Защита компьютера от несанкционированного доступа

 Основное  правило построения VPN – связь  между защищенной ЛВС и открытой  сетью должна осуществляться  только через VPN-агенты. Категорически не должно быть каких-либо способов связи, минующих защитный барьер в виде VPN-агента. Т.е. должен быть определен защищаемый периметр, связь с которым может осуществляться только через соответствующее средство защиты.

 Политика  безопасности является набором правил, согласно которым устанавливаются защищенные каналы связи между абонентами VPN. Такие каналы обычно называют туннелями, аналогия с которыми просматривается в следующем:

1. Вся передаваемая в рамках одного туннеля информация защищена как от несанкционированного просмотра, так и от модификации.
2. Инкапсуляция IP-пакетов позволяет добиться сокрытия топологии внутренней ЛВС: из Интернет обмен информации между двумя защищенными ЛВС виден как обмен информацией только между их VPN-агентами, поскольку все внутренние IP-адреса в передаваемых через Интернет IP-пакетах в этом случае не фигурируют.

Правила создания туннелей формируются в зависимости  от различных характеристик IP-пакетов, например, основной при построении большинства VPN протокол IPSec (Security Architecture for IP) устанавливает следующий набор входных данных, по которым выбираются параметры туннелирования и принимается решение при фильтрации конкретного IP-пакета:

1. IP-адрес источника. Это может быть не только одиночный IP-адрес, но и адрес подсети или диапазон адресов.
2. IP-адрес назначения. Также может быть диапазон адресов, указываемый явно, с помощью маски подсети или шаблона.
3. Идентификатор пользователя (отправителя или получателя).
4. Протокол транспортного уровня (TCP/UDP).
5. Номер порта, с которого или на который отправлен пакет.

Межсетевое экранирование 

Межсетевой экран  представляет собой программное  или программно-аппаратное средство, обеспечивающее защиту локальных сетей  и отдельных компьютеров от несанкционированного доступа со стороны внешних сетей путем фильтрации двустороннего потока сообщений при обмене информацией. Фактически, межсетевой экран является «урезанным» VPN-агентом, не выполняющим шифрование пакетов и контроль их целостности, но в ряде случаев имеющим ряд дополнительных функций, наиболее часто из которых встречаются следующие:

антивирусное  сканирование;

контроль корректности пакетов;

контроль корректности соединений (например, установления, использования  и разрыва TCP-сессий);

контент-контроль. 

Межсетевые экраны, не обладающие описанными выше функциями и выполняющими только фильтрацию пакетов, называют пакетными фильтрами.

 По аналогии  с VPN-агентами существуют и  персональные межсетевые экраны, защищающие только компьютер,  на котором они установлены.

 Межсетевые экраны также располагаются на периметре защищаемых сетей и фильтруют сетевой трафик согласно настроенной политике безопасности. 

4.Комплексная защита 

Электронный замок  может быть разработан на базе аппаратного  шифратора. В этом случае получается одно устройство, выполняющее функции шифрования, генерации случайных чисел и защиты от НСД. Такой шифратор способен быть центром безопасности всего компьютера, на его базе можно построить полнофункциональную систему криптографической защиты данных, обеспечивающую, например, следующие возможности:

1. Защита компьютера от физического доступа.
2. Защита компьютера от НСД по сети и организация VPN.
3. Шифрование файлов по требованию.
4. Автоматическое шифрование логических дисков компьютера.
5. Вычислени/проверка ЭЦП.
6. Защита сообщений электронной почты.

Пример организации  комплексной защиты компьютеров  и межсетевого обмена данными  на базе программных и аппаратных решений фирмы АНКАД приведен на рисунке. 
 

Список используемой литературы 

 1. «Защита информации в персональных ЭВМ», А.В. Спесивцев.

2. «Вычислительная техника и её применение», В.В. Голубев.

3. «Безопасность компьютера», Эд Тайли.

4. http://www.panasenko.ru/Articles/77/77.html