42
object-group service 10group
service-object tcp eq http
service-object tcp eq https
object-group service 11group
service-object tcp eq 53
service-object udp eq 53
откроем полный доступ в интернет группе 4
MAXIMA35(config)#
access-list aclmaxima extended permit ip object-group 4group any
Сделаем доступ 7 группы к ресурсу из 8 группы по порту TCP 5629
MAXIMA35(config)#
access-list aclmaxima extended permit tcp object-group 7group object-group
8group eq 5629
Всем узлам сети откроем доступ в internet по портам 80 и 443
MAXIMA35(config)#
access-list aclmaxima extended permit object-group 10group object-group
1group any
Разрешим ICMP для того чтобы пользователи смогли пользоваться ping
MAXIMA35(config)#
access-list aclmaxima extended permit icmp object-group 1group any
Сделаем привязку нашего access list к внутреннему интерфейсу сети
MAXIMA35(config)#
access-group aclmaxima in interface maximalan
разрешим приём пакетов ping
MAXIMA35(config)#
policy-map global_policy
class inspection_default
43
inspect icmp
Теперь нужно сделать доступ из интернета к нашему Web серверу, для
этого создадим ещё один access list и подключим его к внешнему
интерфейсу.
MAXIMA35(config)#
access-list aclmaxima2 extended permit tcp any interface outside eq 80
access-list aclmaxima2 extended deny ip any any log
access-group aclmaxima2 in interface outside
Настроим StaticNAT для доступа к нашему Web серверу
MAXIMA35(config)#
host object network webserver
host 192.168.1.20
nat (inside,outside) static interface
Основные настройки сделаны. Делаем сохранение.
MAXIMA35(config)# Copy run start
3.2. Защита трафика и компьютерных сетей
Для защиты трафика в компьютерных сетях оптимально использовать
IPS/IDS системы. Хорошие системы IPS/IDS производит корпорация Cisco.
Они поставляются как отдельными программно-аппаратными блоками, так и
подключаемыми модулями уже к существующему оборудованию cisco.
Для первоначальной настройки, необходимо подключится к
оборудованию через консоль.
sensor# conf t
sensor(config)#service host
sensor(config-hos)#network-settings
sensor(config-hos-net)#host-ip 192.10.10.20/24,10.10.10.200
sensor(config-hos-net)#host-name IPS4235
sensor(config-hos-net)#telnet-option enabled
44
sensor(config-hos-net)#access-list 192.10.10.0/24
sensor(config-hos-net)#ftp-timeout 300
sensor(config-hos-net)#no login-banner-text
sensor(config-hos-net)#exit
sensor(config-hos)#time-zone-settings
sensor(config-hos-tim)#offset 0
sensor(config-hos-tim)#standard-time-zone-name UTC
sensor(config-hos-tim)#exit
sensor(config-hos)#summertime-option disabled
sensor(config-hos)#ntp-option disabled
sensor(config-hos)#exit
sensor(config)#service web-server
sensor(config-web)#port 443
sensor(config-web)#exit
sensor(config)#exit
sensor#exit
Настраивается сетевая доступность.
R1>en
R1#conf t
R1(config)#hostname Router
Router(config)#int fa 0/0
Router(config-if)#ip address 192.168.2.1 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#int fa 0/1
Router(config-if)#ip address 192.168.1.1 255.255.255.0
Router(config-if)#no shutdown
45
Router(config-if)#exit
Router(config)#int fa 1/0
Router(config-if)#ip address 3.3.3.1 255.255.255.0
Router(config-if)#no shutdown
Router(config-if)#exit
Router(config)#exit
Router#wr
Building configuration...
[OK]
Router#
Дальнейшую настройку можно проводить через web-интерфейс.
Внешний вид web-интерфейса представлен на рисунке 21.
Рисунок 21 – Web-интерфейс Cisco IDM
Необходимо настроить интерфейсы, чтобы через них пропустить
трафик. Чтобы его анализировать, необходимо ещё подключить базы
сигнатур.
46
Сперва проверяем и настраиваем конфигурацию, зайдя во вкладку
Configuration. Настраиваем интерфейсы на вкладке Interface Configuration,
зайдя в параметр edit. Необходимо присвоить интерфейсы к определённому
Vlan. В нашем случае, интерфейса два, в одном vlan. По этому, создаём пару
интерфейсов на вкладке Interface Pairs.
Теперь необходимо к нашей паре интерфейсов подключить анализатор
трафика с определённым набором сигнатур. Это делается на вкладке Virtual
Sensors, которая представлена на рисунке 22.
Рисунок 22 – Вкладка настройки Virtual Sensors
Здесь можно выбрать набор сигнатур, различные правила оповещения
о событиях, выбрать режим работы анализатора аномального трафика.
Добавляем туда нашу пару интерфейсов, после чего она должна появиться в
параметрах Assigned interfaces.
Все основные настройки IPS/IDS сделаны. Можно проверить работу
нашей системы
Проверить работу можно при помощи программного продукта XSpider,
это сканер портов. Делам сканирование по ip адресу. Смотрим что скажет
47
нам наша система IPS/IDS. Зайдём в просмотр log, вкладки Events и View.
