Что такое. Firewall, файрвол, брандмауэр - что это такое

Что такое Firewall?

В переводе с английского языка слово firewall , переводится как «горящая стена». Многие пользователи называют его стеной или брандмауэром . В народе очень часто firewall называют просто стена или стенка.

Давайте разберёмся что такое firewall и зачем он нужен. Firewall обеспечивает как бы преграду между сетью и компьютером, или другими словами является фильтром. Эта программа отслеживает соединения компьютера, анализирует их и делает решение разрешать это соединение или нет. То есть программа пропускает только то, что разрешил сам пользователь. Понятное дело, что абсолютной гарантии ни кто не может дать, но если кто-то попытается взломать ваш компьютер, стена для него будет ощутимой преградой. Все еще будет зависеть от опытности хакера.

Простыми понятиями firewall можно сравнить c вашим домом. В доме есть двери. Все двери вы держите на замке, и вы бы наврятли хотели чтоб каждый желающий мог бы зайти к вам через открытую дверь. По аналогии, вам нужно быть быть заинтересованым в том, чтобы никто чужой не мог просто так зайти в ваш компьютер - управлять им иполучать различные данные с него. На дверях дома есть замки. Чтобы впустить знакомого вы открываете замок. Так же работает и firewall. Он может пропускать в интернет или запускать из интернета только те программы, которые вы ему разрешите. Все остальные программы будут заблокированы для доступа как на вход с интернета так и на выход.
Получаеться вы ставите сторожа между вашим компьютером и интернетом, который будет пропускать только нужное и важное для вас, все остальное он будет задерживать.

Для максимальной защиты компьютера необходимо правильно произвести настройки. Рекомендуется разрешить подключение только программам, которые действительно в этом нуждаются. И при этом программа должна иметь доступ только к тем портам , по которым она работает. На первый взгляд это кажется сложным, но в брандмауэрах имеются помощники настройки, которые подсказками упрощают процесс настройки. Главное внимательно читайте сервисные сообщения, которые будут появляться в процессе работы.

Firewall имеет два вида стен – персональную и корпоративную. Персональная стена, это программа, которая устанавливается на персональном компьютере, а корпоративный файерволл устанавливается на шлюз между сетью интернет и локальной сетью.

В персональном файерволле имеется встроенный режим обучения, с помощью которого просто разобраться в работе программы и что допускать к соединению, а что запретить. Если программа, которая стоит на компьютере не подходит для файервола, тогда появится системное сообщение и пользователь сможет сам решать – дать разрешение на соединение или отказать. На сегодняшний день достаточное количество персональных файерволлов, и среди них просто подобрать самый подходящий. Они отличаются по видам, интерфейсу, платные и бесплатные, но по своей сущности практически не отличаются. То есть вы выбираете ту программу, которой вам будет удобней пользоваться.

Корпоративные firewall настраиваются системным администратором, что и защищает полностью всю сеть от атак.
Проверить работоспособность программы firewall можно с помощью утилиты LeakTest. Для этого необходимо запустить утилиту, нажать «Test» и тогда вам необходимо ответить на запрос файерволла, ответьте «Разрешить однократно». Программа должна вам сообщить - «Firewall Penetrated». Это необходимо для того что бы проверить соединение с интернетом и сервер который используется для тестирования. После чего нажимаем кнопку «Test» и на запрос программы файерволла дать ответ «Запретить однократно». Программа при этом должна дать сообщение «Unable to connect», что и будет означать, что firewall заблокировал соединение.

Затем следует EXE-файл программы LeakTest переименовать, что бы имя совпадало с именем браузера, если для Internet Explorer, то это IEXPLORE.EXE, а для Opera – OPERA.EXE, а для других браузеров посмотрите имя в свойствах ярлыка в «Пуск». И при попытке запуска или при установке соединения firewall выдаст вам предупреждение, что программа не та, для которой было создано правило. Если такого предупреждения не будет и соединение будет установлено, то есть появится сообщение «Firewall Penetrated», значит и любой вирус обойдет файерволл, просто переименовав файл, а это значит, что данный файерволл необходимо срочно сменить на другой.

