Zašto vam je potreban vatrozid u usmjerivaču? Hardverska zaštita SOHO-klase mreža korištenjem vatrozida

07.05.2019 Internet, Wi-Fi, lokalne mreže

Vatrozid - blokiranje prometa iz neovlaštenih izvora - jedna je od najstarijih mrežnih sigurnosnih tehnologija, ali proizvođači vatrozida nastavljaju razvijati nove pristupe koji pomažu u učinkovitijem suprotstavljanju modernim prijetnjama u promjenjivom mrežnom okruženju i štite korporativne IT resurse. Vatrozidi sljedeće generacije omogućuju vam stvaranje i provedbu pravila korištenjem šireg raspona kontekstualnih podataka.

Evolucija vatrozida (FW) prešla je dug put. Prvo ih je u kasnim 80-ima razvio DEC i radili su uglavnom na prva četiri sloja OSI modela, presrećući promet i analizirajući pakete radi usklađenosti s određenim pravilima. Zatim Kontrolna točka predloženi vatrozidi s čipovima specifičnim za aplikaciju (ASIC) za dubinsku analizu zaglavlja paketa. Ovi napredni sustavi mogli su održavati tablicu aktivnih veza i omogućiti je u pravilima Stateful Packet Inspection (SPI). SPI tehnologija vam omogućuje provjeru izvorne i odredišne IP adrese i portova za nadzor.

Veliki korak naprijed je stvaranje FW-ova koji rade na razini aplikacije. Prvi takav proizvod izbacio je SEAL još 1991. godine, a dvije godine kasnije pojavilo se rješenje otvorenog koda Firewall Toolkit (FWTK) tvrtke Trusted Information Systems. Ovi vatrozidi provjeravali su pakete na svih sedam razina, što je omogućilo korištenje naprednih informacija u skupovima pravila (politika) - ne samo o vezama i njihovom stanju, već i o operacijama koje koriste određeni aplikacijski protokol. Do sredine 90-ih vatrozidi su dobili mogućnost nadziranja popularnih protokola na razini aplikacije: FTP, Gopher, SMTP i Telnet. Ovi napredni proizvodi (svjesni aplikacija) nazivaju se vatrozidi sljedeće generacije (NGFW).

TIS je objavio komercijalnu verziju FWTK - Gauntlet Firewall. Uz provjeru autentičnosti korisnika, filtriranje URL-ova, zaštitu od zlonamjernog softvera i sigurnosne mogućnosti na razini aplikacije, ovaj se proizvod smatra prvim vatrozidom "sljedeće generacije". Dakle, formalno NGFW proizvodi imaju već više od 15 godina, iako danas ovaj izraz ima drugačije značenje.

SMJENA GENERACIJA

Analitičari tvrtke Frost & Sullivan razlikuju četiri generacije vatrozida. Prvi (1985. – 1990.) bio je proizvod DEC-a; drugi (1996–2002) - pojava SPI proizvoda (Check Point) i rad na razini aplikacije (Gauntlet), integracija IPsec VPN funkcija, korištenje vlasničkih ASIC-ova za povećanje performansi (Lucent, NetScreen); treći (2003–2006) - primjena funkcija Duboki paket Pregled i konsolidacija zaštitnih funkcija (Fortinet); četvrta generacija (od 2007. do danas) - osiguranje sigurnosti prometa na temelju identifikacije aplikacija i korisnika (Palo Alto) i uvođenje novih tehnologija od strane velikih dobavljača.

Stoga se podrijetlo pojma NGFW u njegovom modernom smislu pripisuje Palo Alto Networksu. Svoje proizvode naziva "vatrozidima sljedeće generacije" koji omogućuju strogu kontrolu nad pristupom pojedinačnih korisnika aplikacijama i internetu. U biti, NGFW kombinira nekoliko funkcija - FW, IPS i web sigurnosne pristupnike - u jednu platformu. Korisnici dobivaju priliku kontrolirati "ulaz" i "izlaz" iz mreže. U NGFW-u, pravila su postavljena po aplikaciji, a ne samo po portu i IP adresi.

U usporedbi s vatrozidima tvrtki Cisco, Check Point Software Technologies i Juniper Networks, proizvodi Palo Alto Networksa omogućili su lakši nadzor i jaču zaštitu prometa putem društvenih mreža, Google Gmaila ili Skypea. Rastuća popularnost web aplikacija uvelike je pridonijela razvoju poslovanja ovog dobavljača koji je na tržište ušao 2005. godine. Forrester Research svoj glavni proizvod naziva revolucionarnim.

Danas tržište vatrozida (vidi slike 1 i 2) ili vatrozida pokriva niz segmenata: SOHO, SMB, proizvodi za velika poduzeća i pružatelji usluga. Nova NGFW funkcionalnost pomaže u zaštiti korporativnih mreža kako se uvode nove tehnologije i računalni modeli (cloud i mobilno računalstvo). Proširenje funkcionalnosti dovelo je do stvaranja unificiranih platformi (Unified Threat Management, UTM), koje su danas u širokoj uporabi.

Iako granica mreže postaje zamagljena, perimetralna zaštita FW-om ostaje važan faktor I neophodan element sigurnosni sustav na više razina. Pojava mobilnih uređaja i pojava BYOD koncepta ima snažan utjecaj na sigurnost, ali to više povećava važnost mrežnog perimetra, jer samo unutar njegovih granica podaci mogu biti relativno sigurni, kaže Dmitry Kurashev, direktor Entensysa.

„Ako govorimo o modernim i popularnim funkcijama, vatrozidi se uglavnom koriste kao klasični vatrozidi“, napominje Dmitry Ushakov, voditelj odjela za pripremu i implementaciju tehničkih rješenja u Stonesoft Russia. - Naravno, njihove se mogućnosti već razlikuju od onih koje su se koristile 80-ih i 90-ih, na primjer kontekstualno filtriranje sa stanjem i raščlanjivanje aplikacija (mogućnost praćenja povezanih veza). Ali u praksi su uglavnom tražene klasične funkcije.”

Prema analitičarima tvrtke Frost & Sullivan, Dok tradicionalni vatrozidi ostaju temeljni sigurnosni alat, oni su neučinkoviti u zaštiti od sofisticiranih mrežnih napada. Razvoj tehnologija i aplikacija dovodi do otvaranja sve više rupa za napadače, i praktična provedba sigurnosni sustavi postaju složeniji. Za borbu protiv rastućih prijetnji, proizvođači moraju ubrzati razvoj novih metoda za otkrivanje i sprječavanje napada i blokiranje neželjenih mrežni promet. Prema stručnjacima Gartnera, tržište vatrozida je ušlo u razdoblje "dinamičke evolucije" i visoke stope rasta nastavit će se u narednim godinama (vidi sliku 3).

Slika 3. Prognoza rasta globalnog tržišta vatrozida od Frosta & Sullivana.

"NOVA GENERACIJA" DANAS

Temeljna tehnologija NGFW-a ostaje granularna i konfigurabilna kontrola na razini aplikacije, ali je "podrška za aplikacije" u današnjim vatrozidima znatno drugačija od one koja se nudila prije 20 godina. Tehnologija vatrozida značajno se razvila kako bi uključila specijalizirana rješenja koja izvode duboku analizu prometa i identifikaciju aplikacija. Proizvodi su brži i podržavaju složenije skupove pravila od svojih prethodnika.

Analitičari Gartnera primjećuju da je u posljednje dvije do tri godine sve veća potražnja za NGFW platformama koje su sposobne identificirati i blokirati sofisticirane napade, postavljati (s visokim stupnjem detalja) sigurnosne politike na razini aplikacije, a ne samo portova i protokoli. Funkcionalnost i performanse vatrozida moraju zadovoljiti zahtjeve više složena interakcija s aplikacijama, a sami uređaji imaju visoku propusnost i podržavaju virtualizaciju. Izbor rješenja određen je čimbenicima kao što su cijena, lakoća upravljanja, lakoća i brzina postavljanja. Naravno, popis tu ne završava.

„Kada uspoređuju ili razvijaju metodologiju za odabir vatrozida, analitičari operiraju s nekoliko desetaka (ponekad i do stotinu i pol) kriterija koje treba uzeti u obzir pri odabiru rješenja. Svaki kupac postavlja prioritete na svoj način – ne postoji i ne može postojati univerzalni recept ili scenarij,” naglašava Alexey Lukatsky, Cisco stručnjak na području mrežne sigurnosti.

Nove prijetnje i Web 2.0 tehnologije tjeraju dobavljače da ažuriraju svoje ponude - vatrozidi se razvijaju. Opremljeni su funkcijama dubinske analize prometa i pružaju fleksibilne postavke politike, a njihova izvedba raste u skladu s rastom propusnosti mreže. NGFW-ovi su sposobni nadzirati mrežni promet na razini aplikacije i korisnika te aktivno blokirati prijetnje. Mogu uključivati raspon dodatna sredstva osigurati sigurnost i podržati napredne mrežne funkcije.

Velika poduzeća i pružatelji usluga trebaju rješenja visokih performansi. Najnoviji sustavi izgrađeni su na snažnim hardverskim platformama, a prethodno različiti sigurnosni alati i funkcije - IPS, dubinska analiza paketa, provjera autentičnosti korisnika i mnogo više - koriste se kao integrirane komponente. Međutim, vatrozide poslovne razine karakterizira ne određeni skup funkcija, već skalabilnost, upravljivost i pouzdanost koji zadovoljavaju potrebe velikih tvrtki.

Vatrozidi vodećih dobavljača, uključujući Check Point Software Technologies, Cisco Systems, Fortinet, Juniper Networks i Palo Alto Networks, pružaju detaljne analiza konteksta prometa na razini aplikacije. Ali to nije jedino svojstvo NGFW-a. Primjerice, Gartner je prije više od tri godine predložio vlastitu definiciju, naglašavajući vezu između IPS-a i NGFW-a. Drugi analitičari smatraju UTM funkcije važnom značajkom NGFW-a. Palo Alto i Juniper drže se svoje terminologije. Međutim, poanta nije u jeziku, već u funkcijama NGFW-a koje organizacije mogu iskoristiti za zaštitu svojih mreža.

Prema Alexeyu Lukatskom, Cisco gleda na ovo pitanje malo šire nego što je uobičajeno u drugim tvrtkama: „Ne koristimo koncept NGFW, zamjenjujući ga s Context-Aware FW, to jest, između vatrozid, uzimajući u obzir kontekst. Kontekst se ne shvaća samo kao odgovor na pitanje “ŠTO je moguće?” (odnosno analizu prometa na mrežnoj i aplikativnoj razini), ali i odgovore na pitanje KADA je to moguće? (povezivanje pokušaja pristupa s vremenom), "ODAKLE i ODAKLE?" (lokacija resursa i opreme s koje se šalje zahtjev), “TKO mogu?” (vezivanje ne samo na IP adresu, već i na korisnički račun), "KAKO je moguće?" (s kojeg je uređaja dopušten pristup - osobni ili korporativni, desktop ili mobilni). Sve to vam omogućuje da fleksibilnije izgradite politiku pristupa i uzmete u obzir potrebe modernog poduzeća koje se stalno mijenjaju sa stajališta informacijske sigurnosti.”

NGFW je uređaj koji proširuje funkcionalnost tradicionalnog vatrozida u smislu dodatne usluge inspekcija i kontrola korisnika i aplikacija, kaže Dmitry Ushakov. “Sukladno tome, vatrozid sljedeće generacije je uglavnom FW, IPS i sustav za praćenje ponašanja korisnika i aplikacija”, naglašava. "U tom smislu, Stonesoft StoneGate FW već nekoliko godina obavlja funkcije NGFW-a."

Vatrozidi čine više od pukog filtriranja dolaznog prometa. Neki NGFW-ovi također mogu detektirati nenormalnu aktivnost u odlaznom prometu., na primjer, interakcija preko priključka 80 s neovlaštenim mjestom ili promet koji odgovara jednom od potpisa. To pomaže identificirati i blokirati odlaznu komunikaciju, uključujući one koje pokreće zlonamjerni softver. “Sve više i više mogućnosti koje su prije bile implementirane na namjenskim vatrozidima kombiniraju se u jedan hardverski i softverski paket. Zamišljamo NGFW kao kvalitetnu kombinaciju standardne zaštite, kontrole aplikacija i sprječavanja upada,” rekao je Brendan Patterson, viši menadžer za upravljanje proizvodima u WatchGuard Technologies.

NGFW-ovi vam omogućuju stvaranje politika informacijske sigurnosti na temelju širokog raspona kontekstualnih podataka, pružajući viši stupanj zaštite, upravljivosti i skalabilnosti. Promet internetske usluge (od E-mail na streaming videa i društvene mreže) prolazi kroz preglednik pored ograničen broj priključke, a NGFW mora biti u mogućnosti analizirati sesije (na različitim razinama detalja) kako bi donio odluke ovisno o kontekstu. Još jedna značajka NGFW-a je podrška za identifikaciju korisnika (koja se može koristiti prilikom kreiranja pravila), a za to vatrozid može koristiti vlastite informacije ili pristupiti Active Directoryju. Sposobnost prepoznavanja i analize prometa pojedinačnih aplikacija postala je posebno važna s porastom web aplikacija, koje većina SPI vatrozida može identificirati samo kao HTTP promet na portu 80.

