Top-office11.ru

IT и мир ПК
2 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Как защитить локальную сеть

Методы защиты локальной сети

По утверждениям IT-специалистов, процесс построения локальной сети — это лишь третья часть работы по конструированию. Второй этап — проведение настройки конфигурации, первый — обеспечение безопасности локальной сети. Каждому предприятию необходимо сохранить приватность сведений, которые передаются по разным каналам или находятся на хранении внутри самой корпоративной системы.

С какими целями необходимо обеспечить безопасность?

Цели во многом зависят от индивидуальной ситуации. Но можно выделить три основные, характерные для всех случаев.

  1. Предотвращение любых попыток изменить информацию, сохранение ее в неизменном виде.
  2. Обеспечение конфиденциальности всех занесенных данных.
  3. Доступность всех действий и сохранение возможности проводить операции.

Обеспечение неизменности гарантирует, что в случае, если произойдет вторжение злоумышленников внутрь операционной системы ПК, файлы не подвергнутся уничтожению. Также невозможно изменение их содержимого и подмена исходных файлов.

К конфиденциальной информации относятся следующие сведения:

  • сведения, которые составляют коммерческую тайну;
  • личные данные санкционированных пользователей;
  • список логинов, паролей;
  • документация, находящаяся во внутреннем пользовании фирмы;
  • бухгалтерские отчеты;
  • сохраненные рабочие переписки;
  • кадры фото и видеосъемки, наблюдений;
  • иная важная информация.

Подобные файлы представляют особый интерес для преступников и конкурентов, так как могут использоваться не только для хищения финансовых средств, но и с целью обнародования данных в личных целях.

При выполнении действий по защите возникает еще одна проблема: обеспечение доступности. Серверы, принтеры, рабочие станции, критические файлы и иные ресурсы должны находиться в состоянии круглосуточного доступа для всех пользователей.

Методики защиты

Все меры по обеспечению безопасности должны быть предварительно проработаны, сформулированы в виде плана. Один из самых важных моментов — профилактика возникновения форс-мажорных ситуаций.

Для обеспечения защиты создаются физические препятствия к проникновению злоумышленников к аппаратуре. Устанавливается контроль над всеми ресурсами системы. Криптографическое преобразование информации с целью маскировки проводится при передаче ее по линиям связи на большие расстояния. Заключительный этап — создание свода правил безопасности, принуждение всех сотрудников организации к их исполнению.

Программные инструменты

Главным образом обеспечение безопасности локальных сетей зависит от программных средств. К таковым относятся:

  1. Межсетевые экраны. Это промежуточные элементы компьютерной сети, которые служат для фильтрации входящего и исходящего трафика. Риск несанкционированного доступа к информации становится меньше.
  2. Прокси-серверы. Производят ограничение маршрутизации между глобальной и локальной частями сети.
  3. VPN. Позволяют передавать информацию по зашифрованным каналам.
  4. Разные наборы протоколов, которые нужны для создания защищенного соединения и установления контроля над элементами локальной сети.

Эти приложения, встроенные в оперативную систему и специализированные, шифруют данные. Данные разграничивают потоки информации.

Комплексная защита

Наша компания создала решение, обеспечивающее полный контроль за локальными сетями. Это ИКС — межсетевой экран, снабженный всеми необходимыми функциями для защиты сети.

ИТ-услуги для бизнеса

Несколько наиболее важных шагов построения базовой защиты сети предприятия

Способы защиты информации на предприятии, также как и способы ее добычи, постоянно меняются. Регулярно появляются новые предложения от компаний, предоставляющих услуги по защите информации. Панацеи конечно нет, но есть несколько базовых шагов построения защиты информационной системы предприятия, на которые вам обязательно нужно обратить внимание.

Многим наверняка знакома концепция глубокой защиты от взлома информационной сети. Основная ее идея состоит в том, чтобы использовать несколько уровней обороны. Это позволит, как минимум, минимизировать ущерб, связанный с возможным нарушением периметра безопасности вашей информационной системы.
Далее рассмотрим общие аспекты компьютерной безопасности, а также создадим некий чеклист, служащий в качестве основы для построения базовой защиты информационной системы предприятия.