Будет отображён вредоносный подозрительный трафик. Что бы его
заблокировать, необходимо добавить показанные сигнатуры во вкладке
Configuration» -- «Policies» -- «Signature Definitions» -- «sig0». Выбрав пункт
Event Action, делаем Deny Attacker Inline. Весть трафик такого плана с этой
машины будет блокироваться.
Так же можно создавать свои сигнатуры, указав какие действия
выполнять, например отсекать весь трафик по такому-то протоколу и порту.
В этой главе мы сделали настройки защиты сетевого трафика при
помощи аппаратного фаервола CISCO ASA 5505. Мы настроили систему
безопасности IPS/IDS в виде модуля IDS 4210 Cisco Systems, на базе
коммутатора Catalyst 6000. Провели анализ работы системы и блокировку
вредоностного трафика.
48
ЗАКЛЮЧЕНИЕ
Объектом исследования этой выпускной квалификационной работы
являлись средства защиты информации. Предметом исследования, внедрение
средств защиты и увеличение их эффективности в ООО «Максимастрой».
Целью выпускной квалификационной работы являлось рассмотрение и
анализ теоретического и практического внедрения средств защиты и
увеличение их эффективности.
В выпускной квалификационной работе были решены следующие
задачи:
1) проведён обзор современных средств защиты
информации;
2) сделан анализ преимуществ и недостатков различных
средств защиты информации;
3) сделано внедрение и применение, на практической основе,
средств защиты информации;
4) проведён анализ эффективности и рациональности
использования средств защиты информации;
5) проведён сравнительный анализ и выработаны
рекомендации по особенностям применения средств защиты информации.
В первой главе был сделан обзор основных понятий и принципов
информационной безопасности. Рассказано о разновидностях вредоносного
программного обеспечения и различных информационных угрозах. Сделан
обзор средств информационной безопасности используемых в ООО
«Максимастрой». От простейших программных до сложных аппаратных
систем, на базе оборудования Cisco. Сделано предложение по улучшению
эффективности защиты информации на основе замены оборудования в
рабочей сети ООО «Максимастрой».
Вторая глава посвящена анализу систем защиты информации. Сделан
обзор криптографических систем и раскрыта их важность в системе защиты
49
информации. Сделан обзор программного комплекса разграничения прав
доступа к Web-серверам компании ООО «Максимастрой». Описана система
работы проколов. Стека протоколов TCP/IP и модель OSI. Разобраны
протоколы используемые для защиты информации L2TP и PPTP. Сделан их
обзор, проведены сравнительные характеристики, выявлены преимущества и
недостатки каждого протокола в отдельности.
В третьей главе проведена практическая работа по настройке активного
оборудования защиты информации компании ООО «Максимастрой». В
частности сделана настройка аппаратного фаервола CISCO ASA 5505.
Настройка системы безопасности IPS/IDS в виде модуля IDS 4210 Cisco
Systems, на базе коммутатора Catalyst 6000. Проведён анализ работы системы
и блокировка вредоносного трафика.
50
СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ
1.Аверченков В.И., Рытов М.Ю., Кувыклин А.В., Гайнулин Т.Р. Методы и
средства инженерно-технической защиты информации. Учебное пособие. -
М.: Изд-во БГТУ, 2014. – 187 с.
2.Метелица Н.Т. Вычислительные сети и защита информации [Электронный
ресурс] : учебное пособие / Н.Т. Метелица. — Электрон. текстовые данные.
— Краснодар: Южный институт менеджмента, 2013. — 48 c. — 2227-8397
3.Соколов В.П. Кодирование в системах защиты информации [Электронный
ресурс] : учебное пособие / В.П. Соколов, Н.П. Тарасова. — Электрон.
текстовые данные. — М. : Московский технический университет связи и
информатики, 2016. — 94 c. — 2227-8397.
4.Шаньгин В.Ф. Информационная безопасность и защита информации
[Электронный ресурс] / В.Ф. Шаньгин. — Электрон. текстовые данные. —
Саратов: Профобразование, 2017. — 702 c. — 978-5-4488-0070-2
5.Ермаков А.Е. Основы конфигурирования корпоративных сетей Cisco
[Электронный ресурс] : учебное пособие / А.Е. Ермаков. — Электрон.
текстовые данные. — М. : Учебно-методический центр по образованию на
железнодорожном транспорте, 2013. — 248 c. — 978-5-89035-677-2.
6.Сетевая защита на базе технологий фирмы Cisco Systems. Практический
курс [Электронный ресурс] : учебное пособие / А.Н. Андрончик [и др.]. —
Электрон. текстовые данные. — Екатеринбург: Уральский федеральный
университет, 2014. — 180 c. — 978-5-7996-1201-6.
7.Манин А.А. Системы коммутации. Принципы и технологии пакетной
коммутации [Электронный ресурс] : учебное пособие / А.А. Манин. —
Электрон. текстовые данные. — Ростов-на-Дону: Северо-Кавказский филиал
Московского технического университета связи и информатики, 2016. — 108
c. — 2227-8397.