Межсетевой экран (МЭ) - это средство защиты информации, осуществляющее анализ и фильтрацию проходящих через него сетевых пакетов. В зависимости от установленных правил, МЭ пропускает или уничтожает пакеты, разрешая или запрещая таким образом сетевые соединения. МЭ является классическим средством защиты периметра компьютерной сети: он устанавливается на границе между внутренней (защищаемой) и внешней (потенциально опасной) сетями и контролирует соединения между узлами этих сетей. Но бывают и другие схемы подключения, которые будут рассмотрены ниже.
Английский термин, используемый для обозначения МЭ - firewall. Поэтому в литературе межсетевые экраны иногда также называют файервол или брандмауэр (немецкий термин, аналог firewall).
Как уже было отмечено, фильтрация производится на основании правил. Наиболее безопасным при формировании правил для МЭ считается подход "запрещено все, что явно не разрешено". В этом случае, сетевой пакет проверяется на соответствие разрешающим правилам, а если таковых не найдется - отбрасывается. Но в некоторых случаях применяется и обратный принцип: "разрешено все, что явно не запрещено". Тогда проверка производится на соответствие запрещающим правилам и, если таких не будет найдено, пакет будет пропущен.
Фильтрацию можно производить на разных уровнях эталонной модели сетевого взаимодействия OSI. По этому признаку МЭ делятся на следующие классы [20, 21]:
Экранирующий маршрутизатор (или пакетный фильтр) функционирует на сетевом уровне модели OSI, но для выполнения проверок может использовать информацию и из заголовков протоколов транспортного уровня. Соответственно, фильтрация может производиться по ip-адресам отправителя и получателя и по ТСР и UDP портам. Такие МЭ отличает высокая производительность и относительная простота - функциональностью
Шлюз сеансового уровня работает на сеансовом уровне модели OSI и также может контролировать информацию сетевого и транспортного уровней. Соответственно, в дополнение к перечисленным выше возможностям, подобный МЭ может контролировать процесс установки соединения и проводить проверку проходящих пакетов на принадлежность разрешенным соединениям.
Шлюз прикладного уровня может анализировать пакеты на всех уровнях модели OSI от сетевого до прикладного, что обеспечивает наиболее высокий уровень защиты. В дополнение к ранее перечисленным, появляются такие возможности, как аутентификация пользователей, анализ команд протоколов прикладного уровня, проверка передаваемых данных (на наличие компьютерных вирусов,
Рассмотрим теперь вопросы, связанные с установкой МЭ. На рис 6.1 представлены типовые схемы подключения МЭ. В первом случае (рис 6.1), МЭ устанавливается после маршрутизатора и защищает всю внутреннюю сеть. Такая схема применяется, если требования в области защиты от несанкционированного межсетевого доступа примерно одинаковы для всех узлов внутренней сети. Например, "разрешать соединения, устанавливаемые из внутренней сети во внешнюю, и пресекать попытки подключения из внешней сети во внутреннюю". В том случае, если требования для разных узлов различны (например, нужно разместить почтовый сервер, к которому могут подключаться "извне"), подобная схема установки межсетевого экрана не является достаточно безопасной. Если в нашем примере нарушитель, в результате реализации сетевой атаки, получит контроль над указанным почтовым сервером, через него он может получить доступ и к другим узлам внутренней сети.
В подобных случаях иногда перед МЭ создается открытый сегмент сети предприятия (6.1b), а МЭ защищает остальную внутреннюю сеть. Недостаток данной схемы заключается в том, что подключения к узлам открытого сегмента МЭ не контролирует.
Более предпочтительным в данном случае является использование МЭ с тремя сетевыми интерфейсами (6.1c). В этом случае, МЭ конфигурируется таким образом, чтобы правила доступа во внутреннюю сеть были более строгими, чем в открытый сегмент. В то же время, и те, и другие соединения могут контролироваться МЭ. Открытый сегмент в этом случае иногда называется "демилитаризованной зоной" -
Еще более надежной считается схема, в которой для защиты сети с
В последнее время стал широко использоваться вариант установки программного МЭ непосредственно на защищаемый компьютер. Иногда такой МЭ называют "персональным". Подобная схема позволяет защититься от угроз исходящих не только из внешней сети, но из внутренней.