А проверить работу файервола установленного у вас на компьютере можно у нас на сайте.

div.main {margin-left: 20pt; margin-right: 20pt} Что такое firewall?
Владимир Красавин

Все больше людей, купив компьютер с модемом для решения задач различного вида, отваживаются на подключение своих новеньких компьютеров к глобальной сети Internet, не подозревая о проблемах ее безопасности. Применяя компьютеры, имеющие выход в Internet, в коммерческих целях, а, главное, при передаче и хранении информации, содержащей сведения конфиденциального характера, вы очень рискуете.

Ежегодные потери, связанные с компьютерными преступлениями в глобальной Сети, оцениваются сотнями миллионов долларов. Поэтому использование локальных компьютеров как для передачи и хранения информации, содержащей коммерческую или личную тайну, так и для работы в Internet, требует построения эффективной системы защиты.

Однако создание слишком мощной, а, следовательно, очень дорогой системы защиты ведет к неэффективному использованию материальных ресурсов и снижению производительности системы в целом из-за ее высокой сложности. Проще говоря, компьютер будет сильно "тормозить".

Полностью защитить информацию на удаленном компьютере практически невозможно из-за появления новых типов угроз в компьютерных сетях. Значит, необходим постоянный анализ и достаточно частое обновление систем обеспечения информационной безопасности на локальном компьютере. Сегодня мы рассмотрим проблемы, связанные с использованием удаленного (модемного) доступа, а также пути решения задачи обеспечения безопасности компьютера, имеющего выход в Internet, при помощи межсетевого экрана, который чаще называют firewall.

Доступ при помощи модема является потенциально опасным и может свести на нет всю систему защиты. Злоумышленник может попытаться проникнуть в удаленный компьютер, даже, не выходя из дома. Через Internet нарушитель может получить пароли, адреса серверов, а иногда и их содержимое, незаконно скопировать важную и ценную для владельца информацию, вторгнуться на удаленный компьютер и получить несанкционированный доступ к личной информации.

Поскольку цель статьи - помощь пользователю в обеспечении информационной безопасности на его собственном удаленном (по отношению к Internet) компьютере, то имеет смысл сначала рассмотреть, что же это такое - межсетевой экран, а затем и принципы его функционирования.

Межсетевой экран - это набор связанных между собой программ, располагающихся на компьютере, который размещает ресурсы владельцев и защищает их от пользователей из внешней сети. Владелец компьютера, имеющего выход в Internet, устанавливает межсетевой экран, чтобы предотвратить получение посторонними конфиденциальных данных, хранящихся на защищаемом компьютере, а также для контроля за внешними ресурсами, к которым имеют доступ другие пользователи данного компьютера. Например, вы понимаете, что некоторые сетевые службы небезопасны с точки зрения компьютерной защиты информации, а другие члены вашей семьи могут этого не понимать.

В основном межсетевые экраны работают с программами маршрутизации и фильтрами всех сетевых пакетов, чтобы определить, можно ли пропустить данный информационный пакет и если можно, то отправить его точно по назначению к компьютерной службе. Для того чтобы межсетевой экран мог сделать это, ему необходимо определить набор правил фильтрации. Главная цель систем межсетевого экранирования - это контролирование удаленного доступа внутрь или изнутри защищаемого компьютера. Основными устройствами удаленного доступа являются модемы. Управлять безопасностью подключений с помощью модемов будет намного легче, если сосредоточиться на проверке и оценке всех соединений, а затем осуществлять допустимые соединения с ответственными компьютерными службами (TELNET, FTP).

Пользователь через модем соединяется с модемным пулом провайдера, чтобы затем с его помощью осуществить необходимые соединения (например, с помощью протокола TELNET) с другими системами в мировой сети. Некоторые межсетевые экраны содержат средства обеспечения безопасности и могут ограничивать модемные соединения с некоторыми системами или потребовать от пользователей применения средств аутентификации.

Рис. 1. То, что вы видите - это не набор отдельно взятых аппаратных средств, а программно-реализованный алгоритм. Управлять безопасностью подключений с помощью модемов будет намного легче, если сосредоточиться на проверке и оценке всех соединений, а затем произвести допустимые соединения с ответственными компьютерными службами (TELNET, FTP). Стандартное размещение модема и межсетевого экрана на компьютере заставляет модемные соединения осуществляться через систему firewall, т. е. сначала происходит модемное соединение, а затем функции обеспечения безопасности принимает на себя межсетевой экран.

