18c0693f

Сотрудник отдела автоматизации


Table 6.2 Образец политики безопасности для Интернета

ПолитикаСервисИзнутри наружу

Извне внутрьОбразец политики

  
 СостояниеАутентификацияСостояниеАутентификация 
FTPДаНетДаДаДоступ к FTP должен быть разрешен изнутри снаружу. Должна использоваться усиленная аутентификация для доступа снаружи к FTP.
TelnetДаНетДаДаДоступ по Telnet должен быть разрешен изнутри наружу. При доступе снаружи должна использоваться усиленная аутентификация.
RloginДаНетДаДаrlogin на внутренние машины организации с внешних хостов требует письменного разрешения ответственного за сетевые сервисы и использования усиленной аутентификации.
HTTPДаНетНетНетВсе WWW-сервера, предназначенные для использования внешними пользователями, должны быть размещены за брандмауэром. Входящий HTTP через брандмауэр должен быть запрещен.
SSLДаНетДаДаТребуется использовать в сеансах SSL клиентские сертификаты при прохождении SSL-сеансов через брандмауэр.
POP3НетНетДаНетPOP-сервер организации должен быть размещен внутри за брандмауэром. Брандмауэр будет пропускать POP-трафик только к POP-серверу. Требуется использовать APOP.
NNTPДаНетНетНетВнешний доступ к NNTP-серверу запрещен.
Real AudioНетНетНетНетСейчас нет коммерческой необходимости поддерживать живое аудио через брандмауэр. Если такой сервис требуется, надо связаться с ответственным за сетевые сервисы.
LpДаНетНетНетВходящие запросы на lp-сервис должны блокироваться на брандмауэре
FingerДаНетНетНетВходящие запросы на finger-сервис должны блокироваться на брандмауэре
GopherДаНетНетНетВходящие запросы на gopher-сервис должны блокироваться на брандмауэре
WhoisДаНетНетНетВходящие запросы на whois-сервис должны блокироваться на брандмауэре
SQLДаНетНетНетСоединения внешних хостов с внутренними БД должны быть утверждены ответственным за сетевые сервисы и использовать утвержденные прокси-сервисы.
RshДаНетНетНетВходящие запросы на rsh-сервис должны блокироваться на брандмауэре
Другие, такие как NFSНетНетНетНетДоступ к любым другим сервисам, не указанным выше, должен быть запрещен в обоих направлениях, чтобы использовались только те Интернет-сервисы, которые нам нужны, и о безопасности которых имеется информация, а остальные были запрещены.
<
Организация может захотеть поддерживать некоторые сервисы без усиленной аутентификации. Например, для загрузки внешними пользователями открытой информации может использоваться анонимный сервер FTP. В этом случае эти сервисы должны находиться на другой машине, чем брандмауэр, или в сети, которая не соединена с корпоративной сетью организации, содержащей критические данные. Ниже в таблице показан метод описания такой политики для FTP.

Table 6.3 Обобщенная политика безопасности

ПолитикаАвторизованный FTP-сервисАнонимный FTP-сервис
Поместить сервер снаружи брандмауэра НетДа
Поместить сервер в служебную сеть, не содержащую критических данныхНетДа
Поместить сервер в защищенную сетьДаНет
Поместить сервер на брандмауэрНетНет
Сервис будет доступен с любой машины в ИнтернетеНетДа
| |