|
4.2.3 Политика межсетевого экранирования
При настройке политики межсетевого экранирования рассматривают два
аспекта сетевой безопасности: политику доступа к сетевым ресурсам и
политику реализации собственно МЭ. Политика доступа к сетевым ресурсам
отражает общие требования по безопасности той или иной организации, и
при ее разработке должны быть сформулированы правила доступа
пользователей к различным сервисам, используемым в организации.
Указанные правила описывают, какой внутренний (внешний) пользователь
(группа пользователей), когда, с какого внутреннего (внешнего) узла сети
и каким сервисом может воспользоваться с уточнением в случае
необходимости способов аутентификации пользователей и адресов целевых
серверов.
Политика реализации МЭ определяет, каким образом применяется политика
доступа к сетевым ресурсам, и в ряде случаев зависит от используемых
сервисов и выбранных средств построения экрана. Как правило, при выборе
политики реализации МЭ останавливаются на одной из двух базовых
стратегий:
- разрешать все, что явно не запрещено;
- запрещать все, что явно не разрешено.
Хотя может показаться, что эти две стратегии очень просты и почти не
отличаются друг от друга, на самом деле это не так. При выборе первой
стратегии МЭ по умолчанию разрешает все сервисы, которые не указаны как
запрещенные. В этом случае для обеспечения безопасности сети придется
создавать правила, которые учитывали бы все возможные запреты. Это не
только приведет к необходимости описания большого количества правил, но
и заставит пересматривать их при появлении каждого нового протокола или
сервиса, которые существующими правилами не охватываются.
Вторая стратегия строже и безопаснее. Намного проще управлять МЭ,
запретив весь трафик по умолчанию и задав правила, разрешающие
прохождение через границу сети только необходимых протоколов и сервисов.
Запрет всего трафика по умолчанию обеспечивается вводом правила
«Запрещено все» в последней строке таблицы фильтрации. Однако в ряде
случаев, в частности при использовании простого пакетного фильтра,
описание правил допустимых сервисов также сопряжено с трудоемким
процессом, требующим досконального знания алгоритмов функционирования
протоколов в рамках того или иного сервиса.
Далее
>>> |