Вопросам использования встроенного МЭ Windows Server 2008 посвящена лабораторная работа № 11. Ну а оценить "извне" правильность настройки помогают, в частности сетевые сканеры, рассматриваемые в лабораторной № 4.
(рис 6.1) В данном учебном курсе были рассмотрены вопросы управления рисками, связанными с информационной безопасностью. В первой части дается обзор международных стандартов и методик анализа рисков. Вторая часть курса посвящена обзору некоторых встроенных средств операционных систем Microsoft Windows, которые могут быть использованы для снижения рисков безопасности.
Персональный межсетевой экран появился в операционных системах семейства Windows, начиная с Windows XP / Windows Server 2003. В Windows Server 2008 возможности этого компонента существенно расширены, что позволяет более гибко производить настройки.
Текущие настройки можно посмотреть, запустив из Панели управления ( Control Panel ) Windows Firewall и выбрав в открывшемся окне ссылку Change Settings. Появившееся окно управления параметрами межсетевого экрана содержит 3 вкладки (Рис.11.1 a),b),c)). Первая из них позволяет включить или отключить межсетевой экран. Во включенном состоянии он может разрешать определенные входящие подключения или запрещать все входящие подключения (флажок Block all incoming connections ).
(рис 11.1) Упомянутые исключения определяются на вкладке Exceptions. Там есть ряд предопределенных правил, а также пользователь может добавлять свои. Если нужно, чтобы какое-то приложение при включенном межсетевом экране обслуживало входящие подключения, для него должно быть описано правило. Сделать это можно либо указав программу (кнопка Add program ), либо описав разрешаемый порт и протокол (кнопка Add Port ). Пример формирования подобного правила представлен на рис.11.1 d). Там дается разрешение для подключения на TCP-порт 8080. Если надо ограничить перечень ip-адресов, с которых производится подключение, это можно сделать, нажав кнопку Change Scope (по умолчанию, разрешены подключения с любого адреса).
Установка флажка Notify me when Windows Firewall blocks a new program приводит к тому, что при попытке нового приложения принимать входящие подключения, пользователю будет выдано сообщение. Если пользователь разрешит такой программе работать, для нее будет сформировано разрешающее правило.
Вкладка Advanced (рис.11.1 c)) позволяет включить или отключить межсетевой экран для отдельных сетевых интерфейсов.
Откройте окно управления межсетевым экраном.
Опишите действующие настройки.
Создайте новое разрешающее правило.
Пока что работа с межсетевым экраном практически не отличалась от того, что было в Windows Server 2003. Новые возможности мы увидим, если из меню ).
(рис 11.2) Окно оснастки Windows Firewall with Advanced SecurityОбратим внимание на правила фильтрации. Они разделены на две группы - входящие правила и исходящие правила. В нашем примере мы работаем на контроллере домена. И для контроллеров определено правило, разрешающее отправку icmp пакетов echo request (они, в частности, отправляются, если надо проверить доступность удаленного узла с помощью команды ping ).
ping 192.168.0.10 можно проверить доступность компьютера с указаным адресом). Если ответ пришел, можно переходить ко второй части задания. Если ответа нет, попробуйте найти такой узел, который пришлет ответ.Теперь рассмотрим настройку, связанную с ведением журналов межсетевого экрана. По умолчанию
На рис 11.3 представлено главное окно оснастки. Выберем пункт ).
(рис 11.4) Главное окно оснастки(рис 11.3) Активируем ведение журналаДля этого в группе Logging в окне рис.11.4 a) надо нажать кнопку Customize и выполнить настройку, представленную на рис. 11.4 b).
Активируйте ведение журнала.
Выполните команду ping для узла, для которого создавалось блокирующее правило.
Проверьте содержимое файла журнала (путь к нему описан в окне 11.4 b) ).
Записи должны быть примерно следующего вида:
Version: 1.5 #Software: Microsoft Windows Firewall #Time Format: Local #Fields: date time action protocol src-ip dst-ip src-port dst-port size tcpflags tcpsyn tcpack tcpwin icmptype icmpcode info path 2009-01-31 22:43:02 DROP ICMP 192.168.131.65 195.242.2.2 - - 0 - - - - 8 0 - SEND 2009-01-31 22:43:03 DROP ICMP 192.168.131.65 195.242.2.2 - - 0 - - - - 8 0 - SEND 2009-01-31 22:43:04 DROP ICMP 192.168.131.65 195.242.2.2 - - 0 - - - - 8 0 - SEND 2009-01-31 22:43:05 DROP ICMP 192.168.131.65 195.242.2.2 - - 0 - - - - 8 0 - SEND
В данной лабораторной работе мы рассмотрим порядок настройки защищенного с помощью протокола IPSec соединения между клиентом и сервером.
