Что такое брандмауэр. Назначение параметров настройки брандмауэра Windows Назначение брандмауэра

16.05.2015

Информационная безопасность крайне важна для пользователя сетей интернет, поскольку он насыщен вирусами. Одним из отличных методов защиты является брандмауэр Windows.

Для того чтобы защитить операционную систему от хакерских атак, разработчики создали систему фильтрации входящих и исходящих соединений, которая называется брандмауэр или фаерволл. В Windows есть встроенная система безопасности, однако из-за того, что в предыдущих версиях ОС её практически не использовали и отключали, ей до сих пор мало кто пользуется.

Как работает брандмауэр Windows

Несмотря на то, что брандмауэр, встроенный в операционную систему, не заслужил популярности среди пользователей, и многие предпочитали пользоваться тем, что предоставляют антивирусные программы, разработчики Microsoft доработали его функциональность и улучшили производительность с выходом седьмой версии.

Для того чтобы разобраться в необходимости использования или отключения фаерволла, нужно понять, как он работает. Вся функциональность этой программы сводится к фильтрации сетевых потоков входящих и исходящих данных. Каждое приложение использует свои порты для передачи информации. Их и сканирует брандмауэр, обнаруживая запрещенные потоки, вызванные неизвестными ресурсами и процессами.

Работа фаерволла строится на правилах, разрешающих и запрещающих определенный трафик. Многие путают его работу с антивирусом, но на самом деле он только блокирует соединения, помогая от хакерских атак и пакетов с вирусным кодом. Однако это не единственное его назначение.

Если вирус уже пробрался на ваш компьютер, он может попытаться скачать другой, более серьезный код, или, собрав ваши данные, попробует отослать их своему разработчику. Брандмауэр Windows может заметить такие потоки и запретить их. Тоже самое происходит, когда какая-либо программа пытается получить несанкционированный доступ к обновлению или другому действию в сети.

Как настроить брандмауэр Windows

Настройка встроенного фаерволла обычно производится при помощи разрешений и запретов для соединений определенного типа сети. Предусматривается настройка трех профилей:

1. Для частных сетей;
2. Для работы в домене;
3. Для гостевых и общедоступных.

Использование двух профилей просто необходимо при работе с несколькими локальными или виртуальными подключениями, а также дополнительными соединениями, например, туннельными. Они позволяют создать правила и распределения разрешений для:

• Портов;
• Программ;
• Исполняемых процессов операционной системы (операциям).

Можно также создать собственное правило с полным контролем над параметрами и исполняемыми опциями.

Для того чтобы настроить работу фаерволла, например, разрешить какой-либо программе использование трафика или соединения по порту, нужно выполнить следующие действия:

• Зайти в «Панель управления», найти и запустить «Брандмауэр Windows». Также окно настроек можно вызвать командой «firewall.cpl» в меню «Выполнить»;

• Далее в меню справа необходимо выбрать «Дополнительные параметры». Именно тут можно выбрать желаемый профиль для работы, а также отредактировать его настройки и разрешения;

• Также можно задать разрешение всего потока трафика и пропуска его через фаерволл. Для этого необходимо выбрать соответствующее меню;

• Из открывшегося списка выберите программу, службу или иной компонент и отредактируйте разрешения для него при помощи кнопки «Изменить параметры».

Выполнив необходимые настройки и отредактировав параметры, можно задать необходимые ограничения для программ. Фаерволл работает по принципу: что не разрешено, то запрещено. Поэтому если вы не дадите необходимых разрешений для отправки или получения пакетов несистемными приложениями, то они будут заблокированы.

Как отключить брандмауэр Windows

Если, несмотря на все возможности и настройки, встроенная защита вас не устраивает, или же ваш антивирус идет в составе с фаерволлом, возникает необходимость отключения брандмауэра Windows.

Большинство профессионалов в области ИТ и информационной безопасности рекомендуют использовать один из фаерволлов, точно так-же как и только один из антивирусов. Это обусловлено тем, что двойная фильтрация не имеет никакого смысла и не даст дополнительной защиты, в тоже время может замедлить работу веб-приложений и ресурсов, поскольку содержимое входящих/исходящих пакетов будет проверяться дважды. Кроме того, два фаерволла могут конфликтовать друг с другом, блокируя трафик к серверам обновления.

Использование двух фильтров необходимо только в случае большого количества разнообразных сетевых интерфейсов, если необходимо распределять множество разных правил для трафика разных соединений.

Встроенный фаерволл отключается в несколько этапов. Первым делом необходимо остановить программную часть. Для этого нужно выполнить следующие действия:

1. Зайти в панель управления и выбрать «Брандмауэр Windows»;
2. В меню вызова функций справа выбрать «Включение и отключение брандмауэра Windows»;
3. Отключить фаерволл для каждого используемого типа сетевого размещения, игнорируя то, что это не рекомендуется системой.

Теперь, когда программа отключена, лучше перезапустить операционную систему. Однако в работе остается служба, которая отвечает за сетевую фильтрацию. Это означает, что процесс останется запущенным в системе и будет занимать ресурсы оперативной памяти, а также может вызвать конфликты с другим защитным ПО.

Чтобы остановить службу, необходимо выполнить следующие действия:

• Зайти в панель управления и выбрать пункт «Администрирование»;

• Открыть управление службами;

• Найти «Брандмауэр Windows» и, дважды нажав на нее, открыть меню управления. Остановить службу и выбрать для нее статус «Отключена».

