Сетевой, или межсетевой, экран - это комплекс программно-аппаратных средств, осуществляющий информационную защиту одной части компьютерной сети от другой путем анализа проходящего между ними трафика.
Для сетевых экранов существуют и другие термины, хорошо отражающие функциональное назначение средств защиты этого типа:
Для сетевого экрана одна часть сети является внутренней, другая - внешней (рис. 1). Сетевой экран защищает внутреннюю сеть (например, локальную сеть предприятия или, как вырожденный случай, отдельный компьютер пользователя) от угроз, исходящих из внешней сети (мы будем, как правило, подразумевать под такой сетью Интернет).
Защиту границ между локальными сетями предприятия и Интернетом обеспечивают корпоративные сетевые экраны, те же функции, но на границе между домашним компьютером и Интернетом, выполняют персональные сетевые экраны.
Для эффективного выполнения сетевым экраном его главной функции - защиты - необходимо, чтобы через него проходил весь трафик, которым обмениваются узлы защищаемой части сети с узлами Интернета.
Такое расположение позволяет сетевому экрану полностью контролировать (запрещать, ограничивать или протоколировать) доступ внешних пользователей к ресурсам внутренней сети. Сетевой экран защищает сеть не только от несанкционированного доступа внешних злоумышленников, но от ошибочных действий пользователей защищаемой сети, например таких, как передача во внешнюю сеть конфиденциальной информации.
Рис. 1. Сетевой экран защищает внутреннюю сеть от угроз, исходящих из внешней сети
Чтобы осуществлять контроль доступа, сетевой экран должен уметь выполнять следующие функции:
Наряду с этими базовыми функциями на сетевой экран могут быть возложены и другие вспомогательные функции защиты, в частности:
Как можно заметить, большинство из перечисленных функций реализуются в виде отдельных продуктов или в составе систем защиты других типов. Так, функции пакетной фильтрации встроены практически во все маршрутизаторы, задача обнаружения вирусов решается множеством разнообразных программ, шифрование трафика - неотъемлемый элемент технологий защищенных каналов и т. д., и т. п. Прокси-серверы часто поставляются в виде приложений, более того, они сами часто интегрируют в себе многие функции, свойственные сетевым экранам, такие, например, как аутентификация, трансляция сетевых адресов или фильтрация по содержимому (контенту).
Отсюда возникают сложности при определении понятия «сетевой экран». Например, довольно распространено мнение, что сетевой экран - это пограничное устройство, выполняющее пакетную фильтрацию (то есть маршрутизатор), а прокси-сервер - это совершенно отличный от сетевого экрана инструмент защиты. Другие настаивают, что прокси-сервер является непременным и неотъемлемым атрибутом сетевого экрана. Третьи считают, что сетевым экраном может быть названо только такое программное или аппаратное устройство, которое способно отслеживать состояние потока пакетов в рамках соединения. Мы же в этой книге будем придерживаться широко распространенной точки зрения о том, что сетевой экран - это программно-аппаратный комплекс, выполняющий разнообразные функции по защите внутренней сети, набор которых может меняться в зависимости от типа, модели и конкретной конфигурации сетевого экрана.
Сетевые экраны – важный компонент защитного программного обеспечения, и производители вечно пытаются навязать пользователям свои новые разработки. Однако в Windows еще со времен XP SP2 есть свой собственный вполне приличный сетевой экран, и его в большинстве случаев более чем достаточно для защиты.Да и комплексное защитное решение на самом деле устанавливать не требуется. В Windows 7 вообще необходим только антивирус (а в Windows 8 даже он уже встроен).
Зачем нужен сетевой экран
Главное назначение сетевого экрана – блокировать непрошеные входящие соединения. При этом сетевые экраны умеют различать типы подключений и обрабатывать их по-разному. Например, доступ к сетевым ресурсам и прочим сервисам на ноутбуке может быть разрешен в домашней сети, но запрещен при подключении к публичной точке доступа Wi-Fi в кафе.