На рис. 1 показан модем и межсетевой экран. Поскольку к соединениям с модемами нужно относиться с тем же подозрением, что и к соединениям с Internet, то стандартное размещение модема и межсетевого экрана на компьютере заставляет модемные соединения осуществляться через систему firewall, т.е. сначала происходит модемное соединение, а затем межсетевой экран принимает на себя функции обеспечения безопасности.

Межсетевой экран по представленной схеме реализует довольно-таки безопасный метод управления модемами. Если компьютер использует для защиты модемного доступа средства аутентификации, то он должен строго придерживаться политики, предоставляющей подключение к модемам любого пользователя. Даже если модемы обладают свойствами безопасности, это усложняет схему защиты с помощью межсетевого экрана, и тем самым добавляет в цепь обеспечения безопасности еще одно слабое звено.

Так как другого пути в сеть, кроме как через модем и межсетевой экран нет, то при помощи проверки и оценки подключений обеспечивается выполнение политики доступа к компьютеру. Межсетевой экран в нашем случае является программой, установленной на персональном компьютере специально для того чтобы защищать компьютер от протоколов и служб, которые злоумышленники могли бы использовать для выполнения незаконных действий из мировой сети Internet. Межсетевой экран устанавливается на компьютере таким образом, чтобы не было входящих запросов, которые могли бы получить ресурсы частного компьютера в обход межсетевого экрана (см. рис.2).

Рис.2. На рисунке показана стандартная схема подключения межсетевого экрана на компьютере. На схеме функции фильтра пакетов и шлюза прикладного уровня (уровня приложений) выполняются на двух раздельных устройствах, хотя обычно обе эти функции обеспечиваются одним устройством. Межсетевые экраны можно сравнить с «бутылочным горлышком» между модемами и стандартными системами компьютера.

В компьютере часто происходят сбои, нарушающие управление системой. Поэтому встает вопрос поддержания компьютером некоторого уровня безопасности. Ошибки в обеспечении безопасности становятся общими, взломы чаще происходят не в результате комплекса атак, а из-за простых ошибок в конфигурации системы. Причина может крыться и в недостаточном уровне безопасности паролей. Поэтому для действительной безопасности компьютера требуется система, которая будет обладать всеми необходимыми характеристиками.

Рис.3. Редактор политики безопасности. Firewall обеспечивает надежные средства для выполнения предписанной политики доступа к компьютеру. Фактически межсетевой экран обеспечивает управление доступом пользователей и служб. Таким образом, политика доступа к компьютеру может быть предписана межсетевому экрану, в то время как без firewall защита и безопасность компьютера полностью зависят от профессионализма пользователей.

Firewall может частично решить проблемы, связанные с обеспечением безопасного функционирования компьютеров. Межсетевой экран разрешает работать только тем службам, которым было явно разрешено работать на защищаемом компьютере. В результате компьютер остается незащищенным перед небольшим количеством предварительно разрешенных служб, тогда как все остальные службы запрещены. Firewall также обладает способностью контролировать вид доступа к защищаемому компьютеру. Например, некоторые компьютерные службы могут быть объявлены достижимыми из глобальной сети Internet, в то время как другие могут быть сделаны недоступными. Межсетевой экран может предотвращать доступ ко всем службам, исключая специальные компьютерные сервисы, выполняющие функции доставки почтовых сообщений (SMTP) и функции информационного характера (TELNET, FTP). Для выполнения разграничения доступных служб должна быть описана политика доступа, которую межсетевые экраны проводят с большой эффективностью.

Политика доступа к службам - наиболее важный из четырех описанных компонентов межсетевого экрана, установленного на вашем компьютере. Другие три компонента используются, чтобы выполнять и предписывать политику. (И, как отмечено выше, политика доступа к службам должна быть симметрична мощной и всесторонней организации политики безопасности.) Эффективность межсетевого экрана для защиты компьютера зависит от типа используемого межсетевого экрана, процедур межсетевого экранирования и политики доступа к службам.

