Тармоқлараро экран технологиялари - Информатика и ИТ - Презентации

Тармоқлараро экран технологиялари

Загружено в:

04.12.2024

Скачано:

0

Размер:

1773.8271484375 KB

Тармоқлараро экран технологиялари

РЕЖА: 1. ТЭларнинг ишлаш хусусиятлари 2. Фойдаланувчиларни идентификациялаш ва аутентификациялаш 3. ТЭларнинг асосий компонентлари 4. ТЭни фильтрлаш қоидалари 5. ТЭга қўйиладиган функционал талаблар 6. ТЭни қуришда хавфсизликни таъмкинлаш бўйича муаммолар ечилиши

ТЭ - умумий тармоқни икки қисмга (ёки ундан кўпроғига) ажратиш ва маълумотлар билан пакетларни умумий тармоқнинг бир қисмидан бошқасига чегарадан ўтиши шартларини белгилайдиган қоидалар тўпламини амалга оширишга имкон беради. Одатда, бу чегара корхонанинг корпоратив (маҳаллий) тармоғи ва глобал Интернет ўртасида ўрнатилади. Локал тармоқда брандмауэрли (ТЭ) ўрнатилишнинг асосий сабаби, унинг ҳар доим чақирилмаган мехмонлардан ҳимоя қилинишидир. Бузғунчи томонидан олинган ахборот корхонанинг рақобатбардошлигини ва унинг клиентларини ишончини жиддий бузиб қўйиши мумкин. Ички тармоқлар учун энг эхтимолли хавфларни бартараф этиш бўйича бир қатор масалаларни ТЭлар ҳал қилиш қобилиятига эгадирлар. Компьютер мухитидан ташқарида ёнмайдиган материаллардан ва ёнғинни тарқалишига тўсқинлик қиладиган деворни брандмауэр (ёки fire Wall) деб аталади. Компьютер тармоғи мухитида ТЭ фигурали ёнғиндан бузғунчиларни ички тармоққа, ахборотни нусхалаш, ўзгартириш ёки ўчириш учун, ёки бу тармоқда ишлаётган компьютерлар хотирасидан, ёки ҳисоблаш қувватидан фойдаланиш учун кириб олишга интилиши тушунилади.

Тармоқлараро экранни ўрнатиш чизмаси

Тармоқлараро экран кўп компонентли бўлиб, у Internetдан ташкилотнинг ахборот заҳираларини ҳимоялаш стратегияси саналади. Яъни ташкилот тармоғи ва Internet орасида қўриқлаш вазифасини бажаради. ТЭнинг асосий функцияси — маълумотларга эгалик қилишни марказлаштирилган бошқарувини таъминлашдан иборат. ТЭ қуйидаги ҳимояларни амалга оширади:  ўринсиз трафиклар, яъни тармоқда узатиладиган хабарлар оқимини таъқиқлаш;  қабул қилинган трафикни ички тизимларга йўналтириш;  ички тизимнинг заиф қисмларини яшириш билан Internet томонидан уюштириладиган хужумлардан ҳимоялаш;  барча трафикларни протоколлаштириш;  ички маълумотларни, масалан тармоқ топологиясини, тизим номларини, тармоқ ускуналарини ва фойдаланувчиларнинг идентификаторларини Internetдан яшириш;  ишончли аутентификацияни таьминлаш. Тармоқлараро экраннинг асосий функцияси

Ҳар қандай ташкилотнинг тармоқ хавфсизлиги сиёсати икки қисмдан иборат бўлади:  тармоқ сервисларидан фойдаланиш;  тармоқлараро экранни қўллаш. Тармоқ сервисларидан фойдаланишга мос равишда Internetда сервислар рўйхати аниқланади. Бу сервислapгa фойдаланувчилар чекланган кириш билан таъминланади. Кириш усулларининг чекланилиши — фойдаланувчилар томонидан Internet сервисларига чет йўллар орқали рухсатсиз киришни таъқиқлаш маъносини билдиради. Тармоқ сервисларига кириш сиёсати, одатда, қуйидаги принципларга мойил бўлади:  Internetдан ички тармоққа киришни таъқиқлаш, ёки ички тармоқдан Inlernetгa киришга рухсат бериш;  ваколатланган тизимларга Internetдан ички тармоқка чекланилган киришга рухсат бериш.