Kupnja NGFW-a s namjerom korištenja samo njegovih funkcija filtriranja prometa prema portu je nepraktična, ali ne trebaju svi funkcije detaljne kontrole aplikacija. Osim toga, vrijedi razmotriti ima li organizacija kvalificirane resurse za konfiguriranje i održavanje složenog skupa NGFW pravila. Ne smijemo zaboraviti na brzinu. Najbolje je konfigurirati i testirati NGFW u radno okruženje. Propusnost i jednostavnost upravljanja ostaju ključni kriteriji za procjenu vatrozida. Poseban segment su proizvodi za upravljanje politikama (Firewall Policy Management, FPM). Gartner preporučuje njihovu upotrebu kada složenost vašeg IT okruženja premašuje mogućnosti konzole za upravljanje FW-om.

Analitičari Gartnera vjeruju da su tradicionalni SPI vatrozidi već zastarjela tehnologija, ne može zaštititi od mnogih prijetnji, a mnoge organizacije sada implementiraju NGFW. Gartner predviđa da će za tri godine 38% poduzeća koristiti NGFW, u odnosu na samo 10% u 2011. Istodobno, broj korisnika koji koriste kombinirana rješenja (FW+IPS) smanjit će se sa 60 na 45%, a broj tvrtki koje koriste isključivo vatrozid smanjit će se s 25 na 10%. U Rusiji će, po svemu sudeći, rezultati biti drugačiji.

"Kao što praksa pokazuje, tradicionalni vatrozidi još uvijek su veliki uspjeh", prisjeća se Dmitry Ushakov. - To je uglavnom zbog ograničena kontrola za implementaciju sigurnosnih usluga od strane regulatornih tijela i, nažalost, za osiguranje informatičke zaštite na bazi reziduala - jeftinije i minimalno. Malo ljudi razmišlja o prijetnjama i posljedicama. Stoga svakako postoji mjesto za tradicionalne zaslone, ali oni će biti opremljeni novim funkcijama. Primjerice, sve su traženiji uređaji koji uz tradicionalni FW imaju i alate za dubinsku analizu tokova internet mreže.”

U međuvremenu, pri rješavanju novih složenih problema, programeri ponekad moraju raditi kompromise. NSS Lab zaključio je da nove značajke NGFW-a, kao što je precizna kontrola na razini aplikacije, često smanjuju performanse i sigurnosnu učinkovitost u usporedbi s kombinacijom tradicionalnih vatrozida i IPS-a. Samo polovica ispitanih sustava imala je učinkovitost zaštite veću od 90%.

Studija NSS-a također je otkrila da se IPS rijetko konfigurira na NGFW sustavima; zadana pravila dobavljača obično se primjenjuju nakon implementacije. To ima negativan utjecaj na sigurnost. A propusnost ne zadovoljava deklariranu: od osam proizvoda, pet je imalo nižu. Osim toga, svi testirani NGFW-ovi imali su maksimalne veze koje nisu bile unutar specifikacija. Laboratorijski ispitivači NSS-a zaključili su da će NGFW biti spremni za postavljanje u korporativna okruženja tek nakon povećanja produktivnosti, i općenito, NGFW tehnologije treba poboljšati - sustavi moraju osigurati stabilniji rad i visok stupanj sigurnosti.

U isto vrijeme, većina dobavljača uspješno razvija svoje poslovanje. Na primjer, IDC je istaknuo Check Point kao vodećeg dobavljača vatrozida/UTM: u drugom kvartalu prošle godine ovaj veteran na tržištu vatrozida bio je lider u ovom segmentu u smislu prodaje, pobijedivši najveće dobavljače mrežne opreme. Udio Check Pointa na globalnom FW/UTM tržištu premašuje 20%, au zapadnoj Europi približava se 30%.

Linija Check Point uključuje sedam modela sigurnosnih uređaja s “software blade” arhitekturom (vidi sliku 4): modeli od 2200 do 61000 (potonji je najbrži firewall dostupan danas). Visoke performanse Provjerite uređaje Point kombinira vatrozid, VPN, sprječavanje upada, kontrolu pristupa aplikacijama i mobilnim uređajima, sprječavanje curenja podataka, podršku identiteta, URL filtriranje, antispam, antivirus i anti-bot funkcije.

U Magičnom kvadrantu analitičari Gartnera rangirali su Check Point i Palo Alto Networks kao tržišne lidere na tržištu vatrozida, dok su Fortinet, Cisco, Juniper Networks i Intel (McAfee) imenovani kandidatima. Čak sedam vendora pokazalo se kao “niche players”, a niti jedna tvrtka nije upala u sektor “vizionara”. Međutim, to ne sprječava kupce da daju prednost Cisco proizvodima (vidi sliku 5).

Tržište se nastavlja kretati prema NGFW sustavima koji mogu detektirati i blokirati razne sofisticirane napade i provoditi pravila na razini aplikacije. U 2012. etablirani tržišni igrači nastojali su poboljšati svoja NGFW rješenja tako da u svojim mogućnostima ne budu inferiorna u odnosu na proizvode novopridošlica u industriji, a inovativni programeri sustava dopunili su ih kontrolama, dovodeći ih na razinu etabliranih marki.

POKRETAČI RASTA I NOVI RAZVOJ

Iako je globalno tržište vatrozida zasićeno, daleko je od stagnacije. Gotovo svi veći dobavljači predstavili su proizvode nove generacije dodatne funkcije. Pokretači rasta tržišta vatrozida - mobilnost, virtualizacija i računalstvo u oblaku - pokreću potrebu za novim mogućnostima koje nudi NGFW. Analitičari Gartnera primjećuju rastuću potražnju za softverskim verzijama vatrozida koji se koriste u virtualiziranim podatkovnim centrima (vidi sliku 6). U 2012. udio virtualnih NGFW opcija nije premašio 2%, ali će, prema predviđanjima Gartnera, do 2016. narasti na 20%. Virtualne verzije vatrozida i rješenja za zaštitu sadržaja dobro su prilagođene za implementaciju u okruženjima oblaka.

Slika 6. Prema Infonetics Researchu, troškovi sjevernoameričkih tvrtki za osiguranje informacijske sigurnosti podatkovnih centara naglo su porasli prošle godine.

Za udaljene urede i mala i srednja poduzeća vatrozid u oblaku koji instalira davatelj usluga često je privlačno rješenje. Prema nekim stručnjacima, s razvojem arhitekture mobilnog pristupa i oblaka, morat će se promijeniti i sigurnosna arhitektura: umjesto NGFW-a, tvrtke će češće koristiti web pristupnike pod kontrolom pružatelja usluga, a velike će organizacije odvojiti funkcije Web pristupnici i vatrozidi za poboljšanje performansi i upravljivosti, iako neki NGFW proizvodi mogu obavljati osnovne funkcije web pristupnika.

Dmitry Kurashev smatra da je bolje dodijeliti sve funkcije obrade prometa gatewayima koji se nalaze unutar tvrtke: "Ispravnije je koristiti usluge oblaka za administraciju i nadzor poslužiteljskih aplikacija, kao i za prikupljanje statistike i analize." "Vatrozid bi trebao biti instaliran prema zadanim postavkama i kod pružatelja usluga oblaka i na strani korisnika usluga u oblaku", dodaje Alexey Lukatsky. “Uostalom, između njih postoji nezaštićeno okruženje, koje može postati odskočna daska za prodor u korporativnu mrežu ili oblak zlonamjernog softvera ili za napade uljeza. Stoga su sigurnosne mjere mreže i dalje potrebne.”

Tipičan primjer upravljane usluge sigurnost - skup usluga nedavno najavljenih u Rusiji za zaštitu klijentove mreže od velikih mrežnih prijetnji, koje nudi Orange Business Services. Usluge Unified Defense omogućuju vam pružanje centralizirane antivirusne zaštite za sve uređaje na mreži, zaštitu korporativnih poštanskih sandučića od neželjene pošte i filtriranje internetskog prometa, po potrebi ograničavajući pristup zaposlenika određenim mrežnim resursima na hardverskoj razini. Dodatno, sigurnosni sustav uključuje vatrozid, kao i alate za otkrivanje i sprječavanje upada.

Unified Defense temelji se na kompaktnom UTM uređaju s NGFW funkcionalnošću tvrtke Fortinet, koji je instaliran na mreži korisnika i podržavaju Orange stručnjaci. Proizvod se nudi u dvije verzije - za mreže koje podržavaju do 200 korisnika i brzinu internetskog kanala ne prelazi 20 Mbit/s (oprema FortiGate 80C), kao i za mreže za 1000 korisnika i kanal od 100 Mbit/s. s (oprema FortiGate 200B) (vidi sliku 7). Trenutno je usluga dostupna korisnicima Orangea, au budućnosti se planira pružanje usluge u mrežama trećih pružatelja usluga.

Objedinjena obrana koju pokreće Fortinet hardver omogućuje čak i tvrtkama s ograničenim IT proračunom da iskoriste prednosti novih sigurnosnih tehnologija. Jedna od funkcija klijentskog portala je pristup redovitim izvješćima o radu sustava, uključujući informacije o neutraliziranim prijetnjama.

Duboka analiza prometa omogućuje vam prepoznavanje aplikacija koje razmjenjuju podatke preko mreže. S obzirom na suvremene trendove prijenosa aplikacija u oblak i razvoja SaaS usluga, jedino je moguće osigurati da samo relevantni podaci dospiju u korporativnu mrežu s još višom razinom detalja. Svaki dobavljač koristi svoje pristupe pri stvaranju NGFW-a. Mnogi ljudi biraju metodu potpisa.

Na primjer, Astaro (dio Sophosa od 2011.) koristi bazu podataka potpisa svojeg partnera Vineyard Networks. Zahvaljujući tome, Astaro Security Gateway može razlikovati različite aplikacije koje se izvode na istoj web stranici, primijeniti QoS pravila, prioritete prometa i dodijeliti im propusnost. Nova verzija Astaro Security Gatewaya poboljšala je administrativno sučelje: korištenjem mrežne karte možete postaviti pravila u stvarnom vremenu i brzo odgovoriti na nove prijetnje. U budućim verzijama vatrozida Astaro bit će moguće prenijeti pakete stručnjacima nepoznata vrsta za njihovu naknadnu analizu.

Prošle je godine Check Point ažurirao svoju liniju proizvoda za 90%. Predstavljeni modeli optimizirani su za Check Point softversku blade arhitekturu i, prema developeru, imaju približno tri puta veće performanse u usporedbi s prethodnim generacijama. Novi modul Sigurnosno ubrzanje, koje pokreće tehnologija SecurityCore, značajno poboljšava performanse vatrozida ubrzavanjem ključnih operacija. Prema Check Pointu, njegova propusnost doseže 110 Gbps, a latencija je manja od 5 mikrosekundi. Prema tvrtki, ovo je najsnažniji vatrozid u industriji u 2U formatu.

AppWiki biblioteka koju je izradio Check Point omogućuje vam da identificirate više od 5 tisuća aplikacija i 100 tisuća widgeta. Ove potpise koriste programske oštrice Check Point Application Control i Identity Awareness. Osim toga, softver se integrira s Active Directoryjem za identifikaciju klijentskih uređaja i krajnjih korisnika, a administratori mogu fino podesiti sigurnosna pravila. Zaposlenici se obučavaju u stvarnom vremenu: kada netko prekrši sigurnosnu politiku, aplikacija klijentskog agenta Check Point UserCheck prikazuje skočni prozor koji objašnjava kršenje i traži potvrdu radnje. Mogućnost prosljeđivanja zahtjeva administratoru pojednostavljuje proces prilagodbe sigurnosnih pravila kako bi se zadovoljile potrebe korisnika.

Izdanje softvera R74.40 za Check Pointove ključne mrežne sigurnosne proizvode uključuje više od 100 novih značajki, uključujući Anti-Bot Software Blade i ažuriranu verziju Anti-Virus s Check Point ThreatCloud tehnologijom: ovo usluga u oblaku prikuplja informacije o prijetnjama i pruža zaštitu sigurnosnog pristupnika u stvarnom vremenu. Check Point Virtual Systems, novo rješenje za podatkovne centre i privatne oblake, omogućuje vam kombiniranje do 250 virtualnih sustava na jednom uređaju.

Cisco je prošle godine izbacio vlastito NGFW rješenje - novu generaciju Adaptive Security Appliance (ASA), koje je odgovor na tehnologiju koju je razvio Palo Alto Networks. ASA CX je vatrozid svjestan konteksta, odnosno prepoznaje ne samo IP adrese, već i aplikacije, korisnike i uređaje te vam stoga omogućuje praćenje kako zaposlenik koristi određene aplikacije na drugačija oprema, te osigurati usklađenost s relevantnim propisima.