Многим пользователям может понадобиться перенастройка или остановка фаерволла для нормального предоставления доступа к своему компьютеру по сети. Чтобы каждый раз не отключать/включать брандмауэр, при этом сохранить безопасность сетевых соединений и разрешить некоторые из них, нужно воспользоваться настройками портов и распределением доступа программ.

Итог:

Начиная с седьмой версии Windows, встроенный фильтр для защиты от хакерских атак обладает широкими возможностями и гибкими настройками. Благодаря нему, можно штатными средствами обеспечить полную безопасность системы.

Однако далеко не все пользователи доверяют встроенному программному обеспечению, поскольку не знают, как его правильно настроить, что может создавать проблемы с доступами, дополнительными подключениями, туннелями и соединениями. В свою очередь это может вызвать проблемы в онлайн играх, p2p сетях или файлообменных программах.

Прежде чем звонить провайдеру при отсутствии доступа к тому или иному компьютеру своей сети, нужно проверить настройки брандмауэра. Теперь вы знаете, как это сделать.

Работа брандмауэра Windows определяется параметрами: Включить; Включить, но не разрешать исключения и Выключить.

· Включить. По умолчанию брандмауэр включен, и если нет другого брандмауэра, то лучше оставить его в таком состоянии. В этом состоянии брандмауэр Windows будет блокировать все непредусмотренные запросы на подключение к вашему компьютеру за исключением тех, которые предназначены для программ или служб, выбранных на вкладке Исключения.

Рисунок 4 - Графический интерфейс брандмауэра Windows (экранная копия)

· Включить, но не разрешать исключения. При установке флажка Не разрешать исключения брандмауэр Windows блокирует все непредусмотренные запросы на подключение к компьютеру, в том числе и те, которые предназначены для программ и служб, выбранных на вкладке Исключения. Этот параметр служит для максимальной защиты компьютера, например при подключении к общедоступной сети в отеле или в аэропорту или в периоды распространения через Интернет особо опасных вирусов или червей. Нет необходимости все время использовать флажок Не разрешать исключения, поскольку при этом некоторые программы могут перестать работать правильно, а кроме того, будут блокироваться непредусмотренные запросы к следующим службам:

o Служба доступа к файлам и принтерам;

o Средства «Удаленный помощник» и «Дистанционное управление рабочим столом»;

o Обнаружение сетевых устройств;

o Заранее настроенные программы и службы в списке Исключения;

o Дополнительные объекты, добавление в список Исключения.

Если установлен флажок Не разрешать исключения, можно по-прежнему отправлять и получать электронную почту, использовать программу передачи мгновенных сообщений или просматривать большинство Web-страниц.

· Выключить. Данный параметр отключает брандмауэр Windows, в результате чего компьютер становится уязвим к атакам злоумышленников или вирусов. Этот параметр могут использовать только опытные пользователи временно в целях администрирования компьютера или при наличии защиты другим брандмауэром. Параметры настройки, заданные для случая, когда компьютер подсоединен к домену, сохраняются отдельно от параметров для работы компьютера не в составе домена. Эти отдельные группы параметров настройки называются профилями.

Чтобы включить или выключить брандмауэр Windows, необходимо

1. Войти в систему под учетной записью Администратор;

2. В меню Пуск выбрать команды Настройка и Панель управления;

3. Дважды щелкнуть на значке Брандмауэр Windows;

4. На вкладке Общие выбрать один из следующих параметров:

Помогая обеспечить защиту компьютера, брандмауэр Windows блокирует непредусмотренные запросы на подключение к вашему компьютеру. Поскольку брандмауэр ограничивает обмен данными между компьютером и Интернетом, может потребоваться регулировка параметров для некоторых программ, которым требуется свободное подключение к Интернету. Для этих программ можно сделать исключение, чтобы они могли связываться через брандмауэр.

Однако следует помнить, что каждое исключение, дающее программе возможность связываться через брандмауэр Windows, делает компьютер уязвимым. Создание исключения равносильно пробиванию бреши в брандмауэре.

Если таких брешей окажется слишком много, брандмауэр уже не будет прочной преградой. Обычно взломщики используют специальные программы для поиска в Интернете компьютеров с незащищенными подключениями. Если создать много исключений и открыть много портов, компьютер может оказаться жертвой таких взломщиков.

Чтобы уменьшить потенциальный риск при создании исключений:

· создавайте исключение, только когда оно действительно необходимо;

· никогда не создавайте исключений для незнакомой программы;

· удаляйте исключения, когда необходимость в них отпадает.

Иногда требуется открыть кому-то возможность связи с вашим компьютером, несмотря на риск, - например, когда ожидается получение файла, посланного через программу передачи мгновенных сообщений, или когда хочется принять участие в сетевой игре через Интернет.

Если идет обмен мгновенными сообщениями с собеседником, который собирается прислать файл (например, фотографию), брандмауэр Windows запросит подтверждение о снятии блокировки подключения и разрешении передачи фотографии на ваш компьютер.

Чтобы разрешить непредусмотренные подключения к программе на своем компьютере, в брандмауэре Windows используется вкладка Исключения.

Если программа или служба, для которых требуется создать исключение, отсутствуют в списке на вкладке Исключения, можно добавить ее с помощью кнопки Добавить программу. Если программа отсутствует в списке программ, которые можно добавить, нажмите кнопку Обзор, чтобы найти ее, затем откройте интерфейс брандмауэра Windows и на вкладке Исключения в группе Программы и службы установите флажок для программы или службы, которые требуется разрешить, и нажмите кнопку ОК.

