ів поза локальної мережі організації повинні бути визначені окремо.
Для того щоб МЕ успішно захищав ресурси організації, політика доступу користувачів до мережевих сервісів повинна бути реалістичною. Реалістичною вважається така політика, за якої знайдено баланс між захистом мережі організації від відомих ризиків і необхідним доступом користувачів до мережевих сервісів.
Політика роботи МЕ задає базовий принцип управлінняміжмережевим взаємодією, покладений в основу функціонування МЕ. Може бути вибраний один з двох принципів:
· заборонено все, що явно не дозволено;
· дозволено все, що явно не заборонено.
Фактично вибір принципу встановлює, наскільки «підозрілої» або «довірчої» має бути система захисту. Залежно від вибору, рішення може бути прийняте як на користь безпеки і в збиток зручності використання мережевих сервісів, так і навпаки.
При виборі принципу 1 МЕ налаштовується так, щоб блокувати будь явно не дозволені міжмережеві взаємодії. Цей принцип відповідає класичній моделі доступу, яка використовується в усіх галузях інформаційної безпеки. Такий підхід дозволяє адекватно реалізувати принцип мінімізації привілеїв, тому з точки зору безпеки він є кращим. Адміністратор безпеки повинен на кожен тип дозволеного взаємодії задавати правила доступу (одне і більше). Адміністратор не зможе через забудькуватість залишити дозволеними будь повноваження, так як за замовчуванням вони будуть заборонені. Доступні зайві сервіси можуть бути використані на шкоду безпеки, що особливо характерно для закритого і складного ПО, в якому можуть бути різні помилки і некоректність. Принцип 1, по суті, є визнанням факту, що незнання може заподіяти шкоду. Слід зазначити, що правила доступу, сформульовані відповідно до цього принципу, можуть доставляти користувачам певні незручності.
При виборі принципу 2 МЕ налаштовується так, щоб блокувати тільки явно заборонені міжмережеві взаємодії. У цьому випадку підвищується зручність використання мережевих сервісів з боку користувачів, але знижується безпеку міжмережевоговзаємодії. Користувачі мають більше можливостей обійти МЕ, наприклад, можуть отримати доступ до нових сервісів, не забороняє політикою (або навіть не зазначеним у політиці), або запустити заборонені сервіси на нестандартних портах TCP / UDP, які не заборонені політикою. Адміністратор може врахувати не всі дії, які заборонені користувачам. Йому доводиться працювати в режимі реагування, пророкуючи і забороняючи ті міжмережеві взаємодії, які негативно впливають на безпеку мережі. При реалізації принципу 2 внутрішня мережа виявляється менш захищеною від нападів хакерів, тому виробники МЕ зазвичай відмовляються від його використання.
МЕ є симетричним. Для нього окремо задаються правила, що обмежують доступ з внутрішньої мережі в зовнішню мережу, і навпаки. У загальному випадку його робота заснована на динамічному виконанні двох функцій:
· фільтрації проходять через нього інформаційних потоків;
· посередництва при реалізації міжмережевих взаємодій.
Залежно від типу екрану ці функції можуть виконуватися з різною повнотою. Прості МЕ орієнтовані на виконання тільки однієї з них. Комплексні МЕ забезпечують спільне виконання зазначених функцій захисту. Власна захище...
