных сетей VLAN на основе портов позволяет ограничить широковещательные домены, и сегментировать потоки данных. Для того чтобы сегментировать сеть, рабочие станции и серверы, которые подключены к коммутатору, должны быть сгруппированы в различные виртуальные сети VLAN. С целью обеспечения доступа к общим сетевым ресурсам пользователям из разных виртуальных сетей, существует возможность включения портов одновременно в несколько VLAN.
Зеркалирование портов.
Коммутатор позволят копировать входящий и исходящий трафик с нескольких портов на какой-то один указанный порт для подключения к нему средств мониторинга сети и систем обнаружения вторжений.
Сохранение конфигурации.
Сохранение конфигурации на внешний носитель позволяет произвести быстрое её восстановление в случае физической замены устройства.
Поддержка QoS.
Коммутатор поддерживает очереди приоритетов 2-го уровня 802.1p для управления приоритезацией пакетов. Для классификации приоритетов пакетов может использоваться очередь приоритетов (Priority Queue). Поддержка этой функции позволяет коммутатору работать c чувствительными к задержкам приложениями, такими как видеоконференции.
Общие характеристики:
Аппаратура
Стандарты
· IEEE 802.3 10BASE-T Ethernet (медная витая пара)
· IEEE 802.3u 100BASE-TX Fast Ethernet (медная витая пара)
· IEEE 802.3ab 1000BASE-T Gigabit Ethernet (медная витая пара)
· IEEE 802.3z Gigabit Ethernet (оптика)
· ANSI/IEEE 802.3 NWay определение скорости и режима работы
· IEEE 802.3x управление потоком
Количество портов
· 24 порта 10/100BASE-TХ
· 2 комбо 1000BASE-T/SFP (Mini GBIC) * * Использование SFP отключит соответствующие порты 10/100/1000BASE-T
Поддержка SFP (Mini GBIC)
· IEEE 802.3z 1000BASE-LX (DEM-310GT трансивер)
· IEEE 802.3z 1000BASE-SX (DEM-311GT трансивер)
· IEEE 802.3z 1000BASE-LH (DEM-314GT трансивер)
· IEEE 802.3z 1000BASE-ZX (DEM-315GT трансивер)
Протокол
· CSMA/CD
Скорости передачи данных
· Ethernet: 10Мбит/с (полудуплекс) 20Мбит/с (полный дуплекс)
· Fast Ethernet: 100Мбит/с (полудуплекс) 200Мбит/с (полный дуплекс)
· Gigabit Ethernet: 2000Мбит/с (полный дуплекс)
Топология
· Звезда
Сетевые кабели
· UTP Cat. 5, 5e (100 м макс.)
· EIA/TIA-568 100- Ом STP (100 м макс.)
Полный/полудуплекс
· Полный/полудуплекс для скоростей 10/100Мбит/с
· Полный дуплекс для скорости Gigabit Ethernet
Расширенные возможности интерфейса
· Автоопределение полярности MDI/MDI-X для каждого порта
Индикаторы
· На порт: Link/Act, Speed
· На устройство: Power/CPU
Программное обеспечение
VLAN
· VLAN на основе портов
· Максимальное количество VLAN: 26 на устройство
Качество обслуживания (QoS)
· 802.1p очереди приоритетов
· Максимальное количество очередей: 2
· VLAN на основе портов
Агрегирование портов
· 1 транковая группа 10/100 Мбит/с (2 или 4 порта 10/100 Мбит/с на группу)
· 1 транковая группа Gigabit Ethernet (2 порта Gigabit Ethernet на группу)
Управление и настройка
· Web-интерфейс настройки
· Утилита для ОС Windows
· Программный и аппаратный (кнопка сброса) сброс конфигурации
Производительность
Метод коммутации
· Store-and-forward
Размер таблицы MAC-адресов
· 6K записей на устройство
Изучение MAC -адресов
· Автоматическое обновление
Скорость фильтрации/передачи пакетов (полудуплекс)
· Максимум 1,488,095 пакетов в сек. на порт
Буфер RAM
· 512Кб на устройство
Физические параметры и условия эксплуатации:
Питание
· 100 - 240 В переменного тока, 50/60 Гц
· Внутренний универсальный источник питания
Мощность
· 16 Ватт
Рабочая температура
· 0 до 40 C
Температура хранения
· -10 до 70 C
Рабочая влажность
· От 10% до 90% без образования конденсата
Влажность хранения
· От 5% до 90% без образования конденсата
Размеры
· 440 x 140 x 44 мм (только устройство)
· Высота для монтажа в стандартную 19 стойку
Вес
· 2.125 кг (только устройство)
Электромагнитное излучение
· FCC Class A
· CE Class A
Безопасность
· CUL
1.8.3 Характеристики Kerio WinRoute Firewall
Kerio WinRoute Firewall 6.0 - это комплексный инструмент для соединения локальной сети с Интернет и защиты сети от несанкционированного доступа. Он разработан для операционных систем Windows NT 4.0, 2000 и XP.
