Брандмауэр (или Firewall) – это программный комплекс, который служит для защиты компьютера от взлома хакерами, а также всевозможных вирусов и «троянов». Благодаря данной системе повышается степень безопасности работы в сети и отражаются многие атаки на компьютер за счёт фильтрации некоторых информационных пакетов. Именно поэтому настоятельно рекомендуется не отключать брандмауэр. Если пользователя не устраивает стандартный брандмауэр, то его в любой момент можно поменять на сторонний. Однако полностью отключать его весьма опасно.

Firewall отслеживает и блокирует все потенциально опасные подключения, тем самым эффективно защищая личные данные пользователя. Но не стоит путать брандмауэр с антивирусными приложениями, которые предназначены для борьбы с угрозами, уже расположенными на компьютере или на съёмных носителях. Против сетевых атак антивирусы бессильны. А что такое брандмауэр и чем он занимается? Он не следит за тем, какие действия выполняются на самом компьютере (разумеется, если не передаётся информация в сеть). Главной задачей брандмауэра является наблюдение именно за сетевым трафиком. Только совместное использование антивируса и firewall может гарантировать полную безопасность компьютера.

Брандмауэр на компьютере должен выполнять следующие задачи:

• Отслеживать все подозрительные соединения. Некоторые программы с компьютера могут пытаться отправить определённые данные в интернет, а также получить из него ту или иную информацию. Иногда это почтовая программа (Outlook Express), мессенджер (ICQ, MSN) – в этом случае всё нормально, но если совершенно неизвестная пользователю программа или приложение вдруг пытается самостоятельно наладить контакт со всемирной сетью – можно с высокой долей вероятности утверждать, что это «троян».
• Блокировать все порты, ненужные для работы, и анализировать трафик, идущий через открытые порты. При помощи портов компьютер общается с Интернетом. Через них же производятся атаки на ПК. Firewall должен защищать эти порты, предупреждая пользователя обо всех подозрительных попытках проникновения.
• Наблюдать за выполняемыми или запускаемыми программами. Если программа запускается в первый раз, то брандмауэр запоминает её данные. И когда во время очередного запуска вдруг выяснится, что программа изменилась, firewall должен предупредить об этом пользователя (если он настроен должным образом).

Как показывает статистика, компьютер, на котором не установлен брандмауэр и который находится в интернете, остаётся незаражённым максимум пару минут. По истечении этого времени пользователь непременно получит порцию вредоносных программ.

Брандмауэр Windows

В операционной системе Windows есть встроенный брандмауэр и он обладает достаточно большим количеством функций, хотя его интерфейс не совсем удобен.

В Windows встроен расширенный интерфейс настройки брандмауэра, в котором можно создать для него дополнительные правила. Например, блокировать соединение с интернетом определённых программ или позволить приложению связываться только с конкретными адресами.

Пользователь может использовать программу стороннего производителя для расширения функции брандмауэра Windows, тем самым заставляя его каждый раз запрашивать разрешение при попытке новой программы соединиться с интернетом. Среди программ, которые успешно работают в паре с брандмауэром, можно выделить Windows Firewall Control.

Рассмотрим на примере операционной системы Windows 10, как производятся основные операции со встроенным брандмауэром. Во всех последних версиях Windows эти действия практически идентичны.

Включение и отключение брандмауэра Windows

Для включения или отключения брандмауэра Windows необходимо зайти в «Панель управления > Система и безопасность > Брандмауэр Windows > Включение и отключение брандмауэра Windows». А потом для разделов «Параметры для частной сети» и «Параметры для общественной сети» нужно переместить указатель в положение «Включить брандмауэр Windows», и подтвердить действие нажатием кнопки «Ok».

Также вы можете открыть настройки брандмауэра в «Панели управления» при помощи команды «firewall.cpl». Для этого нужно открыть меню «Выполнить» при помощи комбинации клавиш Win+R, ввести команду «firewall.cpl» и нажать на кнопку «Ok».

Добавление исключений

Если Брандмауэр Windows блокирует работу нужного вам приложения, то вы можете добавить его в список исключений. Делается это следующим образом:

• Открываем «Панель управления > Система и безопасность > Брандмауэр Windows > Разрешение взаимодействия с приложением или компонентом в брандмауэре Windows».
• Нажимаем кнопки «Изменить параметры» и «Разрешить другие приложения».
• Дальше откроется окно, для поиска требуемого приложения. Здесь нужно нажать «Обзор».
• Выбираем нужное приложение и подтверждаем действие нажатием кнопки «Добавить».
• Добавленная программа появится в списке разрешённых программ и компонентов. Напротив неё нужно установить галочки в пунктах «Публичная» и «Частная» сеть.