Рухсат этилмаган тармоқлараро фойдаланишга карши таъсир кўрсатиш учун ТЭ ички тармоқ хисобланувчи ташкилотнинг химояланувчи тармоғи ва ташқи ғаним тармоқ орасида жойланиши лозим. Бунда бу тармоклар орасидаги барча алоқа факат ТЭ оркали амалга оширилиши лозим. Ташкилий нуктаиназаридан ТЭ химояланувчи тармок таркибига киради. Ички тармокнинг кўпгина узелларини бирданига химояловчи ТЭ қуйидаги иккита вазифани бажариши керак:  ташки (химояланувчи тармокка нисбатан) фойдаланувчиларнинг корпоратив тармокнинг ички ресурсларидан фойдаланишини чегаралаш. Бундай фойдаланувчилар каторига ТЭ химояловчи маьлумотлар базасининг серверидан фойдаланишга уринувчи шериклар, масофадаги фойдаланувчилар, хакерлар, хатто компаниянинг ходимлари киритилиши мумкин;  химояланувчи тармокдан фойдаланувчиларнинг ташки ресурслардан фойдаланишларини чегаралаш. Бу масаланинг ечилиши, масалан, сервердан хизмат вазифалари талаб этмайдиган фойдаланишни тартибга солишга имкон беради.

Хозирда ишлаб чикарилаётган ТЭларнинг тавсифларига асосланган холда, уларни куйидаги асосий аломатлари бўйича туркумлаш мумкин: OSI модели сатхларида ишлаши бўйича :  пакетли фильтр (экранловчи маршрутизатор - screening router);  сеанс сатхи шлюзи (экранловчи транспорт);  татбикий шлюз (application gateway);  эксперт сатхи шлюзи (stateful inspection firewall). Ишлатиладиган технология бўйича:  протокол холатини назоратлаш (Stateful inspection);  воситачилар модуллари асосида (proxy); Бажарилиши бўйича:  аппарат-дастурий;  дастурий; Уланиш схемаси бўйича ;  тармоқни умумий химоялаш схемаси;  тармоқ сегментлари химояланувчи берк ва тармок сегментлари химояланмайдиган очиқ схема;  тармоқнинг берк ва очик сегментларини алоҳида ҳимояловчи схема.

Классик ТЭ узатилган маълумотларни текширмайди, зарарли кодни қидирмайди, ҳеч нарсани шифрламайди ёки паролини очмайди. У фақат тармоққа уланиш параметрлари билан, аниқроғи, ушбу уланишни ташкил этувчи индивидуал IP-пакетларнинг белгилари билан, масалан, уланиш компьютерларининг IP-манзиллари ва бошқа баъзи параметрлар билан ишлайди.

ТЭ иккита тармоқ ўртасида тўсиқ бўлиб хизмат қилади, масалан, компаниянинг ички тармоғи ва Интернет. Бу қуйидагилардан ҳимоя қилади: • Интернетдан хавфсиз тармоққа рухсатсиз кириш . Масалан, агар маълумотлар тўплами Интернетдан ишончсиз манзилдан келган бўлса, ТЭ уни ўтказиб юбормайди. • Назорат қилинмайдиган тармоқ уланишлари . Агар кимдир компаниянинг серверларини тушириш учун DDoS ҳужумини бошламоқчи бўлса, ТЭ ушбу маълумот пакетларининг ҳаммасига йўл қўймайди. • Хавфсиз тармоқдан Интернетга рухсатсиз узатиш . Масалан, вирус серверга кириб, маълумотларни тўплаб, уни хакерга юборишга ҳаракат қилади. ТЭ шубҳали қабул қилувчига узатилишини сезади ва уни блоклайди - маълумотлар тармоққа сингиб кетмайди.

