Popoln vodnik za požarni zid: Kako zgraditi varen omrežni sistem

complete guide firewall

Preizkusite Naš Instrument Za Odpravo Težav

Izberite Operacijski Sistem Izberite Program Projekcije (Neobvezno)

Opišite Svoj Problem

Poglobljen pogled na požarni zid s klasičnimi primeri:

Raziskovali smo Vse o usmerjevalnikih v naši prejšnji vadnici v tem Vadnice za mrežno usposabljanje za vse .

V sedanjih sodobnih komunikacijskih in mrežnih sistemih se je uporaba interneta močno razvila v skoraj vseh sektorjih.

Ta rast in uporaba interneta sta prinesla številne prednosti in olajšala vsakodnevno komunikacijo tako v osebne kot organizacijske namene. Toda po drugi strani se je pojavil z varnostnimi težavami, težavami s hekanjem in drugimi vrstami neželenih motenj.

Za obvladovanje teh težav je potrebna naprava, ki bi morala zaščititi osebni računalnik in premoženje podjetja pred temi težavami.

požarni zid img

Kaj se boste naučili:

Uvod v požarni zid

Koncept požarnega zidu je bil predstavljen za zaščito komunikacijskega procesa med različnimi omrežji.

Požarni zid je programska ali strojna naprava, ki pregleduje podatke iz več omrežij in jim nato dovoli ali blokira komunikacijo z vašim omrežjem, ta postopek pa urejajo nabor vnaprej določenih varnostnih smernic.

V tej vadnici bomo raziskali različne vidike požarnega zidu in njegove aplikacije.

Opredelitev:

Požarni zid je naprava ali kombinacija sistemov, ki nadzoruje pretok prometa med različnimi deli omrežja.Požarni zidse uporablja za zaščito omrežja pred grdimi ljudmi in prepoved njihovega delovanja na vnaprej določenih mejnih ravneh.

Požarni zid se ne uporablja samo za zaščito sistema pred zunanjimi grožnjami, temveč je lahko tudi notranja. Zato potrebujemo zaščito na vsaki ravni hierarhije mrežnih sistemov.

Dober požarni zid bi moral zadostovati za spopadanje z notranjimi in zunanjimi grožnjami in biti sposoben obvladovati zlonamerno programsko opremo, na primer črve, ki so pridobili dostop do omrežja. Prav tako določa vašemu sistemu, da preneha posredovati nezakonite podatke drugemu sistemu.

Na primer , požarni zid vedno obstaja med zasebnim omrežjem in internetom, ki je javno omrežje, zato filtrira pakete, ki prihajajo in izstopajo.

Požarni zid kot ovira med internetom in LAN

Požarni zid kot ovira med internetom in LAN

Izbira natančnega požarnega zidu je ključnega pomena pri vzpostavitvi varnega omrežnega sistema.

Požarni zid zagotavlja varnostno napravo, ki omogoča in omejuje promet, preverjanje pristnosti, prevajanje naslovov in varnost vsebine.

Zagotavlja 365 * 24 * 7 zaščito omrežja pred hekerji. To je enkratna naložba za katero koli organizacijo in za pravilno delovanje potrebuje le pravočasne posodobitve. Z uporabo požarnega zidu v primeru omrežnih napadov ni nobene panike.

Programska oprema proti strojnemu požarnemu zidu

Primer osnovnega omrežja požarnega zidu

Primer osnovnega omrežja požarnega zidu

Požarni zid strojne opreme ščiti celotno mrežo organizacije, ki jo uporablja, samo pred zunanjimi grožnjami. Če je uslužbenec organizacije povezan z omrežjem prek prenosnega računalnika, zaščite ne more izkoristiti.

Po drugi strani pa požarni zid programske opreme zagotavlja varnost na osnovi gostitelja, saj je programska oprema nameščena na vsaki napravi, priključeni na omrežje, s čimer sistem ščiti pred zunanjimi in notranjimi grožnjami. Uporabniki mobilnih naprav ga najpogosteje uporabljajo za digitalno zaščito slušalke pred zlonamernimi napadi.

