A isolação das redes afeta o fluxo dos dados da rede, que os serviços funcionam em sistemas particulares, e de onde são encontrados. Não afeta alguns dos dados internos ou externos da rede de viajar através daqueles mesmos trajetos. A isolação é usada frequentemente realçar a segurança e a eficiência da rede por determinado tráfego isolante da rede aos determinados fios e redes físicos. A isolação da rede é conseguida com o uso de redes físicas e virtuais múltiplas dentro de uma única organização separar a funcionalidade. Os desenhadores da rede podem realçar a segurança organizando a rede em suas áreas funcionais e considerando o impacto que cada uma destas funções tem na segurança.
Um exemplo da isolação da rede deve projetar a rede de modo que os credentials de usuários do acesso remoto não viajem através de nenhuns fios ou circuitos da rede que forem expostos aos usuários ou aos outros sistemas. O método o mais simples para fornecer esta segurança deve conectar o usuário do acesso remoto diretamente ao usuário do authentication com um único cabo. Um outro método deve usar uma topologia comutada da rede, mantendo o usuário do authentication e o dispositivo do acesso remoto em seus próprios segmentos confidenciais. Os dados emitidos de um ao outro viajarão então entre somente os dois sistemas e seus segmentos, onde nenhum outro sistema pode o ver.
A isolação é discutida nos seguintes contextos:
· Preste serviços de manutenção ao differentiation
|
|
· VLANS
· Guarda-fogos
Primeiro e a maioria de conceito óbvio é a isolação de externo do tráfego interno da rede. O differentiation do serviço é a identificação e o categorization de serviços de rede. Os serviços de rede fornecidos por uma organização podem ser categorizados como serviços externos-somente, internos-somente, ou da ponte. Enquanto o nome implica, os serviços externos e internos-somente fornecem a funcionalidade à rede externa ou interna, mas não ambos. Os serviços da ponte fornecem a funcionalidade à rede interna e à rede externa. Os serviços externos devem ser isolados em uma rede do serviço, ou ser hospedados pelo ISP para a organização. Também, a gerência destes serviços deve ocorrer através da rede previamente mencionada da gerência. Os serviços internos devem ser protegidos do acesso de rede externo do Internet ou do serviço.
Considera-se perigoso para unir sistemas e equipamento diretamente ao Internet sem algum formulário da proteção, assim que seja-se certo proteger redes do serviço com mecanismos da proteção tais como um guarda-fogo.
A topologia a mais simples da rede faz exame de um router e conecta uma relação ao ISP e a outra a um dispositivo multiplexing tal como um cubo. Todos os sistemas internos são conectados então ao cubo. Sem começar no detalhe do numbering da rede, isto é eficaz fornecer o acesso do Internet a todos os sistemas internos na organização, mas permite também que todos os sistemas no Internet comuniquem-se diretamente com cada sistema na rede interna. Cada sistema é suscetível ao ataque, e o infrastructure computando inteiro poderia ser comprometido.
A exigência para o acesso do Internet deve ser categorizada em acesso que parte e entrante. O acesso que parte consulta ao conceito o mais comum do acesso do Internet—a abilidade de comunicar-se com os usuários da correia fotorreceptora, de emitir o email, e de download limas. A maioria de sistemas requerem o acesso outbound do Internet, mas necessitam-no tipicamente fixar-se do tráfego inbound arbitrário do Internet. Toda a comunicação e protocolo da rede detalham de lado, a abilidade de executar estas ações não requerem sistemas internos fornecer o acesso àqueles no Internet. Ao definir uma arquitetura de rede, é importante identificar os serviços e os sistemas que requerem o acesso iniciado por sistemas Internet-baseados. As considerações da segurança para a arquitetura de rede fazem exame agora uma forma básica como três classes organizational da rede—do externo, do intermediary, e da rede interna.
