L'isolement des réseaux affecte l'écoulement des données de réseau, que les services courent sur les systèmes particuliers, et d'où ils sont localisés. Il n'affecte pas des données internes ou externes de réseau du déplacement à travers ces mêmes chemins. L'isolement est souvent employé pour augmenter la sécurité et l'efficacité du réseau par certain trafic d'isolement de réseau à de certains fils et réseaux physiques. L'isolement de réseau est réalisé avec l'utilisation des réseaux physiques et virtuels multiples dans une organisation simple de séparer la fonctionnalité. Les concepteurs de réseau peuvent augmenter la sécurité en organisant le réseau en ses secteurs fonctionnels et vu l'impact que chacune de ces fonctions a sur la sécurité.
Un exemple de l'isolement de réseau doit concevoir le réseau de sorte que les qualifications des utilisateurs d'accès à distance ne voyagent à travers aucuns fils ou circuit de réseau qui sont exposés aux utilisateurs ou à d'autres systèmes. La méthode la plus simple pour fournir cette sécurité est de relier le serveur d'accès à distance directement au serveur d'authentification à un câble simple. Une autre méthode est d'employer une topologie commutée de réseau, gardant le serveur d'authentification et le dispositif d'accès à distance sur leurs propres segments privés. Les données envoyées d'une à l'autre voyageront alors entre seulement les deux systèmes et leurs segments, où aucun autre système ne peut le regarder.
L'isolement est discuté dans les contextes suivants :
· Service la différentiation
|
|
· VLANS
· Murs à l'épreuve du feu
Premier et la plupart évident du concept est l'isolement d'externe du trafic interne de réseau. La différentiation de service est l'identification et la catégorisation des services de réseau. Les services de réseau fournis par une organisation peuvent être classés par catégorie en tant que services externes-seulement, internes-seulement, ou de pont. Pendant que le nom implique, les services externe- et internes-seulement fournissent la fonctionnalité au réseau externe ou interne, mais pas toutes les deux. Les services de pont fournissent la fonctionnalité au réseau interne et au réseau externe. Des services externes devraient être isolés dans un réseau de service, ou être accueillis par l'ISP pour l'organisation. En outre, la gestion de ces services devrait se produire par l'intermédiaire du réseau précédemment mentionné de gestion. Des services internes devraient être protégés contre l'accès de réseau externe d'Internet ou de service.
On le considère dangereux pour attacher les systèmes et l'équipement directement à l'Internet sans une certaine forme de protection, ainsi soit sûr de protéger des réseaux de service avec des mécanismes de protection tels qu'un mur à l'épreuve du feu.
La topologie de réseau la plus simple prend un couteau et relie une interface à l'ISP et l'autre à un dispositif de multiplexage tel qu'un moyeu. Tous les systèmes internes sont alors reliés au moyeu. Sans entrer dans le détail de la numérotation de réseau, c'est efficace pour permettre d'accéder Internet à tous les systèmes internes dans l'organisation, mais il permet également à tous les systèmes sur l'Internet de communiquer directement avec chaque système sur le réseau interne. Chaque système est susceptible de l'attaque, et l'infrastructure de calcul entière pourrait être compromise.
La condition pour l'accès d'Internet devrait être classée par catégorie dans l'accès sortant et entrant. L'accès sortant se rapporte au concept le plus commun de l'accès d'Internet—la capacité de communiquer avec des serveurs de Web, d'envoyer l'email, et de télécharger des dossiers. La plupart des systèmes exigent l'accès en partance d'Internet, mais ont besoin typiquement à l'abri du trafic d'arrivée arbitraire d'Internet. Tous les communication et protocole de réseau détaillent de côté, la capacité d'effectuer ces actions n'exige pas des systèmes internes de permettre d'accéder à ceux sur l'Internet. En définissant une architecture de réseau, il est important d'identifier les services et les systèmes qui exigent l'accès lancé par les systèmes Internet-basés. Les considérations de sécurité pour l'architecture de réseau prennent maintenant à une forme de base en tant que trois classes d'organisation de réseau—l'externe, l'intermédiaire, et le réseau interne.
