Защита передачи данных внутри сети

Необходимость защиты передачи данных в географически удаленных сетях или трафика между корпоративной сетью и внешним Интернетом не вызывает сомнений. Однако защите трафика внутри корпоративной части сети не уделяют должного внимания. При разработке политики безопасности половинчатые меры защиты просто не допустимы. Поэтому контролю и защите внутрикорпоративного сетевого трафика нужно уделять должное внимание.

Первоначально необходимо выбрать метод защиты данных при их передаче. В случае если сеть сильно сегментирована, а ее сегменты соединены друг с другом посредством брандмауэров и имеют разный уровень доверия, предпочтительно защитить данные при помощи VPN-туннеля. Если нужно контролировать трафик между определенными компьютерами или запретить использование определенных портов, лучше использовать политики IPSec. Трафик между клиентами и серверами во внутренней сети лучше всего защищать при помощи SSL.

Рассмотрим использование политик IPSec в частной сети. Вообще политика – это набор правил, привязанный средствами GPO к определенному участнику безопасности ( подразделение, группа, учетная запись ). Сами по себе политики IPSec представляют из себя систему фильтров, основанных на адресах, протоколах, номерах портов и прочих элементах сетевого соединения. Фильтры могут блокировать трафик, разрешать его или разрешать подключения в зависимости от установленных правил.

Каждая политика IPSec содержит следующие элементы:

При создании той или иной политики рекомендуется опробовать ее в тестовой подсети. Если она успешно работает, то ее можно разворачивать во всей сети. Фильтры можно создавать из оснастки Управление политики IP-безопасности, непосредственно в Активном каталоге или с помощью утилиты Netsh.

При разработке фильтров следует учитывать следующие рекомендации:

Для каждого правила в политике необходимо настроить блокирующий или разрешающий фильтр, а для каждого фильтра в свою очередь необходимо настроить: протокол, исходный порт, адрес, маску подсети и имя отправителя, целевой порт, имя, адрес и маску подсети получателя.

В случае если требуется проверить наличие тех или иных параметров настройки безопасности на разных сетевых узлах или применять защитные алгоритмы в зависимости от настроек конечного пользователя можно использовать согласуемые политики IPSec. Кроме указанных выше составных частей согласуемые политики содержат еще множество настроек, определяющих согласование параметров конечных точек подключения и способов передачи данных.

Все согласуемые политики требуют аутентификации, поддерживают шифрование данных. В случае если на конечных точках подключения настроены разные алгоритмы проверки подлинности или шифрования данных, подключение между узлами будет невозможно. Аналогичный результат будет и в случае если на одном из узлов вообще отсутствует соответствующая политика. При выборе алгоритма аутентификации политики IPSec можно руководствоваться рекомендациями приведенными ниже. Для аутентификации можно применять общий ключ, сертификат или протокол Kerberos. Общий ключ применять не рекомендуется, его можно использовать для тестирования IPSec. Протокол Kerberos хорошо работает в доменах, но если активный каталог не доступен, проверку по данному протоколу пройти не удастся.

Сертификаты представляют мощное средство защиты, но для их использования необходимо внедрение иерархических центров сертификации, реализующие систему открытых ключей. При этом необходимо контролировать локальные хранилища сертификатов корпоративных компьютеров и обеспечивать доступ к актуальному списку отозванных сертификатов.

В семейство протоколов IPSec входят протоколы AH и ESP. В купе они обеспечивают проверку подлинности отправителя, целостность данных и защиту от атак повтором пакетов. Выбор между ними можно сделать исходя из требований к аутентификации и шифрованию. AH не поддерживает шифрование данных, но обеспечивает надежную аутентификацию всего пакета в целом (и данных, и заголовочной информации). ESP поддерживает шифрование, но подписывает не весь пакет, а только его полезные данные, обеспечивая лишь целостность последних.

При выборе туннельного режима нужно учитывать следующее:

Для шифрования можно использовать два алгоритма DES и 3DES. Второй алгоритм более надежен, а первый поддерживается большим числом операционных систем. Необходимо помнить, что протокол AH не поддерживает шифрование и для использования обоих алгоритмов необходим протокол ESP. На рынке существуют аппаратные ускорители шифрования. Если требуется передавать большие объемы защищенных данных, то следует рассмотреть вопрос о приобретении таких ускорителей.

Целостность данных обеспечивают протоколы MD5 и SHA1, второй протокол гораздо эффективнее, но очень сильно загружает процессор.

Размер ключа защиты согласования политик зависит от размера группы Диффи-Хеллмана, который может принимать значения 1, 2 и 3. Чем больше размер группы, тем длиннее ключ и тем выше защита, однако больше и время, требуемое для расчета ключа. Если согласование политики требуется для компьютеров только под управлением Windows Server 2003, то размер группы Диффи-Хеллмана следует выбрать равный 3. Для других операционных систем значение этой группы присваивают равное 1 или 2.

При разработке политик IPSec необходимо следовать следующим правилам:

Лабораторная работа 9. Создание постоянных политик. Выбор режима запуска IPSec

Вводное:Использовать сеть, созданную в лабораторной работе №8. Данную лабораторную работу выполнять на сервере, на котором установлен DNS, используя привилегии администратора предприятия.

Вы создали блокирующую трафик политику IPSec. Какой из режимов запуска выбрать, если ее планируется применить на DNS-сервере?

Лабораторная работа 13. Создание межсайтовой VPN

Вводное:Необходимо использовать сеть с двумя доменами, созданную в лабораторной работе №10. Домен, в котором есть ISA Server 2004, оставить без изменения. В домен, в котором ISA Server нет, необходимо ввести еще один рядовой сервер под управлением WS 2003 и установить на него ISA Server 2004. Оба домена должны быть подключены к разным концентраторам. Необходим третий концентратор, к которому нужно подключить ISA Server обоих доменов. Выполнять лабораторную работу (производить настройку граничных точек VPN) необходимо на этих ISA Server.

Лабораторная работа 14. Проектирование политики удаленного доступа

Вводное:Для выполнения этой и последующих лабораторных работ физических компьютеров и вмешательства в сеть как таковую не требуется. Необходимо предложить методы защиты в зависимости от данных задачи и в конце обсудить их на брифинге с другими учащимися.

В организации установлено рабочее время с 8.00 до 17.00. Некоторые служащие организации часто ездят в командировки и подключаются к сети с помощью удаленного доступа. Их учетные записи выделены в отдельную группу безопасности с ограниченным членством Sgroup. В соответствии с Политикой безопасности в организации не используются протоколы MSCHAP и PAP. В корпоративном домене управление удаленным доступом для всех учетных записей пользователей осуществляется через групповую политику. Спроектируйте одну или несколько групповых политик удаленного доступа для реализации данных задач. Опишите условия применения политики, ее разрешение, профиль и фильтрацию по группам Windows.