Если программа или служба, которые требуется разрешить, отсутствуют в списке, выполните следующие действия: нажмите кнопку Добавить программу. В диалоговом окне Добавление программы выберите необходимую программу и нажмите кнопку ОК. Эта программа появится (с установленным флажком) на вкладке Исключения в группе Программы и службы. Нажмите кнопку ОК.

Если программа или служба, которые требуется разрешить, не указаны в перечне диалогового окна Добавление программы, выполните следующие действия: в диалоговом окне Добавление программы нажмите кнопку Обзор, найдите программу, которую требуется добавить, и дважды щелкните ее. Программа появится в группе Программы в диалоговом окне Добавление программы. Нажмите кнопку ОК. Эта программа появится (с установленным флажком) на вкладке Исключения в группе Программы и службы. Нажмите кнопку ОК.

Для некоторых программ номера портов не определены заранее. Эти программы открывают порты автоматически при необходимости. Чтобы такие программы могли соединиться с вашим компьютером, брандмауэр Windows должен позволить программе открыть нужный порт. Для правильной работы таких программ их необходимо внести в список на вкладке Исключения брандмауэра.

Рисунок 5 - Подключение непредусмотренных программ и служб (экранная копия)

Чтобы обеспечить безопасность компьютера, необходимо держать брандмауэр Windows (или другой брандмауэр по выбору) включенным, чтобы он блокировал любые непредусмотренные запросы на подключение к компьютеру. Для возможности подключения такого типа необходимо разрешить исключение или открыть порт для конкретной программы или службы. Порт - это проход в ваш компьютер, через который может передаваться информация. Если идет обмен мгновенными сообщениями с собеседником, который собирается прислать файл, брандмауэр Windows запросит подтверждение о снятии блокировки подключения и разрешение передачи этого файла на ваш компьютер. При желании участвовать в сетевой игре через Интернет с друзьями вы можете добавить эту игру как исключение, чтобы брандмауэр пропускал игровую информацию на ваш компьютер.

Каждый открытый порт, дающий программе возможность связываться через брандмауэр Windows, делают компьютер уязвимым. Открытие порта также равносильно пробиванию бреши в брандмауэре. Если открыть много портов, компьютер может оказаться жертвой взломщиков. Чтобы уменьшить потенциальный риск при открытии портов:

· открывайте порт, только когда он действительно необходим;

· никогда не открывайте порт для программы, которую плохо знаете;

· закрывайте порт, когда необходимость в нем отпадает.

Рисунок 6 - Разрешение работы программ через порт (экранная копия)

У каждого порта есть номер, который играет роль адреса. Многие программы и службы имеют «постоянные адреса», т. е. для них заранее определены номера портов. Номера портов, необходимые для программы или службы, можно найти в документации производителя или на Web-узле.

Если программу не удалось найти, можно открыть порт. Чтобы определить, какой порт нужно открыть, на вкладке Исключения нажмите кнопку Добавить порт.

При добавлении или изменении параметров настройки для службы или

программы, например для игры, следует выбрать условие открытия порта: для любого компьютера или только для компьютеров локальной сети.

Если выбран вариант Любой компьютер, тогда к компьютеру сможет подключиться любой компьютер из Интернета или из локальной сети. Если выбран вариант Только локальная сеть, к данному компьютеру смогут подключиться компьютеры только из локальной сети.

Защита электронной почты

Для защиты своей электронной почты учтите, что именно вы и никто другой представляет наибольшую опасность для своей переписки. Именно вы пересылаете по почте все, что угодно, в открытом виде; именно вы щелкаете на всяких вложениях и отвечаете на самые конфиденциальные вопросы, в том числе о своей учетной записи, в ответ на послания в ваших почтовых ящиках; именно вы раздаете направо и налево свои идентификационные данные; наконец, именно вы никак не хотите прислушаться к совету - перевести свою переписку на Web-сайты, предоставляющие почтовые услуги.

Запомните, что, если вы используете почтового клиента, никогда не конфигурируйте его на автоматическое открытие почтовых вложений. Любое послание от любого лица может содержать вложение самого опасного характера, поскольку его может послать кто угодно, в том числе вирус, заразивший компьютер отправителя. Следует инсталлировать программу антивируса и установить режим непрерывного сканирования поступающей почты, непрерывно обновляя свои антивирусные средства. Если же вам требуется просмотреть подозрительное вложение, то поместите присланный файл на отдельный диск (дискету) и проверьте его на вирус.

Для защиты электронных посланий от фальсификации в современном информационном сообществе применяется метод электронной подписи. В РФ принят закон об электронной цифровой подписи, как и во многих других странах. Легализация своей электронной подписи - дело не бесплатное, но если вы используете электронную почту для деловой переписки, то верхом неосторожности было бы рассылать письма без электронной подписи, да еще и в открытом виде.

Если у Вас нет настоящей, юридически легитимной цифровой подписи, используйте хотя бы программу PGP, и обменяйтесь со своими деловыми партнерами подписанными PGP-ключами.