Сетевой экран помогает блокировать подключения к потенциально уязвимым службам и контролирует доступ к сетевым сервисам, особенно к сетевым папкам, которые должны быть открыты для подключения только в доверенных сетях.
До того, как в Windows XP SP2 обновили Брандмауэр Windows (Windows Firewall) и сделали его активным по умолчанию, компьютеры с Windows XP, подключенные к Интернету напрямую, заражались в среднем через четыре минуты пребывания в сети. Черви типа Blaster пытались подключиться напрямую к любому доступному компьютеру, и Windows их пропускала, потому что не имела защиты в виде сетевого экрана.
Сетевой экран мог бы защитить систему от таких атак даже при наличии уязвимостей в Windows. Сегодня, даже когда Windows уязвима перед подобным вредоносом, тому очень сложно проникнуть на компьютер, потому что Брандмауэр Windows блокирует все входящие соединения такого рода.
Почему Брандмауэра Windows вполне достаточно
Брандмауэр Windows точно так же блокирует входящие соединения, как любой сторонний сетевой экран. Сторонние (вроде того, что входит в состав Norton), пожалуй, чаще напоминают о себе и требуют внимания пользователя, а Брандмауэр Windows постоянно делает свою неблагодарную работу в фоновом режиме.
Он включен по умолчанию, и если его не отключали или не устанавливали сторонний сетевой экран, Брандмауэр Windows наверняка продолжает работать и на вашем компьютере. Настройки можно найти в одноименном разделе Панели управления (Control Panel).
Когда программа нуждается в приеме входящих соединений, Брандмауэр Windows создает новое правило или спрашивает разрешения у пользователя.
Когда может понадобиться сторонний сетевой экран
По умолчанию Брандмауэр Windows выполняет только самую важную задачу: блокирует входящие соединения. Есть у него и более продвинутые функции, но они скрыты в более сложном интерфейсе.
Например, большинство сторонних экранов позволяют легко контролировать, каким приложениям доступ в Интернет разрешен, а каким запрещен. Когда приложение впервые пытается подключиться к Интернету, сетевой экран выводит диалоговое окно с просьбой о разрешении. Это дает возможность заблокировать доступ к сети для определенных программ.
Опытным пользователям такая функциональность придется по душе, но для среднестатистического человека это лишняя ответственность. Ему придется самостоятельно решать, каким приложениям разрешено подключаться к Интернету, и он может невольно заблокировать работу фоновых процессов обновления, что помешает программному обеспечению регулярно получать исправления для уязвимостей. К тому же это дополнительная трата времени: приходится иметь дело с диалоговыми окнами сетевого экрана всякий раз при установке нового приложения. Если вы не доверяете программе настолько, что не хотите разрешать ей подключение к сети, – возможно, эту программу и вовсе не нужно устанавливать.
Тем не менее, если вы хотите управлять исходящими подключениями, вам, скорее всего, нужен сторонний сетевой экран. Тем более что в нем чаще всего можно посмотреть подробную статистику, журнал блокировки и прочие подобные сведения.
Но все же большинству пользователей сторонний сетевой экран только усложнит жизнь.
Расширенные возможности Брандмауэра Windows
Брандмауэр Windows на самом деле гораздо функциональнее, чем кажется, хотя пользоваться дополнительными возможностями неудобно.
В Windows есть интерфейс для расширенной настройки Брандмауэра, позволяющий создавать сложные правила. Можно запретить отдельным приложениям доступ к Интернету или разрешить соединение только с определенными адресами.
Кроме того, можно использовать стороннюю утилиту для того, чтобы Брандмауэр Windows спрашивал разрешения при попытке каждой новой программы подключиться к Интернету.
Защита вашего компьютера Яремчук Сергей Акимович
Настройки параметров работы сетевого экрана
Для активизации сетевого экрана достаточно нажать ссылку Включить на соответствующей вкладке. Окно настройки параметров можно вызвать нажатием кнопки Настройка внизу окна и выбором соответствующего пункта или из соответствующего пункта меню Защита . Нажав ссылку Просмотреть текущую сетевую активность , вы отобразите количество активных приложений, использующих сеть, а также количество открытых соединений и портов.