Хабарлар оқимини фильтрлаш ва ўзгартириш воситачи томонидан коидаларнинг берилган тўплами ёрдамида бажарилади. Бунда воситачи - дастурларнинг икки хили фаркданади:  сервис турини аниклаш учун хабарлар оқимини тахлиллашга мўлжалланган экранловчи агентлар, масалан, FTP, HTTP, Telnet;  барча хабарлар оқимини ишловчи универсал экранловчи агентлар, масалан, компьютер вирусларини кидириб зарарсизлантиришга ёки маьлумотларни шаффоф шифрлашга мўлжалланган агентлар. Дастурий воситачи унга келувчи маьлумотлар пакетини тахлиллайди ва агар қандайдир обьект берилган мезонларга мос келмаса, воситачи унинг кейинги силжишини блокировка килади ёки мос ўзгаришини, масалан, ошкор килинган компьютер вирусларни зарарсизлантиришни бажаради. Пакетлар таркибини тахлиллашда экранловчи агентнинг ўтувчи файлли архивларни автоматик тарзда оча олиши муҳим хисобланади.

Фойдаланувчиларни идентификациялаш ва аутентификациялаш баъзида оддий идентификаторни (исм) ва паролни тақдим этиш билан амалга оширилади. Аммо бу схема хавфсизлик нукдаи назаридан заиф хисобланади, чунки паролни бегона шахс ушлаб қолиб ишлатиши мумкин. Internet тармоғидаги кўпгина можаролар қисман анъанавий кўп марта ишлатилувчи паролларнинг заифлигидан келиб чиққан.

Ички тармоқ адресларини трансляциялаш . Кўпгина хужумларни амалга оширишда нияти бузуқ одамга қурбонининг адресини билиш керак бўлади. Бу адресларни ҳамда бутун тармоқ топологиясини беркитиш учун ТЭлар энг мухим вазифани - ички тармок адресларини трансляциялашни бажаради

Экранлар комплекси кўпинча эталон моделнинг тармоқ, сеанс, татбиқий сатҳларида ишлайди. Мос ҳолда, қуйидаги бўлинмайдиган брандмауэрлар фарқланади. Экранлар комплекси купинча эталон моделнинг тармок, сеанс, татбикий сатхдарида ишлайди. Мос холда, куйидаги булинмайдиган бранд- мауэрлар фаркланади.  экранловчи маршрутизатор;  сеанс сатхи шлюзи (экранловчи транспорт);  татбикий сатх шлюзи (экранловчи шлюз). Тармоқлараро экранларнинг асосий компонентлари

Экранловчи маршрутизатор (пакетли фильтр (packet filter) деб ҳам аталади) хабарлар пакетини фильтрлашга аталган ва ички ва ташқи тармоқлар орасида шаффоф алоқани таъминлайди. У OSI моделининг тармоқ сатҳида ишлайди, аммо ўзининг айрим функцияларини бажаришида эталон моделининг транспорт сатҳини ҳам қамраб олиши мумкин. Маълумотларни ўтказиш ёки яроқсизга чиқариш хусусидаги қарор фильтрлашнинг берилган қоидаларига биноан, ҳар бир пакет учун мустақил қабул қилинади. Қарор қабул қилишда тармоқ ва транспорт сатҳлари пакетларининг сарлавҳалари тахлил этилади Экранловчи маршрутизатор

Ҳар бир пакетнинг IP - ва TCP/UDP – сарлавҳаларининг тахлилланувчи ҳошиялари сифатида қуйидагилар ишлатилиши мумкин:  жўнатувчи адреси;  қабул қилувчи адреси;  пакет ҳили;  пакетни фрагментлаш байроғи;  манба порти номери;  қабул қилувчи порт номери. Биринчи тўртта параметр пакетнинг IP - сарлавҳасига, кейингилари эса TCP ёки UDP сарлавҳасига тааллуқли. Жўнатувчи ва қабул қилувчи адреслари IP - адреслар ҳисобланади. Бу адреслар пакетларни шакллантиришда тўлдирилади ва уни тармоқ бўйича узатганда ўзгармайди. Пакет хили ҳошиясида тармоқ сатҳига мос келувчи ICMP протокол коди ёки тахлилланувчи IP - пакет тааллуқли бўлган транспорт сатҳи протоколининг (TCP ёки UDP) коди бўлади. Экранловчи маршрутизатор