Фильтрование пакетов

Еще одной важной характеристикой обеспечения удаленного доступа является фильтрование пакетов. Обычно используют фильтрующий маршрутизатор, разработанный специально для фильтрования пакетов, проходящих через маршрутизатор. Фильтрующий маршрутизатор - это чаще всего программа, настроенная так, чтобы по отдельным данным фильтровать пакеты, доставленные модемом. Обычно фильтр проверяет данные, располагающиеся в заголовке пакета, такие, как IP-адрес источника и получателя, некоторые другие.

С выходом в Internet пользователи начинают испытывать потребность в защите своих данных от атак извне. В связи с этим компаниями, продавцами межсетевых экранов, прогнозировался рост числа продаж firewall до 1,5 млн к 2000 г. что в результате и произошло.

Отдельные фильтрующие маршрутизаторы исследуют, с какого сетевого маршрутизатора прибыл пакет, используя затем эту информацию как дополнительный критерий фильтрования. Фильтрование может происходить различными способами: блокировать соединения и с определенными хостами и сетями, и с определенными портами. Пользователь может блокировать соединения, идущие от конкретных адресов тех хостов, которые рассматриваются как враждебные или ненадежные. В качестве альтернативы фильтрующий маршрутизатор может заблокировать все возможные соединения, идущие от различных IP-адресов, внешних к данному компьютеру (с некоторыми исключениями, такими, как SMTP для получения электронной почты).

Решение на фильтрование некоторых протоколов зависит от политики доступа через модем к вашему компьютеру, т. е. - какая служба должна иметь доступ из Internet и какой тип доступа к этой службе можно разрешить.

Фильтры пакетов анализируют приходящие IP-пакеты и пропускают или не пропускают их в зависимости от предопределенного списка правил фильтрации. В целом фильтры пакетов представляют наименее дешевые решения для брандмауэра, но благодаря своему умению проверять пакеты различных протоколов, они являются и наиболее гибкими. Кроме того, фильтры работают быстро, поскольку они просто просматривают информацию о пакете при принятии решения.

В то время как некоторые службы, такие, как TELNET или FTP, по существу небезопасны, то, блокируя модемный доступ к ним в редакторе политики доступа, вы увеличиваете вероятность долгого и нормального функционирования вашего компьютера. Не все системы обычно требуют доступа ко всем службам. Например, ограничивая TELNET или FTP-доступ из Internet, можно улучшить состояние безопасности компьютера. Службы типа NNTP могут казаться безопасными, но ограничение этих служб позволяет создавать более высокий уровень безопасности на компьютере и снижает вероятность применения данной службы при атаке.

Шлюзы приложений следят за пакетами на уровне приложений и инициируют уполномоченный сеанс, а не устанавливают прямое соединение между внешним миром и компьютером. Обнаружив сетевой сеанс, шлюз приложений останавливает его и вызывает уполномоченное приложение для оказания запрашиваемой услуги, допустим TELNET, FTP, World Wide Web или электронная почта.

Фильтрование входящих и исходящих пакетов упрощает правила фильтрования пакетов и дает возможность фильтрующему маршрутизатору более легко определять степень опасности IP-адреса. Фильтрующие маршрутизаторы, не владеющие такой способностью, имеют большое количество ограничений при выполнении стратегии фильтрования. Отвечающие за это фильтрующие маршрутизаторы должны выполнять обе перечисленные выше политики фильтрования.

Шлюз прикладного уровня

Пользователь, который хочет соединиться с каким-либо удаленным компьютером Сети, должен сначала соединиться с межсетевым экраном и только затем с нужной службой требуемого компьютера через шлюз прикладного уровня системы firewall. Шлюз прикладного уровня - это программа, реализующая доступ к требуемым службам. Модемное соединение происходит следующим образом:

Сначала внешний пользователь устанавливает TELNET-соединение со шлюзом прикладного уровня; сервер проверяет IP-адрес отправителя и разрешает или запрещает соединение в соответствии с критерием доступа; внешнему пользователю может понадобиться доказать свою подлинность (возможно, при помощи одноразовых паролей); шлюз прикладного уровня устанавливает TELNET-соединение между ним самим и TELNET-сервером затребованного компьютера; шлюз прикладного уровня осуществляет обмен информацией по установленному соединению; шлюз прикладного уровня регистрирует соединение.