1. Межсетевой экран (файрвол, брэндмауэр)

Брандмауэр или файрвол — это первая линия обороны, которая встречает непрошенных гостей.
По уровню контроля доступа выделяют следующие типы брэндмауэра:

  • В простейшем случае фильтрация сетевых пакетов происходит согласно установленных правил, т.е. на основе адресов источника и назначения сетевых пакетов, номеров сетевых портов;
  • Брэндмауэр, работающий на сеансовом уровне (stateful). Он отслеживает активные соединения и отбрасывает поддельные пакеты, нарушающие спецификации TCP/IP;
  • Файрвол, работающий на прикладном уровне. Производит фильтрацию на основе анализа данных приложения, передаваемых внутри пакета.

Повышенное внимание к сетевой безопасности и развитие электронной коммерции привело к тому, что все большее число пользователей используют для своей защиты шифрование соединений (SSL, VPN). Это достаточно сильно затрудняет анализ трафика проходящего через межсетевые экраны. Как можно догадаться, теми же технологиями пользуются разработчики вредоносного программного обеспечения. Вирусы, использующие шифрование трафика, стали практически не отличимы от легального трафика пользователей.

2. Виртуальные частные сети (VPN)

Ситуации, когда сотруднику необходим доступ к ресурсам компании из общественных мест (Wi-Fi в аэропорту или гостинице) или из дома (домашнюю сеть сотрудников не контролируют ваши администраторы), особенно опасны для корпоративной информации. Для их защиты просто необходимо использовать шифрованные туннели VPN. Ни о каком доступе к удаленному рабочему столу (RDP) напрямую без шифрования не может быть и речи. Это же касается использования стороннего ПО: Teamviewer, Aammy Admin и т.д. для доступа к рабочей сети. Трафик через эти программы шифруется, но проходит через неподконтрольные вам сервера разработчиков этого ПО.

К недостаткам VPN можно отнести относительную сложность развертывания, дополнительные расходы на ключи аутентификации и увеличение пропускной способности интернет канала. Ключи аутентификации также могут быть скомпрометированы. Украденные мобильные устройства компании или сотрудников (ноутбуки, планшеты, смартфоны) с предварительно настроенными параметрами подключения VPN могут стать потенциальной дырой для несанкционированного доступа к ресурсам компании.

3. Системы обнаружения и предотвращения вторжений (IDS, IPS)

Система обнаружения вторжений (IDS — англ.: Intrusion Detection System) — программное или аппаратное средство, предназначенное для выявления фактов неавторизованного доступа в компьютерную систему (сеть), либо несанкционированного управления такой системой. В простейшем случае такая система помогает обнаружить сканирование сетевых портов вашей системы или попытки войти на сервер. В первом случае это указывает на первоначальную разведку злоумышленником, а во втором попытки взлома вашего сервера. Также можно обнаружить атаки, направленные на повышение привилегий в системе, неавторизованный доступ к важным файлам, а также действия вредоносного программного обеспечения. Продвинутые сетевые коммутаторы позволяют подключить систему обнаружения вторжений, используя зеркалирование портов, или через ответвители трафика.

Система предотвращения вторжений (IPS — англ.: Intrusion Prevention System) -программная или аппаратная система обеспечения безопасности, активно блокирующая вторжения по мере их обнаружения. В случае обнаружения вторжения, подозрительный сетевой трафик может быть автоматически перекрыт, а уведомление об этом немедленно отправлено администратору.

4. Антивирусная защита

Антивирусное программное обеспечение является основным рубежом защиты для большинства современных предприятий. По данным исследовательской компании Gartner, объем рынка антивирусного ПО по итогам 2012 года составил $19,14 млрд. Основные потребители — сегмент среднего и малого бизнеса.

Прежде всего антивирусная защита нацелена на клиентские устройства и рабочие станции. Бизнес-версии антивирусов включают функции централизованного управления для передачи обновлений антивирусных баз клиентские устройства, а также возможность централизованной настройки политики безопасности. В ассортименте антивирусных компаний присутствуют специализированные решения для серверов.
Учитывая то, что большинство заражений вредоносным ПО происходит в результате действий пользователя, антивирусные пакеты предлагают комплексные варианты защиты. Например, защиту программ электронной почты, чатов, проверку посещаемых пользователями сайтов. Кроме того, антивирусные пакеты все чаще включают в себя программный брандмауэр, механизмы проактивной защиты, а также механизмы фильтрации спама.