После выполнения описаных выше действий не забудьте сохранить настройки нажатием на кнопку «Ok».

В процессе взаимодействия с компьютером многие из нас довольно часто сталкиваются с работой брандмауэра, причём не до конца понимая, что это брандмауэр, зачем он на компьютере и какие функции он выполняет. Некоторые умудряются дифференцировать его и файервол, вообще отключают брандмауэр, заявляют о равнозначности разных видов и прочее подобное. В этой статье я постараюсь пролить свет на эту тему, расскажу, что такое брандмауэр, зачем его использовать, какова специфика его работы, поясню, как включить и выключить brandmauer, а также как добавить какой-либо программный продукт в исключения брандмауэра.

Так что же это такое? Брандмауэр – это устройство или программа, предназначенные для проверки сетевого трафика и его блокировки в случае, если указанный трафик не соответствует определённому набору правил. Указанные правила являются как системными, так и создаются пользователем, позволяя отсекать нежелательное кибер-вторжение в пользовательскую сеть со стороны третьих лиц и вредоносных программ.

То есть, по сути, брандмауэр обычно используется для защиты сети и блокировки нежелательной информации, передаваемой через компьютерную сеть. Кроме того он может служить для целей мониторинга сети, ведя журнал активности различных программ, служб и так далее.

Синонимами термина «брандмауэр» являются термины «файервол » (от англ. «огненная стена») и «сетевой экран». Поскольку слово «брандмауэр» является немецким аналогом английского слова «firewall» (файервол), то смысловые нагрузки слов «брандмауэр», «файервол», «сетевой экран» полностью идентичны. Другие термины, со смысловой нагрузкой которых мы должны ознакомиться в контексте понимания функционала брандмауэра, это «протокол» и «порт».

«Протокол » — это набор правил, позволяющих устанавливать соединение между компьютерами в сети (подробнее о ). Обычные сетевые протоколы, которыми мы пользуемся в ОС Виндовс 7/10 и брандмауэрах это TCP, UPD, ICMP. TCP является достаточно надёжным протоколом, UDP – не совсем надёжным, а ICMP используется для диагностических целей. Инструменты вроде PING и TRACERT используют IMCP.

«Порт» – это номер, использующийся для указания на какую-либо программу или службу компьютера. Например, 80-й порт использует для определения HTTP трафика, — 443, порт 25 задействован для SMTP протокола (отвечает за отправку е-мейлов и прочего) и так далее.

Функционал и виды брандмауэров

В процессе ответа на вопрос «что значит брандмауэр» стоит остановиться на особенностях его функционала. Он принимает решение по каждому пакету, который приходит в пользовательскую сеть, на страже которой он поставлен. Когда пакет из Интернета попадает в брандмауэр, последний принимает решение, базируясь на своих настройках и решая, позволить ли пакету войти, или, наоборот, отвергнуть его. То же самое происходит, когда мы отсылаем пакет из нашей сети в Интернет.

Сегодня существуют два основных типа брандмауэров – «аппаратные брандмауэры» и «программные».

Аппаратные брандмауэры (их ещё называют сетевыми) размещены при входе в локальную сеть и фильтруют весь трафик, который поступает в пользовательскую сеть с разных хостов (серверов, компьютеров).

Программные же брандмауэры (так называемые «хост-брандмауэры») размещены на индивидуальном компьютере внутри сети. Такие брандмауэры обычно используется при подключении нашего личного компьютера прямиком к Интернету, что особенно полезно когда мы подключаемся к публичным, не весьма безопасным, сетям. Такой программный брандмауэр работает на отдельном компьютере и фильтрует весь входящий-исходящий трафик данной машины.

Каждый пакет, приходящий к нам из Интернета, называется «входящий пакет». Пакет, следующий от нас в Интернет называется «исходящий пакет». Пользователь может самостоятельно устанавливать набор правил, регулирующих специфику входящих и исходящих пакетов на своём компьютере. Знание этих простых истин позволяет более глубоко понять, что значит брандмауэр, и как он работает.

Как работать с брандмауэром (на примере Windows 7)

После того, как мы определись с тем, что такое брандмауэр и каков его функционал, определимся с тем, как работать с ним. Начиная с версии ОС Windows XP SP2 брандмауэр является неотъемлемой частью операционных систем Виндовс.

