Реализация политики безопасности локальной сети организации ОК «БОР» с помощью программного пакета FireWall-1

Содержание
Введение…………………………………………………………………………..3
1. Аналитическая часть…………………………………………………………..5
1.1.Описание предприятия и объекта защиты………………………..….5
1.1.1. Предоставляемые услуги………………………………..…...5
1.1.2. Организационная структура предприятия………..………...6
1.2. Возможные угрозы для ЛВС и рекомендации по разработке политики безопасности……………………………………………………7
1.3. Необходимость использования межсетевых экранов для защиты ЛВС ОК «БОР»…………….……………………………………………...10
2. Теоретическая часть…………………………………………………………..13
2.1. Понятие "межсетевой экран"………………………………………..13
2.2. Классы защищенности МЭ…………………………………………..15
2.3. Основные требования, предъявляемые к межсетевым экранам…..17
2.4. Основные компоненты МЭ………………………………………….18
2.5. Основные функции МЭ……………………………………………...21
2.6. Политика безопасности в компьютерных сетях…………………....24
2.7.Политика сетевого подключения…………………………………….25
2.8. Политика брандмауэра………………………………………………27
2.9. Стратегии брандмауэра……………………………………………....29
2.9.1. Применение пакетного фильтра……………………………29
2.9.2. Применение proxy – сервера………………………………..31
3. Проектная часть……………………………………………………………….34
3.1. Политика безопасности ЛВС ОК «БОР»…………………………...34
3.2. Реализация политики безопасности организации с помощью программного пакета FireWall-1…………………………………………41
3.3.Основные особенности FIREWALL-1……………………………….45
3.3.1. Аутентификация пользователей при работе с FTP………..45
3.3.2. Гибкие алгоритмы фильтрации UDP-пакетов, Динамическое экранирование……………………………………………………...45
Заключение………………………………………………………………………47
Список литературы……………………………………………………………...48
Глоссарий…………………………………………………………………..…….49
Тестовые вопросы……………………………………………………………….51
Приложения……………………………………………………………………...53
Введение.
Многие организации используют локальные вычислительные сети для обработки и передачи данных. До использования ЛВС основная часть обработки и обмена данными была централизована: информация и управление ею были сосредоточены в одном месте и централизованы. Сейчас ЛВС логически и физически рассредоточили данные, а также вычислительную мощность и службы обмена сообщениями по всей организации.
Наиболее удобный вид обмена информацией можно представить и реализовать на сегодняшний день в виде локальных вычислительных и распределённых сетей, где каждое автоматизированное рабочее место (АРМ) входит в единую логическую структуру обмена данными. Локально-вычислительные сети, или сокращённо ЛВС, позволяют максимально ускорить создание больших проектов, требующих вклада множества сотрудников либо задействования различных устройств или вычислительных мощностей различных серверов (СУБД, хранилище данных, кластерные блоки для вычислительных задач, дублирование информации и др.). При этом возникают огромные трудности с организацией модели безопасной передачи данных внутри данных сетей, т.к. риск утечки информации намного больше, чем для случая выделенного автоматизированного рабочего места (АРМ оператора). Вдобавок, зачастую приходится связываться с некоторыми удалёнными банками данных (в филиалах компании) или даже непосредственно запрашивать и предоставлять информацию в сети Интернет. В таком случае, количество уязвимостей возрастает в разы и только достаточно грамотная и продуманная балансировка соотношения «оценки рисков»/«затраты на обеспечение безопасности и сохранности данных» позволяет достичь расходов на приемлемом для бизнеса уровне и не разорить всю бизнес-модель за счёт единственной гонки в установке новых и новых заградительных барьеров на пути потенциальных угроз, появляющихся порой даже чаще чем ежедневно.
Одной из решений этих проблем является грамотное составление политики безопасности для организации.
