97
Эффективная защита в режиме реального времени от всех видов вирусов
Защита от шпионских программ
Многоуровневая система защиты от всех видов шпионских программ
Фильтрация приложений
Адресное блокирование коммуникаций IM, P2P, неавторизованного
туннелирования
URL-фильтрация
Предотвращение доступа к нежелательным сайтам или к сайтам с
нежелательным контентом
Блокирование анонимных прокси
Проактивная блокировка анонимайзеров и анонимных прокси
К сосбенностям программно-аппаратного комплекса отнесем:
Полная очистка трафика Интернет от всех видов современного
вредоносного кода с эффективностью в 99,99%
Обеспечение 4-х уровневой защиты от программ шпионов
Управление доступом к Интернет – приложениям (IM, P2P,
Streaming media)
Блокирование спама с показателем эффективности 99,9%
Проверка 100% HTML web-страницы
Блокирование неавторизованных коммуникаций
Регулирование доступом в web-сайтам
Кроме того, необходимо применять шифрование данных, хранящихся на
ПК пользователей и серверах. Для этого будем использовать программный
продукт той же компании - Secret Disk 4 . Система защиты конфиденциальной
информации и персональных данных Secret Disk 4 защищает конфиденциальную
информацию на персональном компьютере. С её помощью можно создавать на
компьютере зашифрованные диски (секретные диски) — диски с
зашифрованным содержимым, работать с которыми может только пользователь-
владелец и его доверенные лица. Любой другой пользователь, пусть даже
наделённый административными полномочиями на данном компьютере, не
может получить доступ к зашифрованным дискам.
98
Esafe представляет собой решения, которые могут быть приобретены по
желанию компании в комплексе или по отдельности. Каждое из представленных
решений направлено на обеспечение безопасности определенного сегмента:
eSafe Mail & Web Security Gateway - Предотвращает проникновение
вредоносного кода извне в защищаемую сеть
eSafe Web Security Gateway - Обнаруживает угрозы нового
поколения, надежно защищает от атак из Интернет
eSafe Web Security Gateway SSL - Защищает сеть, сканируя
зашифрованный трафик
eSafe Mail Security Gateway - Защищает электронную почту от всех
видов угроз.
eSafe Web & Mail Security Gateway Plus – это проактивное средство
защиты, устанавливаемое на шлюзе в Интернет, и предотвращающее
проникновение в защищаемую сеть известных и неизвестных вредоносных
программ, спама, а также ограничивающее доступ к данным и приложениям, не
соответствующим корпоративной политике или морально-этическим нормам.
eSafe Web & Mail Security Gateway Plus совмещает в себе одновременно
удобство установки и управления с возможностью глубокого сканирования
Интернет-контента на нескольких уровнях. Характеризуется высокой
производительностью, масштабируемостью, средствами для обеспечения
отказоустойчивости и распределения нагрузки.
Все это позволяет интегрировать eSafe в компании любого масштаба – от
нескольких сотен до десятков тысяч пользователей.
eSafe Web & Mail Security Gateway Plus совмещает в себе одновременно
удобство установки и управления с возможностью глубокого сканирования
Интернет-контента на нескольких уровнях. Это полностью законченное
интегрированное решение для обеспечения контент-безопасности,
предоставляющее следующие возможности:
- Проактивный антивирус. Проактивное блокирование до 98%
вредоносного кода «zero-hour», включая троянов и червей.
99
- Сигнатурный антивирус имеет сертификаты ICSA и Checkmark,
подтверждающие 100% блокирование «диких» (то есть жизнеспособных и
представляющих реальную опасность) вирусов.
Защита от эксплойтов: eSafe Web & Mail Security Gateway Plus
проактивно блокирует любые попытки использования уязвимостей в почтовых
сообщениях и Web.
Обнаружение и предотвращение попыток некорректного
использования HTTP протокола и атак на уязвимости его реализации.
Проверка 100% HTML кода на Web-страницах, в почтовых
клиентах почтовых служб на наличие вредоносных и подозрительных скриптов
и эксплойтов.
Приведение электронных сообщений к стандарту RFC и
исключение известных и неизвестных эксплойтов, часто находящихся во
фрагментах, не соответствующих стандартам.
Проверка электронных сообщений на содержание определенного
текстового контента и типов присоединенных файлов.
Web/URL-фильтрация в соответствии с категорированной базой
URL-адресов, характером содержимого и типом файлов.
