Восстановление данных

Blocked Zone – блокируемая зона – сетевые объекты, обращение которых к защищаемому компьютеру должно быть запрещено;

Trusted Zone – доверенная зона – сетевые объекты, обращение которых к защищаемому компьютеру разрешено;

Internet Zone – зона Интернета – сетевые объекты, относительно надежности которых сведений нет.

Рис. 2.28. Правила фильтрации в ZoneAlarm основаны на понятии зоны

При этом для каждой из зон Trusted и Internet может быть установлен определенный уровень безопасности. Например, установив для зоны Trusted наивысший уровень безопасности (High), вы можете превратить ее (скажем, на некий опасный период) в зону Internet (рис. 2.29).

Установка для зон Trusted и Internet низшего уровня безопасности (Low) соответствует временному выключению брандмауэра. Если же, наоборот, требуется срочно блокировать связь с Интернетом, достаточно щелкнуть на кнопке в виде знака Stop, расположенной на панели инструментов основного окна ZoneAlarm (рис. 2.29).

Когда ZoneAlarm обнаруживает попытку несанкционированного выхода какого-либо приложения в Интернет, он выводит на экран диалоговое окно с достаточно подробным описанием ситуации (рис. 2.30).

Рис. 2.30. Окно с сообщением о попытке подключения к Интернету

Получив от владельца компьютера разрешение (или запрет) на допуск приложения в Интернет, ZoneAlarm запоминает выбор (если установить в окне соответствующий флажок) и по данному приложению больше вопросов не задает.

Аналогичные действия выполняются и в случае попытки обращения извне к какому-нибудь порту компьютера.

К недостаткам ZoneAlarm можно отнести то, что он некорректно отображает русскоязычные наименования приложений.

Системы обнаружения атак

Системы обнаружения атак (или IDS – Intrusion Detection System) предназначены для выявления вторжений путем регистрации некорректной или аномальной деятельности пакетов данных, циркулирующих в локальной сети или поступающих на отдельный компьютер из внешней сети.

Сама по себе сетевая атака зачастую не несет непосредственной угрозы компьютерным данным или локальной сети. Она лишь является частью общей стратегии злоумышленника, направленной на достижение некой цели. Например, атака может заключаться в сканировании портов компьютера с целью выявления незащищенных «точек входа» либо в регистрации и анализе сетевого трафика с целью определения его интенсивности, параметров пересылаемых пакетов и т. п. Другими словами, некоторые виды атак можно рассматривать как «разведку боем». В случае успешного проведения такой разведки могут быть начаты непосредственно «боевые действия». Например, злоумышленник может внедрить через незащищенный порт шпионскую программу либо бомбардировать систему ложными сообщениями с целью захвата ее ресурсов.

Атаки, направленные на захват ресурсов, обычно приводят к тому, что атакованный веб-сервер перестает обслуживать «нормальные» запросы. Поэтому подобные атаки называются атаками на отказ в обслуживании – Denied of Service (DoS). Атаки типа DoS являются сегодня одними из наиболее распространенных.

Для обнаружения атак используется либо технология обнаружения аномального поведения (anomaly detection), либо технология обнаружения злоупотреблений (misuse detection). Вторая технология заключается в описании атаки в виде шаблона или сигнатуры и поиске данного шаблона в контролируемом пространстве (например, сетевом трафике или журнале регистрации). Подобные системы очень похожи на антивирусные сканеры. Именно на такой технологии основаны практически все предлагаемые сегодня системы обнаружения атак.

Необходимо отметить, что многие персональные брандмауэры содержат функции (или модули) обнаружения атак. Разумеется, они не могут претендовать на высокую эффективность, однако для «типовых» ситуаций вполне пригодны. Например, в составе рассмотренного выше брандмауэра Outpost Firewall имеется специальный модуль обнаружения атак – Детектор атак (рис. 2.31).

Детектор атак регистрирует сведения обо всех попытках подключения к портам компьютера и адрес источника такой попытки. Для атак типа DoS модуль использует в качестве защитной меры блокирование атакуемого порта или блокирование источника угрозы (рис. 2.32).

Рис. 2.32. Брандмауэр Outpost Firewall защищает от DoS-атак

Более мощными функциями по обнаружению и блокированию атак обладает пакет BlacklCE компании PC Protection (до версии 3.0 пакет именовался BlacklCE Defender). Он ориентирован на «домашних» пользователей (оценочную версию можно найти, например, по адресу http://download.iss.net/cgi-bin/download/getFile5.pl/BIPCPEvalSetup.exe (http://download.iss.net/cgi-bin/download/getFile5.pl/BIPCPEvalSetup.exe).) Этот инструмент, напротив, содержит в своем составе брандмауэр в качестве дополнительного модуля. Брандмауэр блокирует связь с теми внешними абонентами, которые были идентифицированы основным модулем как источники атак.

