Межсетевые экраны

Сетевым или межсетевым экраном (другие определения: firewall, брандмауэр) называется комплекс аппаратных и программных средств, который контролирует и фильтрует проходящие через него сетевые пакеты в соответствии с заданными правилами.

Назначение

• Изоляция и защита приложений, машин и сервисов во внутренней сети от поступающего из внешней сети Интернет нежелательного трафика.
• Запрещение или ограничение доступа хостов внутренней сети к внешним web- сервисам.
• Поддержка преобразования сетевых адресов (NAT, network address translation), что позволяет использовать во внутренней сети приватные IP адреса.

Виды

Межсетевые экраны по охвату контролируемых потоков данных разделяются на:

• традиционные. Это программа (или неотъемлемая составляющая операционной системы) на шлюзе (передающем трафик между сетями сервере) или аппаратный межсетевой экран, который контролирует исходящие и входящие потоки информации между подключенными сетями;
• персональные. Это программы, установленные на пользовательском компьютере и предназначенные для его защиты от несанкционированного доступа.

В зависимости того, на каком уровне происходит контроль доступа, межсетевые экраны делятся на:

• работающие на сетевом уровне. Фильтрация осуществляется на основе IP-адресов получателя и отправителя пакетов, заданных администратором статических правил и протоколов транспортного уровня модели OSI;
работающие на сеансовом уровне. Межсетевой экран отслеживает сеансы между приложениями, не пропускает пакеты, нарушающие спецификации TCP/IP, часто используемые в злонамеренных операциях — инъекциях данных, сканировании ресурсов, обрыве (замедлении) соединений, взломах через ошибочные реализации TCP/IP;
• работающие на уровне приложений. Фильтрация осуществляется за счет анализа передаваемых внутри пакета данных приложения. Такой межсетевой экран дает возможность блокировать передачу потенциально опасной и нежелательной информации на основании настроек и политик.
По способу отслеживания активных соединений различают следующие сетевые экраны:
• с простой фильтрацией (stateless). Они не отслеживают текущие соединения, а осуществляют фильтрацию потока данных только на основе статических условий;
• с фильтрацией с учётом контекста (stateful packet inspection (SPI). Такие сетевые краны отслеживают текущие соединения и пропускают только пакеты, удовлетворяющие алгоритмам работы и логике соответствующих приложений и протоколов.