5. Белые списки

Что из себя представляют «белые списки»? Существуют два основных подхода к информационной безопасности. Первый подход предполагает, что в операционной системе по умолчанию разрешен запуск любых приложений, если они ранее не внесены в «черный список». Второй подход, напротив, предполагает, что разрешен запуск только тех программ, которые заранее были внесены в «белый список», а все остальные программы по умолчанию блокируются. Второй подход к безопасности конечно более предпочтителен в корпоративном мире. Белые списки можно создать, как с помощью встроенных средств операционной системы, так и с помощью стороннего ПО. Антивирусное ПО часто предлагает данную функцию в своем составе. Большинство антивирусных приложений, предлагающих фильтрацию по белому списку, позволяют провести первоначальную настройку очень быстро, с минимальным вниманием со стороны пользователя.

Читать еще:  Как узнать номер роутера

Тем не менее, могут возникнуть ситуации, в которых зависимости файлов программы из белого списка не были правильно определены вами или антивирусным ПО. Это приведет к сбоям приложения или к неправильной его установке. Кроме того, белые списки бессильны против атак, использующих уязвимости обработки документов программами из белого списка. Также следует обратить внимание на самое слабое звено в любой защите: сами сотрудники в спешке могут проигнорировать предупреждение антивирусного ПО и добавить в белый список вредоносное программное обеспечение.

6. Фильтрация спама

Спам рассылки часто применяются для проведения фишинг атак, использующихся для внедрения троянца или другого вредоноса в корпоративную сеть. Пользователи, которые ежедневно обрабатывают большое количество электронной почты, более восприимчивы к фишинг-сообщениям. Поэтому задача ИТ-отдела компании — отфильтровать максимальное количество спама из общего потока электронной почты.

Основные способы фильтрации спама:

  • Специализированные поставщики сервисов фильтрации спама;
  • ПО для фильтрации спама на собственных почтовых серверах;
  • Специализированные хардварные решения, развернутые в корпоративном дата-центре.

7. Поддержка ПО в актуальном состоянии

Своевременное обновление программного обеспечения и применение актуальных заплаток безопасности — важный элемент защиты корпоративной сети от несанкционированного доступа. Производители ПО, как правило, не предоставляют полную информацию о новой найденной дыре в безопасности. Однако злоумышленникам хватает и общего описания уязвимости, чтобы буквально за пару часов после публикации описания новой дыры и заплатки к ней, написать программное обеспечение для эксплуатации этой уязвимости.
На самом деле это достаточно большая проблема для предприятий малого и среднего бизнеса, поскольку обычно используется широкий спектр программных продуктов разных производителей. Часто обновлениям всего парка ПО не уделяется должного внимания, а это практически открытое окно в системе безопасности предприятия. В настоящее время большое количество ПО самостоятельно обновляется с серверов производителя и это снимает часть проблемы. Почему часть? Потому что сервера производителя могут быть взломаны и, под видом легальных обновлений, вы получите свежее вредоносное ПО. А также и сами производители порой выпускают обновления, нарушающие нормальную работу своего ПО. На критически важных участках бизнеса это недопустимо. Для предотвращения подобных инцидентов все получаемые обновления, во-первых, должны быть применены сразу после их выпуска, во-вторых, перед применением они обязательно должны быть тщательно протестированы.

8. Физическая безопасность

Физическая безопасность корпоративной сети является одним из важнейших факторов, который сложно переоценить. Имея физический доступ к сетевому устройству злоумышленник, в большинстве случаев, легко получит доступ к вашей сети. Например, если есть физический доступ к коммутатору и в сети не производится фильтрация МАС-адресов. Хотя и фильтрация MAC в этом случае вас не спасет. Еще одной проблемой является кража или небрежное отношение к жестким дискам после замены в сервере или другом устройстве. Учитывая то, что найденные там пароли могут быть расшифрованы, серверные шкафы и комнаты или ящики с оборудованием должны быть всегда надежно ограждены от проникновения посторонних.

Мы затронули лишь некоторые из наиболее распространенных аспектов безопасности. Важно также обратить внимание на обучение пользователей, периодический независимый аудит информационной безопасности, создание и соблюдение надежной политики информационной безопасности.
Обратите внимание на то, что защита корпоративной сети является достаточно сложной темой, которая постоянно меняется. Вы должны быть уверены, что компания не зависит всего лишь от одного-двух рубежей защиты. Всегда старайтесь следить за актуальной информацией и свежими решениями на рынке информационной безопасности.

Воспользуйтесь надежной защитой корпоративной сети в рамкам услуги «обслуживание компьютеров организаций» в Новосибирске.

Локальная сеть дома: как настроить так, чтобы не взломали?