Тармоқ даражасидаги шлюзни баъзида тармоқ адресларини намойиш қилиш тизими ёки OSI моделининг сеансли даражаси шлюзи деб аталади. Бундай шлюз муаллифлаштирилган клиент ва ташқи хост- компьютер ўртасидаги тўғридан - тўғри ўзаро таъсирни инкор этади. Тармоқ даражадаги шлюз ишонган клиентни аниқ бир хизматларга сўровини қабул қилади ва сўроқланган сеансни мумкин эканлигини текширгандан кейин ташқи хост-компьютер билан уланишни ўрнатади. Пакетларни нусхалаш ва қайта йўналтириш учун тармоқ хизматчилари деб аталадиган махсус иловалар қўлланилади, чунки улар икки тармоқ ўртасида виртуал занжир ёки канални ўрнатадилар. Кейин эса TCP/IP иловалари билан хосил қилинаётган пакетларга бу канал бўйича ўтишга рухсат беради. Аслида эса тармоқ даражасидаги кўпчилик шлюзлар мустақил махсулотлар ҳисобланмайди, балки амалий даражадаги шлюзлар билан биргаликда етказиб берилади. Сеанс сатхи шлюзи

Татбикий сатх шлюзи сеанс сатхи шлюзига қараганда химоялашнинг анча кўп функцияларини бажариши мумкин:  брандмауэр орқали уланишни ўрнатишга уринишда фойдаланувчиларни идентификациялаш ва аутентификациялаш;  шлюз орқали узатилувчи ахборотнинг хақиқийлигини текшириш;  ички ва ташки тармоқ ресурсларидан фойдаланишни чегаралаш;  ахборотлар оқимини фильтрлаш ва ўзгартириш, масалан, вирусларни динамик тарзда қидириш ва ахборотни шаффоф шифрлаш;  ходисаларни қайдлаш, ходисаларга реакция кўрсатиш, ҳамда қайдланган ахборотни тахлиллаш ва хисоботларни генерациялаш;  ташқи тармоқдан сўралувчи маълумотларни кэшлаш.  Татбикий сатх шлюзи мос экранловчи агентлар ёрдамида кирувчи ва чикувчи пакетларни ушлаб колади, ахборотни нусхалайди ва кайта жунатади, яъни ички ва ташки тармокдар орасидаги тутридан-тутри ула- нишни истисно килган холда, сервер-воситачи функциясини бажаради Татбиқий (Амалий) сатх шлюзи

Татбиқий сатх шлюзи мос экранловчи агентлар ёрдамида кирувчи ва чиқувчи пакетларни ушлаб қолади, ахборотни нусхалайди ва қайта жўнатади, яъни ички ва ташқи тармоқлар орасидаги тўғридан-тўғри уланишни истисно қилган ҳолда, сервер- воситачи функциясини бажаради.

Татбиқий сатх шлюзини созлашда ва хабарларни фильтрлаш коидаларини тавсифлашда қуйидаги параметрлардан фойдаланилади: сервис номи, ундан фойдаланишнинг жоиз вакт оралиғи, ушбу сервисга боғлиқ ха бар таркибига чегаралашлар, сервис ишлатадиган компьютерлар, фойдаланувчи идентификатори, аутентификациялаш схемалари ва ҳ. Татбикий сатх шлюзи куйидаги афзалликларга эга:  аксарият воситачилик функцияларини бажара олиши туфайли локал тармок химоясининг юкори даражасини таьминлайди;  иловалар сатхида химоялаш кўпгина қўшимча текширишларни амалга оширишга имкон беради, натижада дастурий таъминот камчиликларига асосланган муваффакиятли хужумлар ўтказиш эхтимоллиги камаяди;  татбикий сатх шлюзининг ишга лаёкатлиги бузилса, бўлинувчи тармоклар орасида пакетларнинг тўппа-тўғри ўтиши блокировка килинади, натижада, рад килиниши туфайли химояланувчи тармокнинг хавфсизлиги пасаймайди. Татбикий сатх шлюзининг камчиликларига куйидагилар киради:  нархининг нисбатан юқорилиги;  брандмауэрнинг ўзи, хамда уни ўрнатиш ва конфигурациялаш муолажаси етарлича мураккаб;  компьютер платформаси унумдорлигига ва ресурслари хажмига қўйиладиган талабларнинг юқорилиги;  фойдаланувчилар учун шаффофликнинг йўқлиги ва тармоқлараро алока ўрнатилишида ўтказиш қобилиятининг сусайиши.