В системе должна быть единая политика безопасности, которая определяет правила обращения с информацией так, чтобы исключить или снизить угрозы ущерба. Единая политика нужна, чтобы исключить противоречия между правилами обращения с одной и той же информацией в разных подразделениях организации. В самом простом случае, этой политикой является дискреционная политика, т. е. у каждого информационного объекта системы есть хозяин, который определяет правила доступа субъектов к объектам. Для реализации дискреционной политики безопасности каждый субъект и объект должны быть идентифицированы, а каждый субъект должен подтвердить свой идентификатор (аутентификация). Обычно дискреционную политику безопасности усиливают аудитом, т. е. отслеживанием действий пользователей или субъектов, которые действуют от их имени, в компьютерной системе.
Кроме дискреционной политики безопасности как минимум необходимо организовать защиту целостности информационных ресурсов от модификации или уничтожения. Идентификация и аутентификация, правила разграничения доступа, аудит и защита целостности должны реализовываться механизмами защиты. На каждом рабочем месте и на серверах установлены операционные системы, которые, как правило, обладают набором механизмов защиты, обеспечивающих идентификацию и аутентификацию, разграничение доступа, аудит на данном компьютере. Серьезные прикладные системы типа СУБД также обладают локальным набором механизмов защиты, обеспечивающих идентификацию и аутентификацию, разграничение доступа и аудит. Основными механизмами защиты целостности являются резервное копирование (backup), электронно-цифровая подпись (ЭЦП) и коды аутентификации.
Однако выполнение политики безопасности на каждом компьютере вовсе не означает, что выполняется единая политика безопасности во всей системе. Например, пользователи по сети могут обращаться на файловый сервер для получения необходимой информации или отправки документов в файле на печать на сетевой принтер. Обращение на сервер предполагает копирование файла из одного компьютера, где файл находится под защитой локальной политики безопасности и средств ее поддержки, в другой компьютер, на котором действует локальная политика безопасности и механизмы ее поддержки. Ясно, что передача файла или информации из этого файла в файл на другой машине не управляется локальной политикой безопасности, т. е. должны быть механизмы реализации политики безопасности системы в целом, с помощью которых может быть разрешен доступ субъекта на одной машине к информации, расположенной на другой машине. В частности, для такого доступа субъект из рабочей станции 1 (РС1), запрашивающий доступ к информации на компьютере РС2, должен быть идентифицирован и аутентифицирован на РС2, т. е. его аутентификационная информация (пароль) на РС1 должна быть передана на РС2. Этот субъект должен быть учтен на РС2 в матрице разграничения доступа, а его действия должны отслеживаться аудитом на РС1 и РС2. Так как в сегменте локальной сети передача является широковещательной, то передача пароля для аутентификации на РС2 может быть подслушана на любой рабочей станции и в следующий раз подслушивающий субъект сможет запрашивать информацию на другой машине от чужого имени.
Понимание необходимости обеспечения защиты информации в ЛВС и разработка соответствующих мер защиты, в том числе разработка политики безопасности являются главными задачами этого курсового проекта.
1. Аналитическая часть.
1.1.Описание предприятия и объекта защиты
Объектом защиты в данном курсовом проекте является ЛВС организации Федеральное Государственное учреждение «Оздоровительный комплекс «Бор».«Оздоровительный комплекс «Бор» включает в себя отель, построенный в стиле старинной русской усадьбы, пансионат и несколько коттеджных поселков. Для автоматизации производства и предоставления услуг была построена ЛВС, соединяющая здания администрации ОК «БОР», пансионата, отеля. Данная ЛВС соединена с глобальной вычислительной сетью Internet через специализированный сервер.
Общая схема ЛВС ОК «БОР» представлена в приложении 1.
Пансионат представляет собой современное 8-этажное здание, состоящее из трех корпусов, соединенных между собой.
Весь комплекс занимает площадь 170 гектаров, окруженный забором и имеет 3 внешних контрольно-пропускных пункта.