Omrežne grožnje

Spodaj je naveden seznam omrežnih groženj:

Črvi, zavrnitev storitve (DoS) in trojanski konji so nekaj primerov omrežnih groženj, ki se uporabljajo za rušenje računalniških omrežnih sistemov.
Virus trojanskega konja je vrsta zlonamerne programske opreme, ki v sistemu izvaja dodeljeno nalogo. Toda dejansko je poskušal nezakonito dostopati do omrežnih virov. Ti virusi, če jih vbrizgate v sistem, dajejo hekerjem pravico, da vdrejo v vaše omrežje.
To so zelo nevarni virusi, saj lahko celo povzročijo zrušitev računalnika in lahko na daljavo spremenijo ali izbrišejo vaše ključne podatke iz sistema.
Računalniški črvi so vrsta zlonamerne programske opreme. Za prenos njihovih kopij na druge računalnike v omrežju porabijo pasovno širino in hitrost omrežja. Računalnikom škodijo tako, da v celoti poškodujejo ali spremenijo bazo podatkov računalnika.
Črvi so zelo nevarni, saj lahko uničijo šifrirane datoteke in se pritrdijo z e-pošto ter se tako lahko po internetu prenašajo v omrežje.

Zaščita požarnega zidu

V majhnih omrežjih lahko vsako svojo omrežno napravo zaščitimo tako, da zagotovimo, da so nameščeni vsi popravki programske opreme, onemogočene neželene storitve in v njih pravilno nameščena varnostna programska oprema.

V tem primeru je, kot je tudi prikazano na sliki, požarni zid nameščen na vsakem računalniku in strežniku in konfiguriran tako, da lahko v napravo vstopa in izstopa le navedeni promet. Toda to učinkovito deluje samo v majhnih omrežjih.

Zaščita požarnega zidu v majhnem omrežju

Zaščita požarnega zidu v majhnem omrežju

V obsežnem omrežju je skoraj nemogoče ročno nastaviti zaščito požarnega zidu na vsakem vozlišču.

Centralizirani varnostni sistem je rešitev za zagotavljanje varnega omrežja velikim omrežjem. S pomočjo primera je na spodnji sliki prikazano, da je rešitev požarnega zidu naložena s samim usmerjevalnikom in postane enostavno ravnanje z varnostnimi politikami. Politike prometa vstopajo in izstopajo v napravi in jih lahko obravnava samo ena naprava.

kateri je najboljši brezplačen e-poštni račun

Zaradi tega je splošni varnostni sistem stroškovno učinkovit.

Zaščita požarnega zidu v velikih omrežjih

Zaščita požarnega zidu v velikih omrežjih

Požarni zid in referenčni model OSI

Požarni zid lahko deluje na petih plasteh referenčnega modela OSI-ISO. Toda večina jih deluje v samo štirih plasteh, tj. Plast podatkovne povezave, omrežna plast, transportna plast in aplikacijska plast.

Število slojev, ki jih zajema požarni zid, je odvisno od vrste uporabljenega požarnega zidu. Večje bo število slojev, ki jih bo pokrivalo, učinkovitejše bodo rešitve požarnega zidu za reševanje vseh vrst varnostnih težav.

Obravnavanje notranjih groženj

Večina napadov na omrežje se zgodi znotraj sistema, zato mora biti za reševanje njegovega požarnega zidu omogočena zaščita tudi pred notranjimi grožnjami.

Spodaj je opisanih nekaj vrst notranjih groženj:

# 1) Zlonamerni kibernetski napadi so najpogostejša vrsta notranjega napada. Skrbnik sistema ali kateri koli uslužbenec iz oddelka za informacijsko tehnologijo, ki ima dostop do omrežnega sistema, lahko namesti nekaj virusov, da ukrade ključne omrežne informacije ali poškoduje omrežni sistem.

Rešitev za to je spremljanje dejavnosti vsakega zaposlenega in varovanje notranjega omrežja z uporabo več plasti gesla za vsakega od strežnikov. Sistem je mogoče zaščititi tudi tako, da omogočimo dostop do sistema čim manjšemu številu zaposlenih.

#two) Kateri koli gostiteljski računalnik notranjega omrežja organizacije lahko prenaša zlonamerno internetno vsebino s pomanjkanjem znanja o prenosu virusa tudi z njo. Tako bi morali imeti gostiteljski sistemi omejen dostop do interneta. Vse nepotrebne brskalnike je treba blokirati.