В окне настроек модуля доступны несколько областей, в каждой из которых, установив соответствующий флажок, можно включить/отключить Сетевой экран полностью либо один из его компонентов – систему фильтрации, систему обнаружения вторжений, Анти-Рекламу или Анти-Баннер (рис. 5.2). В области настройки брандмауэра имеется ползунок, используя который, можно выставить один из пяти уровней защиты:
Разрешать все – разрешена любая сетевая активность без ограничений, соответствует отключению брандмауэра;
Минимальная защита – разрешены все сетевые соединения, кроме запрещенных правилами;
Обучающий режим – пользователь самостоятельно решает, какую сетевую активность разрешать или запрещать; при попытке получить доступ к сети приложения, для которого не создано правило, у пользователя запрашивается подтверждение и на основе ответа создается новое правило;
Максимальная защита – все неразрешенные соединения блокируются;
Блокировать все – все соединения блокируются, запрещен доступ к локальной сети и Интернету; необходимо использовать в случае обнаружения сетевых атак либо при работе в опасной сети.
Рис. 5.2. Настройки модуля Сетевой экран
Во время установки создаются правила для всех приложений, однако они не всегда оптимальны для конкретной системы, поэтому рекомендуется изменить уровень защиты с минимального, который установлен по умолчанию, на обучающий. К режиму максимальной защиты следует переходить только если вы уверены, что созданы все разрешающие правила. Однако после установки нового программного обеспечения следует снова вернуться в обучающий режим защиты. При работе системы в обучающем режиме пользователю выводится уведомление (рис. 5.3).
Рис. 5.3. Уведомление о сетевой активности
Оно содержит описание активности и информацию, необходимую для принятия решения: вид соединения (входящее, исходящее), протокол, приложение, удаленный IP-адрес и порт, локальный порт. На основании полученных данных можно выбрать нужное действие, нажав соответствующую кнопку – Разрешить или Запретить . Выбор варианта Отключить режим обучения отключит этот режим работы модуля.
Если установлен флажок Создать правило , то на основании выбранного ответа формируется новое правило, и во время последующей сетевой активности этого приложения при совпадении параметров запроса программа не будет беспокоить пользователя. В раскрывающемся списке необходимо выбрать тип активности, к которому применимо выбранное действие. Доступно несколько вариантов:
Любая активность – любая сетевая активность этого приложения;
Выборочно – конкретная активность, которую следует указать в окне создания правила;
Этот адрес – активность приложения, удаленный адрес сетевого соединения которого совпадает с указанным; может быть полезна, если вы хотите ограничить работу в сети для выбранного приложения указанными адресами.
Можно также выбрать одну из предустановок, описывающих характер приложения: Почтовая программа , Браузер , Менеджер загрузки , FTP-клиент , Telnet-клиент или Синхронизатор часов .
Модуль обнаружения вторжения компонента Сетевой экран реагирует на активность, характерную для сетевых атак. При обнаружении попытки атаковать компьютер на экране появится соответствующее уведомление с указанием информации об атакующем компьютере: вид атаки, IP-адрес атакующего, протокол и сервис, который подвергся атаке, дата и время. При этом система блокирует IP-адрес атакующего компьютера на один час. Изменить время блокировки можно в области Система обнаружения вторжений в поле возле флажка Добавить атакующий компьютер в список блокирования на .
