В области информационной безопасности существуют различные подходы к защите корпоративных сетей. Рассмотрим два утверждения экспертов:
"ДМЗ – это единственный контролируемый администратором сегмент корпоративной сети"
"Я не верю в практическую ценность систем обнаружения атак"
Первое утверждение имеет под собой основания, так как трафик небольшого количества серверов в демилитаризованной зоне (ДМЗ) можно строго регламентировать с помощью правил фильтрации межсетевых экранов (МЭ). Однако возникает вопрос: можно ли реализовать подобный уровень безопасности в локальной сети?
Подход с использованием персональных межсетевых экранов
Стандартный подход к решению этой задачи заключается в установке на каждый компьютер в сети персональных межсетевых экранов. Эти программы фильтруют трафик компьютера в соответствии с правилами и разрешают взаимодействие только с необходимыми службами и серверами.
Преимущества данного подхода:
- Жесткое разграничение доступа пользователей к сетевым службам
- Защита от атак через неиспользуемые и неверно сконфигурированные сетевые службы
- Контроль распространения сетевых червей
- Блокировка несанкционированной сетевой активности пользователей
Проблемы использования персональных межсетевых экранов
Несмотря на преимущества, существуют проблемы, связанные с использованием персональных межсетевых экранов:
- Сложность управления множеством установленных программ
- Риск отключения или удаления защиты пользователями
- Возможность отказа в результате ошибки программного обеспечения
- Отсутствие защиты от "гостевых" пользователей или несанкционированно подключенных устройств
Использование сетевых систем обнаружения атак (NIDS)
В качестве дополнительного решения можно использовать сетевые системы обнаружения атак (NIDS). Многие современные NIDS имеют возможность разрывать TCP-сессии, не соответствующие политике безопасности.
Преимущества использования NIDS:
- Централизованный контроль сетевого трафика
- Возможность блокировки несанкционированных соединений
- Независимость от состояния защиты на конечных устройствах
Проблемы и ограничения NIDS
При использовании NIDS для фильтрации трафика могут возникнуть следующие проблемы:
- Сложности с приложениями, использующими динамическую привязку служб к портам (например, FTP и RPC)
- Ограниченные возможности контроля трафика, использующего протоколы, отличные от TCP (UDP, ICMP)
- Необходимость в мощных вычислительных ресурсах для обработки большого объема трафика
Заключение
Для обеспечения высокого уровня безопасности корпоративной сети рекомендуется комплексный подход, сочетающий использование персональных межсетевых экранов и сетевых систем обнаружения атак. NIDS могут служить дополнительным методом контроля и обнаружения сбоев в работе "распределенного" межсетевого экрана локальной сети.
Важно помнить, что ни одно решение не является панацеей, и эффективная защита требует постоянного мониторинга, анализа журналов и своевременного реагирования на выявленные угрозы.