1. Чтобы проверить его активность на вашем компьютере зайдите в «Панель управления»;
2. Переключите «Просмотр» справа сверху на «Мелкие значки»;
3. И, найдя соответствующую иконку брандмауэра, кликните на ней.
4. Если вы увидите зелёный щит с галочкой – значит ваш брандмауэр работает, если красную – тогда по каким-то причинам он отключён (причинами могут быть вмешательство пользователя, вирусные программы, сбой системы и так далее).

Зелёный щит — брандмауэр работает

Слева размещены различные опции для работы с брандмауэром.

Опция «Разрешить запуск программы …» позволяет нам регулировать связь с сетью для определённых программ и портов в брандмауэре Виндовс.

Кликнув на «Изменение параметров брандмауэра » и «Включение и отключение брандмауэра Виндовс » вы зайдёте в настройки включения-выключения брандмауэра, где сможете отрегулировать его включение-выключение в домашней или общественной сети.

Нажав на опцию «Дополнительные параметры» вы сможете просмотреть список правил для входящего-исходящего трафика.

Как добавить программу в исключения брандмауэра (на примере Windows 7)

В процессе описания, что это брандмауэр и каковы особенности его работы, следует упомянуть о механизме занесения какой-либо программы в список исключений нашего брандмауэра. К примеру, на Windows 7 это делается следующим образом:

Видео-описание

Выше мной был рассмотрен ответ на вопрос — что такое брандмауэр, описана его суть и механизм функционирования. В операционной системе сегодняшних ПК он является атрибутивным инструментом, без которого не обходится работа практически любого компьютера. Если у вас по каким-либо причинам брандмауэр отключён, тогда рекомендую его задействовать, а если это не возможно – проверить ваш компьютер на наличие вирусных программ, вполне возможно именно они виноваты в приостановке работы вашего системного сетевого экрана

Вконтакте

|

Брандмауэр, или файрвол – это система, обеспечивающая сетевую безопасность путём фильтрации входящего и исходящего трафика, руководствуясь установленными пользователем правилами. Основной задачей брандмауэра является устранение нежелательных сетевых коммуникаций или уменьшение их количества. В большинстве серверных инфраструктур брандмауэры обеспечивают основной уровень безопасности, который в сочетании с другими мерами предосторожности позволяет предотвратить атаки злоумышленников.

В данной статье рассказывается о том, как работают брандмауэры, в частности программные фаерволы с сохранением состояния (такие как IPTables и FirewallD), поскольку они относятся к облачным серверам. Статья охватывает пакеты TCP, различные типы брандмауэров, а такж множество других тем, связанных с брандмауэрами с сохранением состояния. Кроме того, в конце руководства можно найти много полезных ссылок на мануалы, которые помогут настроить брандмауэр на вашем сервере.

Сетевые пакеты TCP

Прежде чем приступить к обсуждению различных типов фаерволов, ознакомьтесь с трафиком Transport Control Protocol (TCP).

Сетевой трафик TCP перемещается по сети в виде пакетов-контейнеров, содержащих заголовки, в которых находится управляющая информация (адреса исходника и назначения, последовательность пакетов информации) и данных (что называется полезной нагрузкой). Управляющая информация в каждом пакете гарантирует, что его данные доставляются должным образом, и что его элементы также поддерживают брандмауэры.

Важно отметить, что для успешного получения входящего TCP-пакета получателю нужно отправить в ответ отправителю пакеты подтверждения. Комбинация управляющей информации во входящем и исходящем пакетах может использоваться для определения состояния подключения.

Типы фаерволов

Существует три базовых типа брандмауэров:

• фильтры пакетов сетевого уровня (или stateless),
• с сохранением состояния (или stateful),
• и прикладного уровня.

Фильтры пакетов сетевого уровня работают путём анализа отдельных пакетов. Они не знают о состоянии соединения и могут только разрешить или запретить пакеты, исходя из их индивидуальных заголовков.

Фаерволы с сохранением состояния могут определить состояние соединения пакета, что делает их более гибкими. Они собирают пакеты, пока не определят состояние соединения до того, как к трафику будут применены правила брандмауэра.

Брандмауэры прикладного уровня анализируют передаваемые данные, что позволяет пропускать сетевой трафик через правила брандмауэра, индивидуальные для отдельных сервисов и приложений. Они также известны как прокси-фаерволы.

Кроме программного обеспечения фаерволов, доступного во всех современных операционных системах, функциональность брандмауэра также может предоставляться аппаратными устройствами (например, маршрутизаторами или аппаратными фаерволами).

Правила фаерволов

Как упоминалось выше, сетевой трафик, который проходит брандмауэр, проверяется при помощи наборов правил, чтобы определить, разрешен этот трафик или нет. Проще всего объяснить правила брандмауэра на примерах.