Из книги Бизнес путь: Yahoo! Секреты самой популярной в мире интернет-компании автора Вламис Энтони Из книги Компьютер на 100. Начинаем с Windows Vista автора Зозуля ЮрийНастройки параметров страницы Перед тем как напечатать документ, следует установить для него оптимальные параметры страницы. Для настройки этих параметров используются группы команд Параметрыстраницы и Фон страницы на вкладке Разметка страницы (рис. 5.55).В группе
Из книги Adobe InDesign CS3 автора Завгородний ВладимирНастройки работы с файлами Раздел File Handling (Работа с файлами) (рис. 7.16) содержит некоторые настройки сохранения файлов и использования буфера обмена при работе с несколькими программами одновременно. Рис. 7.16. Настройки работы с файлами InDesignОбласть Document Recovery Data (Информация
Из книги AutoCAD 2009 для студента. Самоучитель автора Соколова Татьяна ЮрьевнаНастройки работы с буфером обмена Раздел Clipboard Handling (Операции с буфером обмена) (рис. 7.17) позволяет установить настройки работы с буфером обмена Windows; в зависимости от этих настроек программа Adobe InDesign будет лучше взаимодействовать с другими программами Adobe (при упоре на
Из книги Настройка Windows 7 своими руками. Как сделать, чтобы работать было легко и удобно автора Гладкий Алексей Анатольевич Из книги Самоучитель работы на Macintosh автора Скрылина СофьяНастройка параметров экрана С помощью ссылки Оптимизация изображения на экране (см. рис. 2.47) осуществляется переход в режим дополнительной настройки параметров экрана для людей с ограниченными физическими возможностями (рис. 2.49). Рис. 2.49. Настройка дополнительных
Из книги Linux: Полное руководство автора Колисниченко Денис Николаевич3.3. Как изменить настройки экрана? Для изменения разрешения, яркости, количества цветов, выбора профиля и калибровки монитора используется диалоговое окно Цветной ЖК-дисплей (Color LCD), которое вызывается щелчком мыши по значку миниутилиты Мониторы (Displays), расположенному в
Из книги Linux автора Стахнов Алексей Александрович6.2.4. Проверка работы сетевого интерфейса Если вы не подняли (активировали) интерфейс в процессе графического конфигурирования, сделайте это сейчас. Перейдите на текстовую консоль или откройте окно терминала и выполните команду ifup eth0 (деактивировать интерфейс можно
Из книги AutoCAD 2009. Учебный курс автора Соколова Татьяна Юрьевна19.3.3. Просмотр параметров сетевого устройства Команду ip link show лучше всего рассматривать на примерах. Для получения информации о состоянии устройства eth0 введите команду:# ip link ls dev eth0eth0: mtu 1500 qdisc cbq qlen 100link/ether 00:44:67:91:31:1d brd ff:ff:ff:ff:ff:ffПолучить статистику устройства eth0 можно
Из книги AutoCAD 2008 для студента: популярный самоучитель автора Соколова Татьяна ЮрьевнаПриложение 4 Дерево параметров настройки ядра
В этом приложении приведено дерево настроек ядра Linux с настройками, используемыми по умолчанию в дистрибутиве Red Hat Linux 7.2. Используемые соглашения: [*] – вкомпилировано в ядро; – не компилируется;
Настройка параметров рабочего экрана На вкладке Display диалогового окна Options, показанной на рис. 3.2, можно осуществлять настройку параметров рабочего экрана AutoCAD. Рис. 3.2. Диалоговое окно настройки параметров рабочего экрана В области элементов окна Window Elements настраиваются
Из книги Недокументированные и малоизвестные возможности Windows XP автора Клименко Роман АлександровичНастройка параметров рабочего экрана На вкладке Display диалогового окна Options, показанной на рис. 3.2, можно осуществлять настройку параметров рабочего экрана AutoCAD. Рис. 3.2. Диалоговое окно настройки параметров рабочего экрана В области элементов окна Window Elements
Из книги Linux глазами хакера автора Флёнов Михаил ЕвгеньевичБезопасность сетевого соединения Множество сообщений между клиентом и сервером несет информацию, которая может быть довольно легко получена кем-то, подслушивающим сетевые сообщения. Например, зашифрованный пароль может быть получен и использован для
Из книги автораХранение параметров настройки консоли Стоит еще сказать о хранении настроек консоли. Если вы думаете, что настройки консоли хранятся в реестре, то это не так. На самом деле все настройки консолей содержатся в самих файлах консолей. Это легко понять на примере консоли,
Из книги автора3.6.3. Изменение параметров сетевого подключения С помощью ifconfig можно не только просматривать параметры сетевых подключений, но и изменять их. Для этого нужно указать два параметра:? сетевой интерфейс, параметры которого нужно изменить;? параметры.Общий вид команды
Из книги автора4.13.2. Обход сетевого экрана Сетевой экран не может обеспечить абсолютной безопасности, потому что алгоритм его работы несовершенен. В нашем мире нет ничего безупречного, стопроцентно надежного, иначе жизнь была бы скучной и неинтересной.Как Firewall защищает ваш компьютер
Что такое сетевой экран? Так называют приложения предназначенные для предохранения компьютера от проникновения из сети нежелательного трафика и вредоносных программ. Это - защитная система, подобно стене, стоящая между сетевым адаптером и операционной системой. Поэтому, чаще эти программы называют фаерволами или брандмауэрами. В оригинальном значении, фаервол - это стена, отделяющая и предохраняющая смежное здание от распространения пожара. Любой сетевой пакет проверяется фаерволом, прежде чем поступить на обработку операционной системой. И любой исходящий пакет данных должен пройти его контроль. Значит, сетевой экран - это не сплошная стена, а специально настроенная программа фильтрующая входящий и исходящий трафик.