Os serviços computando forneceram por um formulário de organização a base da rede. Com exceção dos métodos da configuração e da segurança usados proteger os usuários individuais e os sistemas operando-se, a isolação dos serviços de rede é uma tática importante da segurança porque protege do ataque e restringe os efeitos de um ataque. Os serviços são aquelas características que os usuários requerem e são fornecidos por computadores e por equipamento da rede. Os serviços comuns incluem:
· Domain Name System (Dns)
· Serving da correia fotorreceptora
· Compartilhar da lima
· Imprimir
· Início de uma sessão da rede
Os usuários do Domain Name System em uma organização servem frequentemente aos usuários internos as.well.as o Internet externo. A aplicação que fornece serviços do DNS tem um history dos vulnerabilities que permitiram que os atacantes comprometam o sistema em que funciona e corrupt seus registros. Dado este history, a atenção cuidadosa à segurança é requerida. Se a organização mantiver seu próprio usuário do DNS, é frequentemente a mais melhor servida para a rede do serviço a fim proteger a rede interna dos efeitos adversos do ataque. Como a parte da arquitetura de rede, a segurança bolstered também pela redundância. O uso de usuários múltiplos do DNS fornece um nível da confiabilidade no evento da falha ou do ataque em um, e a colocação da consideração destes méritos na arquitetura de rede. Os usuários múltiplos do DNS não devem ser colocados na mesma rede; a finalidade da redundância é fornecer um nível elevado da confiabilidade no evento da falha de uma rede. Se ambos os usuários do DNS forem ficados situados na mesma rede ou em uma única rede do serviço, enlatam ambos estejam feitos exame fora do serviço por um único ataque. A solução ideal deve encontrar usuários redundantes do DNS nas redes separadas que lhes têm trajetos diferindo. Isto impede que os atacantes incapacitem todos os serviços do Domain Name sem um método complexo do ataque. Os usuários do DNS devem ser protegidos por um guarda-fogo, e os usuários preliminares devem ser configurarados com limitações do controle de acesso que disallow perguntas arbitrárias e zona do DNS transfere aos usuários desconhecidos.
A separação do uso do DNS requer também a consideração. Muitas organizações usam um único usuário do DNS, com ou sem redundância, responder a perguntas internas e externas. Isto significa que os sistemas Internet-baseados têm o acesso ao usuário conhecido, as.well.as os sistemas internos. Este construir uma ponte sobre das redes internas e externas pode apresentar um risco elevado da segurança se o usuário conhecido for comprometido. Um outro risco da segurança quando usar um usuário conhecido comum for o revelation da informação. O usuário comum do DNS armazena toda a nome e informação da rede para sistemas internamente e externamente acessíveis. Um atacante pode recolher esta informação do usuário, chegar em uma idéia razoável da arquitetura de rede interna, e identificar sistemas de alvo potenciais.
Uma solução a estes problemas é uma topologia rach-Split-DNS, que críe dois usuários conhecidos distintos—um para sistemas na rede interna e um para aquelas no Internet para se usar. Os registros em cada um são atualizados então independentemente, e os sistemas externos não têm nenhum acesso à informação sobre sistemas internamente networked. O atacante tem não mais por muito tempo uma ponte potencial entre as redes internas e externas, e os efeitos do ataque são limitados.
O email é um dos serviços de rede os mais importantes a uma organização, e o estabelecimento de serviços do email na arquitetura de rede requer o planeamento cuidadoso. É inadvisable suportar o email com um único mail server. Os usuários do correio armazenam frequentemente os índices dos users'mailboxes, including a informação confidencial e confidential da companhia. Um único ponto da falha está atual ao usar somente um usuário. É ingualmente perigoso fornecer o acesso ao mail server preliminar do Internet porque um atacante pode expo ou ter o acesso a sua informação confidencial. Uma solução deve estabelecer relés do correio em posições diferentes na rede e permitir então o acesso ao mail server preliminar somente daqueles sistemas de relé. Os relés do correio são ficados situados frequentemente na rede do serviço e mais adicional afastado no ISP para fornecer diversos níveis da redundância no evento de edições do ataque ou do connectivity com a organização.
Se um atacante puder suceder em comprometer o mail server preliminar, o atacante pode então alcançar muitos outros recursos sensíveis da organização. O uso de um relé do correio defende o mail server preliminar e limita os efeitos do ataque. A lata do relé do correio e deve ser protegida com réguas filtrando fortes no guarda-fogo, e o mail server preliminar deve também ser estritamente acesso-controlado permitir o correio inbound somente dos usuários do relé.
Muitas companhias têm um Web site incorporado que forneça o storefront virtual ao Internet e a um Intranet, ou o Web site internamente encontrado que contem a informação da companhia confidencial. Os locais incorporados e internos da correia fotorreceptora devem ser hospedados em máquinas separadas a fim isolar a informação acessível por usuários de Internet dos empregados. A posição da rede de locais incorporados da correia fotorreceptora deve ser determinada baseou em quanto tráfego o local vê. Um Web site extremamente popular situado na rede do serviço com outros serviços de rede tais como relés do correio e usuários do DNS pode pôr aqueles usuários no risco no evento de uma negação do ataque do serviço. A largura de faixa inteira pode ser consumida, rendendo os outros serviços unusable. A colocação cuidadosa de ajudas redundantes e distribuídas dos usuários da correia fotorreceptora minimiza os riscos associados com este serviço. Os locais da correia fotorreceptora podem ser ficados situados nos usuários remotos hospedados pelo ISP, ou o tráfego da correia fotorreceptora pode ser carga balançada entre diversos usuários colocados na proximidade próxima a se ou nivelar em áreas remotas.
