Не существует единой "корректной" политики безопасности для всех организаций. То, что хорошо, надежно и эффективно для одной компании, может не работать в других. Так, университеты и научно-исследовательские институты часто поощряют открытый обмен информацией и проявляют по отношению к пользователям высокую степень доверия. Вероятно, у этих организаций просто не хватает времени на реализацию и соблюдение политики, накладывающей жесткие ограничения на доступ пользователей в Internet. С другой стороны, организация, которая хранит и использует важные рабочие данные на хост-компьютере, подключенном к Internet, возможно, не захочет разрешить анонимные FTP- или Telnet-сеансы этому хост-компьютеру. Существуют, однако, общие элементы политики безопасности, которые следует учитывать всем организациям.
"Беспорядочные" стратегии разрешают всем неконтролируемый доступ из Internet во внутреннюю сеть и наоборот. "Параноидальная" политика заключается в тотальном запрещении такого взаимного доступа. Где-то между этими крайностями находятся две более приятные альтернативы: разрешительная и осторожная стратегии.
Разрешительная стратегия допускает свободное "хождение" всего трафика между внутренней сетью и Internet, за исключением того, что запрещено явным образом. Для этой стратегии характерны два серьезных недостатка. Во-первых, она требует наличия исчерпывающего набора фильтров (или исключений) для всех возможных адресов и портов, к которым доступ запрещен. Во-вторых, практически невозможно запретить трафик нежелательного типа без блокировки другого - желательного или необходимого - трафика, поскольку сетевые протоколы динамичны и часто изменяют номера портов сети в зависимости от состояния протокола.
Осторожная стратегия, напротив, запрещает прохождение всего трафика между двумя сетями, за исключением того, что явным образом разрешено. Этот более строгий подход к защите информации означает, что для отдельных пользователей, их групп или организации в целом могут быть установлены особые привилегии в отношении прав доступа.
Поскольку осторожная и разрешительная стратегии действуют на границах сети, они относятся к методам круговой защиты.
После того как подходящая стратегия обеспечения безопасности выбрана, она воплощается в виде набора процедур и поддерживающих их технических средств. Как правило, процедуры обеспечения безопасности представляют собой документально оформленный набор правил, регламентирующих управление и администрирование системы защиты. Процедуры могут включать регистрацию всех изменений в системе защиты (контроль) и выдачу сигнала тревоги в тех случаях, когда технические средства обнаружат какие-либо аномалии или отклонения от установленной политики. Надлежащим образом реализованные и соблюдаемые (после соответствующего обучения пользователей) процедуры могут свести к минимуму все виды инцидентов, затрагивающих безопасность системы, в том числе и случайные административные ошибки, попытки нарушения защиты в виде бытовых махинаций, а также несанкционированные изменения политики безопасности.
К наиболее популярным сегодня техническим средствам относятся брандмауэры, шифрование и системы управления доступом. Шифрование и управление доступом - два мощных технологических подхода для защиты электронной информации и реализации механизмов идентификации, аутентификации и доступа к компьютерным системам. Рассмотрим подробнее средства защиты на основе брандмауэров.
Брандмауэры Internet
Лучше всего круговая защита обеспечивается посредством брандмауэров, которые фильтруют трафик Internet на "электронной границе" организации. Брандмауэр принимает или отвергает трафик на основе установленной стратегии безопасности. Как правило, он устанавливается между Internet и внутренней сетью организации, действуя в качестве "контрольно-пропускного пункта" для потока информации, протекающего между внутренней сетью и Internet. Брандмауэр поддерживает осторожную политику безопасности, разрешая устанавливать только санкционированные сетевые соединения.
Прежде чем возложить все проблемы с безопасностью на брандмауэр, важно понять, чего он не может делать. Во-первых, брандмауэр не может защитить от злонамеренного внутреннего пользователя, обладающего
"законными" правами доступа. Очень редко удается запретить передачу частной информации по сетевому соединению. Кроме того, брандмауэр определенно не сможет стать препятствием для копирования таким пользователем данных или информации на дискету и выноса ее из здания. Во-вторых, брандмауэр не может обеспечить защиту от соединений, которые через него не проходят. Простым примером являются SLIP- и PPP-соединения по телефонным каналам через модемы. Наконец, брандмауэры иногда оказываются уязвимыми для вновь изобретенных хитроумными взломщиками новых способов нарушений защиты. Правда, технология брандмауэров постоянно совершенствуется, но... одновременно улучшаются и средства их преодоления. Чем выше ценность корпоративной информации, хранящейся под замком системы безопасности, тем изощреннее средства, используемые для ее получения.
Правильный выбор брандмауэра
Сегодня на рынке предлагается много брандмауэров. Их можно разделить на три основные категории: брандмауэры фильтрации пакетов, бастионные хосты и двойные внутренние (или прикладные) шлюзы. Каждый из этих базовых типов обладает своими преимуществами и недостатками в отношении эффективности, простоты использования, степени безопасности и, естественно, стоимости. Поскольку технология брандмауэров (и их рынок) быстро развивается, различия между типами брандмауэров начинают стираться. Изощренные механизмы защиты, которые прежде были прерогативой прикладных шлюзов, теперь реализуются в брандмауэрах пакетной фильтрации. А давление со стороны рынка начинает сказываться на стоимости прикладных шлюзов, снижая ее.
Не существует однозначного ответа на вопрос о том, какой тип брандмауэра лучше всего подойдет конкретной организации. Понятно одно: легкость в использовании, реализация определенной стратегии обеспечения безопасности, эффективность применения средств санкционированными пользователями - вот что должно ставиться во главу угла при выборе брандмауэра. Помимо фактической стоимости средств необходимо учитывать также и стоимость аппаратного обеспечения и операционных систем, необходимых для установки брандмауэра (многие имеющиеся брандмауэры поставляются в комплекте с другими продуктами). Кроме того, не следует забывать о дополнительных издержках, связанных с владением брандмауэром. Они определяются тем, сколько специалистов и какой квалификации необходимо привлечь для установки, управления, поддержки работоспособности, а следовательно, инвестиций в безопасность.
В заключение следует отметить, что польза от соединения внутренней сети компании с Internet должна коррелировать с допустимым уровнем риска связи с Internet и ценностью информационных активов внутренней сети. Поэтому только хорошо продуманная стратегия, обеспеченная надежными процедурами защиты и соответствующими техническими средствами, является гарантом защиты важных данных. Если компания затратила много денег, усилий и времени на реализацию одного элемента обеспечения безопасности (например, приобрела конкретный брандмауэр), это совсем не означает, что она автоматически стала более защищенной.