Radeći na svim modelima Cisco ASA 5500-X (od 5512-X do 5585-X), Cisco ASA CX omogućuje vezanje pravila na korisnički račun u Active Directory, kontrolu nad više od 1100 aplikacija (Facebook, LinkedIn, Skype, BitTorrent, iCloud) , Dropbox, Google Drive, MS Windows Azure, Salesforce CRM, Oracle e-Business Suite, MS Lync, Tor itd.), praćenje vremena i slanje zahtjeva za pristup, kao i rješavanje mnogih drugih problema. pri čemu Cisco ASA CX nije samo samostalna multi-gigabitna platforma, već se čvrsto integrira s drugim Ciscovim sigurnosnim rješenjima- Cisco IPS sustav za sprječavanje upada, Cisco ISE sustav autorizacije i kontrole pristupa mreži, Cisco sustav za zaštitu web prometa Web sigurnost itd.

Kao što Alexey Lukatsky naglašava, takav vatrozid također uzima u obzir "nejasnu" prirodu mrežnog perimetra. Na primjer, zahvaljujući integraciji s Cisco ISE i ostalim mrežna infrastruktura Cisco, može prepoznati da promet dolazi s osobnog iPada zaposlenika, a zatim će ga, ovisno o sigurnosnoj politici, dinamički blokirati ili dopustiti pristup samo određenim internim resursima. Ako se ovaj pristup provodi s korporativnog mobilnog uređaja, njegove se privilegije mogu proširiti.

U isto vrijeme, ASA CX funkcionira ne samo na principu prijatelj/neprijatelj (osobno/korporativno), već također uzima u obzir OS koji se koristi na mobilnom uređaju, njegovu verziju, prisutnost ažuriranja i drugih „zakrpa“, kao kao i rad antivirusnog programa i relevantnost njegovih baza podataka, itd. Pristup neće biti omogućen prema IP adresama pošiljatelja i primatelja, već ovisno o čitavom nizu parametara, što omogućuje implementaciju fleksibilne politike za povezivanje sa zaštićenim resursima, bez obzira nalazi li se korisnik vani ili unutra te koristi li žičanu ili bežičnu vezu, osobni ili korporativni uređaj.

Vatrozid Dell SonicWALL koristi bazu podataka potpisa koja se neprestano širi za identifikaciju više od 3500 aplikacija i njihovih funkcija. SonicWALL-ova tehnologija ReassemblyFree Deep Packet Inspection (RFDPI) skenira pakete na svakom protokolu i sučelju. Stručnjaci istraživačkog tima SonicWALL stvaraju nove potpise koji se automatski isporučuju postojećim vatrozidima. Ako je potrebno, korisnici mogu sami dodati potpise. U SonicWALL Visualization Dashboard i Real-Time Monitor prozorima, administratori mogu vidjeti određene aplikacije na mreži, kao i tko ih koristi i kako. Ove su informacije korisne za konfiguriranje pravila i dijagnostike.

Entensys je također proširio funkcionalnost svog proizvoda. UserGate Proxy&Firewall verzija 6.0, objavljena u studenom 2012., predstavila je potpuni VPN poslužitelj i IPS sustav. Ovaj UTM proizvod nudi se u softverskom ili hardverskom obliku. Osim funkcija koje su izravno povezane sa sigurnošću, programeri su veliku pozornost posvetili filtriranju sadržaja i nadzoru internetskih aplikacija. U 2012. godini poboljšane su funkcije morfološke analize prenesene informacije za filtriranje dolaznog i odlaznog prometa, izdan je produktivan i funkcionalan poslužitelj za filtriranje sadržaja UserGate Web Filter 3.0, koji se može koristiti u kombinaciji s bilo kojim UTM rješenjem treće strane.

Fortinet, koji se obično povezuje s UTM-om, prošle je godine predstavio FortiGate3240C, proizvod koji će vjerojatnije pripadati klasi NGFW. Fortinet FortiGate uređaji koriste dekodere protokola i dešifriranje mrežnog prometa za identifikaciju aplikacija. Programeri održavaju bazu podataka u koju dodaju potpise novih aplikacija i, s izdavanjem novih verzija, ažuriraju potpise postojećih. Uz ove informacije, Fortinet proizvodi razlikuju aplikacije i primjenjuju različita pravila za svaku od njih. Tvrtka tvrdi da njeni proizvodi imaju višu razinu performansi i integracije u usporedbi s konkurentskim rješenjima, budući da su sve tehnologije razvijene neovisno. F5 Networks i Riverbed također su skrenuli pozornost na NGFW funkcije: zajedno s McAfee (Intel) i drugim pružateljima rješenja za informacijsku sigurnost ugrađuju ih u opremu i softver za optimizaciju globalnog mrežnog prometa.

U Juniper Networksu, NGFW funkcije SRX Services Gatewaya implementirane su u paketu aplikacija AppSecure. Komponenta AppTrack također koristi bazu podataka o potpisima aplikacija koje je izradio Juniper, dopunjenu potpisima koje su generirali administratori korisnika. AppTrack identificira aplikacije, a komponente AppFirewall i AppQoS osiguravaju provedbu pravila i kontrolu prometa aplikacija. Prema proizvođaču, ova je platforma vrlo skalabilna i radi na brzinama do 100 Gbit/s.

McAfee, Intelova tvrtka, koristi AppPrism tehnologiju za prepoznavanje aplikacija u McAfee Firewall Enterpriseu, koja identificira tisuće aplikacija bez obzira na priključak i protokol. Uz to se koriste potpisi koje su razvili stručnjaci McAfee Global Threat Intelligence. Koristeći AppPrism, administratori mogu zabraniti izvršavanje ne samo samih aplikacija, već i njihovih "rizičnih" komponenti- na primjer, blokirajte funkciju dijeljenja datoteka u Skypeu, dopuštajući razmjenu poruka. Kao i Juniper, McAfee pripisuje svoju vlasničku tehnologiju i potpise aplikacija prednostima svog rješenja.

App-ID tehnologija tvrtke Palo Alto Networks koristi nekoliko metoda za identifikaciju aplikacija: dešifriranje, otkrivanje, dekodiranje, potpisi, heuristika itd.. U ID-ovi aplikacija Može se koristiti bilo koja njihova kombinacija, što vam omogućuje prepoznavanje svih verzija aplikacije, kao i OS na kojem se pokreće. U skladu s App-ID-om aplikacije, vatrozid Palo Alto primjenjuje jedno ili drugo pravilo na svoj promet, na primjer, prijenos datoteka može biti blokiran. Osim toga, App-ID se može nadopuniti novim metodama za otkrivanje i identifikaciju aplikacija njihovim ugrađivanjem u mehanizme klasifikacije.

Stonesoft nije ažurirao svoju liniju vatrozida u 2012., ali je najavio novo rješenje, Evasion Prevention System (EPS). Ovaj je alat dizajniran za otkrivanje i sprječavanje kibernetičkih napada koji koriste tehnike dinamičke evazije(Advanced Evasion Technique, AET - tehnike koje se koriste u kombinaciji s mrežnim napadima za zaobilaženje sigurnosnih sustava) i iskorištavanje ranjivosti u sigurnosnim sustavima. Kao što je rekao Dmitry Ushakov, proizvod pruža dodatnu razinu sigurnosti za NGFW, IPS i UTM uređaje koji su već instalirani u organizacijama koje su ranjive na AET. Ovo je nova klasa uređaja dizajniranih za borbu protiv sofisticiranih pokušaja napadača da prodru u mrežu organizacije.

“Danas poslodavci razumiju da njihovi zaposlenici ponekad trebaju pristup zabranjenim stranicama (stranicama za zapošljavanje, društvenim mrežama itd.) i sustavima za slanje poruka (Skype, ICQ). S tim u vezi, prijave s „bijele” (moguće) i „crne” liste (nemoguće) premještaju se u „sivo” područje (moguće pod određenim uvjetima ili u Određeno vrijeme). Predlaže se formulirati te politike informacijske sigurnosti u obliku pravila pristupa”, kaže Dmitry Ushakov.

Prema Alexanderu Kushnarevu, tehničkom savjetniku za Rainbow Security (distributer WatchGuard Technologies), WatchGuard je predstavio nove virtualne verzije svojih proizvoda XTMv i XCSv, kao i hardverske platforme sljedeće generacije "s vodećim UTM performansama na tržištu." WatchGuard XTM hardverski i softverski sustavi, koristeći uslugu WatchGuard Reputation Enabled Defense, štite korisnike od zlonamjernih web stranica, a istovremeno značajno smanjuju opterećenje mreže. Ova usluga pruža visok stupanj zaštite od web prijetnji, brže surfanje webom, fleksibilno upravljanje i opsežne mogućnosti izvješćivanja.

“Vidimo da potreba za UTM uređajima raste. Najnovija generacija WatchGuard hardverskih platformi može obraditi promet s omogućenim UTM uslugama istom brzinom kojom su prethodne generacije mogle izvesti samo jednostavno filtriranje paketa. Da biste vatrozid WatchGuard pretvorili u UTM uređaj, jednostavno aktivirajte licencu. Ako klijentu treba samo filtriranje paketa i organizacija VPN tunela, vatrozid u klasičnom smislu će mu odgovarati”, kaže Alexander Kushnarev.

Naglašava da su funkcije kontrole aplikacija u NGFW-u sada u velikoj potražnji: tvrtke žele regulirati pristup zaposlenika društvenim mrežama i stranicama za igre. Trenutačni UTM alati uključuju URL filtriranje s podrškom za bazu podataka stranica na ruskom jeziku, kao i punu podršku za agregaciju portova i reputaciju vanjski resursi. Potonji omogućuje visokokvalitetnu detekciju i preventivno blokiranje prometa s botnet mreža. Dodatno, većina kupaca je zainteresirana za uštedu troškova i jednostavne, praktične konfiguracijske postavke, tako da su sve-u-jednom rješenja kao što je WatchGuard XTM prikladna opcija za njih.

Prije samo dvije ili tri godine kupci su bili skeptični prema NGFW-ima, ali sada kada je tržište vrlo konkurentno, mogu birati iz širokog spektra visokokvalitetnih NGFW proizvoda. Prema analitičarima Cyber Securityja, do 2018. globalno tržište vatrozida poslovne klase rasti će za više od 11% godišnje. Međutim, vatrozidi nisu lijek za sve. Prilikom odabira rješenja potrebno je jasno definirati koje su funkcije potrebne, pazite da one koje je deklarirao dobavljač zaštitna svojstva može se implementirati u određenom radnom okruženju da tvrtka (ili vanjski izvođač) ima dovoljno resursa za upravljanje sigurnosnim politikama.

I naravno, imajte na umu da NGFW ostaju sigurnosni uređaji perimetra. Oni savršeno obavljaju svoju funkciju pri pristupu Internetu, ali “mobilna sigurnost” zahtijeva više. Danas NGFW-ovi moraju biti poboljšani sigurnosnim rješenjima u oblaku i mobilnim uređajima te moraju biti u stanju prepoznati kontekst. S vremenom će ova rješenja postati dostupnija, jednostavnija, funkcionalnija i model oblaka prilagodit će način na koji se njima upravlja.

Sergej Orlov- Glavni urednik časopisa Journal of Network Solutions/LAN. Može ga se kontaktirati na:

1590 RUB

TP-Link TP-LINK TD-W8961N(RU)

. S podrškom za ADSL2+. Uz Telnet podršku. Broj portova preklopnika je 4. Sa statičkim usmjeravanjem. S ugrađenim ruterom. Sa SPI funkcijom. Izvedba - vanjska. S podrškom za NAT. S podrškom za dinamički DNS. Vrsta modema - ADSL. S podrškom za SNMP. S DHCP poslužiteljem. S ugrađenim prekidačem. Sučelje - Ethernet. S web sučeljem. S demilitariziranom zonom (DMZ). Dimenzije 130x195x35 mm.

kupiti V online trgovina TopComputer.RU

Moguće preuzimanje

video pregledfotografija

1390 RUB

7% 1490 rub.

xDSL modem TP-LINK TD-W8901N

VPN podrška (VPN prolaz). Ugrađeni ruter. Ugrađeni prekidač. Podrška za dinamički DNS. Web sučelje. Telnet podrška. Sa 4 porta prekidača. SPI. Vatrozid. DHCP poslužitelj. NAT Izvedba - vanjska. Demilitarizirana zona (DMZ). Sučelje - Ethernet. Vrsta modema - ADSL. SNMP podrška. ADSL2+ podrška. S dubinom: 128 mm. Sa širinom: 35 mm. S visinom: 182 mm.

kupiti V online trgovina XcomShop

Moguće preuzimanje

video pregledfotografija

790 rub.