Организация является государственной.
1.1.1. Предоставляемые услуги
- Предоставление номеров в пансионате и отеле: одноместных, двухместных, трехместных, четырехместных;
- Предоставление коттеджей
- Питание: 3 ресторана, 3 бара (пивной, ночной, диско-бар), кафе, буфет, пиццерия;
- Медицинские услуги;
- Услуги для корпоративного отдыха.
1.1.2. Организационная структура предприятия
Рис 1.Схема организационной структуры.
Организационная структура предприятия: линейно-функциональная
Руководитель отдела принимает решение наряду с заместителями генерального директора по различным вопросам.
Стоить выделить отдел АСУ ( Автоматизация систем управления ), так как данный отдел отвечает за работоспособность сети и, в нашем случае главное, за ее безопасность.
Функции отдела АСУ:
1) Поддержка рабочих мест;
2) Построение и прокладка сети;
3) Администрирование сети;
1.2. Возможные угрозы для ЛВС и рекомендации по разработке политики безопасности
Рассмотрим несколько характерных случаев, наглядно демонстрирующих типичные инциденты, связанные с деятельностью пользователей. Все описанные ниже случаи взяты из практики и с весьма высокой степенью вероятности могут возникнуть и в организации ОК «БОР».
Случай 1. Многопоточная закачка
Сценарий. Сотрудник загружает из Интернета утилиту для многопоточного сохранения контента указанных сайтов. Указав несколько сайтов, он запускает утилиту в фоновом режиме. В результате сбоя утилита начинает выдавать 500-700 запросов в секунду в непрерывном цикле, что приводит к ситуации DoS на корпоративном прокси-сервере.
Анализ. В данном случае злой умысел со стороны сотрудника отсутствует, однако анализ ситуации показал, что применение данной утилиты не требуется для решения производственных задач. Кроме того, утилита не проходила никаких тестов со стороны администраторов сети и ее применение не было согласовано с ними, что, собственно, и привело к данной ситуации.
Решение проблемы. В политике безопасности вводится запрет на установку программного обеспечения, активно взаимодействующего с Интернетом, без согласования с администраторами и службой безопасности. После этого проводятся технические мероприятия для поиска и удаления подобных программ и блокировки их последующей установки.
Случай 2. Электронная почта
Сценарий. Желая поздравить с Новым годом коллег, сотрудник составляет базу рассылки из 1500 адресов, после чего создает письмо с Flash-мультфильмом размером в 1,5 Мбайт и запускает рассылку. Подобные операции производят также его коллеги, рассылая поздравительные письма с вложенными картинками, Flash-роликами и звуковыми файлами. В результате создается ситуация DoS на почтовом сервере и блокируется прием-отправка деловой корреспонденции.
Анализ. Это типичный пример нецелевого использования корпоративной электронной почты, обычно подобные проблемы возникают перед праздниками. Наиболее характерно данная ситуация проявляется в больших сетях (более 500 пользователей).
Решение проблемы . Технически решить подобную проблему очень сложно, так как ограничения на объем письма и количество писем в единицу времени не всегда приемлемы и малоэффективны при большом количестве пользователей. Наиболее действенная мера — разработка правил использования корпоративного почтового сервера и доведение этих правил до сведения всех пользователей.
Случай 3. Средства анализа сети
Сценарий. Недавно принятый на работу молодой программист для самообразования загружает из Интернета сканер сетевой безопасности XSpider. Для изучения его работы он выставляет настройки по максимуму и в качестве цели указывает адрес одного из корпоративных серверов. В результате средства защиты сервера регистрируют атаку, замедляется время реакции сервера на запросы пользователей.
Анализ. В данном случае злой умысел отсутствует, так как установивший данную программу пользователь сети не имел четкого представления о возможных последствиях.