Перехват паролей учетной записи почтового сервера - это серьезная проблема. Существуют почтовые протоколы, например АРОР (это протокол POP, дополненный аутентификацией клиента) и SASL (Simple Authentication and Security Layer - уровень простой аутентификации и защиты), защищающие связь клиента с почтовым сервером от перехвата паролей. Но для их использования требуется поддержка протоколов АРОР и SASL как клиентом, так и сервером почтовой службы. Попробуйте выяснить, так это или нет, у своего Интернет-провайдера.

Всех этих проблем лишена почтовая служба, предоставляемая через Web. Вместо настройки почтового клиента, что вовсе не так просто, как кажется на первый взгляд, вы сгружаете на Web-сайте регистрационную Web-страницу, где указываете свое входное имя и пароль, а также некоторую другую информацию. Помните, что в ответ на просьбу указать свой домашний адрес, телефон, имя и фамилию и т. д. не следует указывать реальные данные. Далее вы щелкаете на кнопке - и для вас создается почтовый ящик на заокеанском сервере, принадлежащий солидной фирме, которая не будет продавать ваши электронные адреса всяким спаммерам.

Как же можно отличить солидную фирму ото всех прочих? Если вы работаете с Web-сайтом, предлагающим почтовый сервис, то настоящие сайты все пересылки конфиденциальной информации выполняют в защищенном режиме, использующем сокеты SSL (Secure Sockets Layer - протокол защищенных сокетов). При работе с сервером, поддерживающим сокеты SSL, в интернет-адресе сайта вместо записи http:// появляется запись https:// (HyperText Transmission Protocol Secure - протокол защищенной передачи гипертекстов), а в строке состояния браузера IE отображается замочек. Щелчок на замочке открывает диалог с сертификатом Web-сайта, где вы сразу можете увидеть, кто владелец этого Web-сайта - известная фирма Microsoft или подозрительная компания. Без такой проверки связываться с почтовым сервером вряд ли стоит - вы просто не будете знать, куда шлете письма и что там с ними будут делать. Более того, ваши пароли и имена, вводимые при регистрации, будут в открытом виде долго путешествовать по проводам, где любитель чужих секретов без проблем извлечет их из общего потока информации и использует по своему усмотрению.

1. Зарегистрируйтесь на надежном, сертифицированном Web-сайте, предоставляющем почтовые услуги, например http://www.gmail.com, которые к тому же выполняют антивирусную проверку поступающей почты.

2. Зашифруйте свое сообщение с помощью открытого PGP-ключа получателя, который вы лично от него получили и подписали своей цифровой подписью, т.е. подтвердили достоверность ключа. То же самое сделайте с почтовыми вложениями, причем это даже выгодно с точки зрения затрат времени, поскольку PGP-шифрование сжимает данные. Теперь любому злоумышленнику придется туго, поскольку взломать PGP-ключ длиной 2 Кбайт (2048 бит) может быть по силам только достаточно мощной организации. Но следует заметить, что, если на вашем компьютере «работает» клавиатурный шпион, все ваши хлопоты по поводу безопасности электронной почты пойдут насмарку.

В этом случае все ваши пароли, явки и адреса злоумышленник, установивший в ваш компьютер «жучка», будет знать не хуже вас. Так что не забудьте перед настройкой безопасности почтовой службы вначале проверить свой компьютер на предмет наличия «Троянов» и клавиатурных шпионов. И учтите, что эти шпионы без труда могут быть установлены, пока вы где-то ходите, не запустив парольную заставку, или не выключили компьютер.

Похожая информация.

Брандмауэр, он же файервол - это система или комбинация систем, позволяющие разделить сеть на две или более частей и реализовать набор правил, определяющих условия прохождения пакетов из одной части в другую. Как правило, зта граница проводится между локальной сетью предприятия и ИНТЕРНЕТ, хотя ее можно провести и внутри локальной сети предприятия или домашней сети. Брандмауэр таким образом пропускает через себя весь трафик. Для каждого проходящего пакета брандмауэр принимает решение пропускать его или отбросить.

Обычно под брандмауэром подразумевают комплекс программных средств, устанавливаемых на компьютер, выполняющий функции шлюза в интернет. Существуют так же специализированные программно-аппаратные комплексы, обычно включающие в себя функции шлюза и маршрутизатора. Как правило, в операционную систему, под управлением которой работает брандмауэр вносятся изменения, цель которых - повышение защиты самого брандмауэра. Эти изменения затрагивают как ядро ОС, так и соответствующие файлы конфигурации.

С целью обеспечения безопасности доступ к операционной системе должен быть только у администратора. Некоторые брандмауэры работают только в однопользовательском режиме. Многие брандмауэры имеют систему проверки целостности программных кодов. При этом контрольные суммы программных кодов хранятся в защищенном месте и сравниваются при старте программы во избежание подмены программного обеспечения.

Типы брандмауэров:

• пакетные фильтры (packet filter)
• сервера прикладного уровня (application gateways)
• сервера уровня соединения (circuit gateways)

Все типы могут одновременно встретиться в одном брандмауэре.

Пакетные фильтры

Брандмауэры с пакетными фильтрами принимают решение о том, пропускать пакет или отбросить, просматривая IP-адреса, флаги или номера TCP портов в заголовке этого пакета. IP-адрес и номер порта - это информация сетевого и транспортного уровней соответственно, но пакетные фильтры используют и информацию прикладного уровня, т.к. все стандартные сервисы в TCP/IP ассоциируются с определенным номером порта.