Когда-то защита локальной сети для домашних пользователей была достаточно тривиальной. Всё было просто! К каналу с ADSL подключали несколько рабочих станций по «витой паре» через маршрутизатор, и на каждый из компьютеров ставили антивирус. Вот и всё, оставалось лишь следить за обновлениями софта. Но прошло 10 лет и ситуация полностью изменилась. В современном доме множество гаджетов пытается выйти в Интернет! От умных часов с WiFi — до локальных сетевых хранилищ с торрент-клиентами. От традиционных ПК — до аудиосистем Hi-End с сетевыми мостами. И от 4G-смартфонов — до крохотных Ethernet-модулей для управления «умным домом»! Добавим сюда вероятные уязвимости домашнего сетевого оборудования — и получим целый зоопарк разнородных устройств, нуждающихся в квалифицированном присмотре (который раньше требовался только предприятиям).

А может махнём рукой на настройку сети и безопасность?

Сразу отметим, что вопросы безопасности лучше не игнорировать. Ведь «дыры» в современной домашней сети могут привести к многочисленным проблемам:

  • Если вы проводите платежи, скажем, через Smart TV, и его взломают, с вашей кредитки могут исчезнуть все деньги;
  • Если злоумышленник получит доступ к NAS, то может, в перспективе, шантажировать вас вашим же контентом, не предназначенным для чужих глаз. В Интернете уже были посты от пострадавших россиян;
  • Получив доступ к вашему мощному ПК, злоумышленник может украсть аккаунт для одной или нескольких игр, и продать их «оптом и в розницу»;
  • Также на вашем ПК могут считать биткойны (что вступает в конфликт с законом);
  • Может очень сильно пострадать ваш имидж в соцсетях;
  • Получив доступ к фитнес-гаджету, можно узнать практически всё о вашей «outdoor activity», что может не понравиться, скажем, женщинам или бизнесменам;
  • Заразив смартфон или ноутбук, преступники могут незаметно пользоваться его веб-камерой или записывать звук;
  • «Заболевший» гаджет или ноутбук может войти в состав ботнета, и затем, за массовую рассылку спама, вас может отключить провайдер Интернета;
  • Злоумышленники могут «тупо» заблокировать устройство, а файлы с данными зашифровать. И всё — если нет бэкапов, с уникальной информацией можно попрощаться;
  • О том, что можно делать с «умным домом», управляя, скажем, водой, электроснабжением или цифровыми замками из другой части света, всё понятно без особых разъяснений;
  • И хуже этого, пожалуй, лишь взломанный «умный автомобиль».

Защищаем локальную сеть как подводную лодку

TechnoDrive, разумеется, ничего нового не придумал. Всё давно изобретено и отработано на практике. Мы рекомендуем защищать домашнюю локальную сеть шаг за шагом, как отсеки в подводной лодке.

Первый шаг: отделить устройства друг от друга. Для этой цели сами собой напрашиваются коммутаторы с физической изоляцией портов. Если устройства не видят друг друга по локальной сети, они не смогут «потопить» один другого, даже если хакеры «подобьют», скажем, Smart TV, и он станет «активно интересоваться» всем своим окружением.

Минус: файлы придётся переносить на флешке. Плюс: заражённая windows-машина или android-гаджет не смогут сканировать другие ваши устройства (не говоря об их взломе).

Внимание! Представители вендоров (Александр Щаднев, D-Link Ростов-на-Дону) считают, что физическое разделение портов в данном случае будет чрезмерным, поскольку лишит локальную сеть всей привлекательности в плане передачи данных между её устройствами. Однако эксперт отмечает, что другие решения, в частности, управляемые коммутаторы с ACL или многопортовые сетевые экраны могут оказаться для обычного пользователя слишком сложными в настройке. Полная версия мнения экспертов D-Link доступна по ссылке.

Как настроить WiFi?