Ахборот оқимларини фильтрлаш уларни экран орқали, баъзида кандайдир ўзгартиришлар билан, ўтказишдан иборат. Фильтрлаш қабул қилинган хавфсизлик сиёсатига мос келувчи, экранга олдиндан юкланган қоидалар асосида амалга оширилади. Шу сабабли ТЭни ахборот оқимларини ишловчи фильтрлар кетма-кетлиги сифатида тасаввур этиш қулай. Маълумотлар оқимини блокировка қилиш Қабул қилувчи номидан ишлаш Кейинги фильтрга узатиш Ўтказиб юбориш Қўшимча харакатлар Фильтр 1 Маълумотлар оқимини блокировка қилиш Қабул қилувчи номидан ишлаш Кейинги фильтрга узатиш Ўтказиб юбориш Қўшимча харакатлар Фильтр NТармоқлараро экран Очиқ ташқи тармоқ Химояланадиган ички тармоқТрафикларни фильтрлаш

Фильтрларнинг ҳар бири қуйидаги ҳаракатларни бажариш орқали фильтрлашнинг алоҳида қоидаларини изохлашга аталган: 1. Ахборотни изохланувчи қоидалардаги берилган мезонлар бўйича тахлиллаш, масалан: қабул қилувчи ва жўнатувчи адреслари ёки ушбу ахборот аталган илова хили бўйича. 2. Изохланувчи қоидалар асосида қуйидаги ечимлардан бирини қабул қилиши керак:  маълумотларни ўтказмаслик;  маълумотларни қабул қилувчи номидан ишлаш ва натижани  жўнатувчига қайтариш;  тахлиллашни давом эттириш учун маълумотларни кейинги  фильтрга узатиш;  кейинги фильтрларга эътибор қилмай маълумотларни узатиш. Фильтрлаш қоидалари

Фильтрлаш қоидалари қуйидагиларнинг амалга оширилишини таъминловчи шартлар рўйхатини аниқлайди:  маълумотларни кейинги узатишга рухсат бериш ёки рухсат бермаслик;  химоялашнинг қўшимча функцияларини бажариш. Ахборот оқимини тахлиллаш мезони сифатида қуйидаги параметрлардан фойдаланиш мумкин:  таркибида тармоқ адреслари, идентификаторлар, интерфейслар адреси, портлар номери ва бошқа мухим маълумотлар бўлган хабар пакетларининг хизматчи хошиялари;  компьютер вируслари борлигига текширилувчи хабар пакетларининг бевосита таркиби;  ахборот оқимининг ташқи характеристикалари, масалан, вакт ва частота характеристикалари, маълумотлар хажми ва ҳ. Фильтрлаш қоидалари

“ Техник ва экспорт назорати бўйича федерал хизмат-ТЭНБФБ” таснифи бўйича хавфсизлик деворларининг турлари Хавфсизлик деворини сертификатлаш учун ТЭНБФБ ўзининг ҳимоя профилини аниқлайди. Ушбу экранни қайси тизимда, қандай мақсадларда ва қандай маълумотларни ишлатишини ҳимоя қилиш учун профилни билиш керак. Ҳар бир профилнинг ўзига хос техник талаблари мавжуд ва профилнинг ўзи иккита параметрга боғлиқ: ТЭ тури ва унинг ҳимоя синфи. ТЭНБФБ бўйича ТЭларининг турлари:  “ А” - тармоқнинг физик чегараларида ўрнатилган аппарат хоналари. Масалан, компания тармоғини Интернетга кабел орқали физик уланиш жойидаги дастурий таъминот ва аппарат тизимлари.  “ Б” - тармоқнинг мантиқий чегараларида ўрнатилган аппарат-дастурий таъминот, масалан, маршрутизатор ичига ўрнатилган.  “ В” - тугунларга ўрнатилган дастурий таъминот, масалан, ходимларнинг компьютерлари.  “ Г” - http ва https протоколлари билан ишлайдиган, яъни веб-трафик билан ишлайдиган аппарат ва дастурий таъминот.  “ Д” - саноат маълумотларини узатиш протоколлари билан ишлайдиган аппарат ва дастурий таъминот.