Предположим, у вас есть сервер со списком правил для входящего трафика:

1. Принимать (accept) новый и ранее установленный трафик на сетевой интерфейс через порт 80 и 443 (веб-трафик HTTP и HTTPS).
2. Сбрасывать (drop) входящий трафик от IP-адресов нетехнических сотрудников офиса на порт 22 (SSH).
3. Принимать новый и существующий входящий трафик IP-диапазона офиса на частный сетевой интерфейс через порт 22 (SSH).

Обратите внимание на слова «accept» и «drop» в этих примерах. С их помощью задаётся действие, которое фаервол должен выполнить в случае, если трафик отвечает правилу.

• Accept значит разрешить трафик;
• Reject – заблокировать трафик и вернуть ошибку «unreachable»;
• Drop – заблокировать трафик и не возвращать ничего.

Сетевой трафик проходит список правил брандмауэра в определённой последовательности, которая называется цепочкой правил. Как только фаервол обнаруживает правило, которому отвечает трафик, он выполняет соответствующее действие для этого трафика. В данном примере согласно правилам брандмауэра сотрудник офиса, пытающийся установить SSH-соединение с сервером, будет заблокирован согласно правилу 2 и к правилу 3 не будет допущен. Системный администратор же пройдёт фаервол, поскольку отвечает правилу 3.

Политика фаервола по умолчанию

Как правило, цепочки правил брандмауэра не охватывают все возможные условия явно. Потому цепочки всегда должны иметь политику по умолчанию, которая состоит только действия (accept, reject или drop).

К примеру, политика по умолчанию одной из ранее упомянутых цепочек – drop. Если любой компьютер вне офиса попытается установить SSH-соединение к серверу, трафик будет сброшен, так как он не соответствует ни одному правилу.

Если задана политика по умолчанию accept, то любой пользователь (кроме нетехнических сотрудников офиса) сможет становить соединение с любым открытым сервисом данного сервера. Конечно, это пример очень плохо настроенного брандмауэра, потому что он защищает сервисы только от нетехнических сотрудников.

Входящий и исходящий трафик

Сетевой трафик, с точки зрения сервера, может быть либо входящим, либо исходящим; брандмауэр поддерживает отдельный набор правил для каждого вида трафика.

Трафик, который происходит из любой точки сети называется входящим трафиком. Он воспринимается не так, как исходящий трафик, который отправляется сервером. Как правило, сервер разрешает исходящий трафик, потому что считает себя заслуживающим доверия. Однако набор правил для исходящего трафика может использоваться для предотвращения нежелательной коммуникации в случае, если сервер взломан злоумышленником или вредоносным исполняемым файлом.

Чтобы использовать преимущества безопасности брандмауэра по максимуму, нужно определить все способы взаимодействия других систем с вашим сервером, создать правила, которые явно позволяют такое взаимодействие, а затем сбросить весь оставшийся трафик. Имейте в виду, что также нужно создать соответствующие правила для исходящего трафика, чтобы сервер мог отправлять подтверждения для разрешенных входящих соединений. Кроме того следует учитывать, что серверу, как правило, нужно инициировать свой исходящий трафик (например, для загрузки обновлений или подключения к базе данных), а потому важно продумать эти случаи и создать для них набор правил.

Создание правил исходящего трафика

Предположим, фаервол сбрасывает исходящий трафик по умолчанию (политика drop). Следовательно, правила accept для входящего трафика будут бесполезны без дополнительных правил исходящего трафика.

Чтобы дополнить ранее упомянутые правила входящего трафика (1 и 3) и обеспечить правильное взаимодействие с этими адресами и портами, можно использовать следующие правила брандмауэра для исходящего трафика:

• Принимать существующий исходящий трафик на общий сетевой интерфейс через порт 80 и 443 (HTTP и HTTPS);
• Принимать существующий исходящий трафик на закрытый сетевой через порт 22 (SSH).

Обратите внимание, явно задавать правило для сброшенного входящего трафика (правило 2) не нужно, так как сервер не будет устанавливать или подтверждать это соединение.

Программы и инструменты

Итак, теперь вы знаете, как работает фаервол, и пришло время ознакомиться с основными пакетами, позволяющими настроить фаервол. Далее можно прочесть о самых распространённых пакетах для настройки брандмауэра.

IPTables

IPTables – это стандартный фаервол, который по умолчанию входит в большинство дистрибутивов Linux

Примечание: Более современный вариант называется nftables и в скором времени он заменит этот пакет.