Разнообразие домашних и портативных гаджетов делает домашний WiFi всё более популярным. Однако беспечному владельцу в данном случае грозят не только несанкционированные подключения соседей и прохожих на улице. Зловредам давно известны заводские настройки оборудования и они весьма активно используются троянами (список наиболее часто упоминаемых моделей приводить не будем). Поэтому нелишне будет напомнить правила безопасности для WiFi:

  • Выбирайте сетевую аутентификацию, как минимум, уровня WPA2-PSK (шифрование AES);
  • Используйте действительно длинный и сложный пароль со спецсимволами и пробелами, цифрами и различным регистром букв. Да, вводить его будет сложно, особенно, если нет нормальной клавиатуры, но это всего лишь 1 раз (для каждого гаджета);
  • Поменяйте заводской пароль на роутере, он также должен быть очень длинным и сложным. Не храните его в браузерах! Меняйте прошивку роутера на свежие версии с сайта производителя!
  • MAC-идентификация не идеальна, но она тоже необходима. Пускайте в беспроводную сеть только устройства по белому списку MAC-адресов. MAC-адрес легко отыскать даже в умных телевизорах;
  • Настройте мощность сигнала передатчика (TX-мощность): уменьшите её, насколько это возможно;
  • Активируйте «изоляцию клиентов» (это своего рода аналог физической изоляции портов, но для беспроводной сети);
  • Отключайте WiFi, когда он вам не нужен.
Читать еще:  Сбросились настройки роутера d link

Рабочие станции Ubuntu — это командные рубки домашней сети

Как ни крути, но удобнее всего работать именно на рабочих станциях. Причина очевидна: системные блоки старой закалки мощные, многофункциональные и обладают прекрасной эргономикой органов управления (aka клавиатура и мышь). Да и с экраном там проблем нет, можно подключить даже несколько. Поэтому рабочие станции нужно защищать наиболее тщательно, и рецепт здесь простой: ставьте на них Ubuntu.

Пара слов на эту тему. Не бойтесь пингвина, он уже давно не кусается! И, хотя пару лет назад определённой проблемой был перенос данных с Windows на Ubuntu, сейчас, с развитием технологий хранения данных в соцсетях облаках, вопрос этот отпал сам собой.

С другой стороны, конечно, многие не сразу осваивают версию Ubuntu 14.04. Но там достаточно знать волшебное сочетание клавиш «Alt+Ё» (тогда вы сможете переключаться, скажем, между множеством открытых документов в LibreOffice, — или жонглировать открытыми письмами в почтовом клиенте, — без ярких эпитетов в адрес Canonical).

Всё остальное, включая графические пакеты, видеоплееры, звуковые редакторы, мессенджеры, браузеры, средства разработки, ридеры и прочее, есть в «Центре приложений Ubuntu» (без вирусов, разумеется, и совершенно бесплатно).

Для компьютерных игр же нужно закачать Steam, также из центра приложений «Убунту». Если есть финансовая возможность, — и вы любите Apple, — также рекомендуем использовать OS X, поскольку она является сертифицированной версией Unix. И, теоретически, «залететь» там можно разве что на «левых пакетах» (первыми напрашиваются потенциально «дырявый» Adobe Flash Player и злосчастная Java, а также, конечно, неизвестно откуда залитое ПО), — а также на фишинге (хотя тот вообще не зависит от ОС).

Если вы предпочитаете оставаться на Windows, у нас есть рекомендации и для неё.

Ну а как защитить смартфоны и планшеты?

Если вы используете гаджет для бизнеса, ставьте туда как можно меньше приложений и используйте надёжный антивирус (последний, как правило, не бесплатен, но пренебрегать защитой смартфона и планшета мы категорически не советуем). Также активируйте приложения, помогающие дистанционно искать и блокировать устройства, — а также удалять с них конфиденциальную информацию. Но не верьте им на 100%, как показала практика, работают они порой непредсказуемо.

Как защитить то, на что вообще нет новых прошивок?

Это самый трудный вопрос, но для него и нужна физическая изоляция портов, а также разделение беспроводных WiFi-клиентов! Ведь никто не знает, чем и как именно может заразиться ваш новый фотоаппарат с поддержкой WiFi, сканер с функцией PIXMA Cloud Link (а это прямой доступ в соцсети!) или сверхбюджетный планшет, пришедший из Китая.

Поэтому, по умолчанию, все подобные «закрытые» устройства проще считать уже заражёнными. Поэтому не стоит вставлять в них флешки с критичной инфой вместе с любимым сериалом; фотографировать ими то, что снимать нежелательно, — и уж точно, не активировать беспроводные функции без особой необходимости [в кафе с беспроводным незащищённым доступом].

Вирус в роутере — это хуже всего!

Мы уже упоминали о том, что для роутера нужен очень длинный и сложный пароль, и что его нельзя хранить в браузере. Если же роутер окажется заражён, то при заходе на сайт банка (к примеру), вы можете попасть на страничку-клон, созданную мошенниками (это делается через подмену DNS). И лишитесь, соответственно, всех денег на счёте, как только введёте пароль. О том, как лечить и защищать домашний роутер, рекомендуем прочитать в публикации TechnoDrive за январь.