Compartilhar da lima é um grampo da vida da rede que é utilizada em uma maioria das organizações. É também um dos insecurities mais comuns encontrados em uma rede. A arquitetura de rede que suporta a segurança e os serviços que prendem riscos potenciais faz assim com cuidado controlando o acesso de rede aos usuários do arquivo. Ao compartilhar de filesystems entre sistemas múltiplos nas redes internas, o acesso não deve estar disponível aos extranets, não presta serviços de manutenção à rede, ou ao Internet. Compartilhar da lima deve nunca ser permitido dos sistemas desconhecidos ou externos.
Os inícios de uma sessão da rede são os métodos usados por usuários authenticate a um sistema remoto ou local. Isto inclui o acesso interativo aos clientes de UNIX, ao authentication do domínio de Windows, ao authentication aos locais da correia fotorreceptora, e ao todo o outro serviço que requerer credentials do usuário para o acesso. Há muitos métodos para o início de uma sessão da rede, muitos de que são muito insecure. Os insecurities de inícios de uma sessão da rede vêm do uso de métodos do authentication do cleartext wherein os credentials do usuário são transmitidos sobre a rede sem nenhum encryption ou o outro obfuscation dos dados.
As considerações da segurança para um projeto de rede incluem a isolação do tráfego que carrega credentials para minimizar a oportunidade para eavesdropping e o uso de sistemas de VPN para fornecer uma comunicação cifrada que proteja os credentials durante o trânsito. Outros mecanismos da proteção incluem réguas do guarda-fogo disallow os protocolos que são sabidos para funcionar insecurely de passar o limite das redes internas.
O telnet, os escudos remotos, e o ftp são geralmente os serviços usados cujo o tráfego não deve ser permitido fora da rede interna, se usado em tudo. Estes serviços transmitem credentials do usuário sem nenhum formulário do encryption, permitindo que um atacante eavesdrop e intercepte a informação.
O uso de redes de área local virtuais (VLANs) é uma aproximação relativamente nova à topologia da rede que se levantou com o desenvolvimento do equipamento novo da rede. VLANs fornece uma alternativa à topologia distribuída e comutada normal da rede simplificando redes diversas através de uma ferragem mais inteligente. O VLAN permite que os grupos dos sistemas em redes e em segmentos físicos diferentes comuniquem-se seamlessly sem a necessidade para um router. Um dos inconvenientes de redes distribuídas e comutadas é que a posição física dos sistemas dita frequentemente sua presença em uma rede particular. Para o exemplo, pondo dois sistemas que estão fisicamente no o mesmo quarto em duas redes diferentes requer que os cabos da rede terminam em dois lugares diferentes, um em cada ponto de acesso da rede. Se o equipamento da rede não for ficado fisicamente na mesma área, este torna-se completamente unmanageable. VLANs permite esta potencialidade e assim transparente.
O uso da tecnologia de VLAN tem também as considerações da segurança que podem incentivar seu uso. A natureza de redes virtuais e dinâmicamente especificadas permite ajustar fine-grained do tráfego da rede. A abilidade de dar forma ao fluxo do tráfego da rede é a abilidade de controlá-la, que fornece as potencialidades muito flexíveis da segurança que fazem mais difícil para a rede que eavesdropping e as fornece para a negação mais fàcilmente thwarted de tentativas do serviço. É importante anotar que a parte do benefício da tecnologia de VLAN vem de seu manageability. Os administradores enlatam monitoram mais fàcilmente a informação da rede, recolhem a informação estatística, e a observação e resolvem circunstâncias anômalas.
O uso dos guarda-fogos em uma arquitetura de rede é visto geralmente como uma exigência para toda a organização que tiver o acesso do Internet. Os guarda-fogos são ferramentas úteis, e seu uso na arquitetura de rede fornece uma segurança mais grande. Como mencionado mais cedo, os guarda-fogos são usados frequentemente proteger redes internas do acesso por sistemas Internet-baseados desautorizados. Podem também ser usados proteger redes e extranets do serviço. O uso dos guarda-fogos não é um método preventivo garantido, entretanto. Ao projetar uma rede, é importante determinar as limitações necessitadas para a organização e onde o guarda-fogo é o mais benéfico. Os guarda-fogos múltiplos são utilizados frequentemente para proteger pontos de acesso da rede, e redes especializadas durante todo o infrastructure.
Os guarda-fogos vêm em diversos formulários diferentes including dispositivos dedicados do guarda-fogo, suites software-baseados do guarda-fogo, e como funcionalidade interna do equipamento da rede. Ao considerar a segurança para uma arquitetura de rede, é frequentemente útil utilizar mais de um destes métodos. Os routers são úteis para a aplicação de réguas filtrando genéricas tais como disallowing o acesso aos números portuários ou aos serviços particulares. Os guarda-fogos da ferragem e do software podem então trabalhar conjuntamente com os routers para executar filtrar mais fine-grained baseado em detalhes mais granular tais como bandeiras e opções do protocolo
Online: 389 users browsing the articles directory
|
|