Сервера прикладного уровня

Брандмауэры с серверами прикладного уровня используют сервера конкретных сервисов - TELNET, FTP и т.д. (proxy server), запускаемые на брандмауэре и пропускающие через себя весь трафик, относящийся к данному сервису. Таким образом, между клиентом и сервером образуются два соединения: от клиента до брандмауэра и от брандмауэра до места назначения.

Использование серверов прикладного уровня позволяет решить важную задачу - скрыть от внешних пользователей структуру локальной сети, включая информацию в заголовках почтовых пакетов или службы доменных имен (DNS). Другим положительным качеством является возможность аутентификации на пользовательском уровне (аутентификация - процесс подтверждения идентичности чего-либо; в данном случае это процесс подтверждения, действительно ли пользователь является тем, за кого он себя выдает).

Сервера протоколов прикладного уровня позволяют обеспечить наиболее высокий уровень защиты - взаимодействие с внешним миров реализуется через небольшое число прикладных программ, полностью контролирующих весь входящий и выходящий трафик.

Сервера уровня соединения

Сервер уровня соединения представляет из себя транслятор TCP соединения. Пользователь образует соединение с определенным портом на брандмауэре, после чего последний производит соединение с местом назначения по другую сторону от брандмауэра. Во время сеанса этот транслятор копирует байты в обоих направлениях, действуя как провод.

Как правило, пункт назначения задается заранее, в то время как источников может быть много (соединение типа один - много). Используя различные порты, можно создавать различные конфигурации.

Такой тип сервера позволяет создавать транслятор для любого определенного пользователем сервиса, базирующегося на TCP, осуществлять контроль доступа к этому сервису, сбор статистики по его использованию.

Сравнительные характеристики

Ниже приведены основные преимущества и недостатки пакетных фильтров и серверов прикладного уровня относительно друг друга.

К положительным качествам пакетных фильтров следует отнести следующие:

• относительно невысокая стоимость
• гибкость в определении правил фильтрации
• небольшая задержка при прохождении пакетов

Недостатки у данного типа брандмауэров следующие:

• локальная сеть видна (маршрутизируется) из ИНТЕРНЕТ
• правила фильтрации пакетов трудны в описании, требуются очень хорошие знания технологий TCP и UDP
• при нарушении работоспособности брандмауэра все компьютеры за ним становятся полностью незащищенными либо недоступными
• аутентификацию с использованием IP-адреса можно обмануть использованием IP-спуфинга (атакующая система выдает себя за другую, используя ее IP-адрес)
• отсутствует аутентификация на пользовательском уровне

К преимуществам серверов прикладного уровня следует отнести следующие:

• локальная сеть невидима из ИНТЕРНЕТ
• при нарушении работоспособности брандмауэра пакеты перестают проходить через брандмауэр, тем самым не возникает угрозы для защищаемых им машин
• защита на уровне приложений позволяет осуществлять большое количество дополнительных проверок, снижая тем самым вероятность взлома с использованием дыр в программном обеспечении
• аутентификация на пользовательском уровне может быть реализована система немедленного предупреждения о попытке взлома.

Недостатками этого типа являются:

• более высокая, чем для пакетных фильтров стоимость;
• невозможность использования протоколов RPC и UDP;
• производительность ниже, чем для пакетных фильтров.

Виртуальные сети

Ряд брандмауэров позволяет также организовывать виртуальные корпоративные сети (Virtual Private Network), т.е. объединить несколько локальных сетей, включенных в ИНТЕРНЕТ в одну виртуальную сеть. VPN позволяют организовать прозрачное для пользователей соединение локальных сетей, сохраняя секретность и целостность передаваемой информации с помощью шифрования. При этом при передаче по ИНТЕРНЕТ шифруются не только данные пользователя, но и сетевая информация - сетевые адреса, номера портов и т.д.

Администрирование

Легкость администрирования является одним из ключевых аспектов в создании эффективной и надежной системы защиты. Ошибки при определении правил доступа могут образовать дыру, через которую может быть взломана система. Поэтому в большинстве брандмауэров реализованы сервисные утилиты, облегчающие ввод, удаление, просмотр набора правил. Наличие этих утилит позволяет также производить проверки на синтаксические или логические ошибки при вводе или редактирования правил. Как правило, эти утилиты позволяют просматривать информацию, сгруппированную по каким либо критериям - например, все что относится к конкретному пользователю или сервису.

Системы сбора статистики и предупреждения об атаке Еще одним важным компонентом брандмауэра является система сбора статистики и предупреждения об атаке. Информация обо всех событиях - отказах, входящих, выходящих соединениях, числе переданных байт, использовавшихся сервисах, времени соединения и т.д. - накапливается в файлах статистики. Многие брандмауэры позволяют гибко определять подлежащие протоколированию события, описать действия брандмауэра при атаках или попытках несанкционированного доступа - это может быть сообщение на консоль, почтовое послание администратору системы и т.д. Немедленный вывод сообщения о попытке взлома на экран консоли или администратора может помочь, если попытка оказалась успешной и атакующий уже проник в систему. В состав многих брандмауэров входят генераторы отчетов, служащие для обработки статистики. Они позволяют собрать статистику по использованию ресурсов конкретными пользователями, по использованию сервисов, отказам, источникам, с которых проводились попытки несанкционированного доступа и т.д.

