Подключение к Internet открывает локальную сеть для бесчисленных проблем безопасности и потенциальных нарушителей. Проблемы, возникавшие с пользователями локальной сети, ничтожны по сравнению с теми, с которыми вы, возможно, столкнетесь, если атакующий владеет современными методами взлома. Присоединение к Internet является еще одним доводом в пользу дополнительного усиления защиты локальных компьютеров. Для поддержки такой защиты необходим хороший межсетевой экран, который будет служить единственной точкой управления Internet-соединением. Ниже мы рассмотрим некоторые типы возможных проблем, чтобы вы лучше поняли, зачем нужен межсетевой экран и почему Internet-соединение нельзя оставлять без защиты.
Так же, как и в случае баз данных с учетными записями пользователей, ресурсы подключенных к сети систем находятся под управлением администратора сети. Но это управление основано на предположениях о надежности методов аутентификации пользователей и правильности настройки защиты ресурсов.
Простые методы аутентификации легко взломать - это вопрос только времени. Методы, которые годились в небольшой локальной сети, не обеспечивают надежную защиту при подключении к Internet. Если методы аутентификации недостаточно надежны, защита ресурсов не спасет, поскольку атакующему будет относительно просто получить права любого пользователя.
Защита ресурсов не гарантирует полной безопасности в случае нападения извне. При подключении к Internet ваша сеть оказывается открытой для гораздо большего числа возможных нарушителей, чем вы можете себе представить. Вам придется принять дополнительные меры для ее защиты. И следующий важный шаг - установка межсетевого экрана.
Слабости сетевых протоколов
TCP/IP и другие связанные с ним протоколы разработаны достаточно давно, когда проблемы безопасности в Internet были минимальными по сравнению с сегодняшними. Поэтому при написании большей части из этих протоколов и утилит безопасности не уделялось особого внимания. Они в первую очередь разрабатывались как функциональные и легко переносимые. Это помогло TCP/IP распространиться на множество компьютерных платформ, и сегодня данный набор протоколов используется в Internet.
Оказалось, что некоторые из созданных утилит содержат существенные изъяны, которыми может воспользоваться злоумышленник. Например, ошибки в программе sendmail доставляют головную боль сетевым администраторам уже в течение многих лет. Иногда программа неправильно обрабатывает какие-то ситуации, например переполнение буферов памяти, и аварийно завершает работу или демонстрирует некорректное поведение. Подобные недочеты в программе становятся проблемами безопасности, если обнаруживается, что с их помощью удается получить привилегированный доступ к системе.
К сожалению, пройдет еще немало времени, пока будут созданы компьютеры, способные перехватывать все человеческие ошибки, поэтому обычно через несколько месяцев после выхода новой программы появляются сообщения о замеченных в ней недоработках. Иногда целесообразно ненадолго отложить внедрение передовых технологий до получения сообщений о результатах их функционирования в реальных условиях.
На иеобтащимо постоянно сдедать за исправлениями и рекомендациями производителя по обеспечению безопасности для всех применяемых вами операционных систем и приложений.
Быть в курсе новых рекомендаций по безопасности не так сложно, как может показаться на первый взгляд. Существует несколько хороших Web-сайтов, посвященных новым проблемам безопасности и содержащих описание множества процедур, исправлений и других решений, которые помогут вам устранить эти проблемы.
Уязвимость маршрутизации от источника
Протокол IP не создает соединения и не обеспечивает проверку доставки пакетов. Все, что ему известно, - это адреса отправителя и получателя в IP-заголовке пакета. Выбор маршрута передачи пакета реализован в других протоколах. Вспомним, что для задания маршрута пакета служило поле Options. Такая маршрутизация, называемая маршрутизацией от источника (source routing), была разработана для диагностики ошибок в сети и других подобных применений. Хакеры эксплуатируют эту возможность для передачи внешнего пакета с фиктивным IP-адресом, который кажется пришедшим из локальной сети. При этом доставка пакета осуществляется посредством маршрутизации от источника.
Брандмауэр следует настроить так, чтобы он отбрасывал все пакеты, в которые включена маршрутизация от источника.
