Максимально прозора робота.

Контроль застосувань.

Наявність відкритих портів є одним з найвужчих місць в блокуванні витоку інформації, а одним з надійних способів завадити проникненню вірусів через ці двері є контроль застосувань, що запрошують дозвіл на доступ. Окрім банальної перевірки за іменем файлу, варто перевіряти автентичність застосування.

4. Підтримка зонального захисту.

Робота в локальній мережі часто передбачає практично повну довіру до локального контенту, що відкриває унікальні можливості з використання новітніх (як правило, потенційно небезпечних) технологій. В той же час рівень довіри до Інтернет контенту є значно нижчим, а тому, слід застосовувати диференційований підхід до аналізу небезпеки того чи іншого змісту.

5. Протоколювання і попередження.

Брандмауер повинен збирати лише необхідний об'єм інформації — надлишок, так само як і недостатність відомостей є недопустимими. Можливість налаштування файлів реєстрації і вказування причин для привертання уваги користувача є доволі потрібними.

Ефективність і вживаність системи часто є зворотно пропорційною до складності її налаштування, адміністрування і супроводу. Не дивлячись на традиційний скепсис стосовно майстрів (wizards) з налаштування брандмауера, навіть досвідчені адміністратори не нехтують ними хоча б з метою економії часу.

Недоліки брандмауерів

Не можна забувати і про недоліки брандмауерів, причому не окремих рішень, а всієї технології в цілому.

Розрізненість систем захисту

Це одна з найважливіших проблем, вирішити яку намагаються багато постачальників, але поки без особливого успіху. В багатьох брандмауерах відсутній захист від саботажу з боку авторизованих користувачів. Це питання можна розглядати з етичної, соціальної або будь-якої іншої точки зору, але суті справи це не міняє: брандмауери не здатні заборонити авторизованому користувачеві вкрасти (передати, знищити, модифікувати) важливу інформацію.

І хоча вже давно існують інші рішення (наприклад, розмежування доступу тощо), проблема полягає в розрізненості всіх подібних систем, які, за суттю, повинні виконувати одну і ту ж функцію. Поки антивірусні програми, системи виявлення вторгнень, розмежування доступу тощо не отримають єдиного центру управління, ефективність кожної з них є сумнівною.

Відсутність захисту для нестандартних або нових мережних сервісів

Рішенням тут в певній мірі можуть бути шлюзи на рівні з'єднання або пакетні фільтри, але, їм бракує гнучкості. Звичайно, існують певні можливості з просування нестандартного трафіку, наприклад в HTTP, але цей варіант не можна назвати зручним. Є багато успадкованих систем, код яких переписати неможливо, проте залишати їх беззахисними теж не можна.

Зниження продуктивності

На щастя, подібні питання виникають все рідше, особливо в індивідуальних користувачів, що прагнуть захистити свій комп’ютер чи невелику локальну мережу. В той же час великі локальні мережі як і раніше генерують доволі великий трафік, тому звичайними програмними (дешевими або безкоштовними) рішеннями мережу не захистити.

Апаратні рішення демонструють високу продуктивність і масштабованість, але ціна (деколи десятки тисяч доларів) переводить питання їх застосування в абсолютно іншу площину, тому, часто максимумом можливого є виділення спеціального сервера виключно під обслуговування брандмауера. Природно, що подібне універсальне рішення автоматично позначається на зменшенні швидкості доступу.

Загальні принципи налаштування брандмауера

Конфігурація брандмауера — предмет достатньо складний, і зазвичай всі мережні екрани мають індивідуальну конфігурацію, що відображає специфіку роботи конкретної інформаційної системи. Проте, тут слід дотримуватися певних загальних принципів:

· Слід пропускати крізь систему лише ті сервіси, які є необхідними для забезпечення достатньої функціональності інформаційної системи.

· Все, що явним чином не дозволено, повинно бути заборонено. Це означає, що всі служби, що не згадані при конфігурації брандмауера, повинні бути заборонені.

· При конфігурації мережних екранів слід вести докладну документацію.

Проксі-сервер

Проксі-сервер (proxy-server) регулює доступ абонентів до ресурсів Інтернету. Він має гнучкі налаштування, що дозволяють обмежити доступ користувачів до певних сайтів, контролювати об'єм завантаженої з Інтернету інформації і надавати можливість доступу до Інтернету для різних користувачів залежно від дня тижня і години доби.

Проксі-сервер дозволяє користувачу не виходити в Інтернет з своєї адреси, а заміняє при запитах адресу користувача на свою власну і посилає запит вже не від імені реального користувача, а від свого власного. Це не лише допомагає приховати в цілях безпеки внутрішню структуру своєї мережі, але і дозволяє не орендувати додаткову кількість адрес для всіх користувачів локальної мережі, а обійтися однією загальною адресою для проксі-сервера.

Читайте також:

<== попередня сторінка	\|	наступна сторінка ==>
Служба безпеки	\|	Система виявлення атак

Не знайшли потрібну інформацію? Скористайтесь пошуком google:

Генерація сторінки за: 0.005 сек.