Аутентификация

Аутентификация является одним из самых важных компонентов брандмауэров. Прежде чем пользователю будет предоставлено право воспользоваться тем или иным сервисом, необходимо убедиться, что он действительно тот, за кого он себя выдает (предполагается, что этот сервис для данного пользователя разрешен: процесс определения, какие сервисы разрешены называется авторизацией. Авторизация обычно рассматривается в контексте аутентификации - как только пользователь аутентифицирован, для него определяются разрешенные ему сервисы). При получении запроса на использование сервиса от имени какого-либо пользователя, брандмауэр проверяет, какой способ аутентификации определен для данного пользователя и передает управление серверу аутентификации. После получения положительного ответа от сервера аутентификации брандмауэр образует запрашиваемое пользователем соединение.

Как правило, используется принцип, получивший название \\\\\"что он знает\\\\\" - т.е. пользователь знает некоторое секретное слово, которое он посылает серверу аутентификации в ответ на его запрос.

Одной из схем аутентификации является использование стандартных UNIX паролей. Эта схема является наиболее уязвимой с точки зрения безопасности - пароль может быть перехвачен и использован другим лицом.

Чаще всего используются схемы с использованием одноразовых паролей. Даже будучи перехваченным, этот пароль будет бесполезен при следующей регистрации, а получить следующий пароль из предыдущего является крайне трудной задачей. Для генерации одноразовых паролей используются как программные, так и аппаратные генераторы - последние представляют из себя устройства, вставляемые в слот компьютера. Знание секретного слова необходимо пользователю для приведения этого устройства в действие. Ряд брандмауэров поддерживают Kerberos - один из наиболее распространенных методов аутентификации. Некоторые схемы требуют изменения клиентского программного обеспечения - шаг, который далеко не всегда приемлем.

На данный момент на рынке присутствует множество видов программных и аппаратных решений для защиты локальной сети либо отдельного компьютера от несанкционированного доступа. Не пренебрегайте собственной безопасностью.

Если вы пользовались Интернетом некоторое время, а тем более если работаете в большой компании и использование Всемирной паутины входит в ваши служебные обязанности, то, наверное, слышали термин "Брандмауэр". Например, от сотрудников можно часто услышать фразы такого типа: "Не могу пользоваться этим сайтом, поскольку меня не пропускает брандмауэр".

Если у вас дома есть высокоскоростное подключение к Интернету (подключение с помощью DSL либо кабельного модема), то, скорее всего, вам говорили также о необходимости использования брандмауэра в домашней сети. Оказывается, что домашние сети сталкиваются со многими проблемами безопасности, встречающимися также в больших сетях предприятий. Брандмауэр можно использовать для защиты домашней сети и членов своей семьи от соединения с нежелательными веб-узлами и от возможных атак злоумышленников.

По сути, брандмауэр представляет собой барьер, не подпускающий различные деструктивные силы к вашей собственности. Поэтому его и называют брандмауэром. Он выполняет такие же функции, что и физический брандмауэр, изготовляемый из кирпича и предназначенный для недопущения распространения пожара из одной части дома в другую. В этой статье подробно рассказано о работе брандмауэра, а также о том, от каких угроз он может защитить.

Какие функции выполняет брандмауэр

Брандмауэр – программа или устройство, предназначенное для фильтрации информации, поступающей в вашу частную сеть или компьютерную систему через подключение к Интернету. Если входящий информационный пакет помечен фильтрами, он не будет пропущен в систему через брандмауэр.

Прочитав статью о том, как работают веб-серверы, вы узнаете, как данные передаются по Интернету и сможете легко понять, как брандмауэр помогает защитить компьютеры большой компании. Допустим, вы работаете в компании, насчитывающей 500 сотрудников. Причем в компании имеются сотни компьютеров, снабженных сетевыми адаптерами для обеспечения обмена информацией между этими компьютерами. Допустим также, что компания располагает одним или несколькими подключениями к Интернету, к примеру, линиями T1 или T3. Без брандмауэра к любому их этих сотен компьютеров может получить прямой доступ любой пользователь Интернета. Человек, обладающий знаниями и опытом в этой области, получает возможность зондировать эти компьютеры, пробовать установить с ними сеансы FTP и Telnet и проводить другие подобные манипуляции. Если работник компании вследствие ошибки оставляет брешь в системе безопасности, злоумышленники могут воспользоваться этой брешью и получить доступ к машине.

Если используется брандмауэр, ситуация совсем иная. Компания может установить брандмауэр на каждом подключении к Интернету (например, на каждой линии T1, по которой компания осуществляет связь с внешним миром). В брандмауэре можно вводить правила безопасности. Например, одно из правил безопасности, используемое внутри компании, может предусматривать следующее:

Из 500 компьютеров компании только одному разрешается получать приходящий извне трафик FTP. И только этому одному компьютеру разрешается проводить FTP-сеансы. Компания может устанавливать подобные правила для FTP-серверов, Web-серверов, Telnet-серверов и т. п. Кроме того, с помощью брандмауэра можно контролировать возможности персонала, связанные с подключением к веб-узлам, разрешать или запрещать отправку тех или иных файлов за пределы компании и тому подобное. Брандмауэр является мощным инструментом по обеспечению контроля над действиями персонала во Всемирной сети.

Для контроля входящего и исходящего трафика используют от одного до трех различных методов:

Фильтрация пакетов – пакеты (небольшие фрагменты данных) анализируются с использованием набора фильтров. Пропущенные фильтрами пакеты отправляются к системе, которая их запрашивала, а все остальные – задерживаются.