Les services de calcul ont fourni par une forme d'organisation la base du réseau. Hormis les méthodes de configuration et de sécurité employées pour protéger les différents serveurs et les logiciels d'exploitation, l'isolement des services de réseau est une tactique importante de sécurité parce qu'elle se protège contre l'attaque et limite les effets d'une attaque. Les services sont ces dispositifs que les utilisateurs exigent et sont fourni par les ordinateurs et l'équipement de réseau. Les services communs incluent :
· Domain Name System (DNS)
· Portion de Web
· Partage de dossier
· Impression
· Ouverture de réseau
Les serveurs de Domain Name System dans une organisation servent souvent les utilisateurs internes aussi bien que l'Internet externe. L'application qui fournit des services de DNS a une histoire des vulnérabilités qui ont permis à des attaquants de compromettre le système sur lequel elle fonctionne et de corrompre ses disques. Donné cette histoire, une attention particulière à la sécurité est exigée. Si l'organisation maintient leur propre serveur de DNS, elle est souvent plus adaptée pour le réseau de service afin de protéger le réseau interne contre des effets nuisibles d'attaque. En tant qu'élément de l'architecture de réseau, la sécurité est également soutenue par redondance. L'utilisation des serveurs multiples de DNS fournit un niveau de fiabilité en cas de l'échec ou de l'attaque sur un, et le placement de la considération de ces mérites dans l'architecture de réseau. Des serveurs multiples de DNS ne devraient pas être placés sur le même réseau ; le but de la redondance est de fournir un niveau élevé de fiabilité en cas de l'échec d'un réseau. Si les deux serveurs de DNS sont situés sur le même réseau ou sur un réseau simple de service, ils mettent en boîte tous les deux soient pris hors du service par une attaque simple. La solution idéale est de localiser les serveurs superflus de DNS sur les réseaux séparés qui ont les chemins différents à eux. Ceci empêche des attaquants de neutraliser tous les services de Domain Name sans méthode complexe d'attaque. Des serveurs de DNS devraient être protégés par un mur à l'épreuve du feu, et des serveurs primaires devraient être configurés avec les restrictions de contrôle d'accès qui rejettent des questions arbitraires et zone de DNS transfère aux serveurs inconnus.
La séparation de l'utilisation de DNS exige également la considération. Beaucoup d'organismes utilisent un serveur simple de DNS, avec ou sans la redondance, pour répondre à des questions internes et externes. Ceci signifie que les systèmes Internet-basés ont accès au serveur nommé, aussi bien que les systèmes internes. Ce jeter un pont sur des réseaux internes et externes peut présenter un risque élevé de sécurité si le serveur nommé est compromis. Un autre risque de sécurité quand à l'aide d'un serveur nommé commun est la révélation d'information. Le serveur commun de DNS stocke tous les nom et information de réseau pour les systèmes intérieurement et extérieurement accessibles. Un attaquant peut glaner cette information du serveur, arriver à une idée raisonnable de l'architecture de réseau interne, et identifier les systèmes de cible potentiels.
Une solution à ces problèmes est une topologie dédoubler-DNS, qui crée deux serveurs nommés distincts—un pour des systèmes sur le réseau interne et un pour ceux sur l'Internet pour employer. Les disques dans chacun sont alors mis à jour indépendamment, et les systèmes externes n'ont aucun accès aux informations sur les systèmes intérieurement gérés en réseau. L'attaquant n'a plus un pont potentiel entre les réseaux internes et externes, et les effets de l'attaque sont limités.