# 3) Uhajanje informacij iz katerega koli gostiteljskega računalnika prek pogonov pisala, trdega diska ali CD-ROM-a je tudi omrežna grožnja sistemu. To lahko privede do ključnega uhajanja baze podatkov organizacije v zunanji svet ali konkurente. To lahko nadzirate tako, da onemogočite vrata USB gostiteljskih naprav, tako da ne morejo vzeti nobenih podatkov iz sistema.

Priporočeno branje => Vrhunska programska orodja za zaklepanje USB

DMZ

Demilitarizirano območje (DMZ) uporablja večina požarnih zidov za varovanje sredstev in virov. DMZ-ji so uvedeni tako, da zunanjim uporabnikom omogočajo dostop do virov, kot so e-poštni strežniki, strežniki DNS in spletne strani, ne da bi odkrili notranje omrežje. Obnaša se kot medpomnilnik med različnimi odseki v omrežju.

Vsaki regiji v sistemu požarnega zidu je dodeljena stopnja varnosti.

Na primer , nizka, srednja in visoka. Običajno se promet pretaka z višje na nižjo raven. Toda, da se promet premakne z nižje na višjo raven, se uporabi drugačen nabor pravil filtriranja.

Da bi dovolili, da se promet premakne z nižje stopnje varnosti na višjo raven varnosti, bi morali biti natančni glede vrste dovoljenega prometa. Če smo natančni, odklepamo sistem požarnega zidu samo za tisti promet, ki je bistvenega pomena, saj bodo vse druge vrste prometa blokirane s konfiguracijo.

Požarni zid je nameščen za ločevanje značilnih delov omrežja.

Različni vmesniki so naslednji:

Povezava do interneta, dodeljena z najnižjo stopnjo varnosti.
Povezava do DMZ je zaradi prisotnosti strežnikov dodelila srednjo varnost.
Povezava do organizacije, ki se nahaja na oddaljenem koncu, ima dodeljeno srednjo varnost.
Najvišja varnost je dodeljena notranjemu omrežju.

Zaščita požarnega zidu z DMS

Zaščita požarnega zidu z DMZ

Pravila, dodeljena organizaciji, so:

Dovoljen je dostop do visoke do nizke ravni
Dostop od nizke do visoke ravni ni dovoljen
Prav tako ni dovoljen enakovreden dostop

Z uporabo zgornjega nabora pravil je promet, ki se lahko samodejno pretaka skozi požarni zid:

Interne naprave za DMZ, oddaljeno organizacijo in internet.
DMZ za oddaljeno organizacijo in internet.

Vsak drug prometni tok je blokiran. Prednost takšne zasnove je v tem, da ker ima internet in oddaljena organizacija enakovredne stopnje varnosti, promet z interneta, ki ni sposoben nameniti organizacije, ki sama krepi zaščito, in organizacija ne bo mogla uporabljati interneta brezplačno. (prihrani denar).

Druga prednost je ta, da zagotavlja večplastno varnost, tako da če heker želi vdreti v notranje vire, mora najprej vdreti v DMZ. Naloga Hackerja postane težja, kar pa sistem naredi veliko bolj varnega.

Komponente požarnega zidu

Gradniki dobrega požarnega zidu so naslednji:

Obodni usmerjevalnik
Požarni zid
VPN
IDS

# 1) Obodni usmerjevalnik

Glavni razlog za njegovo uporabo je povezava do javnega omrežja, kot je internet, ali prepoznavna organizacija. Izvaja usmerjanje podatkovnih paketov z upoštevanjem ustreznega usmerjevalnega protokola.

Določa tudi filtriranje paketov in naslove prevodov.

# 2) Požarni zid

Kot smo že omenili, je njegova glavna naloga določiti različne stopnje varnosti in nadzirati promet med posameznimi ravnmi. Večina požarnega zidu obstaja v bližini usmerjevalnika, da zagotavlja zaščito pred zunanjimi grožnjami, včasih pa je prisoten v notranjem omrežju tudi za zaščito pred notranjimi napadi.