О чём мы забыли рассказать, но вспомнили в последний момент?

Напоследок ещё несколько полезных советов от экспертов TechnoDrive:

  • Храните копии важных файлов на носителях, откуда их нельзя стереть электронным путём (лучше выбрать DVD, флешки очень недолговечны). Причём это касается и контакт-листов смартфонов!
  • Не загружайте «левый софт», против него не поможет даже Linux (особенно, если поставить пакет под рутом, — или же запустить «страшную» команду в терминале, работу которой вы совершенно не понимаете);
  • Не давайте телефоны «позвонить» на улице незнакомым людям (если случай неотложный, позвоните со своего смартфона сами);
  • Перед тем, как выбросить или продать старый смартфон или планшет, тщательно очистите его память. Это же относится и к старым ПК, поскольку есть любители восстанавливать старые жёсткие диски (материалы потом иногда попадают в Интернет). Лучше использовать для этого специальные утилиты;
  • Поглядывайте периодически на станционный список роутера и на то, какие индикаторы на нём мигают. Всплески бурной активности тех или иных портов могут навести на интересные мысли.
  • Не оставляйте свои гаджеты без присмотра даже на короткое время;
  • Если всё-таки необходимо записать пароль на бумаге (или в файле с совершенно абстрактным именем), добавляйте туда лишние символы, которые сможете найти и удалить только вы сами;
  • Если нет острой необходимости в беспроводной связи на том или ином устройстве, не используете её;
  • Чем меньше ваших устройств подключено к сети, тем лучше. Это пожалуй, абсолютная истина, всю справедливость которой ещё покажет «во всей своей красе» надвигающийся «Интернет вещей».

Чуть не забыли: у TechnoDrive есть группа ВКонтакте — и на Facebook. Подключайтесь!

Враг не пройдёт!! Защита компьютерной сети предприятия

Наталья ЛАРИОНОВА, компания «Айдеко Софтвер»

Мы с вами живём в век информационного общества. И именно поэтому информация является наиболее ценным объектом. Любое государственное и коммерческое предприятие заинтересовано в сохранении информации, которая может ему навредить, если попадёт в руки злоумышленников или будет уничтожена. Для государственных учреждений такая информация носит гриф “Секретно”, для коммерческих предприятий — “Коммерческая тайна” или “Ценная информация”.

Зададимся вопросом: какая именно информация нуждается в защите и может представлять интерес для злоумышленника? Это, как правило, важные договоры, списки клиентов, базы данных бухгалтерских программ, пароли и ключи системы “клиент-банк”, каналы связи с подразделениями и т. п.

Чтобы не стать жертвой хакера, необходимо защищать компьютеры и всю сеть организации от интернет-угроз. И не стоит утешать себя тем, что, мол, именно ваше предприятие не заинтересует злоумышленника: ведь специальные программы — сканеры уязвимостей обшаривают весь интернет без разбора.

Когда возникает необходимость обеспечить информационную безопасность компании, руководство, как правило, обращается к системным интеграторам. Они проводят комплексный анализ и разрабатывают проект по защите информации. В конечном счёте всё это оборачивается приобретением дорогостоящих программных и аппаратных средств, таких как Cisco PIX, Checkpoint, Microsoft ISA. Такие большие комплексные проекты стоят более 15 тыс. долл., требуют постоянного сопровождения и целесообразны только для крупных предприятий.

Для малых и многих средних предприятий весь проект по защите можно свести к двум пунктам:

  • защита персональных компьютеров;
  • комплекс из интернет-шлюза и файерволла, отгораживающий сеть предприятия от Всемирной сети и защищающий компьютеры пользователей от проникновения извне.

Защита персональных компьютеров

Эта тема достаточно хорошо освещена в прессе: в самом деле, защитить персональные компьютеры на предприятии не так уж и сложно.

Самое главное — не использовать на компьютере реальный IP-адрес интернета, и тогда злоумышленник не сможет подключиться к вашему компьютеру. Поясним попутно, что IP-адрес (Internet Protocol Address — адрес интернет-протокола) — это уникальный идентификатор устройства (компьютера), подключённого к локальной сети или интернету, по которому его определяют внешние устройства с целью приёма от него информации или передачи её.

