Таким чином, можливості міжмережевого екрана безпосередньо визначаються тим, яка інформація може використовуватися в правилах фільтрації і яка може бути потужність наборів правил. Узагалі говорячи, чим вище рівень у моделі ISO/OSI, на якому функціонує екран, тим більше змістовна інформація йому доступна і, отже, тим тонше і надійніше екран може бути сконфігурований. У той же час фільтрація на кожнім з перерахованих вище рівнів має свої достоїнства, такими як дешевина, висока чи ефективність прозорість для користувачів. У силу цієї, а також деяких інших причин, у більшості випадків використовуються змішані конфігурації, у яких об'єднані різнотипні екрани. Найбільш типовим є сполучення маршрутизаторів, що екранують, і прикладного екрана (Рис. 2.3.3).

Приведена конфігурація називається що екранує під сіткою. Як правило, сервіси, що організація надає для зовнішнього застосування (наприклад “представницький” Web-сервер), доцільно виносити саме в що екранує під сіть.

Крім виразних можливостей і припустимої кількості правил якість міжмережевого екрана визначається ще двома дуже важливими характеристиками - простотою застосування і власною захищеністю. У плані простоти використання першорядне значення мають наочний інтерфейс при завданні правил фільтрації і можливість централізованого адміністрування складених конфігурацій. У свою чергу, в останньому аспекті хотілося б виділити кошти централізованого завантаження правил фільтрації і перевірки набору правил на несуперечність. Важливий і централізований збір і аналіз реєстраційної інформації, а також одержання сигналів про спроби виконання дій, заборонених політикою безпеки.

Власна захищеність міжмережевого екрана забезпечується тими ж засобами, що і захищеність універсальних систем. При виконанні централізованого адміністрування варто ще подбати про захист інформації від пасивного й активного прослуховування мережі, тобто забезпечити її (інформації) цілісність і конфіденційність.

Малюнок 2.3.3

Малюнок 2.3.3 Сполучення маршрутизаторів, що екранують, і прикладного екрана.

Хотілося б підкреслити, що природа екранування (фільтрації), як механізму безпеки, дуже глибока. Крім блокування потоків даних, що порушують політику безпеки, міжмережевий екран може ховати інформацію про мережу, що захищається, тим самим утрудняючи дії потенційних зловмисників. Так, прикладний екран може здійснювати дії від імені суб'єктів внутрішньої мережі, у результаті чого з зовнішньої мережі здається, що має місце взаємодія виняткова з міжмережевим екраном (Мал. 2.3.4). При такому підході топологія внутрішньої мережі схована від зовнішніх користувачів, тому задача зловмисника істотно ускладнюється.

Малюнок 2.3.4

Малюнок 2.3.4 Правдиві й удавані інформаційні потоки.

Більш загальним методом приховання інформації про топологію мережі, що захищається, є трансляція “внутрішніх” мережних адрес, що попутно вирішує проблему розширення адресного простору, виділеного організації.

Обмежуючий інтерфейс також можна розглядати як різновид екранування. На невидимий об'єкт важко нападати, особливо за допомогою фіксованого набору засобів. У цьому змісті Web-інтерфейс має природний захист, особливо в тому випадку, коли гіпертекстові документи формуються динамічно. Кожний бачить лише те, що йому покладене.

Роль Web-сервісу, що екранує, наочно виявляється і тоді, коли цей сервіс здійснює посередницькі (точніше, що інтегрують) функції при доступі до інших ресурсів, зокрема таблицям бази даних. Тут не тільки контролюються потоки запитів, але і ховається реальна організація баз даних.

БЕЗПЕКА ПРОГРАМНОГО СЕРЕДОВИЩА

Ідея мереж з так називаними активними агентами, коли між комп'ютерами передаються не тільки пасивні, але й активні виконував дані (тобто програми), зрозуміло, не нова. Спочатку ціль полягала в тому, щоб зменшити мережний трафік, виконуючи основну частину обробки там, де розташовуються дані (наближення програм до даних). На практиці це означало переміщення програм на сервери. Класичний приклад реалізації подібного підходу - це збережені процедури в СУБД.

Для Web-серверів аналогом збережених процедур є програми, що обслуговують загальний шлюзовий інтерфейс (Common Gateway Interface - CGI).

CGI-процедури розташовуються на серверах і звичайно використовуються для динамічного породження HTML-документів. Політика безпеки організації і процедурних мір повинні визначати, хто має право поміщати на сервер CGI-процедури. Твердий контроль тут необхідний, оскільки виконання сервером некоректної програми може привести до як завгодно важких наслідків. Розумна міра технічного характеру складається в мінімізації привілеїв користувача, від імені якого виконується Web-сервер.

У технології Intranet, якщо піклуватися про якість і виразну силу користувальницького інтерфейсу, виникає нестаток у переміщенні програм з Web-серверів на клієнтські комп'ютери - для створення анімації, виконання семантичного контролю при введенні даних і т.д. Узагалі, активні агенти - невід'ємна частина технології Intranet.

У якому би напрямку ні переміщалися програми по мережі, ці дії становлять підвищену небезпеку, тому що програма, отримана з ненадійного джерела, може містити ненавмисно внесені чи помилки цілеспрямовано створений злобливий код. Така програма потенційно загрожує всім основним аспектам інформаційної безпеки:*

приступності (програма може поглинути всі наявні ресурси);*

цілісності (програма може чи видалити зашкодити дані);*

конфіденційності (програма може прочитати дані і передати їх по мережі).

Проблему ненадійних програм усвідомлювали давно, але, мабуть, тільки в рамках системи програмування Java уперше запропонована цілісна концепція її рішення.

Java пропонує три оборонних рубежі:*

надійність мови;*

контроль при одержанні програм;*

контроль при виконанні програм.

Утім, існує ще одне, дуже важливий засіб забезпечення інформаційної безпеки - безпрецедентна відкритість Java-системи. Вихідні тексти Java-компілятора й інтерпретатора доступні для перевірки, тому велика імовірність, що помилки і недоліки першими будуть виявляти чесні фахівці, а не зловмисники.

У концептуальному плані найбільших труднощів представляє контрольоване виконання програм, завантажених по мережі. Насамперед, необхідно визначити, які дії вважаються для таких програм припустимими. Якщо виходити з того, що Java - це мова для написання клієнтських частин додатків, одним з основних вимог до яких є мобільність, завантажена програма може