Решение проблемы . В политике безопасности вводится раздел, категорически запрещающий установку и использование на рабочих местах пользователей средств активного и пассивного исследования сети, генераторов сетевых пакетов, сканеров безопасности и иных средств. Согласно данному положению применение подобных инструментов разрешается только администраторам сети и специалистам по защите информации.
Случай 4. Почтовый вирус
Сценарий. Пользователь получает письмо, содержащее явные аномалии (отправителем и получателем письма является сам пользователь, текст письма не соответствует деловой переписке или отсутствует). К письму приложен архив с неким приложением. Несмотря на инструктаж, любопытство оказывается сильнее, пользователь сохраняет архив на диск, распаковывает и запускает файл, который оказывается новой разновидностью почтового червя.
Анализ. Технические меры в данном случае бесполезны. Тот факт, что пользователь получил письмо, свидетельствует о том, что применяемый почтовый антивирус и антивирус на ПК пользователя не детектируют данную разновидность вируса.
Решение проблемы . Обучение пользователей и разработка планов проведения мероприятий в случае появления в сети почтового или сетевого червя.
Случай 5. Несанкционированное подключение модема
Сценарий. Пользователь несанкционированно подключает к своему компьютеру сотовый телефон и выходит в Интернет через GPRS-соединение. В ходе работы в Интернете на его компьютер проникает сетевой червь, который в дальнейшем пытается заразить другие компьютеры в рамках ЛВС.
Анализ. Сотовые телефоны с GPRS очень распространены, поэтому организовать точку несанкционированного подключения не составляет труда. Опасность такого подключения очень велика, так как оно не контролируется администраторами и не защищено брандмауэром.
Решение проблемы. У данной проблемы имеется два решения: техническое и административное. Для эффективной защиты необходимо применять оба: с одной стороны, политика безопасности должна строжайше запрещать пользователям подключение модемов или сотовых телефонов для выхода в Интернет, а с другой — необходимо предпринимать технические меры для блокирования такой возможности (привилегии и политики безопасности, средства мониторинга).
Случай 6. Зараженный ноутбук
Сценарий. Пользователю выдается служебный ноутбук, который он берет с собой в командировку. Там он подключается к сети, и его компьютер заражается сетевым червем. По возвращении он подключается к ЛВС, и его ноутбук становится источником заражения сети.
Анализ. Данная ситуация достаточно распространена, то есть в этом случае вирус проникает в сеть путем подключения к сети зараженного мобильного компьютера (ноутбука, КПК). Проблема усугубляется наличием в современных ноутбуках Wi-Fi-адаптеров.
Решение проблемы . Данная проблема не имеет однозначного решения. Хорошие результаты достигаются в случае установки на ноутбук антивируса и брандмауэра, причем установка производится администраторами, а пользователю строжайше запрещается их отключать или переконфигурировать.
Случай 7. Работа с электронной почтой в обход корпоративного почтового сервера
Сценарий. Пользователь заводит один или несколько почтовых ящиков в Интернете и использует их в обход корпоративного почтового сервера. В результате он получает письмо с вирусом, и его компьютер в дальнейшем становится источником заражения ЛВС.
Анализ . Это весьма распространенная ситуация. Корпоративный сервер достаточно легко защитить, установив на нем систему почтовых фильтров и антивирус (как вариант — несколько антивирусов). Работа в обход почтового сервера открывает неконтролируемую администраторами брешь в защите сети. Вышесказанное относится также к средствам онлайновых коммуникаций типа ICQ, MSN Messanger и их аналогов.
Решение проблемы. Наиболее эффективное решение — запрет для сотрудников компании на использование посторонних почтовых ящиков. С одной стороны, данный шаг кажется драконовской мерой, с другой — закрывает канал утечки информации и устраняет один из основных источников проникновения вредоносных программ в сеть.

Внимание, отключите Adblock

Вы посетили наш сайт со включенным блокировщиком рекламы!
Ссылка для скачивания станет доступной сразу после отключения Adblock!

Скачать полную версию