Сетевые сканеры и антиспамеры

Данные два типа инструментов принципиально различаются по своему предназначению и включены в один подраздел только потому, что и те и другие будут описаны вкратце.

Сетевые сканеры (или системы анализа защищенности) – это программы, которые просматривают узлы сети (ПЭВМ и серверы) с целью получения следующей информации:

имя и роль узла;

используемые сетевые сервисы (наличие средств электронной почты, вебсерверов и т. д.);

типы и версии используемых ОС и прикладного ПО;

учетные записи (параметры доступа для различных пользователей);

общие параметры политики безопасности (система паролей, категории пользователей и т. д.);

наличие незарегистрированных устройств (модемов, ноутбуков, анализаторов протоколов).

На основе полученной информации сканер выдает рекомендации по изменению установленных параметров защиты и/или оповещает администратора сети о наличии неизвестных устройств. Сетевые сканеры – это достаточно дорогие и сложные инструменты, и «домашними» пользователями практически не используются.

Антиспамеры предназначены для блокирования спама.

ПРИМЕЧАНИЕ

Сегодня мало кто помнит, откуда появилось само слово «спам». Оказывается, Spam – зарегистрированная торговая марка консервов компании Hormel Foods Corporation. Компьютерный термин Spam (спам) происходит от пародии британской комик-группы, в которой изображалось, что посетители ресторана вынуждены слушать хор, воспевающий мясные консервы. Отсюда и пошло наименование навязчивой сетевой рекламы в новостных конференциях. Этим же словом называли сообщения, которые принудительно рассылаются подписчикам телеконференций для напоминания о тематике дискуссионных списков. Позднее и другие непрошенные рекламные сообщения в электронной почте стали называть «спамом», а отправителей подобных посланий – спамерами.

Принцип работы антиспамеров основан на фильтрации сообщений, поступающих по электронной почте, на основе некоторых правил. В отличие от сетевых сканеров антиспамеры получили широкое распространение среди пользователей домашних компьютеров. Причем существует достаточно много бесплатных антиспамеров, неплохо справляющихся со своими обязанностями.

Одна из таких программ – SpamPal (www.spampal.com (http://www.spampal.com/)). В процессе работы SpamPal сверяет каждое входящее письмо с некоторым числом списков DNSBL. На панели настроек можно выбрать списки, с которыми вы хотите сверять свои почтовые сообщения.

ПРИМЕЧАНИЕ

DNSBL (DNS Black List – «черный список» DNS») – это динамически обновляющийся список IP-адресов серверов, с помощью которых производились массовые рассылки почты (то есть замеченных в распространении спама).

Если вы получаете много спама с одного и того же адреса, то можно занести этот адрес в индивидуальный «черный список»; соответствующий адрес будет автоматически блокироваться программой SpamPal.

В программе предусмотрен также «белый список». Особенность «белого списка» состоит в том, что включенные в него адреса никогда не помечаются как спам. Это полезно в тех случаях, когда адрес вашего надежного абонента относится к провайдеру, занесенному в один из списков DNSBL.

Записи «белого списка» имеют более высокий приоритет по сравнению с записями «черного списка». Поэтому можно, например, добавить в «черный список» запись *@mail.com, а в «белый список» – конкретных надежных адресатов, почтовые ящики которых зарегистрированы на Hotmail.

Остается только добавить, что программа SpamPal имеет русскоязычный интерфейс и локализованный вариант документации.

Средства криптографической защиты

Суть криптографической защиты данных заключается в их шифровании. Зашифровать можно данные любого типа: текст, графику, видео, аудио, исполняемые файлы и т. д. Очевидно, что криптозащита обеспечивает конфиденциальность данных, но никак не может помочь в деле сохранения их целостности и доступности.

ВНИМАНИЕ ____________________

Надежность шифрования обеспечивается не секретностью применяемого алгоритма, а качеством и сохранностью используемого криптографического ключа.

Это означает, что для надежной защиты данных следует, во-первых, использовать известные, проверенные и описанные в соответствующих стандартах алгоритмы шифрования, а во-вторых, соблюдать правила создания, хранения и использования ключей.

Полезно также знать, что существующие алгоритмы (методы) шифрования подразделяются на два вида:

симметричные, в которых один и тот же секретный ключ используется и для шифрования, и для дешифрования;

несимметричные, в которых один ключ (открытый, или публичный) используется для шифрования, а второй (секретный, закрытый) – для дешифрования.

ПРИМЕЧАНИЕ ____________________