Политика безопасности при работе в Интернете
Дипломная работа - Компьютеры, программирование
Другие дипломы по предмету Компьютеры, программирование
?аправляются к хосту-бастиону.
Если шлюз с пакетной фильтрацией установлен, то хост-бастион должен быть сконфигурирован так, чтобы все соединения из внешних сетей проходили через него, чтобы предотвратить прямое соединение между сетью организации и Интернетом.
6.5.3. Экранированная подсеть
Архитектура экранированной сети по существу совпадает с архитектурой экранированного хоста, но добавляет еще одну линию защиты, с помощью создания сети, в которой находится хост-бастион, отделенной от внутренней сети.
Экранированная подсеть должна внедряться с помощью добавления сети-периметра для того, чтобы отделить внутреннюю сеть от внешней. Это гарантирует, что даже при успехе атаки на хост-бастион, атакующий не сможет пройти дальше сети-периметра из-за того, что между внутренней сетью и сетью-периметром находится еще один экранирующий маршрутизатор.
6.6. Интранет
Хотя брандмауэры обычно помещаются между сетью и внешней небезопасной сетью, в больших организациях или компаниях брандмауэры часто используются для создания различных подсетей в сети, часто называемой интранетом. Брандмауэры в интранете размещаются для изоляции отдельной подсети от остальной корпоративной сети. Причиной этого может быть то, что доступ к этой сети нужен только для некоторых сотрудников, и этот доступ должен контролироваться брандмауэрами и предоставляться только в том объеме, который нужен для выполнения обязанностей сотрудника. Примером может быть брандмауэр для финансового отдела или бухгалтерии в организации.
Решение использовать брандмауэр обычно основывается на необходимости предоставлять доступ к некоторой информации некоторым, но не всем внутренним пользователям, или на необходимости обеспечить хороший учет доступа и использования конфиденциальной и критической информации.
Для всех систем организации, на которых размещены критические приложения или которые предоставляют доступ к критической или конфиденциальной информации, должны использоваться внутренние брандмауэры и фильтрующие маршрутизаторы для обеспечения строгого управления доступом и аудирования. Эти средства защиты должны использоваться для разделения внутренней сети организации рвди реализации политик управления доступом, разработанных владельцами информации (или ответственными за нее).
6.7. Администрирование брандмауэра
Брандмауэр, как и любое другое сетевое устройство, должен кем-то управляться. Политика безопасности должна определять, кто отвечает за управление брандмауэром.
Должны быть назначены два администратора брандмауэра (основной и заместитель) ответственным за информационную безопасность (или кем-либо из руководства) и они должны отвечать за работоспособность брандмауэра. Основной администратора должен производить изменения в конфигурации брандмауэра, а его заместитель должен производить любые действия только в отсутствие основного, чтобы не возникало противоречивых установок.
Каждый администратор брандмауэра должен сообщить свой домашний телефонный номер, номер пейджера, сотового телефона или другую информацию, необходимую для того, чтобы связаться с ним в любое время.
6.7.1. Квалификация администратора брандмауэра
Обычно рекомендуется иметь двух опытных человек для ежедневного администрирования брандмауэра. При такой организации администрирования брандмауэр будет работать практически без сбоев. Информация о каждом администраторе должна быть обязательно в письменном виде, чтобы быстро связаться с ними при возникновении проблем.
Безопасность сайта важна для повседневной деятельности организации. Поэтому требуется, чтобы администратор брандмауэра по-настоящему понимал принципы сетевых технологий и их реализации. Например, так как большинство брандмауэров сделано для работы с TCP/IP, необходимо серьезное понимание всех особенностей этого протокола. Более подробно о знаниях и навыках, необходимых для технических специалистов, смотрите в разделе "Администрирование ЛВС".
Человек, назначенный администратором брандмауэра, должен иметь большой опыт работы с сетевыми технологиями, чтобы брандмауэр был правильно сконфигурирован и корректно администрировался. Администратор брандмауэра должен периодически посещать курсы по брандмауэрам и теории и практике сетевой безопасности или другим способом поддерживать высокий профессиональный уровень.
6.7.2. Удаленное администрирование брандмауэра
Брандмауэры - первая линия обороны, видимая для атакующего. Так как брандмауэры в общем случае тяжело атаковать напрямую из-за их назначения, атакующие часто пытаются получить логин администратора на брандмауэре. Имена и пароли административных логинов должны быть серьезно защищены.
Наилучшим методом защиты от такой формы атаки является серьезная физическая безопасность самого брандмауэра и администрирование брандмауэра только с локального терминала. Но в повседневной жизни часто требуется некоторая форма удаленного доступа для выполнения некоторых операций по администрированию брандмауэра. В любом случае удаленный доступ к брандмауэру по небезопасным сетям должен осуществляться с использованием усиленной аутентификации. Кроме того, для предотвращения перехвата сеансов должно использоваться сквозное шифрование всего трафика удаленного соединения с брандмауэром.
Низкий риск
Любой удаленный доступ по небезопасным сетям для администрирования брандмау