Шлюз прикладного уровня пропускает только те службы, которые ему разрешено обслуживать. Другими словами, если шлюз прикладного уровня имеет полномочия на обслуживание только FTP и TELNET, то только FTP и TELNET могут быть допущены в защищаемую подсеть, а все другие службы будут полностью блокироваться. Firewall также предотвращает доступ всех оставшихся небезопасных служб. Другая польза от использования шлюза прикладного уровня - это то, что он может фильтровать протоколы. Некоторые межсетевые экраны, например, могут фильтровать FTP-соединения и запрещать использование команд FTP, таких, как put, что гарантирует невозможность записи информации на анонимный FTP-сервер.

Firewall служит маршрутизатором к системе назначения и вследствие этого может перехватывать модемные соединения и затем делать обязательную проверку, например, запрос пароля. В дополнение к TELNET, шлюзы прикладного уровня используются обычно для фильтрования FTP, электронной почты и некоторых других служб.

Аутентификация пользователя. С тех пор как межсетевой экран может централизовать доступ к сети и управлять им, он является логичным местом для установки программного и аппаратного обеспечения усиления аутентификации.

В завершение хотелось бы еще раз подчеркнуть, что компьютеры, имеющие модемный выход в Internet, подвержены значительному риску быть атакованными нарушителями или стать плацдармом для атаки на другие компьютеры. Также хочу отметить, что хотя применение систем межсетевого экранирования позволяет защититься от целого ряда угроз, однако они обладают целым рядом недостатков и, кроме того, существуют угрозы, которым они не могут противостоять. Различные схемы применения межсетевых экранов и модемов предназначаются для обеспечения безопасности компьютеров от угроз определенного вида. Для успешного противодействия угрозам из Internet должны применяться сочетания из основных типов межсетевых экранов, эффективно перекрывающих небезопасные модемные соединения. Системы межсетевого экранирования в настоящее время все же могут служить достаточно надежным барьером для защиты удаленных компьютеров от атак со стороны Internet.

В любой операционной системе должна быть хоть какая-то защита. В Windows есть целых две защитных функции – фаервол (брандмауэр) и Защитник Windows. Само понятие «фаервол» имеет несколько значений, но в этом материале будет разобран вариант межсетевого экрана.

Что такое файрвол?

Файрвол (брандмауэр) – является межсетевым экраном в системе Windows, предотвращающим несанкционированный доступ к компьютеру из сети Интернет и локальных сетей, а также запрещающий или разрешающий приложениям соединение с сетью.

Простыми словами, брандмауэр является стеной или закрытой дверью, которая открывается только перед теми, кому это разрешено. В Windows ограничения обычно ставятся на программное обеспечение, которые связывается с Интернетом. Теперь мы разобрались с понятием «фаервол», но как же его правильно настроить, чтобы обеспечить компьютеру защиту?

Как настроить фаервол (брандмауэр) на Windows 10?

В офисах этим занимается системный администратор, поэтому будет не лишним иметь навыки настройки защитного программного обеспечения. В домашних условиях любой желающий может изменять параметры компьютера как захочет, но в пределах разумного.

Настройка файрвола после установки Windows 10 происходит очень просто. Вначале нужно разобраться, как включить или отключить защиту, так как при проблемах с брандмауэром возникают различные критические ошибки, исправить которые можно простым отключением или включением защитной функции.

Один из способов зайти в настройки брандмауэра следующий:

Используем на клавиатуре такую комбинацию клавиш: Win+I. Затем идём в раздел «Обновления и безопасность»;

Перейдите слева в подраздел «Защитник Windows»;

Нажмите на кнопку справа «Открыть Центр безопасности Защитника Windows»;

В открытом окошке выбираем опцию «Брандмауэр и безопасность сети».