# 3) VPN

Njegova naloga je zagotoviti varno povezavo med dvema strojema ali omrežjema ali strojem in omrežjem. To je sestavljeno iz šifriranja, preverjanja pristnosti in zagotavljanja zanesljivosti paketov. Zagotavlja varen dostop na daljavo do omrežja in tako povezuje dve omrežji WAN na isti platformi, vendar nista fizično povezana.

# 4) IDS

Njegova naloga je prepoznavanje, preprečevanje, preiskovanje in reševanje nepooblaščenih napadov. Heker lahko napade omrežje na različne načine. Lahko izvede napad DoS ali napad z zadnje strani omrežja z nepooblaščenim dostopom. Rešitev IDS bi morala biti dovolj pametna za spopadanje s tovrstnimi napadi.

Rešitev IDS je dve vrsti, omrežno in gostiteljsko. Rešitev IDS, ki temelji na omrežju, mora biti vešča na takšen način, kadar koli je napad opažen, lahko dostopa do sistema požarnega zidu in po prijavi vanj lahko nastavi učinkovit filter, ki lahko omeji neželen promet.

Rešitev IDS na osnovi gostitelja je nekakšna programska oprema, ki deluje na gostiteljski napravi, kot je prenosnik ali strežnik, in prepozna nevarnost samo proti tej napravi. Rešitev IDS mora natančno pregledati omrežne grožnje in jih pravočasno prijaviti ter sprejeti potrebne ukrepe proti napadom.

Umestitev komponent

Govorili smo o nekaj glavnih gradnikih požarnega zidu. Zdaj pa se pogovorimo o namestitvi teh komponent.

Spodaj s pomočjo primera ponazarjam zasnovo omrežja. Vendar ni mogoče povsem reči, da gre za splošno varno mrežno zasnovo, saj ima lahko vsak dizajn nekaj omejitev.

Obodni usmerjevalnik s temeljnimi filtrirnimi lastnostmi se uporablja, ko promet prodira v omrežje. Komponenta IDS je nameščena za prepoznavanje napadov, ki jih usmerjevalnik oboda ni mogel filtrirati.

Promet s tem poteka skozi požarni zid. Požarni zid je sprožil tri stopnje varnosti, nizka za internet pomeni zunanjo stran, srednja za DMZ in visoka za notranje omrežje. Pravilo je, da se dovoli promet z interneta samo na spletni strežnik.

Preostali pretok prometa od nižje do višje strani je omejen, vendar je dovoljen višji do nižji pretok prometa, tako da skrbnik, ki prebiva v notranjem omrežju za prijavo na strežnik DMZ.

Splošni primer zasnove sistema požarnega zidu

Splošni primer zasnove sistema požarnega zidu

preprost java program za razvrščanje števil v naraščajočem vrstnem redu

V tej zasnovi je implementiran tudi notranji usmerjevalnik, ki interno usmerja pakete in izvaja filtriranje.

Prednost te zasnove je v tem, da ima tri plasti zaščite, usmerjevalnik oboda za filtriranje paketov, IDS in požarni zid.

Pomanjkljivost te nastavitve je, da se v notranjem omrežju ne pojavlja IDS, zato notranjih napadov ni mogoče zlahka preprečiti.

Pomembna dejstva o oblikovanju:

Za večjo varnost je treba na meji omrežja uporabiti požarni zid za filtriranje paketov.
Vsak strežnik, ki je izpostavljen javnemu omrežju, kot je internet, bo postavljen v DMZ. Strežniki, ki imajo ključne podatke, bodo v sebi opremljeni s programsko opremo požarnega zidu na osnovi gostitelja. Poleg teh na strežnikih je treba onemogočiti tudi vse neželene storitve.
Če ima vaše omrežje kritične strežnike baz podatkov, kot so strežniki HLR, IN in SGSN, ki se uporabljajo pri mobilnih operacijah, bo uvedenih več DMZ.
Če želijo zunanji viri, kot so organizacije na daljavo, dostopati do vašega strežnika v notranjem omrežju varnostnega sistema, potem uporabite VPN.
Za ključne notranje vire, kot so raziskave in razvoj ali finančni viri, je treba IDS uporabljati za spremljanje in obvladovanje notranjih napadov. Če ločeno naložite stopnje varnosti, lahko notranjemu omrežju zagotovite dodatno varnost.
Pri e-poštnih storitvah je treba vse odhodne e-pošte najprej prenesti prek e-poštnega strežnika DMZ, nato pa še nekaj dodatne varnostne programske opreme, da se lahko izognemo notranjim grožnjam.
Za dohodno e-pošto je treba poleg strežnika DMZ na strežnik namestiti in zagnati protivirusno, neželeno in gostiteljsko programsko opremo vsakič, ko pošta vstopi v strežnik.