Итак, у нас есть домен test.domain, в который входит сервер Server1, работающий под управлением операционной системы Windows Server 2008. В домен также входит рабочая станция Vista1, которая работает под управлением ОС Windows Vista. В домене развернут центр сертификации.
Целью работы является настройка протокола IPSec для шифрования всех данных, передаваемых между указанным сервером и рабочей станцией.
Для работы с политиками IPSec существует оснастка IPSecurity
(рис 12.1) Выбираем объект для работыНастройку будем делать с помощью доменной политики, что и выбираем.
В ней существуют уже три предопределенные политики (рис 12.2). Но нам нужна будет новая, управляющая работой конкретного сервера и клиента. Поэтому в контекстном меню выбираем пункт Create new security policy. И по запросу мастера назначаем ей имя Server1_Vista1.
Настройка в следующее окне понадобится в случае, если используются предыдущие (по сравнению с Windows Server 2008 / Windows Vista) версии операционных систем.
Выбрав в окне (рис 12.4) пункт Edit Properties переходим непосредственно к созданию настроек.
(рис 12.3) Предопределенные политики IPSec(рис 12.2) Окно мастера IP Security Policy
(рис 12.5) Окно мастера IP Security Policy(рис 12.4) Добавляем правилоНам понадобится новое правило, поэтому в окне, представленном на рис 12.5 нажимаем кнопку Add. В следующем окне указываем, надо ли определять туннель. Так как мы планируем использовать IPSec в транспортном режиме, это не понадобится.
(рис 12.6) Выбор типа соединенияСледующий запрос касается того, для каких подключений действует правило - для всех, подключений из локальной сети или извне. Нас устроит вариант "для всех" ( ).
(рис 12.7) Фильтры позволяют определить, какие пакеты будут защищаться IPSecПредустановленные правила нас не устраивают, т.к. нам нужно защищенное соединение между двумя конкретными узлами. Нажимаем кнопку ). Задаем ему имя и нажимаем кнопку Add, что приводит к запуску очередного мастера.
(рис 12.8) Добавляем новый список фильтровРаботая с мастером, определим источник ( source ) пакетов (в выпадающем списке выберем A specific DNS name и укажем имя Vista1.test.domain, для простоты будем считать, что IP-адрес этого хоста неизменен), получатель server1.test.domain. Далее можно выбрать защищаемый протокол. В нашем примере - любой ( Any ).
Таким образом, мы создали фильтр и теперь нужно отметить его, как использующийся (рис 12.9).
(рис 12.9) Выбираем созданный фильтрВ следующем окне запрашивается действие, если приходит незащищенный пакет. Его можно принять, при этом отвечая защищенной посылкой, а можно заблокировать (для этого предопределенного правила нет, нужно создать новое, нажав кнопку вариант Require Security предполагает, что сервер может принимать незащищенные пакеты, но в ответ предлагает установку защищенного соединения.
Далее предлагается выбрать метод аутентификации (рис 12.11). Выбор делается между Kerberos, сертификацией на основе цифровых сертификатов и предопределенным ключом. Последний вариант наименее надежен. Что же касается первых двух, то если подключения производятся внутри домена, можно выбрать Kerberos. Если узел внешний, но например, для него нашим корпоративным
Таким образом, мы создали новую политику. Теперь ее надо назначить ( ).
(рис 12.11) Действия при получении незащищенного пакета(рис 12.10) Выбор метода аутентифкации
(рис 12.12) Назначение политикиСоздайте политику IPSec.
Применив политику, проверьте соединение между компьютерами.
Вполне возможно, что сразу установить соединение не получится. Проблемы может вызвать использование межсетевых экранов (как встроенных в Windows, так и отдельных решений), трансляция адресов (NAT), если она применяется. Возможны и другие причины.
При выяснении причин неправильной работы может использоваться оснастка MMC IPSec Monitor (по умолчанию она не устанавливается, ее надо добавлять) - рис 12.13.
