Каким должно быть средство защиты сети?

Елизавета Валяева

  Построение системы информационной безопасности в небольшой компании сродни деятельности по протаскиванию верблюда сквозь игольное ушко, где в роли последнего выступают бюджетные ограничения. Какие решения наиболее уместны в современных условиях?

  Традиционные подходы к обеспечению информационной безопасности в небольших компаниях и филиалах, как правило, сводятся к обеспечению межсетевого экранирования (на периметре сети), а также использованию локальных антивирусных средств на рабочих станциях и серверах. Иногда дополнительно применяются средства защиты от спама.

  В роли межсетевого экрана обычно выступает специально выделенный сервер с установленным на него свободно распространяемым (например, на базе FreeBSD) или коммерческим ПО (Microsoft ISA Server).

  Антиспам-средства применяются как "локальные" (основанные на байесовой фильтрации, обратных проверках DNS, грейлистинге и т.п. методиках), так и веб-ориентированные, использующие различного рода веб-службы централизованного учета спаммерских адресов, доменов, содержимого рассылок (например, "Антиспам-Пост").

  И лишь в редких случаях используются универсальные UTM-решения, а зря, так как у традиционных подход имеет целый ряд недостатков.

Межсетевого экрана мало

  Для начала, рассмотрим "передний край" защиты, в роли которого в нашем случае выступает межсетевой экран (МСЭ). Важность надежной работы данного компонента системы можно оценить хотя бы на основании данных последнего отчета SANS/Internet Storm Center, в соответствии с которыми среднее время между моментом подключения новой незащищенной системы к интернету и моментом ее первой атаки или сканирования составляет 20-30 минут.

  С другой стороны, традиционные МСЭ уже перестают считаться достаточно надежными средствами защиты. С начала 2000-ых годов, когда на рынке стали появляться первые IDS/IPS системы (системы обнаружения / предотвращения атак), интерес к МСЭ начал неуклонно снижаться. По подсчетам IDC, в настоящее время мировые объемы продаж традиционных МСЭ более чем в два раза уступают IPS-системам, причем это соотношение сохраняется и для малого бизнеса. Не исправляет ситуацию и тот факт, что современные коммерческие MCЭ позаимствовали изрядную долю функционала, характерного для IPS.

  Основная проблема с МСЭ в том, что они, за редким исключением, анализируют только внешние атрибуты сетевых пакетов – адреса отправителя и получателя, номера протоколов и порты, оставляя без внимания содержимое пакетов. На основании только этих данных отличить "злонамеренный" трафик от вполне легитимного невозможно. Так, например, многие современные трояны и бэкдоры используют технологии HTTP-туннелирования, при которых пакеты, которыми они обмениваются с удаленными серверами управления, на уровне МСЭ абсолютно неотличимы от обычных запросов, генерируемых веб-браузерами пользователей при их обычной работе в интернет.

  Еще одна проблема состоит в том, что развитие "хакерских технологий" не стоит на месте. Время "школьников" прошло, и в настоящее время это целая индустрия, с приличными оборотами и возможностями привлечения высококвалифицированных специалистов. Не секрет, что на этом своеобразном "рынке" присутствуют такие услуги, как заказная атака на сервер конкурента или взлом корпоративной сети с целью получения доступа к конфиденциальной информации. Методы атак постоянно развиваются и усложняются, и даже очень хорошему профессионалу становится практически невозможно своевременно отслеживать все многочисленные сообщения о появлении новых угроз или уязвимостей, оперативно устанавливая "заплатки" на используемое в компании прикладное ПО или вручную перенастраивая правила МСЭ. В случае IPS-системы большая часть этой работы может быть переложена на плечи сотрудников организации-производителя.

  Наконец, стоит затронуть такой аспект, как проблемы мониторинга системы безопасности. В случае с МСЭ мониторинг, как правило, состоит в периодическом анализе журналов событий. При использовании такой системы защиты, как рассматриваемая, это один из немногих доступных способов выявления угроз безопасности. Однако возникают два больших вопроса: во-первых, насколько регулярно он осуществляется, а во-вторых, - насколько эффективно?

  Вряд ли можно рассчитывать, что так уж велика доля организаций, где сотрудники, отвечающие за ИБ, работают круглосуточно, в три смены. А это значит, что даже при наилучшем раскладе у злоумышленника будет в запасе как минимум часов 8, чтобы неспеша поэкспериментировать с системами защиты компании, прежде чем его действия будут хоть кем-то обнаружены.