Administracija in upravljanje požarnega zidu

Zdaj smo izbrali gradnike našega požarnega zidu. Zdaj je napočil čas za nastavitev varnostnih pravil v omrežni sistem.

Za konfiguriranje programske opreme požarnega zidu se uporabljata vmesnik ukazne vrstice (CLI) in grafični uporabniški vmesnik (GUI). Na primer , Izdelki Cisco podpirajo obe vrsti konfiguracijskih metod.

Danes se v večini omrežij za konfiguriranje usmerjevalnikov, požarnih zidov in atributov VPN uporablja Varnostni upravitelj naprav (SDM), ki je prav tako produkt podjetja Cisco.

Za uvedbo sistema požarnega zidu je za nemoteno izvajanje postopka zelo pomembna učinkovita administracija. Ljudje, ki upravljajo varnostni sistem, morajo biti mojstri svojega dela, saj ni prostora za človeške napake.

Izogibati se je treba kakršnim koli vrstam konfiguracijskih napak. Vsakič, ko bodo opravljene posodobitve konfiguracije, mora skrbnik pregledati in dvakrat preveriti celoten postopek, tako da vrzeli in hekerji ne bodo mogli napasti. Skrbnik mora s programskim orodjem preučiti opravljene spremembe.

Kakršnih koli večjih sprememb konfiguracije v sistemih požarnega zidu ni mogoče neposredno uporabiti za tekoča velika omrežja, saj lahko neuspeh privede do velike izgube omrežja in neposredno omogoči vstop neželenega prometa v sistem. Najprej je torej treba opraviti v laboratoriju in preučiti rezultate, če so rezultati najdeni v redu, potem bomo lahko izvedli spremembe v omrežju v živo.

Kategorije požarnega zidu

Glede na filtriranje prometa obstaja veliko kategorij požarnega zidu, nekatere so razložene spodaj:

# 1) Požarni zid za filtriranje paketov

To je nekakšen usmerjevalnik, ki ima možnost filtriranja nekaj vsebine podatkovnih paketov. Pri uporabi filtriranja paketov so pravila razvrščena na požarni zid. Ta pravila iz paketov ugotovijo, kateri promet je dovoljen in kateri ne.

# 2) Državni požarni zid

Imenuje se tudi kot dinamično filtriranje paketov, pregleda stanje aktivnih povezav in s temi podatki ugotovi, kateri od paketov naj bo dovoljen skozi požarni zid in kateri ne.

Požarni zid pregleda paket do aplikacijskega sloja. S sledenjem podatkov seje, kot sta naslov IP in številka vrat podatkovnega paketa, lahko omrežju zagotovi veliko močno varnost.

Pregleda tudi dohodni in odhodni promet, zato so hekerji težko posegali v omrežje s tem požarnim zidom.

# 3) Proxy požarni zid

Ti so znani tudi kot požarni zidovi aplikacijskega prehoda. Požarni zid s stanjem ne more zaščititi sistema pred napadi, ki temeljijo na HTTP. Zato je na trgu predstavljen proxy požarni zid.

Vključuje funkcije državnega pregleda in sposobnost natančne analize protokolov aplikacijskega sloja.

Tako lahko spremlja promet s protokolov HTTP in FTP in ugotovi možnost napadov. Tako se požarni zid obnaša kot proxy, kar pomeni, da odjemalec vzpostavi povezavo z požarnim zidom, požarni zid pa v zameno sproži samostojno povezavo s strežnikom na strani odjemalca.