Здесь находится новый интерфейс, в котором настройки немного запутаны для новичка. Если вам не нравится расположение функций, можно вернуться, конечно же, к старому, привычному интерфейсу, какой демонстрируется Windows 7 и 8. Для этого нажимаем по поиску на панели задач и вводим «Брандмауэр», выбрав результат.

Находясь в окне брандмауэра, в десятой версии системы можно увидеть два пункта – «Частная сеть» и «Общественная сеть». В обоих этих пунктах находятся опции отключения брандмауэра для подключенной сети. Тут можно и блокировать все входящие подключения, отметив функцию галочкой.

Чтобы разрешить программам устанавливать соединение с сетью через брандмауэр, нужно найти ниже пункт «Разрешить работу с приложениями через брандмауэр». Откроется окошко, где изменения параметров будут осуществляться после нажатия по кнопке «Изменить параметры».

Если галочка стоит, то обмен ПО через сеть разрешен. Обычно разрешения ставятся только на приложения Microsoft. Если с брандмауэром возникли проблемы, для их разрешения есть опция «Устранения неполадок при подключении к сети ». По возможности используйте её.

Перейдя в раздел «Параметры уведомлений», можно увидеть параметры, позволяющие выводить в системе уведомления о заблокированных программах. Если вы настроили параметры неверно, настройки можно «Восстановить по умолчанию». Эта опция находится на главном экране.

Как добавить программу в исключение в брандмауэре?

В главном окне фаервола перейдите к пункту «Параметры уведомлений брандмауэра»;

Щелкните по опции «Параметры защиты от вирусов и угроз»;

Дойдите до раздела «Исключения» и нажмите на кнопку в пункте «Добавление и удаление исключений»;

Теперь жмём кнопку «Добавить исключение» и выбираем тот элемент, который не является вредоносным по вашему мнению. Можно добавлять файлы, целые папки, конкретные типы файлов и процессы.

Дополнительные функции файрвола

В параметрах защиты от нежелательных и вредоносных программ можно активировать или отключить следующие функции:

Защита в режиме реального времени – если отключить эту защиту, это может привести к активной работе тех программ, которые были заблокированы.

Облачная защита – позволяет защищать данные в облаке.

Автоматическая отправка образцов – на сервера Microsoft отправляются данные о найденных вредоносных компонентах.

Остальные настройки уже были разобраны выше.

Настройка фаервола на Windows 7 и 8

При наличии устаревших версий операционных систем, настройка брандмауэра происходит немного по-другому:

Откройте брандмауэр из панели управления.

Необходимые настройки находятся с левой стороны окна, и доступ к ним осуществляется быстрее, чем в ОС Windows 10.

Для включения фаервола нажмите на кнопку параметра «Включение и отключение брандмауэра Windows». Сразу после этого отметьте флажки «Включить…».

Также вы можете сразу сбросить параметры по умолчанию, осуществить взаимодействие приложений в брандмауэре, и настроить уведомления.

Правила безопасности брандмауэра

В окошке слева переходим по опции «Дополнительные параметры». Сразу откроется окошко, где для приложений можно настроить правила по входящим и исходящим подключениям.

Что такое firewall?
Владимир Красавин

Рис. 4. Фильтрование TELNET и SMTP-пакетов. Пользователь может блокировать модемные соединения, идущие от конкретных адресов тех хостов, которые считаются враждебными или ненадежными. В качестве альтернативы фильтрующий маршрутизатор может заблокировать все возможные соединения, идущие от различных IP-адресов, внешних к вашему компьютеру (с некоторыми исключениями, такими как SMTP для получения электронной почты и TELNET). >

Главное правило при описании политики доступа - это запрещение доступа к службам, которым для работы не требуется доступ из внешней сети. Firewall фактически обойдется и дешевле для пользователей, т. к. все основное и дополнительное программное обеспечение для гарантии безопасности может быть расположено на одном межсетевом экране.

Секретность имеет важное значение для некоторых компьютеров и их владельцев. Даже если информация и не содержит секретных сведений, все равно найдутся данные, полезные для нападающего. Используя firewall, некоторые специалисты по компьютерной безопасности могут блокировать такие службы, как finger и Domain Name Service (DNS).