L'email est l'un des services de réseau les plus importants à une organisation, et l'établissement des services d'email dans l'architecture de réseau exige la planification soigneuse. Il est imprudent de soutenir l'email avec un mail server simple. Les serveurs de courrier stockent souvent les teneurs des users'mailboxes, y compris l'information privée et confidentielle de compagnie. Un seul point d'échec est présent à l'aide de seulement un serveur. Il est également dangereux de permettre d'accéder au mail server primaire de l'Internet parce qu'un attaquant peut exposer ou avoir accès à sa information privée. Une solution est établir des relais de courrier à différents endroits sur le réseau et puis de permettre l'accès au mail server primaire seulement de ces systèmes de relais. Les relais de courrier sont souvent situés sur le réseau de service et autre loin à l'ISP pour fournir plusieurs niveaux de redondance en cas des issues d'attaque ou de connectivité en organisation.
Si un attaquant peut réussir à compromettre le mail server primaire, l'attaquant peut alors accéder à beaucoup d'autres ressources sensibles de l'organisation. L'utilisation d'un relais de courrier défend le mail server primaire et limite les effets de l'attaque. Le bidon de relais de courrier et devrait être protégé avec des règles de filtrage fortes sur le mur à l'épreuve du feu, et le mail server primaire devrait également être strictement accès-commandé pour permettre le courrier d'arrivée seulement des serveurs de relais.
Beaucoup de compagnies ont un emplacement de corporation de Web qui fournit le devanture de magasin virtuel à l'Internet et à un Intranet, ou l'emplacement intérieurement localisé de Web qui contient l'information d'entreprise privée anonyme. Les emplacements de corporation et internes de Web devraient être accueillis sur les machines séparées afin d'isoler l'information accessible par des utilisateurs d'Internet des employés. L'endroit de réseau des emplacements de corporation de Web devrait être déterminé a basé sur combien de trafic l'emplacement voit. Un emplacement extrêmement populaire de Web situé sur le réseau de service avec d'autres services de réseau tels que des relais de courrier et des serveurs de DNS peut mettre ces serveurs en danger en cas d'un démenti d'attaque de service. La largeur de bande entière peut être consommée, fournissant les autres services inutilisables. Le placement soigneux des aides superflues et distribuées de serveurs de Web réduisent au minimum les risques liés à ce service. Des emplacements de Web peuvent être situés sur les serveurs à distance accueillis par l'ISP, ou le trafic de Web peut être charge équilibrée parmi plusieurs serveurs placés dans la proximité étroite entre eux ou même dans des régions éloignées.
Le partage de dossier est une agrafe de la vie de réseau qui est utilisée à une majorité d'organismes. Il est également l'une des insécurités plus communes trouvées sur un réseau. L'architecture de réseau qui soutient la sécurité et les services qui tiennent des risques potentiels fait ainsi en commandant soigneusement l'accès de réseau aux serveurs d'archivage. En mettant en commun des filesystems entre les systèmes multiples sur les réseaux internes, l'accès ne devrait pas être disponible aux extranets, pas service le réseau, ou l'Internet. On devrait ne jamais permettre le partage de dossier des systèmes inconnus ou externes.
Les ouvertures de réseau sont les méthodes employées par des utilisateurs pour authentifier à un système à distance ou local. Ceci inclut l'accès interactif aux comptes d'UNIX, à l'authentification de domaine de Windows, à l'authentification aux emplacements de Web, et à n'importe quel autre service qui exige des qualifications d'utilisateur pour l'accès. Il y a beaucoup de méthodes pour l'ouverture de réseau, dont beaucoup sont très peu sûres. Les insécurités des ouvertures de réseau viennent de l'utilisation des méthodes d'authentification de texte en clair où les qualifications d'utilisateur sont transmises au-dessus du réseau sans n'importe quel chiffrage ou tout autre obscurcissement de données.
Les considérations de sécurité pour une conception de réseau incluent l'isolement du trafic qui porte des qualifications pour réduire au minimum l'occasion pour l'écoute clandestine et l'usage des systèmes de VPN pour fournir la communication chiffrée qui protège les qualifications pendant le passage. D'autres mécanismes de protection incluent des règles de mur à l'épreuve du feu rejettent les protocoles qui sont connus pour fonctionner insecurely de passer la frontière des réseaux internes.