Базовые Свойства
Прозрачный доступ в Интернет
Технология Передачи Сетевого Адреса (Network Address Translation (NAT))позволяет соединять локальную сеть с Интернет через один общий IP адрес (статический или динамический). В отличие от прокси серверов, технология NAT делает доступным все Интернет службы с любой рабочей станции. При этом можно использовать стандартные сетевые приложения, как если бы все компьютеры локальной сети имели собственные соединения с Интернет.
Безопасность
Интегрированный брандмауэр защищает всю локальную сеть, включая рабочую станцию, на которой он установлен, независимо от того, используется ли функция NAT (передача IP) или WinRoute используется как "нейтральный" маршрутизатор между двумя сетями. Kerio WinRoute Firewall предлагает такой же стандарт безопасности, как и гораздо более дорогие программные продукты.
Контроль Доступа
Всеми установками безопасности в WinRoute можно управлять через так называемые правила политики трафика. Это обеспечивает эффективную защиту сети от внешних атак, при этом обеспечивая легкий доступ ко всем службам, работающим на серверах в пределах защищенной локальной сети (например, Web сервер, почтовый сервер, FTP сервер и др.). Правила Коммуникации в политике трафика могут ограничивать доступ локальных пользователей к определенным службам в Интернет.
Поддержание Протоколов (Инспекторы Протоколов)
Вам могут встретиться приложения, которые не поддерживают стандартные связи, которые могут использовать несовместимые протоколы соединений, и т.д. Для решения этой проблемы WinRoute включает так называемые инспекторы протоколов (protocol inspectors), которые определяют необходимый приложению протокол и динамически модифицируют работу брандмауэра, например, обеспечивая временный доступ к определенному порту (при этом будет временно открываться требуемый серверу порт). FTP в активном режиме, Real Audio или PPTP - вот лишь несколько примеров.
Конфигурация Сети
WinRout имеет встроенный сервер DHCP, который устанавливает параметры TCP/IP для каждой рабочей станции вашей локальной сети. Параметры для каждой рабочей станции могут устанавливаться централизованно из одного места. Это уменьшает затраты времени, необходимые для конфигурации сети и минимизирует возможность ошибки.
Модуль DNS форвардер обеспечивает легкую конфигурацию DNS и ускоряет ответы на запросы DNS. Это простой тип кэширования имени сервера, при котором запросы пересылаются другому серверу DNS. Ответы хранятся в кэш-памяти. Это значительно повышает скорость ответов на частые запросы. В комбинации с сервером DHCP и системными файлами узлов, DNS форвардер может использоваться как динамический DNS сервер для локального домена.
Удаленное Администрирование
Все настройки выполняются в Администраторском Терминале (Kerio Administration Console), это независимый администраторский терминал, используемый для управлением всеми функциями сервера Kerio. Он может работать и на рабочей станции с WinRoute, и на другом узле в пределах локальной сети или Интернет. Связь между WinRoute и администраторским терминалом кодируется и защищена от перехвата или несанкционированного использования.