Второе. Нельзя без предварительной проверки специальными программами открывать файлы с неизвестными вам расширениями (или с известными расширениями исполняемых файлов — *.com, *.exe, *.bat), скачанные через интернет или полученные по электронной почте. Если вы получили по почте файлы от ваших знакомых, то предварительно спросите по телефону, высылали они их вам или нет. Это позволит избежать засорения компьютера программами-шпионами и “троянскими конями”.

Читать еще:  Как отключить роутер с телефона

Третье — защита локальных файлов. Устанавливайте пароли длиной не менее 12 букв и никогда не сообщайте свой пароль никому, даже системному администратору (у него должен быть свой пароль). Попросите системного администратора ограничить доступ к вашим файлам, кроме тех сотрудников, кому это необходимо по должностным инструкциям, и максимально ограничить доступ к файлам через сеть. Храните самые важные файлы на флэш-карте USB, пользоваться ею не сложнее, чем дискетой. Меняйте пароль как можно чаще: выберите для себя алгоритм смены пароля, например, 1-го числа каждого месяца. Не стоит полагаться на то, что ваши коллеги — добропорядочные граждане, ведь в помещение могут попасть и посторонние и начнут перебирать известные пароли: “1”, “11” “12345”, “пароль”, “2006”, “lena2006” и т. д. Обязательно блокируйте компьютер или выключайте его, если выходите из офиса. Попросите вашего администратора установить пароль в BIOS на включение компьютера и опломбируйте компьютер наклейкой с печатью.

Будьте внимательны к приходящим специалистам — это один из основных каналов утечки данных; записывайте их паспортные данные и берите расписку о неразглашении информации. Никогда не оставляйте на долгое время ключевую дискету системы “клиент-банк” в компьютере и не создавайте её копии на компьютере.

Для защиты информации персонального компьютера используют как минимум четыре вида программ.

1. Антивирусы, такие как Kaspersky Antivirus, DrWeb, Norton Antivirus, Panda, NOD32.

2. Персональный межсетевой экран (другие названия — брандмауэр или файерволл). Такие программы защищают от проникновения в ваш компьютер через сеть и блокируют вирусные эпидемии. Можно использовать встроенный в Windows брандмауэр, хотя рекомендуются более мощные — Agnitum Outpost, Symantec Personal Firewall.

3. Утилиты для обнаружения программ-шпионов и троянских программ. О таких утилитах часто забывают системные администраторы, из бесплатных можно рекомендовать Ad-aware компании Lavasoft.

4. Программы резервного копирования. Здесь выбор очень широкий, лучше проконсультироваться с системным администратором, чтобы вся важная информация со всех компьютеров дублировалась на резервный носитель. Вы можете и самостоятельно создавать резервные копии своих файлов на флэш-карту USB или перезаписываемый CD (CD-RW). Берегите свой труд и создавайте резервные копии как можно чаще, ведь восстанавливать утерянную бухгалтерию или важные файлы вам придётся вручную.

Интернет-шлюз + файерволл как основа безопасности сети предприятия

Если все персональные компьютеры защищены, возникает вопрос: а зачем ещё дополнительно защищать сеть с помощью шлюза? Проблема заключается в том, что все локальные компьютеры находятся в доверенной сети и уязвимым местом становится именно шлюз, который устанавливается на границе доверенной сети и сети интернет. Захватив шлюз через интернет, злоумышленник попадает в доверенную сеть предприятия и может захватить другие компьютеры локальной сети и получить доступ к важной информации. Поэтому требования к современному шлюзу предъявляются очень высокие.

Интернет-шлюз стоит в одном ряду с другими готовыми решениями (рис. 1) и должен соответствовать следующим главным критериям:

  • универсальность (подходит для большинства предприятий);
  • функциональность (обладает всеми необходимыми возможностями для решения задач);
  • надёжность (безотказность работы в любых условиях);
  • низкая стоимость владения (минимальные расходы на внедрение и сопровождение, простота в использовании и управлении).

Однако наиболее распространённые на сегодняшний день интернет-шлюзы не полностью удовлетворяют современным требованиям. На рис. 2 показаны распространённые виды интернет-шлюзов и их преимущества и недостатки.

В последнее время на мировом рынке появились новые специализированные решения для предприятий, которые при небольшой цене имеют высокую безопасность, надёжность и низкую стоимость владения. Есть подобные системы и на российском рынке.

