брандмауер для фінансового відділу або бухгалтерії в організації.

Рішення використовувати брандмауер зазвичай грунтується на необхідності надавати доступ до деякої інформації деяким, але не всім внутрішнім користувачам, або на необхідності забезпечити хороший облік доступу і використання конфіденційної і критичної інформації.

Для всіх систем організації, на яких розміщені критичні застосування або які надають доступ до критичної або конфіденційної інформації, повинні використовуватися внутрішні брандмауери і маршрутизатори, що фільтрують, для забезпечення строгого управління доступом і аудирования.

Ці засоби захиступовинні використовуватися для розділення внутрішньої мережі організації реалізації політик управління доступом, розроблених власниками інформації (або відповідальними за неї).

6.7. Адміністрування брандмауера

Брандмауер, як і будь-який інший мережевий пристрій, повинні кимось управлятися. Політика безпеки повинна визначати, хто відповідає за управління брандмауером.

Повинні бути призначені два адміністратори брандмауера (основний і заступник) відповідальним за інформаційну безпеку (або ким-небудь з керівництва) і вони повинні відповідати за працездатність брандмауера. Основний адміністратора повинен проводити зміни в конфігурації брандмауера, а її заступник повинен проводити будь-які дії тільки у відсутність основного, щоб не виникало суперечливих установок.

Кожен адміністратор брандмауера повинен повідомити свій домашній телефонний номер, номер пейджера, стільникового телефону або іншу інформацію, необхідну для того, щоб зв'язатися з ним у будь-який час.

Кваліфікація адміністратора брандмауера

Зазвичай рекомендується мати двох досвідчених чоловік для щоденного адміністрування брандмауера. При такій організації адміністрування брандмауер працюватиме практично без збоїв. Інформація про кожного адміністратора повинна бути обов'язково письмово, щоб швидко зв'язатися з ними при виникненні проблем.

Безпека сайту важлива для повсякденної діяльності організації. Тому потрібний, щоб адміністратор брандмауера по-справжньому розумів принципи мережевих технологій і їх реалізації. Наприклад, оскільки більшість брандмауерів зроблена для роботи з TCP/IP, необхідне серйозне розуміння всіх особливостей цього протоколу. Детальніше про знання і навики, необхідні для технічних фахівців, дивитеся в розділі "Адміністрування ЛВС".

Людина, призначена адміністратором брандмауера, повинна мати великий досвід роботи з мережевими технологіями, щоб брандмауер був правильно конфігурований і коректно адмініструвався. Адміністратор брандмауера повинен періодично відвідувати курси по брандмауерах і теорії і практиці мережевої безпеки або іншим способом підтримувати високий професійний рівень.

Видалене адміністрування брандмауера

Брандмауери - перша лінія оборони, видима для того, що атакує. Оскільки брандмауери в загальному випадку важко атакувати безпосередньо із-за їх призначення, ті, що атакують часто намагаються отримати логін адміністратора на брандмауері. Імена і паролі адміністративних логінів повинні бути серйозно захищені.

Якнайкращим методом захисту від такої форми атаки є серйозна фізична безпека самого брандмауера і адміністрування брандмауера тільки з локального терміналу. Але в повсякденному житті часто потрібна деяка форма видаленого доступу для виконання деяких операцій по адмініструванню брандмауера. У будь-якому випадку видалений доступ до брандмауера по небезпечних мережах повинен здійснюватися з використанням посиленої аутентифікації. Крім того, для

запобігання перехопленню сеансів повинне використовуватися крізне шифрування всього трафіку видаленого з'єднання з брандмауером.

Низький ризик

Будь-який видалений доступ по небезпечних мережах для адміністрування брандмауера повинен використовувати посилену аутентифікацію, таку як одноразові паролі і смарт-карты.

Середній ризик

Переважним методом адміністрування брандмауера є робота з локального терміналу. Фізичний доступ до терміналу брандмауера повинен бути дозволений тільки адміністраторові брандмауера і адміністраторові архівних копій.

Коли потрібний видалений доступ для адміністрування брандмауера, він повинен здійснюватися тільки з інших хостов внутрішньої мережі

організації. Такий внутрішній видалений доступ вимагає посиленої аутентифікації, такий як одноразові паролі і смарт-карты. Видалений доступ по

небезпечних мережах, таким як Інтернет, вимагає використання крізного шифрування всього трафіку з'єднання і посиленої аутентифікації.

Високий ризик

Все адміністрування брандмауера повинне здійснюватися тільки з локального терміналу - робота з брандмауером шляхом видаленого доступу заборонена. Фізичний доступ до терміналу брандмауера дозволений тільки адміністраторові брандмауера і адміністраторові архівних копій.

Зареєстровані користувачі

Брандмауери ніколи не повинні використовуватися як сервера загального призначення. Єдиними зареєстрованими користувачами на брандмауері можуть бути тільки адміністратор брандмауера і адміністратор архівних копій. Крім того, тільки ці адміністратори повинні мати привілеї для модифікації завантажувальних модулів програм на нім.

Тільки адміністратор брандмауера і адміністратори архівних копій повинні мати логіни на брандмауері організації. Будь-яка модифікація системних програм на брандмауері повинна здійснюватися адміністратором або адміністратором архівних копій з дозволу відповідального за мережеві сервіси (або начальника відділу автоматизації).

Архівні копії брандмауера

Для забезпечення можливості відновлення після збою або стихійного лиха, брандмауер, як і будь-який інший мережевий хост, повинні мати політику щодо створення архівних копій. Для всіх файлів даних, а також системних файлів конфігурації повинен бути деякий план створення архівних копій.

Для брандмауера (його системних програм, конфігураційних файлів, баз даних і так далі) повинні створюватися щоденні, щотижневі і щомісячні архівні копії, щоб у разі збою можна було відновити дані і файли конфігурації. Архівні копії повинні зберігатися в безпечному місці на носієві, з якого можна тільки рахувати інформацію, щоб їх випадково не затерли, яке повинне бути замкнуте, щоб носії були доступні тільки відповідним співробітникам. Іншою альтернативою матиме запасний брандмауер, конфігурований як основний, і підтримуваний в холодному резерві, щоб у разі збою основного, запасного міг бути включений і використаний замість нього, поки основний брандмауер відновлюється.

Принаймні один брандмауер повинен бути конфігурований і триматися в холодному резерві, щоб у разі збою брандмауера, він міг бути включений замість нього для захисту мережі.

6.8. Довірчі взаємозв'язки в мережі

Комерційні мережі часто вимагають взаємодії з іншими комерційними мережами. Такі з'єднання можуть здійснюватися по виділених лініях, приватних глобальних мережах, або суспільних глобальних мережах, таким як Інтернет. Наприклад, багато урядів штатів використовують