Vrste požarnega zidu

Nekaj najbolj priljubljenih požarnih zidov, ki jih organizacije uporabljajo za zaščito svojih sistemov, je omenjenih spodaj:

# 1) Požarni zid Comodo

Brskanje po navideznem internetu, za blokiranje neželenih pojavnih oglasov in prilagajanje strežnikov DNS sta pogosti značilnosti tega požarnega zidu. Navidezni kiosk se uporablja za blokiranje nekaterih postopkov in programov s pobegom in prodiranjem v omrežje.

V tem požarnem zidu je mogoče, razen po dolgem postopku za določanje vrat in drugih programov, ki jih je dovoljeno in blokirati, dovoliti in blokirati tako, da samo poiščete program in kliknete želeni izhod.

Comodo killswitch je tudi izboljšana lastnost tega požarnega zidu, ki ponazarja vse tekoče procese in omogoča enostavno blokiranje neželenih programov.

# 2) Požarni zid AVS

Izvedba je zelo enostavna. Vaš sistem varuje pred grdimi spremembami registra, pojavnimi okni in neželenimi oglasi. URL-je za oglase lahko kadar koli spremenimo in jih lahko tudi blokiramo.

Ima tudi funkcijo starševskega nadzora, ki je del dovoljevanja dostopa samo do natančne skupine spletnih mest.

Uporablja se v operacijskih sistemih Windows 8, 7, Vista in XP.

# 3) Netdefender

Tu lahko enostavno opišemo izvorni in ciljni naslov IP, številko vrat in protokol, ki so dovoljeni in niso dovoljeni v sistemu. FTP lahko dovolimo in blokiramo za uvajanje in omejitve v katerem koli omrežju.

Vgrajen ima tudi optični bralnik vrat, ki lahko vizualizira, kateri se lahko uporablja za pretok prometa.

# 4) PeerBlock

Kljub blokiranju posameznega razreda programov, definiranih v računalniku, blokira celoten razred naslovov IP, ki spadajo v določeno kategorijo.

To funkcijo uporabi tako, da blokira dohodni in odhodni promet z definiranjem nabora prepovedanih naslovov IP. Zato omrežje ali računalnik, ki uporablja ta niz IP-jev, ne more dostopati do omrežja in tudi notranje omrežje ne more poslati odhodnega prometa tem blokiranim programom.

# 5) Požarni zid Windows

Najpogostejši požarni zid, ki ga uporabljajo uporabniki sistema Windows 7, je ta požarni zid. Omogoča dostop in omejevanje prometa in komunikacije med omrežji ali omrežjem ali napravo z analizo naslova IP in številke vrat. Privzeto dovoli ves odhodni promet, dovoli pa le tisti vhodni promet, ki je definiran.

# 6) Juniper Firewall

Brin že sam po sebi mrežna organizacija in oblikuje tudi različne vrste usmerjevalnikov in filtre požarnega zidu. V aktivnem omrežju, na primer ponudniki mobilnih storitev, uporablja požarne zidove Juniper za zaščito svojih omrežnih storitev pred različnimi vrstami groženj.

Varujejo omrežne usmerjevalnike in odvečni dohodni promet ter nezadovoljive napade iz zunanjih virov, ki lahko prekinejo omrežne storitve in upravljajo s prometom, ki naj se posreduje iz katerega od vmesnikov usmerjevalnika.

Izvaja en vhodni in en izhodni filter požarnega zidu za vsak dohodni in odhodni fizični vmesnik. To filtrira neželene podatkovne pakete po pravilih, določenih na vhodnih in odhodnih vmesnikih.

Glede na privzete nastavitve konfiguracije požarnega zidu se določi, kateri paketi bodo sprejeti in kateri bodo zavrženi.

Zaključek

Iz zgornjega opisa različnih vidikov požarnega zidu bomo zaključili, da je bil za premagovanje zunanjih in notranjih omrežnih napadov uveden koncept požarnega zidu.

Požarni zid je lahko strojna ali programska oprema, ki bo z upoštevanjem določenih pravil zaščitila naš mrežni sistem pred virusi in drugimi vrstami zlonamernih napadov.

Tu smo raziskali tudi različne kategorije požarnega zidu, komponente požarnega zidu, načrtovanje in izvedbo požarnega zidu ter nato nekaj znanih programov požarnega zidu, ki smo jih uporabljali za mrežno industrijo.

PREV Vadnica | NASLEDNJA Vadnica