Работая в сети, мы используем различные приложения. Каждому приложению необходим доступ к определенному виду трафика. Например, браузерам требуется 80-й порт для исходящего ТСР-соединения и порт 53 DNS-сервера. ICQ-клиентам, для исходящих ТСР-соединений нужен порт 5190. Если закрыть 44583-й порт, мы не сможем пользоваться Skype. Как раз, фаервол и контролирует эти и все остальные порты компьютера на входящий и исходящий трафик. То есть, открывает соответствующие порты только разрешенным правилами приложениям. А правила эти, мы можем устанавливать и сами, когда настраиваем фаервол. Предположим, мы разрешили работу программе Opera. Это значит, что входящий и исходящий трафик для этого приложения будет беспрепятственно пропускаться фаерволом. Если же, сетевые пакеты исходят от программы,которой мы не давали разрешения на работу, соединение будет блокировано. При первом запуске какого-либо приложения, требующего доступ к сети, фаервол выдает диалоговое окно-запрос. И тут, мы сами решаем давать доступ или нет.
Firewall - это первое и главное средство защиты компьютера от сетевых вторжений. И он должен быть соответствующим образом настроен.
Если мы работаем в офисе и включены в локальную сеть предприятия, нам не о чем беспокоиться. Системный администратор обеспечит надежную защиту и нет необходимости настраивать на своей машине персональный фаервол. Другое дело, когда мы напрямую выходим в глобальную сеть. В этом случае фаервол должен быть установлен обязательно. И он должен быть включен и настроен.
Операционная система абсолютно незащищенного компьютера может быть полностью выведена из строя, всего лишь, за несколько часов активного интернет-серфинга. Проводились и такие эксперименты. Фаервол остановит часть вторжений - блокирует несанкционированные соединения.
Собственный сетевой экран встроен в системы Microsoft Windows начиная с Windows XP SP2 и выше. Почитаем урок: брандмауэр Windows XP и посмотрим как включить его и настроить.
На примерах встроенных средств защиты Windows мы ознакомились с принципами работы сетевых экранов - фаерволов. Надежный фаервол контролирует не только входящие сетевые пакеты. Он должен фиксировать и весь исходящий трафик. И блокировать исходящие от вредоносных программ пакеты, если такие программы все же проникли в компьютер и пытаются выслать украденную информацию. Например, брандмауэр Windows XP не работает по исходящим соединениям. Здесь, стоит подумать об установке стороннего фаервола. Что можно посоветовать?
По результатам тестов авторитетных независимых лабораторий занимающихся проблемами защиты персонального компьютера, лучшим фаерволом признается Comodo. Comodo Firewall - это бесплатный персональный фаервол американского разработчика Comodo Group для Windows XP, Vista, Windows 7 и 8. Скачать последнюю версию фаервола можно с официального сайта разработчика.
Перейдем в урок: настройка Сomodo Firewall и посмотрим как установить и работать с этим фаерволом.
