Сергей Яремчук
Фильтрация IP-пакетов является простым, эффективным и поэтому основным
средством защиты сетей. Но в то же время такому подходу явно
не хватает детализации, а удаленность от прикладного уровня
требует согласования с другими инструментальными средствами безопасности.
Чтобы удовлетворять всем требованиям безопасности, сегодняшние системы
должны работать на уровне пользователей. Но классическая схема
основывается на предположении: один пользователь один компьютер один
IP-адрес. То есть системный администратор для решения проблемы управления
пользователями фактически должен работать на IP-уровне. В простейшем
случае это решается статическим закреплением IP-адреса, что может быть
эффективно только в небольших сетях.
В то же время сегодня довольно обычна
ситуация, когда несколько пользователей используют одну и ту же
многопользовательскую систему, и в таком случае установленные правила будут
действовать для всех работающих в одной системе одинаково.
Один из вариантов решения проблемы описан в
[8]. Проект NuFW (Now User Filtering Works) предлагает несколько иной подход к
решению – «authenticating gateway». NuFW позволяет проводить аутентификацию
пользователя для каждого соединения, пытающегося получить доступ к межсетевому
экрану и некоторым другим сервисам сети. Фактически после аутентификации
всегда можно однозначно сказать, что в данный момент времени 192.168.0.2 = Вася
Пупкин. Такой подход позволяет не только ограничивать доступ, тонко реализуя
политику безопасности, но и регистрировать деятельность, выполнять подсчет
трафика, выставлять различное значение QoS (Quality of Service), осуществлять
маршрутизацию, динамически изменять списки контроля доступа, опираясь на данные
пользователя, а не на IP.
Также правила фильтрования могут в этом
случае использовать и данные о приложениях, операционной системе, используемых
клиентом (рис. 1).
Рисунок 1. NuFW позволяет
делать фильтрацию по IP-адресам, пользователям, приложениям и операционной
системе
Хотелось бы отметить, что проект относительно
молодой. Сама идея возникла в 2001 году при попытке добавить поддержку LDAP к прокси,
обеспечивающему безопасный доступ к telnet/ftp-сервисам. Исходный проект
имел название Net Security Master (сейчас GateKeeper). Рабочая альфа-версия NuFW
была представлена общественности в июле 2003 г., а первый релиз через два года
– в марте 2005 г. Поэтому проекту могут быть присущи болезни молодости, и
иногда возникают проблемы с безопасностью, например сообщение о возможности
DOS-атаки [4].