Различные Операционные Системы в Пределах Локальной Сети
WinRoute работает со стандартным протоколом TCP/IP. С точки зрения рабочих станций локальной сети, он действует как стандартный маршрутизатор, при этом не требуется никаких специальных приложений для клиентов. Следовательно, в локальной сети может работать любая операционная система с TCP/IP, например, Windows, Unix/Linux, Mac OS и др.
Примечание: WinRoute может работать только с установками протокола TCP/IP. Он не влияет на работу других протоколов (т.е. IPX/SPX, NetBEUI, AppleTalk и др.).
Дополнительные Свойства
Фильтр Контента
WinRoute может отслеживать все коммуникации HTTP и FTP и блокировать объекты, не отвечающие установленным критериям. Установки могут быть глобальными или определяться отдельно для каждого пользователя. Скаченные объекты могут также прозрачно проверяться внешними антивирусными приложениями.
Антивирусная проверка
WinRoute может выполнять антивирусную проверку передаваемых файлов. Для этого доступны встроенный антивирус McAfee или внешние антивирусные программы (например, NOD32, AVG и др.). Проверка на вирусы может применяться к протоколам HTTP, FTP, SMTP и POP3.
Почтовые уведомления
WinRoute может отправлять пользователям почтовые уведомления, информируя их о различных событиях. Эта функция облегчает работу администратора, т.к. не приходится часто соединяться с WinRoute и полностью его проверять. Все отправленные уведомления сохраняются в регистрационный файл.
Пользовательские квоты
Для каждого пользователя можно установить ограничения по передаче данных. Эти ограничения можно устанавливать на количество скачиваемых/выгружаемых данных в день/месяц. Эти ограничения называются квотами. Если квота превышена, то для соответствующего пользователя будет блокироваться соединение с Интернет. Пользователю может быть отправлено почтовое уведомление.
Блокировка сетей P2P
WinRoute может определять и блокировать так называемые "равноправные" сети (Peer-to-Peer networks) (это сети, применяемые для общего использования файлов, например, Kazaa, DirectConnect и др.)
Статистика
WinRoute позволяет просматривать подробную статистику интерфейса брандмауэра (текущая скорость передачи данных, количество переданной информации за определенный период) и отдельных пользователей (количество переданной информации, используемые службы, категории посещаемых сайтов и др.).
Личный VPN сервер и клиент
WinRoute также решает проблему личного VPN, который можно использовать в режимах сервер-сервер и клиент-сервер. VPN может с обоих сторон использовать NAT (даже множественный). Программа Kerio VPN Client включена в пакет WinRoute и может использоваться для создания клиент-сервер VPN (соединение удаленных клиентов с локальной сетью).
...Подобные документы
Знакомство с возможностями перехвата пароля при аутентификации в почтовых системах. Характеристика почтовой программы "The Bat!", анализ способов настройки и проверки работоспособности. Рассмотрение распространенных методов защиты от перехвата пароля.
контрольная работа [1,1 M], добавлен 19.05.2014Угрозы безопасности программного обеспечения и классификация средств атаки на средства защиты ПО. Методы и средства защиты программ от компьютерных вирусов и средств исследования программ. Анализ стандартов в области информационной безопасности.
дипломная работа [1,4 M], добавлен 29.06.2012Проблема защиты информации. Особенности защиты информации в компьютерных сетях. Угрозы, атаки и каналы утечки информации. Классификация методов и средств обеспечения безопасности. Архитектура сети и ее защита. Методы обеспечения безопасности сетей.
дипломная работа [225,1 K], добавлен 16.06.2012Основные задачи антивирусов и средства антивирусной защиты персонального компьютера. Механизм работы вирусов и способы их распространения. Методы и технологии защиты от вредоносных программ. Общие требования безопасности при работе за компьютером.
реферат [241,2 K], добавлен 22.09.2016Понятие и основные задачи информационной безопасности. Разработка и реализация политики ИБ в компании Microsoft. Виды угроз безопасности. Современные средства физической, аппаратной, программной защиты информации в локальном домашнем и офисном компьютере.
курсовая работа [107,6 K], добавлен 09.04.2014Технические средства защиты информации. Основные угрозы безопасности компьютерной системы. Средства защиты от несанкционированного доступа. Системы предотвращения утечек конфиденциальной информации. Инструментальные средства анализа систем защиты.
