[ Pobierz całość w formacie PDF ]
BEZPIECZECSTWO SYSTEMÓW KOMPUTEROWYCH 91
Rodzaje zabezpieczeń
(sieciowym) poprzez router. Jest to router blokujÄ…cy lub zezwalajÄ…cy na
komunikacje z sieciÄ… chroniona stosujÄ…c filtr (ang. screening rules). Filtr taki
zapisany jest w formie listy kontroli dostępu ACL (ang. Access Control List).
Jest to lista będąca zbiorem zasad i odpowiadających im akcji zapisanych
w określonym porządku mających na celu podj cie decyzji czy dany pakiet jest
dozwolony czy tez nie. Czasami zasady filtrowania powiÄ…zane sÄ… z pozycjami
w tablicy routingu, co pozwala na zastosowanie pewnych zasad dla większej grupy
adresów, a potem zasad bardziej specyficznych w miarę jak router szuka adresów
na poziomie podsieci.
Stosowane konfiguracje architektury firewall
Firewall na routerze - router filtrujÄ…cy - screening router
Oprogramowanie postawione jest na routerze monitorujÄ…cym (ang. screening
router) lub podobnym, którego głównym zadaniem jest ochrona danych
w chronionej sieci. Jest on jedynym fizycznym połączeniem pomiędzy siecią
chroniona a zewnętrzną. Pracuje on w warstwie sieci selekcjonując ruch poprzez
filtrowanie pakietów zależnych od adresu IP oraz adresu MAC nadawcy lub
odbiorcy. Zabezpieczenie to jest przykładem zastosowania mechanizmu packet
filtering. Mechanizm ten nie jest bezpieczny jeśli jest stosowany bez dodatkowych
zabezpieczeń.
BEZPIECZECSTWO SYSTEMÓW KOMPUTEROWYCH 92
Rodzaje zabezpieczeń
Bastion host
To ogólne określenie opisuje węzeł sieci, za pomocą którego komunikuje się ona
ze światem zewnętrznym. Jest on więc szczególnie narażony na ataki z zewnątrz.
Dlatego powinien być to silny punkt sieci szczegółowo monitorowany przez
administratora. Oprogramowanie i konfiguracja komputera - twierdzy jest
specjalnie nastawiona na podniesienie poziomu zabezpieczeń systemowych.
Rozwiązanie stosuje się dla ochrony serwerów sieci prywatnej przed
nieautoryzowanym dostępem.
Dual-Homed Gateway
Firewall pracujÄ…cy na bastion-host z dwoma interfejsami sieciowymi. Jeden z nich
dla sieci chronionej drugi dla zewnętrznej. Ruch na w warstwie sieciowej jest
zablokowany co oznacza, że nie jest możliwe bezpośrednie przesyłanie pakietów
miedzy interfejsami sieciowymi. Jedyny rodzaj przepuszczanego ruchu to
generowany przez wyszczególnione aplikacje w warstwie aplikacji, po
wcześniejszym zalogowaniu się na komputerze pośredniczącym. Struktura sieci
wewnętrznej i jej adresacja jest maskowana przez gateway. Jest to przykład
zastosowania czystego mechanizmu application gateway.
Screened Host Gateway
Konfiguracja ta opiera się na współpracy routera filtrującego pakiety i komputera -
twierdzy. Komputer pracuje w wewnętrznej, chronionej sieci, natomiast router tak
reguluje dostęp z zewnątrz, aby ten komputer był jedynym widzianym i dostępnym
BEZPIECZECSTWO SYSTEMÓW KOMPUTEROWYCH 93
Rodzaje zabezpieczeń
w sieci prywatnej od strony sieci publicznej. Odbywa się to dzięki filtracji pakietów
docierających do routera. Dla użytkowników zewnętrznych jedynym znanym
adresem IP jest adres komputera - twierdzy dzięki czemu nie ujawniamy struktury
adresacji w sieci wewnętrznej, czyli struktury tej sieci.
Jest to przykład syntezy obu podstawowych mechanizmów zabezpieczenia (packet
filtering, screening - wykonywane przez router i application gateway - którego role
spełnia host gateway).
Screened Subnet
Architektura firewall, w której pomiędzy siecią chronioną a siecią zewnętrzną
znajduje się martwa strefa, gdzie ruch pomiędzy sieciami jest częściowo
blokowany. W skład tej konfiguracji wchodzi Dual-Homed Gateway podłączony
do dwóch routerów, z których jeden łączący go z siecią chroniona, a drugi
z zewnętrzną. Gateway separuje ruch przechodzący przez oba routery filtrujące
pakiety. Na gatewayu możemy umieścić informacje o firmie, pliki, serwery
i urządzenia, które chcemy udostępnić.
Application Level Gateway Proxy Gateway
Rola gatewaya polega na aplikacyjnym separowaniu sieci. Oprogramowanie proxy
gatewaya odbiera pakiety z zewnÄ…trz i przekazuje do sieci chronionej. Mechanizm
ten jest szczególnie często stosowany dla usług, mogących działać na zasadzie
store'n'forward . Możemy postawić wiele proxy services na rożnych maszynach
zawierających oprogramowanie dedykowane dla poszczególnych aplikacji.
Mechanizm ten spowalnia komunikacje lecz jest przezroczysty dla użytkownika
BEZPIECZECSTWO SYSTEMÓW KOMPUTEROWYCH 94
Rodzaje zabezpieczeń
[ Pobierz całość w formacie PDF ]