Помощь может также оказать использование утилиты
(рис 12.13) Оснастка IPSec MonitorВ данной лабораторной работе мы рассмотрим пример организации автоматического обновления программного обеспечения в сети предприятия. Речь будет идти об обновлении ПО разработки Microsoft и использовании программного средства Window Server Update Services (WSUS). Этот продукт доступен для бесплатного получения с сайта Microsoft (дополнительную информацию можно получить на странице WSUS, http://technet.microsoft.com/ru-ru/wsus/default(en-us).aspx).
Как уже отмечалось в теоретической части курса и лабораторной работе № 5 (по Microsoft
Для отдельно стоящего компьютера с операционной системой Windows она может быть решена путем настройки службы автоматического обновления - ).
(рис 13.1) Настройка службы автоматического обновленияВ сети предприятия (начиная уже с сетей в несколько десятков компьютеров), использование такого подхода имеет ряд недостатков:
Перечисленные задачи можно решить внедрением WSUS. В этом случае, служба автоматического обновления рабочей станции будет получать обновления с корпоративного сервера WSUS в соответствии с определенной администратором политикой (предполагается, что компьютеры организованы в домен Windows).
Текущая версия программы на момент подготовки описания лабораторной работы - WSUS 3.0 SP1. Для ее успешного развертывания нужно учитывать следующие требования и ограничения:
Рассмотрим теперь установку продукта на Windows Server 2008. Предположим, что ранее служба IIS не была установлена. Поэтому с помощью оснастки Server Manager надо добавить эту роль (рис 13.2).
(рис 13.2) Добавление роли IISПри этом, надо учитывать, что входящий в состав Windows Server 2008 IIS 7.0 имеет модульную структуру и по умолчанию не все требуемые для WSUS модули будут установлены. Стоит проверить, чтобы были отмечены для установки следующие модули (рис 13.3):
(рис 13.3) Выбор устанавливаемых модулей IISДля просмотра отчетов понадобится установить компонент Microsoft Report Viewer Redistributable 2005, который доступен на сайте Microsoft по ссылке http://go.microsoft.com/fwlink/?LinkId=70410.
Когда все подготовительные действия выполнены, перейдем к рассмотрению самого процесса установки WSUS.
После запуска мастер установки уточнит, что будет устанавливаться - полностью сервер или только консоль управления. Нам нужна полная установка.
(рис 13.4) Выбор каталога для установкиДалее, после подтверждения, что мы принимаем лицензионное соглашение, появится окно выбора каталога для установки (рис 13.4). Если установка выполняется исключительно в учебных целях, лучше сбросить флажок "Store updates locally", тогда сами обновления не будут скачиваться с сайта Microsoft на ваш сервер (синхронизироваться будет только информация о вышедших обновлениях).
Как уже отмечалось выше, информацию об обновлениях WSUS хранит в базе данных СУБД Microsoft SQL Server. На рис 13.5 представлено окно, позволяющее определить, будет ли устанавливаться Windows
(рис 13.5) Настройки базы данныхСледующее окно мастера позволяет сделать выбор между использованием для нужд службы WSUS сайта IIS по умолчанию и созданием нового сайта. Если оставить настройки по умолчанию, сайт WSUS будет доступен по ссылке вида http://<имя сервера> (т.к. используется 80-й TCP-порт его в ссылке указывать не надо).
(рис 13.6) Выбор сайтаПосле окончания работы мастера установки (Windows Server Update Services 3.0 SP1 Setup Wizard) запустится мастер конфигурирования.
Главное, что здесь надо решить - организуем мы отдельно стоящий сервер обновлений или сервер, включенный в иерархию. В первом случае, обновления берутся напрямую с сайта Microsoft, во втором - вышестоящие по иерархии серверы раздают обновления подчиненным (рис 13.7).
Дальнейшие окна мастера позволяют сделать настройки для работы через прокси-сервер (если такая схема используется); провести первую синхронизацию с сервером Microsoft (для этого должно быть установлено подключение к Интернет); выбрать языковые версии, для которых будут получаться обновления (рис 13.8).
Следующие окна позволяют указать обновляемые продукты и типы обновлений (рис 13.10). Список достаточно обширен и лучше выбрать только то ПО, которое используется в сети, и те типы обновлений, в которых есть потребность (тогда не придется хранить гигабайты ненужных обновлений и упростится задача администрирования).