Modem UPVEL UR-104AN ADSL2+ usmjerivač s 4 Ethernet priključka 10/100 Mbit/s s podrškom za IP-TV

Sa statičkim usmjeravanjem. S demilitariziranom zonom (DMZ). S podrškom za NAT. S DHCP poslužiteljem. Uz podršku za VPN tunele (VPN Endpoint). S podrškom za ADSL2+. Sa SPI funkcijom. S vatrozidom. Broj portova preklopnika je 4. Sučelje je Ethernet. Izvedba - vanjska. Broj podržanih VPN tunela - 100. S ugrađenim routerom. S podrškom za SNMP. S podrškom za dinamički DNS. S web sučeljem. S ugrađenim prekidačem. Vrsta modema - ADSL. Težina: 180 g. Dimenzije 110x160x35 mm.

kupiti V online trgovina Oldi.ru

video pregledfotografija

2261 rublja

Modem D-link DSL-2640U

SNMP podrška. ADSL2+ podrška. SPI. Izvedba - vanjska. Vatrozid. Demilitarizirana zona (DMZ). Vrsta modema - ADSL. Podrška za VPN tunele (VPN Endpoint). VPN podrška (VPN prolaz). Sučelje - Ethernet. DHCP poslužitelj. NAT Web sučelje. Statičko usmjeravanje. Ugrađeni prekidač. Podrška za dinamički DNS. Ugrađeni ruter. S brojem ulaza prekidača 4. S težinom: 327 g.

V online trgovina cijena-com.ru

video pregledfotografija

1890 RUB

TP-Link TP-LINK TD-W8968

Vrsta modema - ADSL. S web sučeljem. S DHCP poslužiteljem. S podrškom za dinamički DNS. Uz Telnet podršku. S demilitariziranom zonom (DMZ). S ugrađenim ruterom. Sa SPI funkcijom. S vatrozidom. S podrškom za NAT. Sa statičkim usmjeravanjem. Sučelje - Ethernet. Izvedba - vanjska. S podrškom za SNMP. Broj portova preklopnika je 4. S ADSL2+ podrškom. S VPN podrškom (VPN prolaz). S ugrađenim prekidačem. S dubinom: 130 mm. Sa širinom: 195 mm. S visinom: 36 mm.

V online trgovina TopComputer.RU

Moguće preuzimanje

video pregledfotografija

1590 RUB

xDSL modem TP-LINK TD-W8961N

Demilitarizirana zona (DMZ). Ugrađeni prekidač. SPI. NAT Izvedba - vanjska. ADSL2+ podrška. Telnet podrška. Sučelje - Ethernet. Vatrozid. SNMP podrška. Podrška za dinamički DNS. DHCP poslužitelj. Web sučelje. S brojem portova preklopnika 4. Vrsta modema - ADSL. Statičko usmjeravanje. Ugrađeni ruter. Dubina: 130 mm. Širina: 195 mm. Visina: 35 mm.

V online trgovina XcomShop

Moguće preuzimanje

video pregledfotografija

2075 RUB

ADSL modem Upvel UR-203AWP

Izvedba - vanjska. S podrškom za ADSL2+. S podrškom za SNMP. Sučelje - Ethernet. Vrsta modema - ADSL. S web sučeljem. Sa statičkim usmjeravanjem. Sa SPI funkcijom. S vatrozidom. Uz Telnet podršku. S ugrađenim ruterom. Broj portova preklopnika je 3. S demilitariziranom zonom (DMZ). S podrškom za NAT. S DHCP poslužiteljem. S VPN podrškom (VPN prolaz). S ugrađenim prekidačem. S podrškom za dinamički DNS. Sa širinom: 175 mm. S dubinom: 115 mm. S visinom: 30 mm. S težinom: 280 g.

V online trgovina TopComputer.RU

Moguće preuzimanje

fotografija

1790 RUB

xDSL modem TP-LINK TD-W8960N

Demilitarizirana zona (DMZ). DHCP poslužitelj. VPN podrška (VPN prolaz). Podrška za dinamički DNS. Ugrađeni prekidač. SNMP podrška. SPI. Vatrozid. NAT Sučelje - Ethernet. Konzolni priključak. Web sučelje. Vrsta modema - ADSL. S 10 podržanih VPN tunela. Izvedba - vanjska. Podrška za VPN tunele (VPN Endpoint). ADSL2+ podrška. Statičko usmjeravanje. Ugrađeni ruter. S brojem ulaza prekidača 4. S dubinom: 140 mm. S visinom: 28 mm. Sa širinom: 200 mm.

Govoreći o programskoj i hardverskoj komponenti sustava informacijske sigurnosti, treba priznati da je najučinkovitiji način zaštite objekata lokalne mreže (mrežnog segmenta) od utjecaja iz otvorenih mreža (primjerice Internet) postavljanje određenog elementa koji nadzire i filtrira mrežne pakete koji prolaze kroz njega u skladu sa zadanim pravilima. Ovaj element se zove vatrozid (firewall) ili vatrozid, vatrozid.

Vatrozid, vatrozid, vatrozid, vatrozid– nastao transliteracijom engleskog izraza firewall.

Vatrozid (njemački: Brandmauer)– pojam posuđen iz njemačkog jezika, koji je analogan engleskom "firewall" u izvornom značenju (zid koji odvaja susjedne zgrade, štiti od širenja požara).

Mreža/vatrozid (vatrozid)– skup hardvera ili softvera koji prati i filtrira mrežne pakete koji prolaze kroz njega koristeći različite protokole u skladu s određenim pravilima.

Glavna zadaća vatrozida je zaštititi računalne mreže i/ili pojedinačne čvorove od neovlaštenog pristupa. Vatrozidi se ponekad nazivaju filteri, budući da im je glavni zadatak ne propuštati (filtrirati) pakete koji ne zadovoljavaju kriterije definirane u konfiguraciji.

Kako bi učinkovito zaštitio mrežu, vatrozid nadzire i upravlja svim podacima koji kroz nju teku. Za donošenje kontrolnih odluka za TCP/IP usluge (to jest, prosljeđivanje, blokiranje ili zapisivanje pokušaja povezivanja), vatrozid mora primiti, pohraniti, odabrati i obraditi informacije primljene od svih komunikacijskih slojeva i od drugih aplikacija.

Vatrozid propušta sav promet kroz sebe, donoseći odluku za svaki prolazni paket: dopustiti mu prolaz ili ne. Kako bi vatrozid mogao izvesti ovu operaciju, treba definirati skup pravila filtriranja. Odluka hoćete li koristiti vatrozid za filtriranje paketa podataka povezanih s određenim protokolima i adresama ovisi o sigurnosnoj politici koju je usvojila mreža koja se štiti. U biti, vatrozid je skup komponenti koje su konfigurirane za implementaciju odabranog sigurnosne politike. Mrežna sigurnosna politika svake organizacije trebala bi uključivati (između ostalog) dvije komponente: politiku pristupa mrežnim uslugama i politiku implementacije vatrozida.

Međutim, nije dovoljno samo provjeriti pojedinačne pakete. Informacije o statusu veze dobivene prethodnim pregledom veze i drugim aplikacijama glavni su čimbenik u kontrolnoj odluci prilikom pokušaja uspostavljanja nove veze. Za donošenje odluke mogu se uzeti u obzir i stanje veze (izvedeno iz prošlog protoka podataka) i stanje aplikacije (izvedeno iz drugih aplikacija).

Stoga upravljačke odluke zahtijevaju da vatrozid ima pristup, analizu i korištenje sljedećih čimbenika:

informacije o vezi – informacije sa svih sedam slojeva (OSI modela) u paketu;
povijest povezivanja – informacije primljene iz prethodnih veza;
stanje na razini aplikacije – informacije o stanju veze primljene od drugih aplikacija;
manipulacija informacijama - izračunavanje raznih izraza na temelju svih navedenih faktora.

Vrste vatrozida

Postoji nekoliko vrsta vatrozida ovisno o sljedećim karakteristikama:

pruža li štit vezu između jednog čvora i mreže ili između dvije ili više različitih mreža;
događa li se kontrola protoka podataka na mrežnom sloju ili višim razinama OSI modela;
prate li se stanja aktivnih veza ili ne.

Ovisno o obuhvatu kontroliranih protoka podataka vatrozidi se dijele na:

zid tradicionalne mreže (ili vatrozida).– program (ili sastavni dio operacijskog sustava) na pristupniku (uređaj koji prenosi promet između mreža) ili hardversko rješenje koje kontrolira dolazne i odlazne tokove podataka između povezanih mreža (distribuiranih mrežnih objekata);
osobni vatrozid– program instaliran na računalu korisnika i dizajniran da zaštiti samo ovo računalo od neovlaštenog pristupa.

Ovisno o OSI razini na kojoj se odvija kontrola pristupa, vatrozidi mogu djelovati na:

razini mreže, kada se filtriranje odvija na temelju adresa pošiljatelja i primatelja paketa, brojeva portova transportnog sloja OSI modela i statičkih pravila koje je odredio administrator;
razini sesije(također poznat kao državnički), kada se sesije između aplikacija nadziru i paketi koji krše TCP/IP specifikacije nisu proslijeđeni, često se koriste u zlonamjernim operacijama - skeniranje resursa, hakiranje kroz netočne TCP/IP implementacije, prekinute/spore veze, ubacivanje podataka;
razina primjene(ili razini aplikacije), kada se filtriranje izvodi na temelju analize podataka aplikacije koji se prenose unutar paketa. Ove vrste zaslona omogućuju blokiranje prijenosa neželjenih i potencijalno štetnih informacija na temelju pravila i postavki.

Filtriranje na razini mreže

Filtriranje dolaznih i odlaznih paketa provodi se na temelju informacija sadržanih u sljedećim poljima TCP i IP zaglavlja paketa: IP adresa pošiljatelja; IP adresa primatelja; luka pošiljatelja; luka primatelja.

Filtriranje se može implementirati na različite načine za blokiranje veza određena računala odnosno luke. Na primjer, možete blokirati veze koje dolaze iz određene adrese ona računala i mreže koje se smatraju nepouzdanima.

relativno niska cijena;
fleksibilnost u definiranju pravila filtriranja;
malo kašnjenje u prolazu paketa.

Mane:

ne prikuplja fragmentirane pakete;
ne postoji način da se prate odnosi (veze) između paketa.?

Filtriranje na razini sesije

Ovisno o praćenju aktivnih veza, vatrozidi mogu biti:

bez državljanstva(jednostavno filtriranje), koji ne prate trenutne veze (na primjer, TCP), već filtriraju tok podataka isključivo na temelju statičkih pravila;
stanje, inspekcija paketa s praćenjem stanja (SPI)(filtriranje ovisno o kontekstu), praćenje trenutnih veza i propuštanje samo onih paketa koji zadovoljavaju logiku i algoritme odgovarajućih protokola i aplikacija.

Vatrozidi sa SPI-om omogućuju učinkovitiju borbu protiv raznih vrsta DoS napada i ranjivosti nekih mrežnih protokola. Osim toga, osiguravaju funkcioniranje protokola kao što su H.323, SIP, FTP, itd., koji koriste složene sheme prijenosa podataka između primatelja, koje je teško opisati statičkim pravilima, a često su nekompatibilne sa standardnim vatrozidima bez stanja.

Prednosti takve filtracije uključuju:

analiza sadržaja paketa;
nisu potrebne informacije o radu protokola sloja 7.

Mane:

teško je analizirati podatke na razini aplikacije (eventualno korištenjem ALG - pristupnika na razini aplikacije).

Pristupnik na razini aplikacije, ALG (pristupnik na razini aplikacije)– komponenta NAT usmjerivača koja razumije neki aplikacijski protokol, a kada paketi tog protokola prolaze kroz njega, modificira ih na način da korisnici iza NAT-a mogu koristiti protokol.

Usluga ALG pruža podršku za protokole na razini aplikacije (kao što su SIP, H.323, FTP, itd.) za koje nije dopušten prijevod mrežne adrese. Ova usluga određuje vrstu aplikacije u paketima koji dolaze s internog mrežnog sučelja i u skladu s tim za njih izvodi prijevod adrese/porta preko vanjskog sučelja.

SPI tehnologija(Stateful Packet Inspection) ili tehnologija inspekcije paketa koja uzima u obzir stanje protokola danas je napredna metoda kontrole prometa. Ova vam tehnologija omogućuje kontrolu podataka do razine aplikacije bez potrebe zasebna aplikacija posrednik ili proxy za svaki zaštićeni protokol ili mrežnu uslugu.

Povijesno gledano, evolucija vatrozida proizašla je iz filtara paketa Opća namjena, zatim su se počeli pojavljivati posrednički programi za pojedine protokole i konačno je razvijena tehnologija inspekcije stanja. Prethodne tehnologije samo su se nadopunjavale, ali nisu pružale sveobuhvatnu kontrolu nad vezama. Paketni filtri nemaju pristup informacijama o vezi i stanju aplikacije koje su potrebne sigurnosnom sustavu za donošenje konačne odluke. Middleware programi obrađuju samo podatke na razini aplikacije, što često stvara različite prilike za hakiranje sustava. Arhitektura pregleda stanja jedinstvena je jer vam omogućuje rukovanje svim mogućim informacijama koje prolaze kroz gateway stroj: podaci iz paketa, podaci o stanju veze, podaci potrebni aplikaciji.