  Говоря об эффективности мониторинга, стоит привести такой классический пример, как проблему выявления атаки сканирования (или подбора пароля к, скажем, FTP-серверу или почтовому серверу компании, в случае, когда сотрудникам предоставлены возможности удаленного доступа к корпоративной почте). Казалось бы, что сложного в том, чтобы выявить в логе большую последовательность однотипных записей, свидетельствующих о неудавшихся попытках? Проблема в том, что современные средства сканирования могут осуществлять повторные попытки доступа через случайные неравные интервалы времени (от нескольких секунд до нескольких часов или даже дней), а также видоизменять адреса источников пакетов. Обнаружить такую атаку вручную, не используя автоматизированные средства корреляции событий, крайне затруднительно.

Антивирусы: за и против

  Коммерческие антивирусные средства, устанавливаемые на отдельные рабочие станции, – достаточно эффективное решение. Однако следует учитывать то обстоятельство, что использование таких решений на не очень производительных рабочих станциях может быть затруднено. Если антивирус вносит ощутимые задержки в работу компьютера, пользователи стараются всеми правдами и неправдами от него избавиться или хотя бы сократить объемы производимых проверок. К чему это приводит, автору однажды удалось убедиться на собственном опыте: в рамках одной организации активное распространение получил почтовый червь, который не могли полностью "вывести" в течение недели. И это при том, что штатное антивирусное средство, которое, по идее, было установлено у всех - в соответствии с корпоративными политиками - как показали последующие эксперименты, вполне успешно с этим самым червем справлялось (конечно, при включенных соответствующих проверках).

  Еще один аспект, который следует принимать во внимание – это общие затраты на такое решение, ведь каждый год необходимо оплачивать стоимость лицензии, умноженную на количество рабочих станций.

Антиспамы игнорируют "исходящую угрозу"

  Существенным ограничением многих из представленных на рынке антиспам-сервисов является невозможность фильтрации исходящей почты. Между тем, нередки ситуации, когда по причине спамовой рассылки, осуществленной даже единичным зараженным компьютером из корпоративной сети, почтовый домен организации вносится в "черные списки", откуда его потом бывает довольно проблематично исключить. А это, в свою очередь, приводит к тому, что все последующие почтовые сообщения, отправленные с корпоративных почтовых адресов, начинают блокироваться антиспам-службами партнеров или клиентов.

Многофункциональная альтернатива

  Между тем, на рынке уже давно существуют продукты, позволяющие в существенной мере решить изложенные выше проблемы. Это так называемые многофункциональные устройства защиты (или UTM – Unified Threat Management), которые в рамках единого аппаратно-программного комплекса совмещают функции маршрутизатора, межсетевого экрана, системы IPS, сетевого антивируса, веб- и спам-фильтров, а также ряд других возможностей, например, организацию VPN.

  Стоит отметить, что на мировом рынке такие устройства оказалась настолько востребованными (и в существенной мере - малым бизнесом), что в последнее время по объемам продаж UTM заметно обогнали не только традиционные межсетевые экраны, но и IPS-системы.

  В мире в настоящее время UTM-устройства различного вида выпускают уже около полутора-двух десятков вендоров, и их число непрерывно увеличивается. Этот сегмент не обошли своим вниманием такие именитые производители сетевого оборудования, как Cisco, 3Com, Zyxel.

  Одним из "старейших" игроков UTM-рынка и лидером продаж по итогам 2007 года является североамериканская компания Fortinet. Поэтому будет логичным рассмотреть основные особенности UTM-решений на базе оборудования этой компании.

  Первое – это наличие UTM решений любого масштаба. Так, линейка FortiGate рассматриваемого вендора включает в себя порядка 30 моделей. Самая младшая, FG-50B, является экономичным предложением для небольшого офиса на 10-15 рабочих мест. Самые старшие модели, предназначенные для крупных корпораций и телекоммуникационных компаний, способны обслуживать до нескольких тысяч пользователей одновременно.

Защита не только периметра

  Наиболее простой способ интеграции FortiGate в сеть компании – это его подключение непосредственно за межсетевым экраном в т.н. "прозрачном" режиме. В этом случае не требуется каких бы то ни было изменений настроек маршрутизации, а сама процедура занимает не более 5 минут. При работе в данном режиме устройство не имеет сетевого адреса, и в сети его не видно (что создает дополнительные проблемы для возможных злоумышленников), в то время как устройство осуществляет эффективную фильтрацию интернет-трафика, надежно защищая сеть от внешних атак, вирусов и спама. При этом защита от спама и вирусов осуществляется в обоих направлениях - как входящего, так и исходящего трафика, - тем самым, с одной стороны, сводя к минимуму возможность компрометации почтового домена компании, а с другой, позволяя своевременно выявлять зараженные узлы внутри сети.

  Однако наиболее полно возможности FortiGate проявляются при его использовании в режиме маршрутизатора. В этом случае, FortiGate будет выступать в роли защищенного ядра сети. Правила маршрутизации между различными сегментами сети, а также "внешним миром" увязываются с различными профилями защиты. Это позволяет, например, при передаче данных между различными отделами компании включить только потоковую антивирусную фильтрацию, а при работе пользователя в интернете задействовать максимальные уровни защиты.