На самом деле IPTables является фронт-эндом для хуков netfilter на уровне ядра, при помощи которых можно управлять сетевым стеком Linux. Он работает путем сопоставления каждого пакета, пересекающего сетевой интерфейс, с набором правил.

Инструкции по настройке фаервола IPTables можно найти в следующих статьях.

Сеть - источник полезной и интересной информации. Но Всемирная паутина может быть довольно опасной - мы постоянно слышим о взломах корпоративных сетей и о краже банковских счетов. Неплохой преградой на пути хакеров являются брандмауэры - программы, которые блокируют несанкционированную передачу информации по Сети и препятствуют запуску вредоносных программ.

Мало кто сегодня не слышал об угрозах, существующих в виртуальном пространстве. Пока еще остается непреложным тот факт, что компьютер, подсоединенный к сети Интернет, может подвергнуться реальным атакам. К сожалению, нередко встречаются неадекватные или незаконопослушные люди (часто в одном лице), патологически не способные существовать без того, чтобы не портить жизнь другим. Тех из них, которые разбираются в компьютерах и знают, как получить удаленный доступ к файлам, называют хакерами. Чтобы защититься от них, нам прежде всего нужен хороший брандмауэр.

Перечислим основные опасности, существующие в Сети:

• Приложения-нарушители могут «поселиться» и запускаться на вашем компьютере незаметно для вас (например, ActiveX или Java-апплеты, внедренные в web-страницу, которую вы просматриваете). Эти приложения могут выполнить любую операцию на вашем компьютере, в том числе переслать файлы с вашей частной информацией другим компьютерам или вообще удалить данные из вашей системы.
• При неправильной настройке системы другие компьютеры могут получить доступ к вашим файлам напрямую, без загрузки специального программного обеспечения.
• Некоторые виды информации (cookies или referrers) могут быть размещены на вашем компьютере таким образом, что заинтересованные лица смогут следить за вашими действиями в Сети и будут знать о ваших интересах.
• Троянские кони также представляют угрозу компьютеру. «Троянцы» - это программы, используемые хакерами, которые раскрывают вашу частную информацию (пароли, реквизиты, номера кредитных карт). Одно из главных различий между «троянцем» и вирусом - это то, что вирус действует на компьютере автономно, а троянский конь напрямую управляется взломщиком из Сети.
• Интернет-черви обычно проникают в компьютер вместе с почтой, в виде вложений. Некоторые почтовые программы открывают вложения самостоятельно. Неопытные пользователи, не осознавая угрозы, открывают вложения сами. Если открыть такое послание хотя бы один раз, то выполняющийся «червь» начнет стремительно поражать систему.
• Масса ненужного трафика в виде баннеров и сообщений снижает пропускную способность компьютера. Хотя эти объекты не могут нанести прямой вред данным, они значительно замедляют скорость соединения, особенно осуществленного посредством телефонной линии.
• Шпионские программы во многом похожи на «троянцев». Они собирают сведения о ваших интересах (посещаемые сайты, установленное программное обеспечение и т.д.) без вашего ведома и согласия.

В настоящее время большинство локальных вычислительных сетей (ЛВС) подключены к сети Интернет. Однако отсутствие эффективных средств защиты информации в существующих сетевых протоколах приводит к различным нарушениям целостности передаваемых данных. Поэтому расширение спектра и повышение требований к уровню конфиденциальности сетевых приложений обусловливает необходимость использования специальных технических средств разграничения доступа к информационным ресурсам и контроля обмена данными между различными компьютерными сетями.

В качестве таких средств защиты широко применяются межсетевые экраны, называемые в англоязычной литературе firewall.

Общее описание брандмауэров

Брандмауэр (firewall, межсетевой экран) - это система, позволяющая разделить сеть на две или более частей и реализовать набор правил, определяющих условия прохождения информации из одной части в другую. Брандмауэры представляют собой целый класс систем, порой сопоставимых по сложности с операционной системой. Классифицировать их можно по исполнению: программные, аппаратные и смешанного типа (аппаратно-программного); по компонентной модели: локальные (работающие на одном хосте) и распределенные (distributed firewall). Однако самой «полезной» является классификация с точки зрения уровня, на котором функционируют брандмауэры: пакетный уровень, прикладной, уровень соединения.

Разбивка на уровни является условной, что подразумевает возможность работы отдельно взятого брандмауэра более чем на одном уровне одновременно. Можно сказать, что практически все современные брандмауэры функционируют сразу на нескольких уровнях, стремясь расширить функциональность и максимально использовать преимущества работы по той или иной схеме. Такая технология получила название Stateful Inspection, а брандмауэры, работающие по смешанной схеме, называются Stateful Inspection Firewall.