Primjer kako funkcionira mehanizam Stateful Inspection. Vatrozid nadzire FTP sesiju ispitujući podatke na razini aplikacije. Kada klijent zatraži od poslužitelja da otvori obrnutu vezu (naredba FTP PORT), vatrozid izdvaja broj porta iz tog zahtjeva. Popis pohranjuje adrese klijenata i poslužitelja te brojeve portova. Kada se otkrije pokušaj uspostavljanja FTP-podatkovne veze, vatrozid skenira popis i provjerava je li veza doista odgovor na važeći zahtjev klijenta. Popis veza održava se dinamički tako da su otvoreni samo potrebni FTP portovi. Čim se sesija zatvori, portovi se blokiraju, pružajući visoku razinu sigurnosti.

Filtriranje na razini aplikacije

Kako bi zaštitili brojne ranjivosti svojstvene filtriranju paketa, vatrozidi moraju koristiti aplikacijske programe za filtriranje veza s uslugama kao što su Telnet, HTTP, FTP. Slična primjena nazvao proxy usluga, a glavno računalo na kojem se izvodi proxy usluga je pristupnik na razini aplikacije. Takav gateway eliminira izravnu interakciju između ovlaštenog klijenta i vanjskog računala. Gateway filtrira sve dolazne i odlazne pakete na sloju aplikacije (sloj aplikacije - gornji sloj mrežnog modela) i može analizirati sadržaj podataka, kao što je URL sadržan u HTTP poruci ili naredba sadržana u FTP poruci. Ponekad je učinkovitije filtrirati pakete na temelju informacija sadržanih u samim podacima. Filtri paketa i filtri na razini veze ne koriste sadržaj toka informacija pri donošenju odluka o filtriranju, ali filtriranje na razini aplikacije to može učiniti. Filtri aplikacijskog sloja mogu koristiti informacije iz zaglavlja paketa kao i sadržaj podataka i korisničke informacije. Administratori mogu koristiti filtriranje na razini aplikacije za kontrolu pristupa na temelju identiteta korisnika i/ili konkretan zadatak koje korisnik pokušava postići. U filtrima na razini aplikacije možete postaviti pravila na temelju naredbi koje izdaje aplikacija. Na primjer, administrator može spriječiti određenog korisnika da preuzima datoteke na određeno računalo pomoću FTP-a ili dopustiti korisniku da hostira datoteke putem FTP-a na istom računalu.

Usporedba hardverskih i softverskih vatrozida

Za usporedbu vatrozida, podijelit ćemo ih u dvije vrste: 1. – hardverski i softversko-hardverski i 2. – softverski.

Hardverski i softverski vatrozidi uključuju uređaje instalirane na rubu mreže. Softverski vatrozidi su oni koji su instalirani na krajnjim računalima.

Glavni pravci svojstveni i prvom i drugom tipu:

osiguranje sigurnosti dolaznog i odlaznog prometa;
značajno povećanje sigurnosti mreže i smanjenje rizika za podmrežne hostove prilikom filtriranja poznatih nezaštićenih usluga;
mogućnost kontrole pristupa mrežnim sustavima;
obavještavanje o događaju putem odgovarajućih alarma koji se aktiviraju kada se dogodi bilo kakva sumnjiva aktivnost (pokušaji sonde ili napadi);
pružanje jeftinog sigurnosnog rješenja koje je jednostavno za implementaciju i upravljanje.

Hardverski i softverski vatrozidi dodatno podržavaju funkcionalnost koja omogućuje:

spriječiti bilo koje ranjive usluge u dobivanju informacija ili ubacivanju informacija u zaštićenu podmrežu;
bilježiti pokušaje pristupa i pružati potrebne statistike o korištenju interneta;
osigurati sredstva za reguliranje redoslijeda pristupa mreži;
osigurati centralizirano upravljanje prometom.

Softverski vatrozidi, uz glavna područja, omogućuju:

kontrolirati pokretanje aplikacija na hostu na kojem su instalirane;
zaštititi objekt od prodiranja kroz "otvore" (stražnja vrata);
pružiti zaštitu od unutarnjih prijetnji.

Vatrozid nije simetričan uređaj. On razlikuje pojmove “izvana” i “iznutra”. Vatrozid štiti unutarnje područje od nekontroliranih i potencijalno neprijateljskih vanjsko okruženje. U isto vrijeme, vatrozid vam omogućuje da ograničite pristup objektima javna mreža od strane subjekata zaštićene mreže. Ako je ovlaštenje prekršeno, rad subjekta pristupa je blokiran, i sve potrebne informacije upisuje se u dnevnik.

Vatrozidi se također mogu koristiti unutar sigurnih korporativnih mreža. Ako lokalna mreža ima podmreže s različitim stupnjevima povjerljivosti informacija, tada je preporučljivo odvojiti takve fragmente vatrozidima. U ovom slučaju, zasloni se nazivaju unutarnjim.

Uz veliki izbor profesionalnih softverskih alata za zaštitu od raznih vrsta napada na lokalnu mrežu izvana (odnosno s interneta), svi imaju jedan ozbiljan nedostatak visoka cijena. A ako govorimo o malim mrežama SOHO klase, onda je kupnja solidnih paketa nedostižan luksuz. U isto vrijeme, vrijedi napomenuti da za male mreže mogućnosti takvih paketa mogu biti čak i suvišne. Stoga su se za zaštitu malih mreža SOHO klase naširoko koristila jeftina hardverska rješenja - vatrozidi. Prema dizajnu, vatrozidi se mogu implementirati kao zasebno rješenje ili biti sastavni dio usmjerivača klase SOHO, posebno bežični usmjerivači, koji vam omogućuje kombiniranje žičnih i bežičnih segmenata lokalne mreže na njihovoj osnovi.
U ovom ćemo članku pogledati glavne funkcije modernih hardverskih vatrozida koji su ugrađeni u usmjerivače SOHO klase i koriste se za zaštitu malih lokalnih mreža.

Vatrozidi kao dio usmjerivača

Budući da su usmjerivači mrežni uređaji instalirani na granici između unutarnje i vanjske mreže, te obavljaju funkciju mrežnog pristupnika, projektirano moraju imati najmanje dva porta. LAN je spojen na jedan od ovih priključaka i taj priključak postaje unutarnji LAN priključak. Vanjska mreža (Internet) povezana je s drugim priključkom, pretvarajući ga u vanjski WAN priključak. Usmjerivači klase SOHO u pravilu imaju jedan WAN port i nekoliko (od jednog do četiri) LAN porta, koji su spojeni u sklopku. U većini slučajeva WAN port preklopnika ima 10/100Base-TX sučelje, a na njega se može spojiti ili xDSL modem s odgovarajućim sučeljem ili Ethernet mrežni kabel.

Osim toga, široko rasprostranjen bežične mreže dovela je do pojave cijele klase takozvanih bežičnih usmjerivača. Ovi uređaji, osim klasičnog routera s WAN i LAN priključcima, sadrže integriranu bežičnu pristupnu točku koja podržava IEEE 802.11a/b/g protokol. Bežični segment Mreža koju vam pristupna točka omogućuje da organizirate, iz perspektive rutera, odnosi se na internu mrežu i u tom smislu se računala bežično spojena na ruter ne razlikuju od onih spojenih na LAN priključak.

Svaki usmjerivač, kao uređaj mrežnog sloja, ima vlastitu IP adresu. Osim rutera, svoju IP adresu ima i WAN port.

Računala spojena na LAN priključke usmjerivača moraju imati IP adresu na istoj podmreži kao i sam usmjerivač. Osim toga, u mrežnim postavkama ovih računala morate postaviti zadanu adresu pristupnika tako da odgovara IP adresi usmjerivača. Konačno, uređaj spojen na WAN port iz vanjske mreže mora imati IP adresu iz iste podmreže kao i WAN port rutera.

Budući da usmjerivač djeluje kao pristupnik između lokalne mreže i Interneta, logično je očekivati takve funkcije kao što je zaštita interne mreže od neovlaštenog pristupa. Stoga gotovo svi moderni usmjerivači klase SOHO imaju ugrađene hardverske vatrozide, koji se još nazivaju i vatrozidi.

Značajke vatrozida

Glavna svrha svakog vatrozida u konačnici se svodi na osiguranje sigurnosti interne mreže. Kako bi riješili ovaj problem, vatrozidi moraju moći maskirati zaštićenu mrežu i blokirati sve poznate vrste hakerski napadi, blokirati curenje informacija iz interne mreže, kontrolirati aplikacije koje pristupaju vanjskoj mreži.

Kako bi implementirali ove funkcije, vatrozidi analiziraju sav promet između vanjskih i internih mreža radi usklađenosti s određenim utvrđenim kriterijima ili pravilima koja određuju uvjete za prolaz prometa s jedne mreže na drugu. Ako promet zadovoljava navedene kriterije, vatrozid mu dopušta prolaz. U protivnom, odnosno ako utvrđeni kriteriji nisu zadovoljeni, promet se blokira vatrozidom. Vatrozidi filtriraju dolazni i odlazni promet, a također vam omogućuju kontrolu pristupa određenim mrežnim resursima ili aplikacijama. Mogu zabilježiti sve pokušaje neovlaštenog pristupa resursima lokalne mreže i izdati upozorenja o pokušajima upada.

Po svojoj namjeni vatrozidi najviše podsjećaju na kontrolnu točku (kontrolnu točku) štićenog objekta, gdje se provjeravaju dokumenti svima koji ulaze na teritorij objekta i svima koji s njega izlaze. Ako je propusnica uredna, pristup teritoriju je dopušten. Vatrozidi rade na potpuno isti način, samo što je uloga ljudi koji prolaze kroz kontrolnu točku mrežni paketi, a prolaz je da su zaglavlja tih paketa u skladu s unaprijed definiranim skupom pravila.

Jesu li vatrozidi doista tako pouzdani?

Može li se reći da firewall pruža 100% sigurnost za korisničku mrežu ili osobno računalo? Sigurno ne. Barem zato što niti jedan sustav ne daje 100% jamstvo sigurnosti. Vatrozid treba tretirati kao alat koji, ako je ispravno konfiguriran, može znatno zakomplicirati zadatak napadača da uđe u osobno računalo korisnika. Naglasimo: to samo komplicira stvari, ali nimalo ne jamči apsolutnu sigurnost. Usput, ako ne govorimo o zaštiti lokalne mreže, već o zaštiti pojedinačnog računala s pristupom Internetu, onda osiguravanje osobna sigurnost ICF vatrozid (Internet Vatrozid veze), ugrađen u operacijsku salu Windows sustav XP. Stoga ćemo ubuduće govoriti samo o korporativnim hardverskim vatrozidima koji imaju za cilj zaštitu malih mreža.

Ako je vatrozid instaliran na ulazu u lokalnu mrežu potpuno aktiviran (u pravilu to odgovara zadanim postavkama), tada je mreža koju štiti potpuno neprobojna i nedostupna izvana. No takva potpuna neprobojnost interne mreže ima i svoju lošu stranu. Činjenica je da u ovom slučaju postaje nemoguće koristiti internetske usluge (na primjer, ICQ i slične programe) instalirane na računalu. Dakle, zadatak postavljanja vatrozida je napraviti prozore u prvobitno praznom zidu koji vatrozid predstavlja za napadača, omogućujući korisničkim programima da odgovore na zahtjeve izvana i u konačnici implementiraju kontroliranu interakciju između interne mreže i vanjskog svijeta. Međutim, što se više takvih prozora pojavljuje u takvom zidu, to sama mreža postaje ranjivija. Stoga još jednom naglasimo: nijedan vatrozid ne može jamčiti apsolutnu sigurnost lokalne mreže koju štiti.

Klasifikacija vatrozida

Mogućnosti i inteligencija vatrozida ovise o sloju OSI referentnog modela na kojem rade. Što je viša OSI razina na kojoj je vatrozid izgrađen, to je veća razina zaštite koju pruža.

Podsjetimo da OSI model (Otvoreni sustav Interconnection) uključuje sedam slojeva mrežne arhitekture. Prvi, najniži, jest fizički sloj. Zatim slijedi podatkovna veza, mreža, transport, sesija, prezentacija i aplikacija ili aplikacijski slojevi. Da bi omogućio filtriranje prometa, vatrozid mora raditi barem na trećem sloju OSI modela, odnosno na mrežnom sloju, gdje se paketi usmjeravaju na temelju prevođenja MAC adresa u mrežne adrese. S gledišta TCP/IP protokola, ovaj sloj odgovara sloju IP (Internet Protocol). Primanjem informacija o mrežnom sloju vatrozidi mogu odrediti izvornu i odredišnu adresu paketa i provjeriti je li dopušten promet između tih odredišta. Međutim, nema dovoljno informacija o mrežnom sloju za analizu sadržaja paketa. Vatrozidi koji rade na transportnom sloju OSI modela primaju malo više informacija o paketima i, u tom smislu, mogu pružiti inteligentnije sheme zaštite mreže. Što se tiče vatrozida koji rade na aplikativnoj razini, oni imaju pristup cjelovitim informacijama o mrežnim paketima, što znači da takvi vatrozidi pružaju najpouzdaniju zaštitu mreže.