(рис 13.8) Выбор типа конфигурации - простая или иерархическая(рис 13.7) Выбор языковых версий
(рис 13.10) Выбор обновляемых продуктов(рис 13.9) Выбор "классов" обновленийДальше можно указать расписание синхронизации с сервером Microsoft и нужно ли проводить начальную синхронизацию сразу после настройки (этот флажок можно снять).
Подготовьте сервер с Windows Server 2008 к установке сервера обновлений
Выполните установку и начальное конфигурирование WSUS.
Теперь рассмотрим порядок действий по настройке сервера обновлений для эффективного использования в конкретной информационной системе.
Настройки делаются через оснастку Microsoft Windows Server Update Services 3.0 SP1, которая после установки должна появиться в разделе ). Начнем с управления группами компьютеров. По умолчанию создается группа Unassigned Computers, в которую будут помещаться все компьютеры. С помощью контекстного меню узла All Computers можно создать новую группу, как это показано на рисунке.
(рис 13.12) Создание новой группы компьютеров(рис 13.11) Настройка правил обновленияЕсли заранее создать группы, можно будет сразу определить, какие обновления устанавливать на компьютеры, относящиеся к той или иной группе. Можно сделать правило для автоматического одобрения ( ). Там можно создать собственное правило или отредактировать правило по умолчанию ( ). Синхронизация может быть запущена вручную из раздела Synchronizations или проводиться по расписанию (для успешной синхронизации должно быть установлено подключение к Интернет).
(рис 13.14) Настройка синхронизации(рис 13.13) Одобрение обновлений вручнуюПосле того как проведена синхронизация и сработало правило "автоматического одобрения", отдельные обновления могут оказаться не одобренными к распространению. Администратор может их одобрить вручную, выбрав в разделе ).
Создайте группы компьютеров.
Подготовьте правило автоматического одобрения обновлений с учетом созданной структуры групп.
Проведите синхронизацию с сервером Microsoft.
Если какие-то из критических обновлений не одобрены автоматически, сделайте нужные настройки вручную.
Как уже отмечалось выше, для эффективного использования WSUS нужно, чтобы компьютеры были организованы в домен Windows. Тогда с помощью доменной политики можно настроить службу обновлений компьютеров-членов домена на получение обновлений с сервера WSUS.
Для редактирования политики в меню ).
(рис 13.16) Добавление административного шаблона(рис 13.15) Добавление административного шаблона (продолжение)В папке для шаблонов (например, ). После того как шаблон добавлен, понадобится настроить компьютеры на получение обновлений. Поочередно раскроем узлы политики ). На рисунке представлена настройка для сервера обновлений Server1.
(рис 13.17) Описываем путь к серверу обновленийСреди прочих политик для службы Windows Update хотелось бы также отметить Automatic Updates detection frequency, позволяющую определить частоту проверки рабочей станцией наличия новых обновлений, и Configure Automatic Updates Properties, которая дает возможность указать правила работы с обновлениями - устанавливать, только уведомлять пользователя и т.д.
Когда настройки сделаны и сохранены, можно дождаться момента, когда они применятся, или ускорить это процесс, выполнив на компьютерах команду ). Также администратору доступна информация о числе обновлений, требующихся для данного компьютера, ошибках при установке обновлений и т.д. Чтобы увидеть общую картину, можно сформировать отчеты (узел Reports ).
(рис 13.18) Перемещение компьютера в другую группуНастройте политику распространения обновлений. Проверьте ее работу.
Сформируйте отчет о распространении обновлений.
Для получения официальных документов о завершении программы дополнительного профессионального образования (удостоверения о повышении квалификации, дипломов о профессиональной переподготовке и MBA) необходимо предоставить:
Внимание! Вы можете не заказывать доставку бумажной версии официального документы, а скачать его в электронном виде и распечатать самостоятельно. Информация о выданном документе в течение 1 месяца загружается в Федеральную информационную систему «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении» - ФИС ФРДО.
Доступ на новый сайт осуществляется с использованием адреса электронной почты, который был указан вами при регистрации на "старом". Мы постарались перенести все ваши данные с прежнего ресурса, однако не исключена вероятность потери части информации.
При возникновении проблемы со входом, воспользуйтесь функцией сброса пароля
Если вы обнаружите несоответствия, пожалуйста, сообщите нам.