Пакетный уровень

Работа на пакетном уровне заключается в фильтрации пакетов. Решение о том, пропускать данный пакет или нет, принимается на основе следующей информации: IP-адреса, номера портов отправителя и получателя, флаги. По сути, задача администратора сводится к составлению простенькой таблицы, на основании которой осуществляется фильтрация.

Преимущества пакетного уровня:
— низкая стоимость;
— высокая производительность.

Недостатки:
— сложность конфигурирования и поддержки;
— отсутствие дополнительных возможностей;
— рухнувшая сеть остается открытой (не защищенной);
— не защищены от фальсификации IP- и DNS-адреса.

Прикладной уровень

Фильтрация на уровне пакетов, конечно, очень проста, но нередко ее бывает явно недостаточно. Информации сетевого и транспортного уровня модели OSI иногда не хватает для эффективной работы, что обусловливает существование систем, работающих на самом верхнем уровне - прикладном. Фактически брандмауэры данного уровня предоставляют собой несколько отдельных подсистем (так называемых application gateways - серверов прикладного уровня), по числу обслуживаемых сервисов. Между пользовательским процессом и нужным сервисом возникает посредник, пропускающий через себя весь трафик и принимающий в рамках установленной политики безопасности решение о его легитимности.

Как правило, современные брандмауэры поддерживают практически весь спектр существующих сервисов - HTTP, FTP, SMTP, POP3, IMAP, Telnet, Gopher, Wais, Finger, News, - позволяя либо полностью блокировать тот или иной сервис, либо же ввести некоторые ограничения.

Такая схема работы обеспечивает ряд дополнительных возможностей в области безопасности: во-первых, маскируется структура защищаемой сети; во-вторых, появляется возможность более гибко управлять доступом - например через предоставление разных прав отдельным категориям пользователей и т.д.

Преимущества прикладного уровня:
— маскировка защищаемой сети;
— широкие возможности (усиленная аутентификация, детальное протоколирование);
— рухнувшая сеть остается заблокированной (защищенной).

Недостатки:
— высокая стоимость;
— низкая производительность.

Уровень соединения

Шлюз на уровне соединения представляет собой систему, транслирующую соединения вовне. При установлении доступа пользовательский процесс соединяется с брандмауэром, который, в свою очередь, самостоятельно устанавливает соединение с внешним узлом. Во время работы брандмауэр просто копирует входящую/исходящую информацию. По большому счету данный шлюз надо рассматривать не как самостоятельный и самодостаточный механизм, а лишь как специфическое решение некоторых задач (например, для работы с нестандартными протоколами, если необходимо создать систему сбора статистики для какого-то необычного сервиса, предоставить доступ только к определенным внешним адресам, осуществить базовый мониторинг и т. д.).

К сожалению (или к счастью), уже существуют системы, специально предназначенные для обхода такого рода ограничений. Примером может служить программный комплекс AntiFirewall от iNetPrivacy Software. Он позволяет общаться посредством ICQ или IRC, использовать FTP и Usenet, забирать почту с внешних серверов POP3 и IMAP (возможность отправки не предоставляется). Способ обхода незатейлив: трафик туннелируется в протокол HTTP (который, как правило, не блокируется), а конвертация происходит на внешних прокси-серверах, которые устанавливают соединения с необходимыми службами по соответствующим протоколам. Такая схема также дополнительно предоставляет следующую возможность: IP-адрес пользователя маскируется, обеспечивая определенную анонимность.

Функции брандмауэров

Идеальный персональный брандмауэр должен выполнять шесть функций:

• Блокировка внешних атак В идеале брандмауэр должен блокировать все известные типы атак, включая сканирование портов, IP-спуффинг, DoS и DDoS, подбор паролей и пр.
• Блокировка утечки информации Даже если вредоносный код проник в компьютер (не обязательно через сеть, а, например, в виде вируса на купленном пиратском CD), брандмауэр должен предотвратить утечку информации, заблокировав вирусу выход в сеть.
• Контроль приложений Неизбежное наличие открытых дверей (то есть открытых портов) является одним из самых скользких мест в блокировке утечки информации, а один из самых надежных способов воспрепятствовать проникновению вирусов через эти двери - контроль приложений, запрашивающих разрешение на доступ. Кроме банальной проверки по имени файла, весьма желательна проверка аутентичности приложения.
• Поддержка зональной защиты Работа в локальной сети часто подразумевает практически полное доверие к локальному контенту. Это открывает уникальные возможности по использованию новейших (и, как правило, потенциально опасных) технологий. В то же время уровень доверия к Интернет-контенту значительно ниже, а значит, необходим дифференцируемый подход к анализу опасности того или иного содержания.
• Протоколирование и предупреждение Брандмауэр должен собирать строго необходимый объем информации. Избыток (равно как и недостаток) сведений недопустим. Возможность настройки файлов регистрации и указания причин для привлечения внимания пользователя приветствуются.
• Максимально прозрачная работа Эффективность и применяемость системы часто обратно пропорциональны сложности ее настройки, администрирования и сопровождения. Несмотря на традиционный скепсис в отношении «мастеров» (wizards) по настройке и прочих буржуйских штучек, даже опытные администраторы не пренебрегают ими просто в целях экономии времени.