Зачем нужен интернет-шлюз

Рассмотрим задачи, решаемые современным интернет-шлюзом, на примере универсального интернет-шлюза Ideco Internet Control Server, в котором совмещены высокая безопасность и удобство использования. Все эти задачи можно разделить на три группы: защита пользователей и сети предприятия; учёт трафика, планирование и ограничение расходов; фильтрация трафика в соответствии с политикой предприятия.

Защита пользователей и сети предприятия

Современный интернет-шлюз в первую очередь должен обеспечить защиту пользователей и сети предприятия от атак из сети интернет. Для решения этой задачи в Ideco ICS используется технология NAT (Network Address Translation — преобразование сетевых адресов). Эта технология скрывает пользователей от внешних злоумышленников, делая невидимыми из сети интернет. Другой важной функцией NAT является предоставление качественного доступа в интернет, причём все пользовательские программы работают без дополнительных настроек, что выгодно отличает NAT от технологии Proxy.

Но, помимо опасностей, которые подстерегают вас непосредственно в сети интернет, существуют также угрозы внутри самого предприятия. Например, информация может быть перехвачена или передана в интернет от имени другого пользователя. Для предотвращения подобных угроз совместно с NAT используется технология VPN (Virtual Private Network — виртуальная частная сеть). По VPN каждому пользователю администратор назначает личный защищённый IP-адрес, который закреплён за ним постоянно. Сам компьютер предприятия по умолчанию не имеет доступа в интернет, и только после ввода логина и пароля сотрудник предприятия получает персональный защищённый выход во Всемирную сеть. Кроме этого технология VPN позволяет подключать по защищённому каналу филиалы и мобильных сотрудников, работающих из дома или находящихся в командировке.

Интернет-шлюз Ideco ICS обеспечивает и антивирусную защиту. Вся отправляемая и принимаемая почта проверяется встроенным антивирусом. Таким образом, при получении и отправке почты можно быть уверенным, что она не содержит вирусов и вирусные эпидемии не поразят вашу локальную сеть через электронную почтовую систему.

Учёт трафика, планирование и ограничение расходов

Но что делать, если безопасность уже была нарушена? В этом случае очень кстати окажется детализированная статистика. Она позволяет выяснять обстоятельства дела уже после того, как безопасность была нарушена недобросовестными сотрудниками. С помощью статистики всегда можно точно определить, кто, когда и куда передал данные. Помимо прочего это помогает экономить денежные ресурсы предприятия. Получив отчёт о посещении интернета в мегабайтах и в рублях, легко в последующем спланировать расходы на интернет для пользователей и отделов и установить соответствующие ограничения. Часто программы без ведома пользователя скачивают очень большие объёмы данных, поэтому лимит необходимо устанавливать и для добросовестных пользователей, и для организации в целом, это позволит избежать больших расходов.

Современный интернет-шлюз позволяет контролировать расходы в реальном времени, предупреждать о перерасходе и блокировать доступ в интернет при превышении установленного лимита.

Фильтрация трафика в соответствии с политикой предприятия

Важным пунктом в обеспечении информационной безопасности является файерволл, работающий на шлюзе. Файерволл шлюза позволяет запретить ненужные протоколы или ограничить доступ к определённым сайтам, а также запретить работу определённых приложений, например программы поддержки файлообменных сетей.

Опасность могут также представлять любые предоставленные для скачивания в интернете файлы. Такие файлы часто заражены вирусами и программами-шпионами. Файерволл позволяет запретить скачивание файлов определённого типа, например с расширениями *.exe или *.avi.

Файерволл в Ideco ICS имеет одну интересную особенность: он обеспечивает интеллектуальную обработку трафика с целью выделения приоритетов, что позволяет важным приложениям качественно работать при стопроцентной загрузке интернет-канала.

Разумеется, шлюз и сам должен быть максимально защищён. При его выборе стоит уделить внимание тому, на базе какой операционной системы он работает, ведь при взломе интернет-шлюза остальная защита просто теряет смысл. Одной из самых защищённых операционных систем на сегодня является Linux. Раньше использовать Linux могли только предприятия, в штате которых есть высококвалифицированные системные администраторы со специальными знаниями. Сегодня появляется всё больше готовых продуктов, основанных на Linux. Так, шлюз Ideco ICS работает на ОС Linux, но управляется через простой графический интерфейс, понятный обычному пользователю (рис. 3).

Как мы с вами убедились, обеспечение информационной безопасности компании — это решение вполне конкретных и известных задач. С использованием современного программного обеспечения защититься от интернет-угроз под силу любому предприятию.

Ссылка на основную публикацию
Adblock
detector