презентация [3,8 M], добавлен 18.11.2014Основные угрозы по отношению к информации. Понятия, методы и способы обеспечения защиты данных. Требования к системе защиты. Механизм авторизации в информационной базе для определения типа пользователя. Работа администратора с системой безопасности.
курсовая работа [201,1 K], добавлен 24.06.2013Характеристика информационных ресурсов агрохолдинга "Ашатли". Угрозы информационной безопасности, характерные для предприятия. Меры, методы и средства защиты информации. Анализ недостатков существующей и преимущества обновленной системы безопасности.
курсовая работа [30,4 K], добавлен 03.02.2011Пути проникновения вирусов. Общие средства защиты информации: детекторы, доктора ревизоры, доктора-ревизоры, фильтры, вакцины. Минимальные предостережения по защите от компьютерных вирусов. Интернет-угроза безопасности, кибермошенничество и спамы.
реферат [33,3 K], добавлен 22.09.2015Общие и программные средства для защиты информации от вирусов. Действие компьютерных вирусов. Резервное копирование информации, разграничение доступа к ней. Основные виды антивирусных программ для поиска вирусов и их лечения. Работа с программой AVP.
реферат [2,0 M], добавлен 21.01.2012Понятие системы информационной безопасности, ее цели состав. Классификация нарушителей; угрозы, особенности и примеры их реализации. Средства защиты информации: шифрование, авторизации, идентификации и аутентификации пользователей; антивирусные программы.
презентация [947,4 K], добавлен 19.09.2016Анализ информации как объекта защиты и изучение требований к защищенности информации. Исследование инженерно-технических мер защиты и разработка системы управления объектом защиты информации. Реализация защиты объекта средствами программы Packet Tracer.
дипломная работа [1,2 M], добавлен 28.04.2012Средства защиты информации. Профилактические меры, позволяющие уменьшить вероятность заражения вирусом. Предотвращение поступления вирусов. Специализированные программы для защиты. Несанкционированное использование информации. Методы поиска вирусов.
реферат [23,5 K], добавлен 27.02.2009Законодательные основы защиты персональных данных. Классификация угроз информационной безопасности. База персональных данных. Устройство и угрозы ЛВС предприятия. Основные программные и аппаратные средства защиты ПЭВМ. Базовая политика безопасности.
дипломная работа [2,5 M], добавлен 10.06.2011Анализ объекта информатизации. Политику информационной безопасности. Подсистемы технической защиты информации: управления доступом, видеонаблюдения, охранной и пожарной сигнализаций, защиты от утечки по техническим каналам, защиты корпоративной сети.
презентация [226,0 K], добавлен 30.01.2012Сущность проблемы и задачи защиты информации в информационных и телекоммуникационных сетях. Угрозы информации, способы их воздействия на объекты. Концепция информационной безопасности предприятия. Криптографические методы и средства защиты информации.
курсовая работа [350,4 K], добавлен 10.06.2014Предпосылки создания системы безопасности персональных данных. Угрозы информационной безопасности. Источники несанкционированного доступа в ИСПДн. Устройство информационных систем персональных данных. Средства защиты информации. Политика безопасности.
курсовая работа [319,1 K], добавлен 07.10.2016Организационная и функциональная структура объекта автоматизации. Методы и средства защиты информации. Инвентаризация объектов, потенциально требующих защиты. Классификация объектов информационной системы. Анализ возможных каналов утечки информации.
контрольная работа [312,5 K], добавлен 30.09.2012Необходимость и потребность в защите информации. Виды угроз безопасности информационных технологий и информации. Каналы утечки и несанкционированного доступа к информации. Принципы проектирования системы защиты. Внутренние и внешние нарушители АИТУ.
контрольная работа [107,3 K], добавлен 09.04.2011Организация локальной сети на основе Windows Server 2008. Выбор сетевой архитектуры, маршрутизатора для доступа в Internet. Характеристика программного обеспечения, выбранного в качестве сетевого экрана для защиты информации от внешних атак и вирусов.
курсовая работа [166,8 K], добавлен 07.05.2015