Недостатки брандмауэров

Нельзя забывать и об обратной стороне медали, о недостатках, причем не отдельных решений, а всей технологии в целом.

Разрозненность систем защиты

Это одна из самых важных проблем, решить которую пытаются немало поставщиков, но пока без особого успеха. Во многих брандмауэрах отсутствует защита от саботажа со стороны авторизованных пользователей. Этот вопрос можно рассматривать с этической, социальной или любой другой точки зрения, но сути дела это не меняет - брандмауэры не способны запретить авторизованному пользователю украсть (передать вовне, уничтожить, модифицировать) важную информацию. И хотя уже давно существуют другие решения (например, разграничение доступа и пр.), проблема заключается в разрозненности всех подобных систем, которые по сути должны выполнять одну и ту же функцию. Пока антивирусные программы, системы обнаружения вторжений, разграничения доступа и др. не получат единого центра управления, эффективность каждой из них можно смело делить на два.

Отсутствие защиты для нестандартных или новых сетевых сервисов

Решением здесь в какой-то мере могут служить шлюзы на уровне соединения или пакетные фильтры, но, как уже говорилось, им недостает гибкости. Конечно, существуют определенные возможности по туннелированию нестандартного трафика, например в HTTP, но этот вариант нельзя назвать удобным сразу по нескольким причинам. Есть множество унаследованных систем, код которых переписать невозможно. Однако оставлять их беззащитными тоже нельзя.

Снижение производительности

К счастью, подобные вопросы возникают все реже и реже, особенно у частных пользователей, стремящихся защитить свой ПК или небольшую локальную сеть. В то же время крупные локальные сети по-прежнему генерируют столь емкий трафик, что обычными программными (дешевыми или бесплатными) решениями сеть не прикроешь. Аппаратные решения демонстрируют отличную производительность и масштабируемость, но вот цена (порой исчисляемая десятками тысяч долларов) переводит вопросы их применения в совершенно иную плоскость, так что порой максимум возможного - это выделение специального сервера, «заточенного» исключительно под обслуживание брандмауэра. Естественно, подобное универсальное решение автоматически сказывается на скорости доступа.

Общие принципы настройки Firewall

Конфигурация firewall - предмет достаточно сложный, и обычно все сетевые экраны (firewall) имеют индивидуальную конфигурацию, отражающую специфику работы конкретной информационной системы. Однако здесь следует придерживаться некоторых общих принципов:

• Следует пропускать сквозь себя только те сервисы, которые необходимы для обеспечения требуемой функциональности информационной системы.
• Все, что явным образом не разрешено, должно быть запрещено. Это означает, что все службы, не упомянутые при конфигурации firewall, должны быть запрещены.
• При конфигурации сетевых экранов (firewall) следует вести подробную документацию.

Proxy-сервер (Прокси-сервер)

Proxy-сервер регулирует доступ сотрудников компании к ресурсам Интернета. Он имеет гибкие настройки, позволяющие ограничить доступ пользователей к определенным сайтам, контролировать объем выкачиваемой пользователем из Интернета информации и настраивать возможность доступа в Интернет тех или иных пользователей в зависимости от дня недели и времени суток. Кроме того, proxy-сервер позволяет пользователю не выходить в Интернет со своего адреса, а заменяет при запросах адрес пользователя на свой собственный и посылает запрос уже не от имени реального пользователя сети, а от своего собственного. Это не только помогает скрыть в целях безопасности внутреннюю структуру своей сети, но и позволяет не арендовать дополнительное количество адресов для всех своих сотрудников, а обойтись одним общим адресом для прокси-сервера.