Тармоқлараро экранлар технологияларини таққослаш ҳарактеристикалари. Муҳофаза қилиш усули Уланиш варианти ISDN технологияси Frame Relay технологияси “ Нуқта – нуқта” ажратилган канал Муҳофаза қилиш даражаси ҳарактеристикалари Аппаратли тармоқлараро экран Юқори Юқори Иқтисодий, самарасиз Дастурий тармоқлараро экран Юқори / ўрта (тармоқлараро экран турига боғлиқ) Юқори / ўрта (тармоқлараро экран турига боғлиқ) Юқори / ўрта (тармоқлараро экран турига боғлиқ) Тармоқлараро экран функциясига эга маршрутизатор Юқори / ўрта (маршрутизатор турига боғлиқ) Юқори / ўрта (маршрутизатор турига боғлиқ) Юқори Маршрутизатор Юқори / ўрта (маршрутизатор турига боғлиқ) Юқори / ўрта (маршрутизатор турига боғлиқ) Ўрта

Ташқи тармоқлар фойдаланувчилари тамонидан маълумотлардан фойдалана олишни назорат қилиш учун мўлжалланган тармоқлараро экранлардан фойдаланиш ахборот хавфсизлигини таъминлаш йўналишларидан бири ҳисобланади. Тармоқлараро экран муҳофаза қилинган ички тармоқ ва ташқи муҳит (ташқи тармоқлар) орасида жойлашади ва ички тармоққа кириб чиқадиган барча маълумот оқимларини назорат қилади. Кўплаб тармоқлараро экранлар энг кенг тарқалгани боис фақат TCP/IP протоколлари оиласи билан ишлайди. Тармоқлараро экранга қўйиладиган функционал талабларга қуйидагилар киради:  тармоқ даражасида фильтрлаш;  амалий даражада фильтрлаш;  фильтрлаш ва бошқариш қоидаларини созлаш бўйича;  тармоқ аутентификацияси воситалари;  рўйхатга олиш ва журналларни юритиш бўйича. ТЭга қўйиладиган функционал талаблар

ТЭларда хавфсизлик сиёсатининг ишлатилиши

 ТЭни ички тармоқнинг ва ташқи уланиш, хамда алоқа сеансларини тўлиқ назорат қилиш хавфсизлиги;  хавфсизлик сиёсатини ишлатилиши учун қувватли ва ихчам бошқариш қурилмалари, тармоқ тузилмаси ўзгарганида тизимнинг содда реконфигурациясини таъминлаш;  тармоқ фойдаланувчилари учун сезилмасдан ишлаш, уларнинг легал харакатларини бажаришини қийинлаштирмаслик;  етарлича самарали ва тезкор ишлаш (ТЭ максимал режимлар вақтида бутун кириш ва чиқиш трафигини қайта ишлашга улгуриши керак);  ахборот хавфсизлигини таъминлаш тизимини исталган рухсат этилмаган таъсирлардан ишончли мухофаза қилиш;  ташқи уланишлар орқали фойдаланувчиларнинг фойдалана олишини муаллифлаштириш;  ТЭни бошқариш тизими билан ягона хавфсизлик сиёсатини марказлаштирилган ўтказилиши. ТЭни қуришда қуйидагиларни таъминлаш бўйича муаммолар ечилиши керак:

Похожие

Тармоқ хавфсизлиги тушунчаси ва унинг моҳияти

VPN. Ҳимояланган виртуал тармоқ технологиялари асослари

Интернет технологиялари асослари

Таълимда ахборот технологиялари

Ахборот технологиялари асослари