Ovisno o razini OSI modela na kojem rade vatrozidi, povijesno se razvila sljedeća klasifikacija ovih uređaja:

filtar paketa;
pristupnik na razini sesije (pristupnik na razini sklopa);
pristupnik na razini aplikacije;
Stateful Packet Inspection (SPI).

Imajte na umu da ovu klasifikaciju ima samo povijesni interes, budući da svi moderni vatrozidi spadaju u kategoriju najnaprednijih (u smislu zaštite mreže) SPI vatrozida.

Skupni filtri

Vatrozidi tipa filtera paketa su najosnovniji (najmanje inteligentni). Ovi vatrozidi rade na mrežnom sloju OSI modela ili na IP sloju skupa TCP/IP protokola. Takvi su vatrozidi potrebni u svakom usmjerivaču, budući da svaki usmjerivač radi barem na trećem sloju OSI modela.

Zadatak filtara paketa je filtriranje paketa na temelju informacija o izvornoj ili odredišnoj IP adresi i brojevima portova.

U vatrozidima tipa filtara paketa, svaki se paket analizira kako bi se utvrdilo ispunjava li kriterije prijenosa ili je prijenos blokiran prije prijenosa. Ovisno o paketu i generiranim kriterijima prijenosa, vatrozid može poslati paket, odbiti ga ili poslati obavijest inicijatoru prijenosa.

Paketni filteri se lako implementiraju i nemaju praktički nikakvog utjecaja na brzinu usmjeravanja.

Pristupnici sesiji

Pristupnici sloja sesije su vatrozidi koji rade na sloju sesije OSI modela ili na sloju TCP (Transport Control Protocol) skupa TCP/IP protokola. Ovi vatrozidi nadziru proces uspostavljanja TCP veze (organizacija sesija razmjene podataka između krajnjih računala) i omogućuju vam da odredite je li određena komunikacijska sesija legitimna. Podaci poslani na udaljeno računalo na vanjskoj mreži putem gatewaya na razini sesije ne sadrže informacije o izvoru prijenosa, odnosno sve izgleda kao da podatke šalje sam vatrozid, a ne računalo na interna (zaštićena) mreža. Svi vatrozidi temeljeni na NAT protokolu su pristupnici sloja sesije (NAT protokol bit će opisan u nastavku).

Pristupnici na razini sesije također nemaju značajan utjecaj na brzinu usmjeravanja. U isto vrijeme, ovi pristupnici nisu sposobni filtrirati pojedinačne pakete.

Pristupnici aplikacija

Pristupnici aplikacijskog sloja ili proxy poslužitelji rade na aplikacijskom sloju OSI modela. Aplikacijski sloj odgovoran je za pristup aplikacija mreži. Zadaci na ovoj razini uključuju prijenos datoteka, razmjenu preko maila i upravljanje mrežom. Primanjem informacija o paketima na razini aplikacije, pristupnici na razini aplikacije mogu implementirati blokadu pristupa određenim uslugama. Na primjer, ako je pristupnik na razini aplikacije konfiguriran kao web proxy, tada će svaki promet povezan s Telnet, FTP, Gopher protokolima biti blokiran. Budući da ovi vatrozidi analiziraju pakete na aplikacijskom sloju, oni mogu filtrirati određene naredbe, kao što su http:post, get itd. Ova značajka nije dostupna niti za filtere paketa niti za pristupnike sloja sesije. Pristupnici na razini aplikacije također se mogu koristiti za bilježenje aktivnosti pojedinačnih korisnika i uspostavljanje komunikacijskih sesija između njih. Ovi vatrozidi nude robusniji način zaštite mreža od pristupnika sloja sesije i filtara paketa.

SPI vatrozidi

Najnoviji tip vatrozida, Stateful Packet Inspection (SPI), kombinira prednosti filtera paketa, pristupnika na sloju sesije i pristupnika na sloju aplikacije. To jest, zapravo, govorimo o vatrozidima na više razina koji istovremeno djeluju na razini mreže, sesije i aplikacije.

SPI vatrozidi filtriraju pakete na mrežnom sloju, određuju legitimnost komunikacijske sesije na temelju podataka sloja sesije i analiziraju sadržaj paketa na temelju podataka sloja aplikacije.

Ovi vatrozidi pružaju najpouzdaniji način zaštite mreža i trenutno su de facto standard.

Postavljanje vatrozida

Metodologija i mogućnosti za konfiguriranje vatrozida ovise o specifični model. Nažalost, ne postoje jedinstvena konfiguracijska pravila, a još manje jedinstveno sučelje. Možemo govoriti samo o nekim općim pravilima kojih se valja pridržavati. Zapravo, osnovno pravilo je vrlo jednostavno: potrebno je zabraniti sve što nije potrebno za normalan rad mreže.

Najčešće se mogućnost konfiguriranja vatrozida svodi na aktiviranje nekih unaprijed definiranih pravila i stvaranje statičkih pravila u obliku tablice.

Uzmimo, kao primjer, opcije za konfiguriranje vatrozida uključene u Gigabyte GN-B49G usmjerivač. Ovaj usmjerivač ima niz unaprijed definiranih pravila koja vam omogućuju implementaciju različitih razina sigurnosti unutarnje mreže. Ova pravila uključuju sljedeće:

Zabranjen je pristup konfiguraciji i administraciji rutera s WAN strane. Aktiviranje ove funkcije zabranjuje pristup postavkama usmjerivača iz vanjske mreže;
Pristup s Global-IP-a na Private-IP zabranjen je unutar LAN-a. Ova vam funkcija omogućuje blokiranje pristupa unutar lokalne mreže s globalnih IP adresa (ako postoje) na IP adrese rezervirane za privatnu upotrebu;
Spriječite dijeljenje datoteka i pisača izvan mreže usmjerivača. Funkcija sprječava korištenje zajedničkog pristupa pisačima i datotekama na internoj mreži izvana;
Postojanje usmjerivača ne može se otkriti s WAN strane. Ova funkcija čini usmjerivač nevidljivim s vanjske mreže;
Spriječeni su napadi tipa uskraćivanja usluge (DoS). Kada je ova funkcija aktivirana, implementirana je zaštita od DoS (Denial of Service) napada. DoS napadi su vrsta mrežnog napada koji uključuje slanje više zahtjeva poslužitelju koji zahtijevaju uslugu koju pruža sustav. Poslužitelj troši svoje resurse na uspostavljanje veze i njeno servisiranje i, s obzirom na određeni tok zahtjeva, ne može se nositi s njima. Zaštita od napada ove vrste temelji se na analizi izvora prometa koji je prekomjeran u odnosu na normalan promet i zabrani njegovog prijenosa.

Kao što smo već napomenuli, mnogi vatrozidi imaju unaprijed definirana pravila, koja su u biti ista kao gore navedena, ali mogu imati različita imena.

Drugi način za konfiguriranje vatrozida je stvaranje statičkih pravila koja vam omogućuju ne samo zaštitu mreže izvana, već i ograničavanje korisnika lokalne mreže u pristupu vanjskoj mreži. Mogućnosti za kreiranje pravila prilično su fleksibilne i omogućuju implementaciju gotovo svake situacije. Da biste izradili pravilo, navedite izvornu IP adresu (ili raspon adresa), izvorne portove, odredišne IP adrese i portove, vrstu protokola, smjer prijenosa paketa (od interne mreže do vanjske mreže ili obrnuto) i radnja koju treba poduzeti kada se otkrije paket s naznačenim svojstvima (ispuštanje ili preskakanje paketa). Na primjer, ako želite zabraniti korisnicima unutarnje mreže (raspon IP adresa: 192.168.1.1-192.168.1.100) pristup FTP poslužitelju (port 21) koji se nalazi na vanjskoj IP adresi 64.233.183.104, tada pravilo može biti formuliran na sljedeći način:

smjer prijenosa paketa: LAN-WAN;
Izvorne IP adrese: 192.168.1.1-192.168.1.100;
izvorni port: 1-65535;
odredišna luka: 21;
protokol: TCP;
radnja: kap.

Statička konfiguracija pravila vatrozida za gore razmotreni primjer prikazana je na slici. 1.

NAT protokol kao dio vatrozida

Svi moderni usmjerivači s ugrađenim vatrozidom podržavaju NAT (Network Address Translation) protokol.

NAT protokol nije dio vatrozida, ali u isto vrijeme pomaže poboljšati sigurnost mreže. Glavna zadaća NAT protokola je riješiti problem nedostatka IP adresa, koji postaje sve hitniji kako raste broj računala.

Činjenica je da su u trenutnoj verziji IPv4 protokola četiri bajta dodijeljena za određivanje IP adrese, što omogućuje generiranje preko četiri milijarde adresa mrežnih računala. Naravno, u tim danima kada je Internet tek nastajao, bilo je teško i zamisliti da jednog dana ovaj broj IP adresa možda neće biti dovoljan. Kako bi se djelomično riješio problem nedostatka IP adresa, svojedobno je predložen NAT protokol za prevođenje mrežnih adresa.

NAT protokol definiran je standardom RFC 1631, koji definira kako se događa prevođenje mrežne adrese.

U većini slučajeva NAT uređaj pretvara IP adrese koje su rezervirane za privatnu upotrebu na lokalnim mrežama u javne IP adrese.

Privatni adresni prostor regulira RFC 1918. Ove adrese uključuju sljedeće IP raspone: 10.0.0.0-10.255.255.255, 172.16.0.0-172.31.255.255, 192.168.0.0-192.168.255.255.

Prema RFC 1918, privatne IP adrese ne mogu se koristiti u Globalna mreža, tako da se mogu slobodno koristiti samo za interne potrebe.

Prije nego prijeđemo na specifičnosti NAT protokola, pogledajmo kako se mrežna veza javlja između dva računala.

Kada jedno računalo na mreži uspostavi vezu s drugim računalom, otvara se utičnica koju određuju izvorna IP adresa, izvorni port, odredišna IP adresa, odredišni port i mrežni protokol. Format IP paketa pruža dvobajtno polje za brojeve portova. To vam omogućuje da definirate 65.535 portova, koji igraju ulogu jedinstvenih komunikacijskih kanala. Od 65.535 luka, prvih 1.023 rezervirano je za dobro poznate usluge poslužitelja kao što su Web, FTP, Telnet itd. Svi ostali priključci mogu se koristiti za bilo koju drugu svrhu.

Ako, na primjer, jedno mrežno računalo pristupi FTP poslužitelju (port 21), tada kada se otvori utičnica, operativni sustav dodjeljuje sesiji bilo koji port iznad 1023. Na primjer, to može biti port 2153. Zatim IP paket poslan s PC na FTP poslužitelj, sadržavat će IP adresu pošiljatelja, port pošiljatelja (2153), IP adresu primatelja i odredišni port (21). Izvorna IP adresa i port koristit će se za odgovor poslužitelja klijentu. Korištenje različitih priključaka za različite mrežne sesije omogućuje mrežnim klijentima da istovremeno uspostave više sesija s različitim poslužiteljima ili s uslugama s istog poslužitelja.

Sada pogledajmo postupak uspostavljanja sesije pri korištenju NAT usmjerivača na granici interne mreže i Interneta.

Kada interni mrežni klijent uspostavi vezu s vanjskim mrežnim poslužiteljem, tada se, kao i u slučaju uspostavljanja veze između dva računala, otvara socket određen izvornom IP adresom, izvornim portom, odredišnom IP adresom, odredišnim portom, i mrežni protokol. Kada aplikacija prenosi podatke preko ove utičnice, izvorna IP adresa i izvorni port umetnuti su u paket u poljima izvora opcija. Polja opcija odredišta sadržavat će IP adresu poslužitelja i port poslužitelja. Na primjer, računalo na internoj mreži s IP adresom 192.168.0.1 može pristupiti WAN web poslužitelju s IP adresom 64.233.188.104. U tom slučaju operativni sustav klijenta može dodijeliti port 1251 (izvorni port) uspostavljenoj sesiji, a odredišni port je port web usluge, to jest 80. Tada će sljedeći atributi biti naznačeni u zaglavlju poslanog paketa (slika 2):

izvorišna luka: 1251;
IP adresa primatelja: 64.233.183.104;
odredišna luka: 80;
protokol: TCP.

NAT uređaj (usmjerivač) presreće paket koji dolazi iz interne mreže i unosi u svoju internu tablicu mapiranje izvorišnog i odredišnog porta paketa koristeći odredišnu IP adresu, odredišni port, vanjsku IP adresu NAT uređaja, vanjski port , mrežni protokol i interni IP - adresa i port klijenta.

Pretpostavimo da u gore navedenom primjeru NAT usmjerivač ima vanjsku IP adresu 195.2.91.103 (adresa WAN priključka), a za uspostavljenu sesiju vanjski priključak NAT uređaja je 3210. U ovom slučaju, interna tablica za mapiranje izvorišnog i odredišnog porta paketa koji sadrži sljedeće informacije:

Izvor IP: 192.168.0.1;
izvorišna luka: 1251;
vanjska IP adresa

NAT uređaji: 195.2.91.103;

priključak vanjskog NAT uređaja: 3210;
IP adresa primatelja: 64.233.183.104;
odredišna luka: 80;
protokol: TCP.