Система firewall используется также для того, чтобы блокировать DNS-информацию о защищаемом компьютере, и делать это таким образом, чтобы имя и IP-адрес компьютера не были бы доступны злоумышленникам в Internet.

Основные компоненты

Основными компонентами системы firewall являются:

политика безопасности сети;
механизм аутентификации;
механизм фильтрации пакетов;
шлюзы прикладного уровня.

Следующие разделы описывают некоторые из этих компонентов более подробно.

Политика безопасности

Существует два уровня политики безопасности компьютера, непосредственно влияющие на установку и использование межсетевого экрана. Политика высокого уровня или политика доступа к компьютеру определяет те службы, которые будут допускаться через модем и которым будет запрещено работать на компьютере, она описывает также, как эти службы будут использоваться, и какие условия являются исключениями в этой политике. Политика низкого уровня описывает, как межсетевой экран будет фактически выполнять задачу ограничения доступа и фильтрования служб, которые были определены политикой высокого уровня.

Рис.5. Менеджер безопасности межсетевого экрана FireWall-1 фирмы CheckPoint. Эта система управления межсетевым экраном позволяет настраивать такие полезные свойства, как политику безопасности, аутентификацию, шифрование и многие другие.

Правила доступа к защищаемым ресурсам должны базироваться на одном из следующих принципов:

разрешать все, что не запрещено в явной форме;
запрещать все, что не разрешено в явной форме.

Службы, указанные ниже, по существу небезопасны и обычно фильтруются. Однако возможно ограниченное применение при соблюдении правил безопасной работы через модем на компьютере только теми службами, которые нуждаются в них.
Эти сведения, скорее, относятся к системному администрированию. Но и для владельцев домашних компьютеров они будут познавательны. Итак, приведем некоторые из подобных служб:

TELNET, порт 23 - часто ограничивается для работы только в некоторых системах;
FTP, порты 20 и 21, как и TELNET - часто ограничивается только некоторыми системами;
SMTP, порт 25 - часто ограничен только центральным сервером электронной почты;
RIP, порт 520 - протокол маршрутизации может быть использован при перенаправлении пакетов маршрутизации;
DNS, порт 53 - служба имен доменов, содержит имена хостов и информацию о хостах, которая может быть полезна для нападающих;
UUCP, порт 540, UNIX-to-UNIX COPY - если неправильно сконфигурирована, то может быть использована для осуществления несанкционированного доступа;
NNTP, порт 119 - протокол передачи новостей в Сети может быть использован для доступа в Internet и чтения сетевых новостей;
Gopher и http, порты 70 и 80 - это информационные серверы и программы клиента для проведения поиска и для работы WWW-клиента.

Межсетевой экран, осуществляющий первый принцип, разрешает по умолчанию всем службам работать на защищаемом компьютере, за исключением тех служб, которые политика доступа к службам отвергает, считая их небезопасными. Firewall, осуществляющий второй принцип, отвергает по умолчанию все службы, но пропускает те службы, которые были определены как безопасные. Этот второй принцип следует из классической модели доступа, используемой во всех областях информационной безопасности. Первая политика модемного доступа менее желательна, так как она предлагает большее количество путей для обхода межсетевого экрана.

Рис. 6. Виртуальное соединение, выполненное шлюзом прикладного уровня. Чтобы противостоять недостаткам, возникающим при фильтровании пакетов фильтрующими маршрутизаторами, межсетевые экраны должны использовать специальные приложения для того чтобы фильтровать пакеты таких служб, как TELNET и FTP. Такие программы называются полномочными серверами, а хосты, на которых они установлены, называются шлюзами прикладного уровня.

Фильтрование пакетов

Шлюз прикладного уровня

сначала внешний пользователь устанавливает TELNET-соединение со шлюзом прикладного уровня;
сервер проверяет IP-адрес отправителя и разрешает или запрещает соединение в соответствии с критерием доступа;
внешнему пользователю может понадобиться доказать свою подлинность (возможно, при помощи одноразовых паролей);
шлюз прикладного уровня устанавливает TELNET-соединение между ним самим и TELNET-сервером затребованного компьютера;
шлюз прикладного уровня осуществляет обмен информацией по установленному соединению;
шлюз прикладного уровня регистрирует соединение.