Функция посредника (proxy service) – поступившая из Интернета информация принимается брандмауэром и лишь затем поступает на запрашивающую систему; аналогично производится и передача информации.

Проверка с отслеживанием состояния – новейший метод, при котором не проверяется содержимое каждого пакета, а производится сравнение определенных ключевых элементов пакета с базой данных надежной информации. Брандмауэром отслеживаются отличительные характеристики исходящей информации, после чего на соответствие этим характеристикам проверяется входящая информация. Если сравнение выявляет достаточную степень соответствия, получаемая информация пропускается. В противном случае она не пропускается.

Защита вашего компьютера Яремчук Сергей Акимович

4.1. Для чего нужен брандмауэр

Антивирус защищает системные и пользовательские файлы от вредоносного программного обеспечения. Задача брандмауэров – фильтрация входящего и исходящего трафика и блокирование несанкционированного доступа к компьютеру.

Для работы в Сети операционная система использует сервисы, которые открывают порты и ждут подключения к ним. Зная номер порта, пользователь может подсоединиться к нему с удаленного компьютера и получить доступ к некоторым ресурсам. Проблема в том, что в реализации некоторых сервисов присутствуют ошибки, которые могут быть использованы для сетевой атаки – как вирусной, так и ставящей целью нарушение работы уязвимого сервиса или системы в целом. Брандмауэр, используя набор правил, разрешает или запрещает доступ к компьютеру из Сети.

Примечание

Первоначально брандмауэром называли перегородку в паровозах, находящуюся между машинным отделением и вагонами и защищающую последние от возможного возгорания. В современном значении это слово начало употребляться приблизительно в начале 1990-х годов, когда для английского слова firewall не смогли найти однозначного перевода. Поскольку немецкое слово Brandmauer означало то же самое и было уже известно, его и стали использовать, хотя только на постсоветском пространстве.

Первыми появились фильтры пакетов , которые действовали на основании информации, помещенной в заголовке: IP-адрес, номера портов источника и получателя, тип пакета и длина. Выглядело это следующим образом. Компьютеру из внутренней сети с определенным IP-адресом разрешается соединяться с любыми внешними компьютерами, используя только указанный порт. Например, протокол SMTP, который применяется для отправки электронной почты, использует 25-порт, протокол РОР3, с помощью которого почта получается, – 110-порт, веб-сервисы обычно настроены на 80-порт. При попытке получить доступ к другим сервисам брандмауэр блокировал соединение.

Постепенно стало понятно, что такой статической схемы недостаточно. Это привело к появлению фильтров, отслеживающих состояние соединений (stateful). Постепенно функциональность брандмауэров возрастала, появились фильтры уровня приложений и фильтры соединений, умеющие контролировать контекст. Не будем углубляться в историю, тем более что сегодня встретить их в чистом виде практически невозможно.

Чаще всего пользователю трудно решить, что кому запретить или разрешить. В операционной системе Windows принято следующее взаимодействие пользователя с используемым брандмауэром. Например, в строке веб-браузера набран адрес или имя сервера. Брандмауэр, проанализировав запрос, временно блокирует его и запрашивает у пользователя подтверждение, предоставляя ему всю информацию: приложение или сервис, IP-адрес или имя удаленного узла и порт назначения. Если выход в Интернет с использованием данной утилиты действительно планировался, пользователь подтверждает это, и брандмауэр разрешает соединение. Чтобы не беспокоить пользователя в дальнейшем, ответ запоминается. Хотя, чтобы уменьшить вероятность ошибки, через некоторое время процесс повторяется.

Таким образом, если случайно было разрешено соединение для спрятавшегося троянца, существует вероятность, что в следующий раз его не пропустят. Однако создатели вирусов также используют эту особенность взаимодействия. Теперь, чтобы скрыть свою программу, им достаточно загружать ее как расширение Internet Explorer, иногда вызывается и сам браузер, адресная строка которого содержит не только имя удаленного узла, но и информацию, которую удалось украсть. Пользователь не всегда вникает в суть запроса, поэтому в большинстве случаев обман удается.

Брандмауэр обязательно должен использоваться совместно с антивирусной программой. Это не взаимоисключающие, а дополняющие друг друга приложения, хотя многие сегодняшние брандмауэры выросли в настоящие системы защиты, умеющие отслеживать вышеописанную ситуацию.

Необходимо контролировать как входящий, так и исходящий трафик. В первом случае вы будете защищены от попытки несанкционированного доступа извне, а контроль исходящего трафика позволит блокировать трояны и другие зловредные программы, пытающиеся получить доступ в Интернет, а также ненужный трафик в виде баннеров. Следует отметить, что, хотя все брандмауэры похожи, каждая конкретная реализация может содержать ошибки.

Появление встроенного Брандмауэра в Windows XP многие приветствовали, однако вскоре выяснилось, что он контролирует только входящий трафик, а по удобству настроек уступает большинству решений. Усовершенствованный Брандмауэр в Windows Vista обладает несколько большими возможностями – поддерживается фильтрация входящего и исходящего трафика. С его помощью можно запретить приложениям обращаться к другим компьютерам или отвечать на их запросы, поэтому мультимедийные программы могут воспроизводить мультимедийные файлы на локальном компьютере, но не смогут подключаться к веб-узлам в Интернете. Брандмауэр в Windows Vista следит за ресурсами операционной системы, и, если они начинают вести себя иначе, что обычно указывает на наличие проблем, блокирует соединение. Если другая программа попытается обратиться в Интернет, чтобы установить дополнительный модуль, пользователь увидит предупреждение, посылаемое Брандмауэром .