NAT uređaj tada "emituje" paket transformirajući izvorna polja u paketu: interna IP adresa i port klijenta zamjenjuju se vanjskom IP adresom i portom NAT uređaja. U ovom će primjeru pretvoreni paket sadržavati sljedeće informacije:

Izvor IP: 195.2.91.103;
izvorni port: 3210;
IP adresa primatelja: 64.233.183.104;
odredišna luka: 80;
protokol: TCP.

Pretvoreni paket šalje se preko vanjske mreže i na kraju dolazi do navedenog poslužitelja.

Poslužitelj će nakon primitka paketa proslijediti pakete odgovora na vanjsku IP adresu i port NAT uređaja (usmjerivača), navodeći vlastitu IP adresu i port u izvornim poljima (slika 3). U razmatranom primjeru, paket odgovora s poslužitelja sadržavat će sljedeće informacije u zaglavlju:

izvorni priključak: 80;
IP adresa primatelja: 195.2.91.103;
odredišna luka: 3210;
protokol: TCP.

Riža. 3. Princip rada NAT uređaja pri prijenosu paketa iz vanjske mreže u unutarnju

NAT uređaj prima ove pakete od poslužitelja i analizira njihov sadržaj na temelju svoje tablice mapiranja portova. Ako se mapiranje porta pronađe u tablici za koju izvorna IP adresa, izvorni port, odredišni port i mrežni protokol iz dolaznog paketa odgovaraju IP adresi udaljenog glavnog računala, udaljenom portu i mrežnom protokolu navedenom u mapiranju porta, tada će NAT izvršiti obrnuto prevođenje: zamjenjuje vanjsku IP adresu i vanjski port u odredišnim poljima paketa s IP adresom i internim portom internog mrežnog klijenta. Prema tome, paket poslan internoj mreži za gore razmotreni primjer imat će sljedeće atribute:

Izvor IP: 64.233.183.104;
izvorni priključak: 80;
IP adresa primatelja: 192.168.0.1;
odredišna luka: 1251;
protokol: TCP.

Međutim, ako nema podudaranja u tablici mapiranja luka, onda dolazni paket se odbija i veza se prekida.

Zahvaljujući NAT usmjerivaču, svako osobno računalo na internoj mreži može prenijeti podatke na globalnu mrežu koristeći vanjsku IP adresu i priključak usmjerivača. U tom slučaju, IP adrese interne mreže, kao portovi dodijeljeni sesijama, ostaju nevidljivi s vanjske mreže.

Međutim, NAT router dopušta razmjenu podataka između računala na unutarnjoj i vanjskoj mreži samo ako tu razmjenu inicira računalo na unutarnjoj mreži. Ako računalo na vanjskoj mreži samoinicijativno pokuša pristupiti računalu na internoj mreži, NAT uređaj odbija vezu. Stoga, osim što rješava problem nedostatka IP adresa, NAT protokol također pomaže u poboljšanju sigurnosti interne mreže.

Problemi povezani s NAT uređajima

Unatoč prividnoj jednostavnosti NAT uređaja, oni su povezani s nekim problemima koji često kompliciraju organizaciju interakcije između mrežnih računala ili čak sprječavaju njezino uspostavljanje. Na primjer, ako je lokalna mreža zaštićena NAT uređajem, tada bilo koji klijent na internoj mreži može uspostaviti vezu s WAN poslužiteljem, ali ne i obrnuto. To jest, ne možete pokrenuti vezu s vanjske mreže na poslužitelj koji se nalazi na unutarnjoj mreži iza NAT uređaja. Ali što ako postoji usluga na unutarnjoj mreži (na primjer, FTP ili web poslužitelj) kojoj korisnici na vanjskoj mreži moraju imati pristup? Kako bi riješili ovaj problem, NAT usmjerivači koriste demilitariziranu zonu i tehnologije prosljeđivanja portova, koje će biti detaljno opisane u nastavku.

Još jedan problem s NAT uređajima je taj što neke mrežne aplikacije uključuju IP adresu i port u podatkovnom dijelu paketa. Jasno je da NAT uređaj nije sposoban izvršiti takav prijevod adrese. Kao rezultat toga, ako mrežna aplikacija umetne IP adresu ili port u korisni dio paketa, poslužitelj koji odgovara na taj paket koristit će ugniježđenu IP adresu i port za koje ne postoji odgovarajući unos mapiranja u internoj tablici NAT uređaja . Kao rezultat toga, NAT uređaj će odbaciti takav paket, pa stoga aplikacije koje koriste ovu tehnologiju neće moći raditi u prisutnosti NAT uređaja.

Postoje mrežne aplikacije koje koriste jedan priključak (kao izvorni priključak) za prijenos podataka, ali čekaju odgovor na drugom priključku. NAT uređaj analizira odlazni promet i pronalazi izvorni port. Međutim, NAT uređaj ne zna da se odgovor očekuje na drugom priključku i ne može izvršiti odgovarajuće mapiranje. Kao rezultat toga, paketi odgovora upućeni portu koji nema mapiranje u internoj tablici NAT uređaja bit će odbačeni.

Drugi problem s NAT uređajima je višestruki pristup istom priključku. Razmotrimo situaciju u kojoj nekoliko klijenata na lokalnoj mreži, odvojenih od vanjske mreže NAT uređajem, pristupa istom standardnom priključku. Na primjer, to može biti port 80, koji je rezerviran za web uslugu. Budući da svi interni mrežni klijenti koriste istu IP adresu, postavlja se pitanje: kako NAT uređaj može odrediti koji interni mrežni klijent je vanjski zahtjev? Da bi se riješio ovaj problem, samo jedan interni mrežni klijent ima pristup standardnom priključku u bilo kojem trenutku.

Statičko prosljeđivanje porta (mapiranje porta)

Kako bi određene aplikacije koje se izvode na poslužitelju na unutarnjoj mreži (kao što je web poslužitelj ili FTP poslužitelj) učinile dostupnima s vanjske mreže, NAT uređaj mora biti konfiguriran za preslikavanje priključaka koje koriste određene aplikacije u IP adrese. ti interni mrežni poslužitelji na kojima se te aplikacije pokreću. U ovom slučaju govori se o tehnologiji preusmjeravanja portova (Port mapping), a sam interni mrežni poslužitelj naziva se virtualni server. Kao rezultat toga, svaki zahtjev vanjske mreže prema vanjskoj IP adresi NAT uređaja (usmjerivača) na navedenom priključku bit će automatski preusmjeren na navedeni virtualni poslužitelj na internoj mreži.

Na primjer, ako je na internoj mreži konfiguriran virtualni FTP poslužitelj koji se pokreće na računalu s IP adresom 192.168.0.10, tada prilikom postavljanja virtualni poslužitelj navedena je IP adresa virtualnog poslužitelja (192.168.0.10), korišteni protokol (TCP) i port aplikacije (21). U tom slučaju, prilikom pristupa vanjskoj adresi NAT uređaja (WAN port rutera) na portu 21, korisnik na vanjskoj mreži može pristupiti FTP poslužitelju na internoj mreži, unatoč korištenju NAT protokola. Primjer konfiguriranja virtualnog poslužitelja na stvarnom NAT usmjerivaču prikazan je na sl. 4.

Obično vam NAT usmjerivači omogućuju stvaranje više statičkih prosljeđivanja portova. Dakle, na jednom virtualnom poslužitelju možete otvoriti nekoliko portova odjednom ili kreirati nekoliko virtualnih poslužitelja s različitim IP adresama. Međutim, sa statičkim prosljeđivanjem porta, ne možete proslijediti jedan port na više IP adresa, što znači da port može odgovarati jednoj IP adresi. Nemoguće je, na primjer, konfigurirati nekoliko web poslužitelja s različitim IP adresama; da biste to učinili, morat ćete promijeniti zadani port web poslužitelja i, kada pristupate portu 80, navesti promijenjeni web port u postavkama usmjerivača kao interni port (privatni port).poslužitelj.

Većina modela usmjerivača također vam omogućuje postavljanje statičkog preusmjeravanja grupe portova, odnosno dodjeljivanje cijele grupe portova odjednom IP adresi virtualnog poslužitelja. Ova značajka je korisna ako trebate podržati aplikacije koje koriste velik broj priključaka, kao što su igre ili audio/video konferencije. Broj proslijeđenih grupa priključaka u različiti modeli ruteri se razlikuju, ali obično ih ima najmanje deset.

Dinamičko prosljeđivanje porta (posebna aplikacija)

Statičko prosljeđivanje portova može djelomično riješiti problem pristupa s vanjske mreže uslugama lokalne mreže zaštićene NAT uređajem. Međutim, postoji i suprotan zadatak - potreba da se korisnicima lokalne mreže omogući pristup vanjskoj mreži putem NAT uređaja. Činjenica je da neke aplikacije (primjerice internetske igrice, videokonferencije, internetska telefonija i druge aplikacije koje zahtijevaju istodobnu uspostavu više sesija) nisu kompatibilne s NAT tehnologijom. Za rješavanje ovog problema koristi se takozvano dinamičko preusmjeravanje porta (ponekad se naziva Posebna aplikacija), kada je preusmjeravanje porta postavljeno na individualnoj razini mrežne aplikacije.

Ako ruter podržava ovu funkciju, morate navesti interni broj porta (ili interval porta) povezan s specifična primjena(obično se naziva Trigger Port) i odredite broj vanjskog priključka NAT uređaja (Public Port), koji će se preslikati na interni priključak.

Kada je omogućeno dinamičko prosljeđivanje portova, usmjerivač prati odlazni promet iz interne mreže i pamti IP adresu računala s kojeg je taj promet potekao. Kada podaci stignu natrag u lokalni segment Prosljeđivanje priključka je omogućeno i podaci se prosljeđuju unutra. Nakon što je prijenos završen, preusmjeravanje je onemogućeno, a zatim bilo koje drugo računalo može kreirati novo preusmjeravanje na svoju IP adresu.

Dinamičko prosljeđivanje porta koristi se prvenstveno za usluge koje uključuju kratkotrajne zahtjeve i prijenose podataka, jer ako jedno računalo koristi određeno prosljeđivanje porta, drugo računalo ne može učiniti isto u isto vrijeme. Ako trebate konfigurirati aplikacije koje zahtijevaju stalni tok podataka koji zauzimaju priključak na Dugo vrijeme, tada je dinamičko preusmjeravanje neučinkovito. Međutim, u ovom slučaju postoji rješenje problema - ono leži u korištenju demilitarizirane zone.

DMZ zona

Demilitarizirana zona (DMZ) još je jedan način za zaobilaženje ograničenja NAT protokola. Svi moderni usmjerivači imaju ovu značajku. Kada se računalo na internoj lokalnoj mreži postavi u DMZ zonu, ono postaje transparentno za NAT protokol. To u biti znači da se interno mrežno računalo virtualno nalazi ispred vatrozida. Za računalo koje se nalazi u DMZ zoni, svi portovi su preusmjereni na jednu internu IP adresu, što vam omogućuje organiziranje prijenosa podataka s vanjske mreže na internu.

Ako se npr. poslužitelj s IP adresom 192.168.1.10, koji se nalazi na internoj lokalnoj mreži, nalazi u DMZ zoni, a sama lokalna mreža je zaštićena NAT uređajem, tada kada zahtjev stigne na bilo koji port od vanjske mreže na adresu WAN porta Za NAT uređaj ovaj zahtjev će biti proslijeđen na IP adresu 192.168.1.10, odnosno na adresu virtualnog poslužitelja u DMZ zoni.

U pravilu NAT usmjerivači klase SOHO dopuštaju postavljanje samo jednog računala u DMZ zonu. Primjer konfiguracije računala u DMZ zoni prikazan je na sl. 5.

Riža. 5. Primjer konfiguracije računala u DMZ zoni

Budući da računalo koje se nalazi u DMZ zoni postaje dostupno s vanjske mreže i nije ni na koji način zaštićeno vatrozidom, ono postaje ranjiva točka mreže. Smještanju računala u demilitariziranu zonu trebali biste pribjeći samo u krajnjem slučaju, kada nijedna druga metoda zaobilaženja ograničenja NAT protokola nije prikladna iz jednog ili drugog razloga.

NAT Traversal tehnologija

Metode koje smo naveli za zaobilaženje ograničenja NAT protokola mogu predstavljati neke poteškoće za korisnike početnike. Kako bi se olakšala administracija, predložena je automatizirana tehnologija za konfiguriranje NAT uređaja. NAT Traversal tehnologija omogućuje mrežnim aplikacijama da utvrde jesu li zaštićene NAT uređajem, saznaju vanjsku IP adresu i izvrše prosljeđivanje porta na automatski način rada. Stoga je prednost tehnologije NAT Traversal u tome što korisnik ne mora ručno konfigurirati preslikavanje portova.