Работая или играя в игры, необходимо понимать, что пользователь оказывается во Всемирной паутине, где присутствуют свои злодеи. Таких людей называют хакерами. Они живут тем, что стараются проникнуть в чужой ПК и похитить из него информацию. Делать это возможно при помощи разнообразных вирусов или вредоносных программ, а также некоторых других уязвимых мест операционной системы. Если для защиты от вирусов уже давно был придуман антивирус, то для охраны ПК и локальной или интернет-сети существует сетевой экран. Что это такое?
Многие неопытные пользователи считают, что антивирусная программа способна защитить их от всех напастей. Однако это не так. Для полной защиты ПК необходим еще и сетевой экран. Что это такое и как он работает?
Обнаружить сетевой экран и его настройки можно в центре защиты. Для обеспечения максимальной защищенности ПК эта программа руководствуется определенными правилами. Имеются в виду действия, которые будет производить межсетевой экран при обнаружении попытки соединения с другим источником. Эти правила могут быть как разрешающего характера, так и запрещающего. Также важно понимать, что эта программа оберегает ПК на двух уровнях. Первый - сетевой, а второй - прикладной. То есть если отвечать на вопросы о том, сетевой экран, что это такое и как он работает, то можно сформулировать такой ответ. Это встроенное программное обеспечение, которое призвано защищать персональный компьютер от попыток соединения извне.
Как было отмечено ранее, межсетевой экран обладает двумя ступенями защиты. Первая ступень - это сетевая охрана ПК. Осуществление защиты происходит на основе глобальных правил, которые задаются сетевому экрану, и кои он использует при обнаружении соединения. В зависимости от нескольких параметров, программа либо заблокирует соединение, либо разрешит:
Для того чтобы более широко ответить на вопрос о том, сетевой экран, что это такое, необходимо выяснить, чем является сетевой пакет, с которым работает экран. В принципе, все достаточно просто. Сетевой пакет - это информация, которая передается внутри сети в виде блока. Экран воспринимает такой пакет как блок, разбитый на три части. Первая часть считается заголовком и несет информацию о дате создания, названии, размере блока и т. д. Вторая же часть будет выступать непосредственным содержанием, а третья называется концовкой и несет в себе информацию, которая подтверждает, что во время передачи блок не подвергался изменениям со стороны.
Если первый тип защиты применяется к информации, которая поступает на персональный компьютер извне, то второй тип работает с тем, что уже установлено на ПК. К такому обеспечению применяются другие правила. Однако стоит отметить, что анализ, по которому экран будет принимать решение, остается таким же, как и в случае с сетевой защитой.
Но некоторое отличие все же имеется. Заключается оно в том, что, помимо сканирования самого блока с информацией, сетевой экран будет проверять и то обеспечение, которое должно получить информацию либо отправить ее. Такое количество проверок и правил, которыми руководствуется защитная программа, дает возможность опытному пользователю настроить охрану своего ПК на самом высоком уровне.
В интернете существует множество программ для быстрого скачивания контента. Одна из них называется Zona. Это ПО дает возможность скачивать множество фильмов, игр или программ с высокой скоростью, однако некоторые пользователи жаловались на то, что при включении сетевого экрана программа переставала работать, ссылаясь на существующую ошибку доступа к серверу. Этот сбой - результат функционирования охранной системы.
Для того чтобы не отключать экран, но и заставить работать трекер, необходимо кое-что изменить. Сразу после включения защиты она посчитает, что вредоносная программа - это зона. Настройка сетевого экрана обладает расширением, которое называется "Исключения". Для того чтобы наладить работу трекера и избавиться от ошибки, необходимо внести его в эти самые исключения. Расположение настроек может меняться в зависимости от версии экрана и того факта, является ли он встроенным ПО или посторонним.
Межсетевой экран устанавливается для того, чтобы решать несколько очень важных задач. Какую функцию выполняют сетевые экраны после своей установки?
Стоит также отметить, что в настоящее время отсутствует общая классификация таких программ и устройств.