Однако на практике у пользователя мало средств для тонкой настройки, а вредоносное приложение, попав на компьютер, в первую очередь попытается создать разрешающее правило, ориентируясь именно на встроенный Брандмауэр Windows , или просто отключить его, поэтому рассмотрим не его, а несколько типичных решений.

Из книги Защити свой компьютер на 100% от вирусов и хакеров автора Бойцев Олег Михайлович

Из книги Железо ПК [Популярный самоучитель] автора Пташинский Владимир

Для чего нужен компьютер Оглянитесь вокруг. Если вы находитесь не в поле или глухой тайге, то можно с уверенностью сказать, что где-то недалеко от вас при желании легко обнаружится компьютер. И поверьте, он не один. В современном городе компьютер встречается буквально на

Из книги Компьютер на 100. Начинаем с Windows Vista автора Зозуля Юрий

Для чего нужен монитор В очень старой инструкции по технике безопасности можно было прочесть, что максимально допустимое время работы перед монитором компьютера для взрослого человека составляет два часа в день. «О ужас! – могут воскликнуть некоторые из вас. – Неужели

Из книги Эффективное делопроизводство автора Пташинский Владимир Сергеевич

Брандмауэр Брандмауэр служит для защиты компьютера от несанкционированного доступа через локальную сеть или Интернет. По умолчанию брандмауэр включен; если его отключить, система безопасности Windows Vista выдаст предупреждение (см. рис. 8.7). Если компьютер подключен к

Из книги Как заработать в Интернете: Практическое пособие автора Дорохова Марта Александровна

Для чего нужен документооборот В свете всего вышеизложенного этот вопрос звучит риторически, но тем не менее.Документооборот – это движение документов в организации с момента их получения или создания до завершения исполнения или отправки. Организация

Из книги Компьютерные советы (сборник статей) автора Автор неизвестен

Из книги Бесплатные разговоры через Интернет автора Фрузоров Сергей

Что такое брандмауэр? Автор: Александр КрасоткинИсточник: http://www.computerra.ru/Что такое брандмауэр?Брандмауэр (firewall) - перегородка из огнеупорного материала, возводимая на пути распространения пожара. Также данный термин стал использоваться для обозначения аппаратных и

Из книги Интернет для ваших родителей автора Щербина Александр

Брандмауэр и для чего он нужен Брандмауэр, или, как его называют индейцы из племени Пумба-Юмба, firewall (огненная стена) - довольно интересная и полезная штука. В отличие от антивирусной программы, он не сможет найти и обезвредить вражеский вирус, однако он ставит надежный

Из книги Наглядный самоучитель работы на нетбуке автора Сенкевич Г. Е.

Брандмауэр Брандмауэр (Firewall, файрволл) - программа, назначение которой состоит в том, чтобы защищать ваш компьютер от вредоносных программ. Это некий экран, располагающийся между вашим компьютером и сетью Интернет. Его задача - предотвращать проникновение на ваш

Из книги Linux: Полное руководство автора

Для чего нужен Блокнот? Блокнот предназначен для работы с небольшими простыми документами, в которых есть только текст.Запустите программу Блокнот: Пуск|Все программы|Стандартные|Блокнот (1).На экране откроется окно Блокнота.Щелкните мышью в рабочей области окна. В этом

Из книги HTML5 для веб-дизайнеров автора Джереми Кит

19.4. Что такое брандмауэр Брандмауэр (межсетевой экран, бастион, firewall) - это компонент системы, обеспечивающий защиту сети от несанкционированного доступа.Как известно, весь трафик в сети состоит из пакетов. Каждый пакет состоит из двух частей: заголовка и тела. В

Из книги Анонимность и безопасность в Интернете. От «чайника» к пользователю автора Колисниченко Денис Николаевич

Canvas. Ага! И для чего он нужен? Создавать картинки на лету с использованием JavaScript и Canvas – это все здорово и прекрасно, но если вы не убежденный мазохист, то зачем?Истинная сила Canvas заключается в том, что его содержимое может быть обновлено в любой момент, на нем можно

Из книги Компьютер – это просто! автора Алиев Валерий

3.3.4. I2P и брандмауэр Когда вы запускаете I2P на локальном компьютере, проблем с настройкой брандмауэра, как правило, не возникает, – это если брандмауэр способен обучаться – обучающий режим имеется во многих программных продуктах (Comodo Internet Security, Outpost Firewall Pro и др.). Совсем

Из книги автора

6.6. А нужен ли вообще брандмауэр? Некоторые пользователи пренебрегают установкой брандмауэра на свой компьютер, мотивируя тем, что на домашнем маршрутизаторе уже есть брандмауэр, да и на сервере провайдера тоже наверняка есть. Некоторые продолжают использовать

Из книги автора

Для чего нужен текстовый процессор? Программы обработки текста позволяют быстро и просто вносить любые изменения в написанный (набранный) текст, создавать новые документы, хранить их, получать печатные копии набранного текста в любом количестве экземпляров.Кроме этого,

Из книги автора

Для чего нужен табличный процессор? Основное назначение табличного процессора – это осуществление многоступенчатых расчетов и автоматизация часто повторяемых расчетов. Впрочем, вопросы подготовки и печати обычных документов с его помощью тоже решаются неплохо, хотя и