15-Ma’ruza. Tarmoq xavfsizligini ta’minlovchi vositalar

15-Ma’ruza.
Tarmoq xavfsizligini ta’minlovchi vositalar
Reja:
1. Tarmoqlararo ekranlash
2. Virtual xususiy tarmoqlar
3. Suqilib kirishlarni aniqlash tizimlari (Intrusion Detection System, IDS)
4. Ma’lumotlarning sirqib chiqishini oldini olish tizimlari (Data Leakage Prevention, DLP)
Kalit so’zlar: tarmoqlararo ekranlash, virtual xususiy tarmoqlar, suqilib kirishlarni aniqlash tizimlari (Intrusion Detection System, IDS), ma’lumotlarning sirqib chiqishini oldini olish tizimlari (Data Leakage Prevention, DLP), yolg’on nishonlar yoki tuzoqlar (honeypot).


Tarmoqlararo ekran texnologiyasi
Tarmoqlararo ekran (TE) - maxsus kompleks tarmoklararo ximoya bo’lib, braundmauer yoki firewall deb ham yuritiladi. TE umumiy tarmokni ikki qismga: ichki va tashqi tarmokga ajaratadi. Ichki tarmok tashkilotning ichki tarmog’i - ximoyalanuvchi tarmok va tashqi tarmok global tarmok - Internet. Umumiy xolda TE ichki tarmokni tashqi tarmokdan bo’ladigan xujumlardan ximoyalaydi (13.1 - rasm).
TE bir vaqtning o’zida ko’plab ichki tarmok uzellarini ximoyalaydi va quyidagilarni amalga oshiradi:

• 
  tashqi tarmoqdagi foydalanuvchilardan ichki tarmoq resurslarini himoyalash. Bu foydalonuvchilar xakerlar, masofadan foydalonuvchilar, sheriklar va h. lar bo’lishi mumkin.
  
• 
  ichki tarmok foydalonuvchilarini tashqi tarmoksha bo’lgan murojaatlarini chegaralash. Masalan, ishchilarga faqat ruxsat berilgan saytlargagina foydalonishga ruxsat berish.
  

15.1 - rasm. TE ulanish sxemasi
TElarning hozirgi kunga qadar aniq tayinlangan klassifikasiyasi mavjud bo’lgan emas. Umumiy xolda ularni quyidacha klassifikasiyalash mumkin:

• 
  OSI modelining funksional sathlari bo’yicha:
  
  • 
    paket filterlari – tarmoq sathida ishlaydi;
    
  • 
    ekspert paketi filterlari – transport sahida ishlaydi;
    
  • 
    ilova proksilari – ilova sathida.
    
• 
  foydalanilgan texnologiyasi bo’yicha:
  
  • 
    protakol holatini nazoratlash;
    
  • 
    vositachi moduli yordamida (proksi).
    
• 
  bajarilishiga ko’ra:
  
  • 
    apparat-dasturiy;
    
  • 
    dasturiy.
    
• 
  ulanish sxemasiga ko’ra:
  
  • 
    yagona tarmok ximoyasi sxemasi;
    
  • 
    ximoyalangan yopiq va ximoyalanmagan ochiq tarmok segmentli sxema;
    
  • 
    bo’lingan ximoyalangan yopiq va ochiq segmentli tarmok hamda sxema.
    

Paket filteri turidagi TE o’tuvchi axborotni analiz qilishda quyidagi kriteriyalardan foydalonadi:

• 
  xabar paketlarining xizmat maydonlari: tarmok manzili, identifikatorlar, interfeys manzili, port nomeri va boshqa parametrlar;
  
• 
  bevosita xabar paketi kontentini tekshirish orqali, masalan, virusga qarshi;
  
• 
  axborot oqimining tashqi xarakteristikasi bo’yicha, masalan, vaqt va chastota xarakteristikalari, malumot hajmi va h.
  

Vositachi moduliga asoslangan TE quyidagi funksiyalarni bajaradi:

• 
  uzatilayotgan axborotni to’g’riligini tekshirish;
  
• 
  xabarlar oqimini filterlash va o’zgartirish, masalan, virusga qarshi tekshirish va shaffof shifrlash;
  
• 
  ichki tarmok resursidan foydalonishni cheklash;
  
• 
  tashqi tarmok resursidan foydalonishni cheklash;
  
• 
  tashqi tarmokdan so’ralgan malumotlarni keshlash;
  
• 
  foydalonuvchini identifikasiyalash va autentifikasiyalash (13.2 - rasm);
  
• 
  chiquvchi xabar paketlari uchun ichki tarmok manzilini o’zgartirish;
  
• 
  hodisalarni ro’yxatga olish, nazoratlash va analiz qilish.
  

TE korporativ tarmokdagi barcha xavfsizlik muammolarini barataraf eta olmaydi. Yuqorida keltirilgan imkoniyatlaridan tashqari tarmokda TE hal eta olmaydigan taxdidlar ham mavjud bo’lgan. Bu cheklanishlar quyidagilar:

• 
  o’tkazish qobilyatini cheklashi mumkin. Barcha xabarlar oqimi TEdan o’tganligi sababli, tarmokning o’tkazish qobiliyati kamayadi;
  
• 
  viruslarga qarshi ximoyani madadlamaydi. TE vositasi yuklanuvchi turidagi viruslarni ximoyalay olmaydi;
  
• 
  Internetdagi zararli kontentlardan ximoyalay olmaydi (masalan, Java appletlari);
  
• 
  foydalonuvchi yoki tizim ma’murini xatosidan yoki bilimini etishmasligidan ximoyalay olmaydi;
  
• 
  TE faqat bo’ladigan mavjud bo’lgan xujumlarni bloklaydi. Yangi turdagi xujumni qaytara olmaydi.
  

15.2 - rasm. Parol yordamida foydalonuvchilarni autentifikasiyalash