Адресное блокирование коммуникаций Интернет червей,
шпионского ПО (spyware), Интернет-пейджеров (IM), клиентов файлообменных
сетей (P2P), приложений удаленного управления и туннелирования, потокового
видео/аудио.
Блокирование подавляющего большинства (до 99.9%)
нежелательных сообщений (спама) с близким к нулевому уровнем ложных
срабатываний .
Блокирование шпионских приложений на 4-х уровнях:
Уровень 1: блокирование на уровне доступа (к категориям сайтов,
заведомо содержащих шпионские приложения).
Уровень 2: блокирование навязанной рекламы и предотвращение
каскадной переадресации («drive-by»).
Уровень 3: блокирование по сигнатурам.
Уровень 4: блокирование коммуникаций шпионских приложений.
100
Для обеспечения безопасности сети, подключенной к Интернет, и защиты
от современного вредоносного программного обеспечения, внедряемого в Web-
контент, традиционной URL-фильтрации уже недостаточно. Она защищает
только от заражения вредоносными программами, размещенными на известных
(категоризированных как зараженные) сайтах, путем блокирования доступа к
этим сайтам.
В eSafe Web Security Gateway реализованы не только возможности URL-
фильтрации, но и технологии защиты от различных видов вредоносного кода,
что позволяет полностью защитить сеть от любых вредоносных программ.
Функциональные возможности eSafe Web Security Gateway
Web/URL-фильтрация в соответствии с категорированной базой
URL-адресов, характером содержимого и типом файлов. (Подробнее)
Адресное блокирование коммуникаций:
Интернет червей;
Интернет-пейджеров (ICQ, GoogleTalk, MSN Messenger, Mail.ru);
Клиентов файлообменных сетей (Skype, eDonkey2000, BitTorrent);
Приложений удаленного управления (GoToMyPC, Citrix, RADMIN);
Несанкционированного туннелирования (Hamachi, HOPSTER,
HTTP-Tunnel);
Потокового видео/аудио
Блокирование шпионских приложений.
Проверка 100% HTML-кода Web-страницы на наличие вредоносных
скриптов, эксплойтов, других видов вредоносного кода в Web-страницах, Web-
почте.
Блокирование вирусов. Благодаря наличию сигнатурного и
проактивного антивируса, блокируется до 100% как известных, так и новых
(zero-hour) вирусов.
Защита от эксплойтов. Проактивное блокирование попыток
эксплуатации уязвимостей в Web-трафике.
eSafe Web Security Gateway SSL обладает наиболее полным функционалом
для анализа трафика внутри защищенных криптографическими методами
протоколов:
101
Прозрачное сканирование Web-трафика внутри защищенных
криптографическими методами протоколов (HTTPS, SSL, TLS).
Политика проверки сертификатов на уровне шлюза, позволяющая
свести на нет риск принятия недействительных сертификатов пользователями.
Автоматический отзыв сертификатов с поддержкой CRL и OCSP;
Возможность гибкой настройки политик фильтрации HTTPS-сайтов
по базе категоризированных URL-адресов.
Легкое (в один клик) управление цифровыми сертификатами.
Наличие базы корневых и подчиненных Удостоверяющих Центров
(УЦ) с возможностью их дополнения и категоризации по всей цепочке
установленных доверительных отношений.
Обработка исключений в режиме реального времени по URL-
адресам и «отпечаткам» сертификатов.
Специальная схема администрирования сертификатов на стороне
клиента.
Удобное администрирование «черных» и «белых» списков.
Обширный инструментарий для обработки нештатных ситуаций и
ведения отчетов.
Сервер HTTPS
Исходящий SCIP
eSafe Web Прокси-сервер
Входящий SCIP
Пользователь
Интернет LAN
DMZ
Рисунок 2.1 Принцип действия eSafe Web Security Gateway SSL
102
2.2.2 Контрольный пример реализации проекта и его описание
Корпоративную сеть можно считать действительно защищенной от
несанкционированного доступа только при наличии в ней как средств защиты
точек входа со стороны Интернета, так и решений, обеспечивающих
безопасность отдельных компьютеров, корпоративных серверов и фрагментов
локальной сети предприятия. Безопасность отдельных компьютеров,
корпоративных серверов и фрагментов локальной сети наилучшим образом
обеспечивают решения на основе распределенных или персональных
межсетевых экранов, выполняющих роль СКД к ресурсам сети Интернет.
