5.5 Система защиты веб-портала

5.5.1 Основы системы защиты веб - портала

В этом разделе будет рассмотрен комплексный подход к обеспечению системы защиты веб-портала, которая позволяет обезопасить его от всевозможных угроз и их последствий.

Для начала необходимо определиться с терминами. Под веб-порталом будет пониматься не простая электронная страница, которая в большинстве случаев не несёт особой значимости и важности, а сложная распределенная система, работающая, например, в области электронной коммерции или ориентированная непосредственно на использование её органами государственной власти. Такой информационный портал будет состоять из многих составляющих: компьютеров пользователей, подключающихся через Интернет, удаленных рабочих мест администраторов и разных серверов, размещенных у провайдера. В том числе он будет иметь гораздо больше уязвимых мест, нежели заурядный сайт и, беря во внимание его информационное наполнение, становится более желаемой мишенью для атаки злоумышленником. Естественно, что вопросы защиты такого информационного источника весьма актуальны. Тем более что рассмотренный веб-портал подвержен множеству самых разнообразных угроз. А поэтому в защите нельзя обойтись каким-то одним решением, она должна состоять сразу из нескольких систем, каждая из которых будет блокировать ту или иную группу опасностей, предотвращая тем самым либо утечку важной информации, либо убытки из-за незаконного копирования или модификации содержания.

5.5.2 Система разграничения доступа

Система разграничения доступа является базовой ступенью защиты серьезного веб-портала. Классическая схема выглядит следующим образом. Вся внутренняя часть распределенной системы делится на четыре зоны: демилитаризованную, зону служебных серверов, коммуникационную и зону управления. В первую из них входят общедоступные серверы и сервисы, обращаться к которым могут все пользователи. Обычно это веб-серверы, DNS-серверы, системы кеширования и т. д. Зона служебных серверов доступна только для администраторов и сервисов из демилитаризованного сегмента. Зона управления, как это видно из ее название, содержит средства управление безопасностью веб-портала. Ну а последняя, коммуникационная, зона включает в себя маршрутизаторы, коммутаторы и прочее сетевое оборудование и их программное обеспечение. Но для чего необходимо такое сложное устройство веб-портала? Ответ на этот вопрос очень прост. Система разграничения доступа необходима для защиты управляющих элементов от несанкционированного доступа. Благодаря ей злоумышленник, взломав один из общедоступных сервисов, не сможет проникнуть внутрь веб-портала.

Чаще всего система разграничения доступа реализуется с помощью межсетевых экранов.

Межсетевой экран (firewall) - это устройство контроля доступа в сеть, предназначенное для блокировки всего трафика, за исключением разрешенных данных. Этим оно отличается от маршрутизатора, функцией которого является доставка трафика в пункт назначения в максимально короткие сроки.

Существует мнение, что маршрутизатор также может играть роль межсетевого экрана. Однако между этими устройствами существует одно принципиальное различие: маршрутизатор предназначен для быстрой маршрутизации трафика, а не для его блокировки. Межсетевой экран представляет собой средство защиты, которое пропускает определенный трафик из потока данных, а маршрутизатор является сетевым устройством, которое можно настроить на блокировку определенного трафика.

Кроме того, межсетевые экраны, как правило, обладают большим набором настроек. Прохождение трафика на межсетевом экране можно настраивать по службам, IP-адресам отправителя и получателя, по идентификаторам пользователей, запрашивающих службу. Межсетевые экраны позволяют осуществлять централизованное управление безопасностью. В одной конфигурации администратор может настроить разрешенный входящий трафик для всех внутренних систем организации. Это не устраняет потребность в обновлении и настройке систем, но позволяет снизить вероятность неправильного конфигурирования одной или нескольких систем, в результате которого эти системы могут подвергнуться атакам на некорректно настроенную службу.

Существуют два основных типа межсетевых экранов: межсетевые экраны прикладного уровня и межсетевые экраны с пакетной фильтрацией. В их основе лежат различные принципы работы, но при правильной настройке оба типа устройств обеспечивают правильное выполнение функций безопасности, заключающихся в блокировке запрещенного трафика.