IDS (Система Выявления Атак)

Intrusion Detection System (система выявления попыток проникновения) - комплекс программного обеспечения, который обычно устанавливается на Firewall и предназначен для анализа различных событий, происходящих как на самом компьютере с IDS (Host-based IDS), так и в сети вокруг него (Network IDS). Принцип работы host-based IDS основан на анализе журналов событий системы. В основе работы Network IDS лежит анализ сетевого трафика, проходящего через систему. При выявлении события, квалифицируемого IDS как попытка проникновения, ответственному за безопасность системы посылается сообщение об атаке. Одновременно производится запись в журнале атак. Подобное поведение характерно для пассивных IDS. Если же при определенных типах атак система способна производить ряд действий, направленных на отражение атаки, то она относится к активным IDS .

Система контроля целостности ПО и конфигурации

Для более жесткого контроля за попытками проникновения в систему используется многоуровневая защита. Одним из таких дополнительных уровней является система контроля целостности программного обеспечения. Она контролирует все программное обеспечение на брандмауэре и присылает отчеты обо всех удаленных, вновь появившихся и изменившихся файлах. Таким образом, при малейшем изменении конфигурации шлюза ответственный за его работу получит подробный отчет о том, что и когда было изменено.

Система мониторинга и оповещения о неисправностях

Для максимально быстрого обнаружения неисправностей в компьютерных системах часто применяются системы раннего оповещения о возникающих неисправностях, которые периодически контролируют работоспособность различных сервисов и при любых отклонениях автоматически связываются с обслуживающим систему инженером.

Система удаленного администрирования

Системы удаленного администрирования серверов применяются для устранения неисправностей, конфигурирования систем и выполнения различных рутинных задач в локальной сети (или сети Интернет) без необходимости физического доступа к серверу.

Рано или поздно, каждый человек который активно пользуется компьютером и интернетом, задается вопросом, а что такое брандмауэр windows? Не каждый знает насколько это эффективный инструмент, который способен защитить ваш компьютер от большинства проблем извне.

Правильно настроенный брандмауэр виндовс в сочетании с антивирусной программой, способны защитить ваш компьютер от подавляющего большинства вирусов и атак злоумышленников. Что такое брандмауэр и как с ним работать, читаем далее…

Брандмауэр Windows, он же фаервол (firewall) – это программа проверяющая все данные и подключения из сети интернет, которые запрашивают доступ к вашему компьютеру. В зависимости от настроек брандмауэра, он либо пропускает либо блокирует данные поступающие в ваш компьютер.

Если еще проще, брандмауэр – это стена между интернетом и вашим компьютером.

В операционной системе Windows есть встроенные брандмауэр, но не у всех он по умолчанию включен и находится в работоспособном состоянии. Если на вашем компьютере установлена пиратская версия виндовс, то с большой долей вероятности могу утверждать что он у вас выключен.

Для того чтобы проверить в каком состоянии находится ваш брандмауэр, откройте “Панель управления” и найдите соответствующую пиктограмму

По нажатии на неё, откроется окно управления брандмауэром. Если вы видите изображение зеленого щита напротив подключения, значит ваш брандмауэр находиться во включенном состоянии.

Для настройки брандмауэра, нажмите в левой колонке кнопку “Дополнительные параметры”

В этом окне можно просмотреть правила для входящих и исходящих подключений. В момент первого запуска программы, которая требует подключения к сети интернет, она будет предлагать создать правило для брандмауэра (при условии что брандмауэр активен).

Помимо сторонних программ, правила для подключений имеют также и встроенные в windows программы и приложения.

Для включения или отключения правила, нажмите на нем два раза мышкой, для создания нового правила, нажмите правой кнопкой мыши на соответствующем подключении (исходящее/входящее) и выберите “Создать правило”

Если вас интересует как отключить брандмауэр, расскажу. Для этого вернитесь в главное окно брандмауэра и выберите пункт “Включение/Отключение брандмауэра…”

Дальше думаю понятно…

Теперь давайте посмотрим как все это дело работает. На тестовый компьютер я установил программу для скачивания торрентов – Utorrent. При первом запуске появилось окно брандмауэра, предупреждающее о том что программа пытается получить доступ к интернету

Для нормальной работы программы, нажимаем “Разрешить доступ”. Правда удобно? Теперь без вашего ведома, ни одна программа не сможет подключиться к интернету, также как и ни одна “зараза” из интернета не сможет подключиться к вам.

Чтобы добавить в исключения брандмауэра уже установленную программу. Нужно открыть “Разрешить запуск программы или компонента…”

И там нажать на “Изменить параметры”, после чего нажать на “Разрешить другую программу” и выбрать её из списка. Если в списке нет нужной вам программы, жмите кнопку “Обзор” и укажите относительный путь к файлу запуска программы

Как видите, настроить брандмауэр виндовс может любой, даже самый робкий новичок.