Самой распространенной является схема включения СКД к ресурсам сети
Интернет в режиме «моста» (режим eSafe Bridge) (рис. 2.2 ).
103
Рисунок 2.2 Режим eSafe Bridge
Имея в наличии группу компьютеров, отделенных от ресурсов
международной ассоциации сетей Интернет одним лишь межсетевым экраном
(Firewall), можно установить СКД eSafe Gateway в «разрыв» между группой
компьютеров и межсетевым экраном. Тем самым можно получить защищенный
104
доступ к ресурсам международной ассоциации сетей Интернет, при котором не
потребуется внесение изменений в существующую сетевую инфраструктуру.
На рис. 2.3 рассмотрена схема включения СКД к ресурсам сети Интернет с
использованием уже существующего прокси (Proxy) — сервера (Режим eSafe
Proxy). СКД eSafe Gateway при этом устанавливается «до» прокси-сервера и на
один из его интерфейсов назначается адрес уже существующего прокси-сервера.
На схеме показано, что внедрение СКД также не сказывается на изменении
топологии сети. Данная схема будет актуальна в случае необходимости для
компании сохранить материальные и технологические вложения в подсистему
доступа должностных лиц к ресурсам сети Интернет.
МСЭ
Пользователь
Пользователь
Пользователь
Proxy
eSafe Gateway
Интернет
Рисунок 2.3 Режим eSafe Proxy
На рис. 2.4 изображена схема реализации защищенного доступа к
ресурсам сети Интернет для компании, предоставляющего доступ к ресурсам
сети Интернет должностным лицам, численность которых превышает 500 чел.
При этом использовано несколько СКД к ресурсам сети Интернет в
количестве от 2 до 8 шт. (Режим eSafe Cluster). При этом происходит
балансировка и распределение нагрузки между всеми серверами. Установка
СКД eSafe Gateway выполняется между основными сетевыми устройствами.
Управление всеми серверами производится одновременно на главном сервере
СКД. При выходе из строя одного или нескольких серверов доступа к сети
Интернет дальнейшая работоспособность всей системы остается прежней.
105
Пользователь
Пользователь
Пользователь
МСЭ
eSafe
Security
Cluster
eSafe
Security
Cluster
eSafe
Security
Cluster
Интернет
Рисунок 2.4 Режим eSafe Cluster
Последняя типовая схема (рис. 2.5) организации защищенного доступа к
ресурсам сети Интернет так же, как и схема, приведенная на рис. 2.3, позволяет
выполнить перенаправление на уже существующий прокси-сервер (Режим eSafe
Forwarding Proxy). Отличительной особенностью является изменение адреса
стандартного прокси-сервера, которым теперь для пользователя будет являться
СКД eSafe Gateway. Это потребует от администратора локальной
вычислительной сети внесения изменений в сетевых настройках компьютеров,
входящих в сеть.
МСЭ
Пользователь
Пользователь
Пользователь
eSafe Gateway Proxy
Интернет
Рисунок 2.5 Режим eSafe Forwarding Proxy
106
По сравнению с традиционным использованием межсетевых экранов
рассмотренные варианты применения СКД имеют следующие преимущества:
1. Каждый приведенный вариант реализации защиты информации при
организации доступа к ресурсам международной ассоциации сетей Интернет
позволяет обеспечить предоставление должностным лицам таможенных органов
безопасный доступ к ресурсам международной ассоциации сетей Интернет при
минимальных изменениях инфраструктуры.
2. При вводе в эксплуатацию: стандартный межсетевой экран должен
устанавливаться как часть конфигурации корпоративной сети, СКД eSafe
Gateway представляет собой программное обеспечение либо аппаратно-
программный комплекс, которые устанавливаются и удаляются в
минимальные сроки.
3. При управлении: стандартный межсетевой экран управляется сетевым
администратором, СКД eSafe Gateway может управляться либо сетевым
администратором, либо пользователем локальной сети, что делает процесс
управления более гибким.
4. По производительности: стандартный межсетевой экран является
устройством обеспечения межсетевого обмена с фиксированным
ограничением производительности и не подходит для растущих серверных
парков, соединенных друг с другом коммутированными местными сетями,
СКД eSafe Gateway позволяет наращивать серверные парки без ущерба
принятой политики безопасности.
Основной рабочей областью Secret Disk 4 является главное окно с
вкладками, которое имеет следующий вид.