NAT Traversal tehnologija temelji se na UPnP (Universal Plug and Play) protokolu, stoga je za aktivaciju ove tehnologije često potrebno provjeriti opciju UPnP&NAT u ruterima.

Enciklopedijski YouTube

1 / 5

✪ 1. Cisco ASA Administrator. Što je vatrozid?

✪ ZoneAlarm Free Firewall - besplatni vatrozid za vaše računalo

✪ 2. Cisco ASA Administrator. Vatrozidi Cisco

✪ Vatrozidi

titlovi

Svrha

Među zadacima koje vatrozidi rješavaju, glavni je zaštita mrežnih segmenata ili pojedinačnih hostova od neovlaštenog pristupa korištenjem ranjivosti u protokolima mrežnog modela OSI ili u softveru instaliranom na mrežnim računalima. Vatrozidi dopuštaju ili odbijaju promet uspoređujući njegove karakteristike s određenim uzorcima.

Najčešće mjesto za instaliranje vatrozida je na perimetru lokalne mreže radi zaštite unutarnjih računala od vanjskih napada. Međutim, napadi mogu započeti i s unutarnjih računala - u tom slučaju, ako se napadnuto računalo nalazi na istoj mreži, promet neće prijeći perimetar mreže, a vatrozid se neće aktivirati. Stoga su vatrozidi sada postavljeni ne samo na rubu, već i između različitih segmenata mreže, što daje dodatnu razinu sigurnosti.

Priča

Prvi uređaji koji su filtrirali mrežni promet pojavili su se u kasnim 1980-ima, kada je Internet bio nov i nije se koristio na globalnoj razini. Ti su uređaji bili usmjerivači koji provjeravaju promet na temelju podataka sadržanih u zaglavljima protokola mrežnog sloja. Naknadno, s razvojem mrežnih tehnologija, ovi su uređaji mogli filtrirati promet koristeći podatke iz protokola više razine prijenosa. Usmjerivači se mogu smatrati prvom hardverskom i softverskom implementacijom vatrozida.

Softverski vatrozidi pojavili su se mnogo kasnije i bili su puno mlađi od antivirusnih programa. Na primjer, projekt Netfilter/iptables (jedan od prvih softverskih vatrozida ugrađenih u Linux kernel od verzije 2.4) utemeljen je 1998. godine. Ovo kasno pojavljivanje sasvim je razumljivo, jer dugo vremena Antivirus je riješio problem zaštite osobnih računala od malwarea. Međutim, kasnih 1990-ih virusi su počeli aktivno iskorištavati nedostatak vatrozida na računalima, što je dovelo do povećanog interesa korisnika za ovu klasu uređaja.

Filtriranje prometa

Filtriranje prometa provodi se na temelju skupa unaprijed konfiguriranih pravila tzv skup pravila. Prikladno je zamisliti vatrozid kao niz filtara koji obrađuju protok informacija. Svaki od filtara dizajniran je za tumačenje zasebnog pravila. Redoslijed pravila u skupu ima značajan utjecaj na performanse vatrozida. Na primjer, mnogi vatrozidi uzastopno uspoređuju promet s pravilima dok se ne pronađe podudaranje. Za takve vatrozide, pravila koja odgovaraju najvećem prometu trebaju biti postavljena što je moguće više na popisu, čime se povećava izvedba.

Postoje dva principa za obradu dolaznog prometa. Prvo načelo glasi: “Dopušteno je ono što nije izričito zabranjeno.” U u ovom slučaju, ako firewall primi paket koji ne potpada ni pod jedno pravilo, onda se on šalje dalje. Suprotno načelo - "Što nije izričito dopušteno zabranjeno je" - jamči mnogo veću sigurnost, budući da uskraćuje sav promet koji nije izričito dopušten po pravilima. Međutim, ovo načelo dodatno opterećuje administratora.

U konačnici, vatrozidi izvode jednu od dvije operacije na dolaznom prometu: prosljeđuju paket dalje ( dopustiti) ili odbaciti paket ( poricati). Neki vatrozidi imaju još jednu operaciju - odbiti, u kojem je paket odbačen, ali je pošiljatelj obaviješten da je usluga kojoj je pokušavao pristupiti nedostupna. Nasuprot tome, tijekom operacije poricati pošiljatelj nije obaviješten o nedostupnosti usluge, što je sigurnije.

Klasifikacija vatrozida

Još uvijek ne postoji jedinstvena i općeprihvaćena klasifikacija vatrozida. Međutim, u većini slučajeva, podržani sloj OSI mrežnog modela glavna je karakteristika u njihovoj klasifikaciji. S obzirom na ovaj model, razlikuju se sljedeće vrste vatrozida:

Upravljani prekidači.
Skupni filtri.
Pristupnici na razini sesije.
Posrednici aplikacijskog sloja.
Inspektori stanja.

Upravljani prekidači

Mnogi proizvođači mrežne opreme, kao što su Cisco, Nortel, 3Com, ZyXEL, u svojim preklopnicima pružaju mogućnost filtriranja prometa na temelju MAC adresa sadržanih u zaglavljima okvira. Na primjer, u sklopkama obitelji Cisco Catalyst ova je značajka implementirana pomoću mehanizma za sigurnost porta. . Međutim, ova metoda filtriranja nije učinkovita, budući da se MAC adresa instalirana u hardveru na mrežnoj kartici softverski lako mijenja, budući da vrijednost navedena u upravljačkom programu ima veći prioritet od one koja je ugrađena u karticu. Stoga vam mnogi moderni preklopnici omogućuju korištenje drugih parametara kao značajke filtriranja - na primjer, VLAN ID. Tehnologija virtualne lokalne mreže omogućuje stvaranje grupa hostova čiji je promet potpuno izoliran od ostalih mrežnih čvorova.

Skupni filtri

Filtri paketa djeluju na mrežnom sloju i kontroliraju prolaz prometa na temelju informacija sadržanih u zaglavlju paketa. Mnogi vatrozidi ove vrste mogu raditi sa zaglavljima protokola na višoj razini prijenosa (na primjer, TCP ili UDP). Filtri paketa bili su jedni od prvih koji su se pojavili na tržištu vatrozida i do danas su ostali najčešći tip. Ova tehnologija implementiran u veliku većinu usmjerivača, pa čak i u neke preklopnike.

Prilikom raščlanjivanja zaglavlja mrežni paket Mogu se koristiti sljedeći parametri:

Izvorišna i odredišna IP adresa;
tip transportnog protokola;
polja zaglavlja usluge protokola mrežnog i transportnog sloja;
izvorišnu i odredišnu luku.

Prilično je uobičajeno filtrirati fragmentirane pakete, što otežava otkrivanje nekih napada. Mnogi mrežni napadi iskorištavaju ovu ranjivost vatrozida prosljeđujući pakete koji sadrže zabranjene podatke kao fragmente drugog, pouzdanog paketa. Jedan od načina za borbu protiv ove vrste napada je konfiguracija vatrozida da blokira fragmentirane pakete. Neki vatrozidi mogu defragmentirati pakete prije nego što ih proslijede internoj mreži, ali to zahtijeva dodatne resurse samog vatrozida, posebno memoriju. Defragmentacija se mora koristiti vrlo promišljeno, inače i sam takav vatrozid može lako postati žrtva DoS napada.

Filtri paketa mogu se implementirati u sljedeće komponente mrežne infrastrukture:

granični usmjerivači;
OS;

Budući da filtri paketa obično provjeravaju samo podatke u zaglavljima mrežnog i transportnog sloja, oni to mogu učiniti vrlo brzo. Stoga su filteri paketa ugrađeni u rubne usmjerivače idealni za postavljanje na rubu mreže s niskim stupnjem povjerenja. Međutim, filteri paketa nemaju mogućnost analize protokola na višim razinama OSI mrežnog modela. Osim toga, filtri paketa obično su ranjivi na napade koji koriste lažiranje mrežne adrese. Takvi se napadi obično provode kako bi se zaobišla kontrola pristupa koju provodi vatrozid.

Pristupnici sesiji

Budući da ova vrsta vatrozida eliminira izravnu komunikaciju između dva računala, pristupnik sloja sesije jedini je povezujući element između vanjske mreže i unutarnjih resursa. To stvara dojam da pristupnik odgovara na sve zahtjeve vanjske mreže i čini gotovo nemogućim određivanje topologije zaštićene mreže. Osim toga, budući da se kontakt između čvorova uspostavlja samo ako je valjan, pristupnik sloja sesije sprječava mogućnost DoS napada koji su svojstveni filterima paketa.

Unatoč učinkovitosti ove tehnologije, ona ima ozbiljan nedostatak: kao i sve gore navedene klase vatrozida, pristupnici na razini sesije nemaju mogućnost provjere sadržaja podatkovnog polja, što napadaču omogućuje prijenos "trojanskih konja" u zaštićenu mrežu.

Brokeri aplikacijskog sloja

Nedostaci ove vrste vatrozida su velika količina vremena i resursa utrošenih na analizu svakog paketa. Iz tog razloga općenito nisu prikladni za aplikacije u stvarnom vremenu. Drugi nedostatak je nesposobnost automatsko povezivanje podrška za nove mrežne aplikacije i protokole, jer svaka od njih zahtijeva svog agenta.

Državni inspektori

Svaka od gore navedenih vrsta vatrozida koristi se za zaštitu korporativnih mreža i ima brojne prednosti. No, bilo bi puno učinkovitije skupiti sve te prednosti u jedan uređaj i dobiti vatrozid koji filtrira promet od mreže do aplikativne razine. Ova ideja je implementirana u državnim inspektorima, kombinirajući visoke performanse i sigurnost. Ova klasa vatrozida omogućuje kontrolu:

svaki poslani paket temelji se na tablici pravila;
svaka sesija - na temelju tablice stanja;
Svaka aplikacija temelji se na razvijenim posrednicima.

Filtriranjem prometa na temelju principa pristupnika na razini sesije, ovaj sat vatrozidi ne ometaju proces uspostavljanja veza između čvorova. Stoga je izvedba državnog inspektora znatno veća od one brokera aplikacijskog sloja i pristupnika sloja sesije, te je usporediva s izvedbom filtera paketa. Još jedna prednost državnih inspektora je transparentnost za korisnika: za klijenta softver nije potrebna dodatna konfiguracija. Ovi vatrozidi imaju velike mogućnosti proširenja. Kada se pojavi nova usluga ili novi protokol aplikacijskog sloja, samo trebate dodati nekoliko predložaka koji će ih podržati. Međutim, državni inspektori su sami po sebi manje sigurni od posrednika na razini aplikacije.

Pojam pregleda stanja, koji je uveo Check Point Software, postao je toliko popularan među proizvođačima mrežne opreme da se sada gotovo svaki vatrozid klasificira kao ova tehnologija, čak i ako je ne implementira u potpunosti.

Provedba

Postoje dvije verzije vatrozida - softverska i hardversko-softverska. Zauzvrat, verzija softvera i hardvera ima dvije vrste - u obliku zasebni modul u preklopniku ili usmjerivaču i kao namjenski uređaj.

U današnje vrijeme sve se češće koristi programsko rješenje koje na prvi pogled izgleda privlačnije. To je zbog činjenice da se čini da je za njegovu upotrebu dovoljno samo kupiti softver vatrozida i instalirati ga na bilo koje računalo u organizaciji. Međutim, kao što pokazuje praksa, organizacija nema uvijek besplatno računalo, pa čak ni ono koje zadovoljava prilično visoke zahtjeve za resurse sustava. Nakon što je računalo pronađeno (najčešće kupljeno), slijedi proces instalacije i konfiguracije operativnog sustava, kao i samog vatrozida. Lako je vidjeti da korištenje običnog osobnog računala nije tako jednostavno kao što se čini. Zbog toga su specijalizirani hardverski i softverski sustavi tzv sigurnosni uređaj, na temelju, u pravilu,

Zašto vam je potreban vatrozid u usmjerivaču? Hardverska zaštita SOHO-klase mreža korištenjem vatrozida

SMJENA GENERACIJA

"NOVA GENERACIJA" DANAS

POKRETAČI RASTA I NOVI RAZVOJ

Vrste vatrozida

Usporedba hardverskih i softverskih vatrozida

Vatrozidi kao dio usmjerivača

Značajke vatrozida

Jesu li vatrozidi doista tako pouzdani?

Klasifikacija vatrozida

Skupni filtri

Pristupnici sesiji

Pristupnici aplikacija

SPI vatrozidi

Postavljanje vatrozida

NAT protokol kao dio vatrozida

Problemi povezani s NAT uređajima

Dinamičko prosljeđivanje porta (posebna aplikacija)

DMZ zona

NAT Traversal tehnologija

Enciklopedijski YouTube

titlovi

Svrha

Priča

Filtriranje prometa

Klasifikacija vatrozida

Upravljani prekidači

Skupni filtri

Pristupnici sesiji

Brokeri aplikacijskog sloja

Državni inspektori

Provedba

Najbolji članci na temu