|
Tarmoqlararo ekran texnologiyasi turlari va asosiy komponentalari
|
| bet | 4/6 | | Sana | 13.05.2024 | | Hajmi | 1,51 Mb. | | #228807 |
Bog'liq firewalTarmoqlararo ekran texnologiyasi turlari va asosiy komponentalari
Mahalliy tarmoqlarni kiruvchi trafik va ruxsatsiz kirishdan himoya qilish uchun har xil turdagi xavfsizlik devorlari qo'llaniladi. Amalga oshirish usuliga ko'ra ular dasturiy yoki apparat ta'minot bo'lishi mumkin.
Uskuna xavfsizlik devori - bu tarmoq chegarasini ta'minlash uchun o'rnatilgan jismoniy qurilma. Ushbu chegarani kesib o'tgan barcha tarmoq havolalari ushbu xavfsizlik devori orqali o'tadi, bu unga kiruvchi va chiquvchi tarmoq trafigini tekshirish va kirishni boshqarish va boshqa xavfsizlik siyosatlarini amalga oshirish imkonini beradi (6-rasm). Bu uskunaning ishlashini oshirish uchun kerak. Uskuna xavfsizlik devoriga misollar Cisco ASA, FortiGate, Cisco FirePower, UserGate va boshqalar kabi qurilmalardir.
6-rasm. Uskuna xavfsizlik devori
Dasturiy ta'minot xavfsizlik devori - bu bizning kompyuterlarimizda ishlaydigan kompyuter dasturiy ta'minotining bir turi. U tizimimizni har qanday
tashqi hujumlardan, masalan, ruxsatsiz kirish, zararli hujumlar va hokazolardan
himoya qiladi, agar biz ma'lum bir xatni ochsak yoki xavfsiz bo'lmagan veb-saytni ochishga harakat qilsak, yuzaga kelishi mumkin bo'lgan xavf haqida bizga xabar beradi. Bunday xavfsizlik devori orqali barcha trafik ishchi tarmoq ichida qayta yo'naltiriladi. Dasturiy ta'minotlarga Windowsda xavfsizlik devori va Linuxda iptables kiradi.
Dasturiy ta'minot xavfsizlik devorlari odatda arzonroq bo'lib, ular nafaqat tarmoq chetlarida, balki foydalanuvchi ish stantsiyalarida ham o'rnatilishi mumkin. Asosiy kamchiliklar - past o'tkazuvchanlik va ba'zi hollarda konfiguratsiyaning murakkabligi.
Xavfsizlik devori toifalari yillar davomida rivojlanib keldi. Yuqoridagi keng tasniflarga qo'shimcha ravishda, tarmoq xavfsizligida muhim rol o'ynashda davom etayotgan xavfsizlik devorlarining besh xil turi mavjud.
Davlat tekshiruvi xavfsizlik devorlari- Deyarli barcha zamonaviy tarmoq xavfsizlik devorlari "davlat tekshiruvi" arxitekturasini o'z ichiga oladi. Keling, quyidagi aloqa misolidan foydalanib, bu nimani anglatishini tasvirlab beraylik:
7-rasm. Davlat tekshiruvi xavfsizlik devorlari
Mijoz va server o'rtasidagi TCP aloqasida (masalan, yuqorida ko'rsatilgandek veb-brauzerga ega foydalanuvchi veb-server bilan muloqot qiladi), mijoz brauzeri Internet veb-server bilan 80-portda HTTP aloqasini boshlaydi.
Tasavvur qiling, o'rtada joylashgan Davlat tekshiruvi xavfsizlik devori ushbu chiquvchi HTTP trafigini o'tkazishga imkon beradi. Shunday qilib, paketlar mijozga javob beradigan veb-serverga etib boradi (har bir TCP aloqasida bo'lgani kabi). Endi Davlat xavfsizlik devori mijozdan serverga ulanishni boshlash tafsilotlarini "holat jadvali" da saqlaydi. Ushbu jadval manba IP va manba porti, maqsad IP va maqsad porti, TCP bayroqlari, TCP tartib raqamlari va boshqalar kabi tafsilotlarni o'z ichiga oladi.
Shunday qilib, mijozdan boshlangan dastlabki ulanishga mos keladigan tashqi veb-serverdan qaytib kelgan har qanday javob paketlari xavfsizlik devori orqali o'tadi va hech qanday qo'shimcha konfiguratsiyasiz mijozga etib boradi.
Bu konfiguratsiyani osonlashtiradi, chunki administrator tashqaridan ichkariga keladigan qaytarish/javob paketlariga ruxsat berish uchun xavfsizlik devorida hech qanday qoidalarni sozlashi shart emas. Agar mijozdan serverga allaqachon o'rnatilgan ulanishga tegishli bo'lsa, bu paketlarga avtomatik ravishda ruxsat beriladi.
Davlat xavfsizlik devori uchta sababga ko'ra samarali bo'ladi:
U paketlarda ham, ulanishlarda ham ishlaydi.
U paketli filtrlash yoki proksi-serverdan foydalanishga qaraganda yuqori unumdorlik darajasida ishlaydi.
U har bir ulanish va ulanishsiz tranzaksiya uchun ma'lumotlarni jadvalga yozadi. Ushbu jadval paketlar mavjud ulanishga tegishlimi yoki ruxsatsiz manbadan ekanligini aniqlash uchun mos yozuvlar nuqtasi bo'lib xizmat qiladi.
Paketli filtrlovchi xavfsizlik devori- Paket filtrlash xavfsizlik devorlari ulanish nuqtalarida ishlaydi, bu erda routerlar va kalitlar kabi qurilmalar o'z ishlarini bajaradi. Ushbu xavfsizlik devorlari paketlarni yo'naltirmaydi, lekin har bir paketni ruxsat etilgan IP manzillari, paket turi, port raqami va paket protokoli sarlavhalarining boshqa jihatlari kabi belgilangan mezonlar to'plami bilan solishtiradi. Muammoli deb belgilangan paketlar o'chirib tashlanadi. Paket filtrlovchi xavfsizlik devori OSI modelining 3 va 4-qatlamlarida ishlaydi (ya'ni, Internet IP qatlami va transport qatlami). Ushbu turdagi xavfsizlik devori trafikni faqat IP manzili va port raqamlari bo'yicha statik ravishda filtrlaydi.
Paketli filtrlash shuningdek, "shtatsiz xavfsizlik devori" deb ataladi. Masalan, Cisco qurilmalarida marshrutizatorda sozlangan Access Control List (ACL) paket filtri xavfsizlik devori sifatida ishlaydi.
Paket filtri xavfsizlik devorlarining asosiy kamchiliklaridan biri shundaki, siz belgilangan hostlardan qaytib keladigan javob paketlariga ham ruxsat berish
uchun qoidalarni sozlashingiz kerak.
Paket filtrlash asosan marshrutizatorlar yoki Layer 3 kalitlarida qo'llaniladi
va ishonchsiz tarmoqdan ishonchli/himoyalangan tarmoqqa ba'zi trafikni blokirovka qilishning "tez va iflos" usuli hisoblanadi.
8-rams. Paketli filtrlovchi xavfsizlik devori
|
| |