  Еще один положительный момент использования FortiGate в качестве маршрутизатора – это экономия. Для защиты сети небольшой компании его будет вполне достаточно, и больше не потребуется никакого дополнительного сетевого оборудования и серверов, кроме недорогих сетевых концентраторов. Даже самый простой FG-50B способен обслуживать сеть из 3-х физических сегментов (не считая VLAN), при этом обеспечивая 2 резервных защищенных подключения к интернету.

  Для каждого из обслуживаемых сегментов FG-50B поддерживает NAT-преобразования и функционал DHCP. Также все без исключения устройства FortiGate обеспечивают выполнение политик формирования трафика (QoS), позволяющих исключить ситуации, при которых из-за одного нерадивого сотрудника, решившего скачать из интернета объемный файл, медленно работает почта у всех, включая генерального директора.

Контроль доступа пользователей

  Интеграция устройства FortiGate c LDAP-совместимыми системами авторизации пользователей (такими, например, как Active Directory), а также Radius, позволяет гибко настраивать политики доступа не просто на уровне сетевых узлов, но и на уровне отдельных пользователей и групп. Это дает возможность, например, запретить "неблагонадежному" сотруднику или группе доступ в интернет, или что более важно, к определенным серверам корпоративной сети. При этом ограничения будут действовать независимо от того, с какого рабочего места пользователь попытается получить доступ.

  Кроме того, в FortiGate реализованы гибкие возможности разграничения доступа и к функциям администрирования самого устройства, что удобно для разрешения пресловутых конфликтов"ИТ – ИБ", а также для решения задач удаленного управления устройствами, установленными в филиалах.

  Еще одна из удобных возможностей FortiGate – это веб-фильтрация. Можно ограничить доступ пользователей (как всех сразу, так и, разумеется, выборочно) к определенным веб-ресурсам.

  Преимущество перед традиционными МСЭ, где часто бывает реализована похожая возможность, в том, что можно не только формировать "черные списки" сайтов вручную (что является долгой и неблагодарной работой), но и воспользоваться готовыми категориями – например, "новостные сайты", "сайты знакомств", "сайты, содержащие материалы порнографического характера" и т. п.. (всего в настоящее время поддерживается 76 категорий).

Обслуживание на высоте

  Администрирование устройства возможно как посредством удобного веб-интерфейса управления, так и непосредственно – через консольный порт. Но стоит отметить, что при отсутствии необходимости изменения политик безопасности (или топологии сети) устройства FortiGate практически не нуждаются в обслуживании.

  Все необходимые обновления сигнатур вирусов и атак, выпускаемые Fortinet, устанавливаются автоматически. При этом возможна установка обновлений как по расписанию (например, во внерабочее время), так и оперативная – по мере появления обновлений в Fortinet Distribution Network (глобальной сети серверов, используемой Fortinet для рассылки обновлений, а также для предоставления сервисов антиспам и веб-фильтрации).

  Возможна гибкая настройка оповещений администраторов при наступлении заданных событий – например, обнаружении вирусов, признаков атаки, и т.п.

  Для усиления контроля системы информационной безопасности наряду с устройством FortiGate может использоваться устройство FortiAnalyzer. Это специализированное решение Fortinet, используемое для сбора и анализа информации о событиях безопасности. Механизмы корреляции событий, а также развитые средства аналитики и поиска делают данное устройство чрезвычайно удобным как для контроля систем безопасности в режиме реального времени, так и для "исторического" анализа инцидентов и проведения расследований.

Что есть только у Fortinet?

  У UTM решений компании Fortinet есть свои особенности, корень которых лежит в используемой бизнес-модели. Во-первых – попытка предложить наилучшее соотношение цена/производительность, достигаемое за счет использования специализированных ASIC-процессоров, существенно повышающих производительность системы.

  Все технологии, применяемые в оборудовании Fortinet, являются собственными разработками производителя, тогда как в большинстве решений остальных вендоров используются лицензированные компоненты сторонних фирм (как правило, модули антивируса). Подход Fortinet заметно повышает надежность и упрощает обслуживание. Кроме того, это дополнительно сказывается на производительности, т.к. в первом случае система работает как единое целое, а во втором - имеют место дополнительные издержки на перекодировку и трансляцию информации между разнородными компонентами.

  Также оборудование Fortinet отличает простая и экономичная схема лицензирования, при которой стоимость лицензии определяется только тем, какие защитные функции устройства будут задействованы (например, антивирус, IPS, антиспам или веб-фильтрация), и не зависит от числа защищаемых объектов (пользователей или узлов сети).

  И, наконец, последняя особенность, которую отмечает большинство пользователей, – это удобный и логичный интерфейс управления, который существенно упрощает задачи администрирования устройств Fortinet и тем самым заметно сокращает требуемое на них время.