Le telnet, les coquilles à distance, et le ftp sont généralement des services utilisés dont le trafic ne devrait pas être permis en dehors de du réseau interne, si utilisé du tout. Ces services transmettent des qualifications d'utilisateur sans n'importe quelle forme de chiffrage, permettant à un attaquant d'écouter clandestinement et arrêter l'information.
L'utilisation des réseaux locaux virtuels (VLANs) est une approche relativement nouvelle à la topologie de réseau qui a surgi avec le développement du nouvel équipement de réseau. VLANs fournissent une alternative à la topologie conduite et commutée normale de réseau en simplifiant les réseaux divers par un matériel plus intelligent. Le VLAN permet à des groupes de systèmes sur différents réseaux et segments physiques de communiquer seamlessly sans besoin de couteau. Un des inconvénients des réseaux conduits et commutés est que l'endroit physique des systèmes dicte souvent leur présence sur un réseau particulier. Par exemple, mettant deux systèmes qui sont physiquement dans la même pièce sur deux réseaux différents exige que les câbles de réseau se terminent à deux endroits différents, un à chaque point d'accès de réseau. Si l'équipement de réseau n'est pas physiquement plac dans le même secteur, ceci devient tout à fait incontrôlable. VLANs tiennent compte de ces possibilités et tellement d'une manière transparente.
L'utilisation de la technologie de VLAN a également les considérations de sécurité qui peuvent encourager leur utilisation. La nature des réseaux virtuels et dynamiquement indiqués tient compte de l'accord à grain fin du trafic de réseau. La capacité de former l'écoulement du trafic de réseau est la capacité de la commander, qui fournit les possibilités très flexibles de sécurité qui le rendent plus difficile pour le réseau écoutant clandestinement et prévoit le démenti plus facilement contrecarré des tentatives de service. Il est important de noter qu'une partie de l'avantage de la technologie de VLAN vient de son administration. Les administrateurs mettent en boîte surveillent plus facilement l'information de réseau, recueillent l'information statistique, et la notification et résolvent des conditions anormales.
L'utilisation des murs à l'épreuve du feu dans une architecture de réseau est généralement vue comme condition pour n'importe quelle organisation qui a accès d'Internet. Les murs à l'épreuve du feu sont les outils utiles, et leur utilisation dans l'architecture de réseau fournit une plus grande sécurité. Comme cité précédemment, des murs à l'épreuve du feu sont souvent employés pour protéger les réseaux internes contre l'accès par les systèmes Internet-basés non autorisés. Ils peuvent également être employés pour protéger des réseaux et des extranets de service. L'utilisation des murs à l'épreuve du feu n'est pas une méthode préventive garantie, cependant. En concevant un réseau, il est important de déterminer les restrictions requises pour l'organisation et où le mur à l'épreuve du feu est le plus salutaire. Des murs à l'épreuve du feu multiples sont souvent utilisés pour protéger des points d'accès de réseau, et des réseaux spécialisés dans toute l'infrastructure.
Les murs à l'épreuve du feu viennent sous plusieurs différentes formes comprenant les appareils consacrés de mur à l'épreuve du feu, suites logiciel-basées de mur à l'épreuve du feu, et en tant que fonctionnalité intégrée d'équipement de réseau. En considérant la sécurité pour une architecture de réseau, il est souvent utile d'utiliser plus d'un de ces méthodes. Les couteaux sont utiles pour l'application des règles de filtrage génériques telles que rejeter l'accès aux nombres gauches ou aux services particuliers. Les murs à l'épreuve du feu de matériel et de logiciel peuvent alors travailler en même temps que les couteaux pour effectuer un filtrage plus à grain fin basé sur des détails plus granulaires tels que des drapeaux et des options de protocole
Online: 362 users browsing the articles directory
|
|