11.2. Xavfsizlik devori, tarmoq segmentatsiyasi va demilitarizatsiya zonasi
Xavfsizlik devorining ishlash tamoyili
Xavfsizlik devori (firewall) tarmoqlar o'rtasidagi trafikni belgilangan qoidalar asosida nazorat qiluvchi vosita bo'lib, u kerakli trafikni o'tkazadi va keraksizini to'sadi. Odatda u ichki tarmoq bilan internet o'rtasida joylashadi va tarmoqqa kiruvchi hamda undan chiquvchi har bir paketni tekshiradi (11.4-rasm).
Xavfsizlik devori qoidalar to'plami asosida ishlaydi. Har bir qoida qaysi manbadan, qaysi manzilga va qaysi port orqali boradigan trafik bilan nima qilish kerakligini belgilaydi. Masalan, veb-server uchun 443-portga kiruvchi ulanishlarga ruxsat berilishi, boshqa barcha kiruvchi ulanishlar esa rad etilishi mumkin.
Qoidalarni tuzishda muhim tamoyil amal qiladi va u to'qqizinchi bobda ko'rilgan kamida imtiyoz tamoyilining tarmoqdagi ifodasidir: avval barcha trafik taqiqlanadi, so'ngra faqat haqiqatan zarur bo'lgan yo'nalishlar ochiladi. Teskari yondashuv, ya'ni avval hammasini ochib, keyin xavflilarini yopish, xato hisoblanadi, chunki qaysi trafik xavfli ekanini oldindan to'liq bilib bo'lmaydi.
Xavfsizlik devorlari bir necha turga bo'linadi. Eng sodda turi paketlarni filtrlash asosida ishlaydi: u har bir paketni alohida, faqat manba va manzil ma'lumotlariga qarab baholaydi. Rivojlangan turi ulanish holatini kuzatadi, ya'ni paket mavjud, ruxsat etilgan ulanishga tegishlimi yoki yo'qmi degan savolga javob beradi. Zamonaviy turlari esa ilova darajasida ishlaydi va hujumni aniqlash vositalarini o'z ichiga oladi.
Xavfsizlik devori tashkilot chegarasida joylashishi shart emas. U alohida qurilmada, tarmoq marshrutizatorida yoki bevosita foydalanuvchi kompyuterida ham ishlashi mumkin. Amalda eng yaxshi natija bir necha darajadagi xavfsizlik devorlarini birgalikda qo'llash orqali erishiladi.
Tarmoqni segmentlarga ajratish
Xavfsizlik devori tashqi tahdiddan himoyalaydi, biroq u yakka o'zi bitta muhim savolga javob bermaydi: tajovuzkor qandaydir yo'l bilan ichkariga kirib qolsa nima bo'ladi? Agar butun tarmoq yagona muhitdan iborat bo'lsa, ichkariga tushgan tahdid hamma joyga erkin yetib boradi. Aynan shu holat kirish voqeasida ham, o'ninchi bobdagi Target hodisasida ham hal qiluvchi rol o'ynagan edi.
Yechim tarmoqni segmentlarga ajratishdir. Bunda tarmoq bir necha mustaqil qismga bo'linadi va ular o'rtasidagi har bir o'tish nazorat qilinadi. Natijada bir segmentdagi buzilish boshqasiga avtomatik tarqalmaydi. Segmentlarga ajratish odatda vazifa bo'yicha amalga oshiriladi: serverlar alohida, xodimlarning ish stansiyalari alohida, mehmonlar uchun Wi-Fi esa butunlay ajratilgan segmentda joylashadi.
Segmentatsiyaning alohida qo'llanishi demilitarizatsiya zonasi (DMZ) deb ataladi. Bu tashqaridan ko'rinishi kerak bo'lgan xizmatlar, masalan veb-server va pochta serveri joylashtiriladigan oraliq zonadir. DMZ ichki tarmoq bilan internet o'rtasida turadi va ikki tomondan ham xavfsizlik devori bilan chegaralanadi (11.5-rasm).
DMZ ning mantiqi quyidagicha. Veb-server o'z tabiatiga ko'ra tashqi dunyoga ochiq bo'lishi kerak, demak u eng ko'p hujumga uchraydigan nuqtadir. Agar u ichki tarmoqda joylashsa, uning buzilishi bevosita ichki tarmoqqa kirish imkonini beradi. DMZ da joylashsa esa, tajovuzkor serverni egallagan taqdirda ham ichki tarmoqqa o'tish uchun yana bir xavfsizlik devorini yengishi kerak bo'ladi. Shu tariqa eng zaif nuqta eng qimmatli resurslardan ajratiladi.
Amaliy misol
Otabek kompaniya tarmog'ini to'rt segmentga ajratadi. Birinchi segment, DMZ: unda mijozlarga xizmat ko'rsatadigan veb-server joylashadi. Ikkinchi segment, ichki serverlar: ma'lumotlar bazasi va ichki tizimlar. Uchinchi segment, xodimlarning ish stansiyalari. To'rtinchi segment, mehmonlar uchun Wi-Fi, u boshqa segmentlarga umuman kira olmaydi va faqat internetga chiqish imkonini beradi. Segmentlar o'rtasidagi har bir o'tish uchun aniq qoida belgilanadi: masalan, veb-server ma'lumotlar bazasiga faqat bitta aniq port orqali murojaat qila oladi, boshqa hech narsaga emas.
Kasbiy vaziyat
Bekzod noroziligini bildiradi: «Segmentatsiya ishni murakkablashtiradi. Ilgari men istalgan kompyuterdan serverga ulanardim, endi esa har safar ruxsat so'rashga to'g'ri keladi.» Otabek javobida savolni boshqacha qo'yadi: agar siz istalgan kompyuterdan serverga ulana olsangiz, demak sizning kompyuteringizni egallagan tajovuzkor ham shunday qila oladi. Qulaylik va xavf bu yerda bir tanganing ikki tomoni. To'g'ri yechim segmentatsiyadan voz kechish emas, balki zarur ulanishlarni oldindan aniqlab, ularni rasman ochib qo'yishdir. Shunda kundalik ish to'siqqa uchramaydi, ortiqcha yo'llar esa yopiq qoladi.
Amaliy topshiriq
Quyidagi topshiriqlarni bajaring. (a) Kichik IT-kompaniya uchun segmentlangan tarmoq sxemasini chizing; unda kamida to'rtta segment va ular o'rtasidagi xavfsizlik devorlari ko'rsatilsin. (b) Har bir segment uchun unda qanday qurilmalar joylashishini va boshqa segmentlar bilan qanday aloqaga ruxsat berilishini jadvalda yozing. (v) Mehmonlar uchun Wi-Fi tarmog'i nima uchun butunlay ajratilishi kerakligini asoslang. (g) Veb-serverni DMZ ga joylashtirish ichki tarmoqni qanday himoyalashini bir xatboshida tushuntiring.
Nazorat savollari
- 1Xavfsizlik devori qanday tamoyil asosida ishlaydi?
- 2Qoidalarni tuzishda nima uchun avval hammasini taqiqlash tavsiya etiladi?
- 3Xavfsizlik devorlarining qanday turlari mavjud?
- 4Tarmoqni segmentlarga ajratish qanday muammoni hal qiladi?
- 5Demilitarizatsiya zonasi nima uchun zarur va u qanday ishlaydi?