div.main {margin-left: 20pt; margin-right: 20pt}
"Black Hole" ( продукт компании Milkyway Networks ) - это firewall, работающий на proxy серверах протоколов прикладного уровня ( TELNET, FTP и т.д. ). Он служит для разграничения доступа между локальной и глобальной сетью ( ИНТЕРНЕТ ) или между двумя подразделениями локальной сети ( ИНТРАНЕТ ). "Black Hole" построен на принципе "Все что не разрешено, запрещено", т.е. любой вид доступа должен быть описан явно.
"Black Hole" поддерживает следующие виды сервисов:
терминальный доступ (TELNET)
передача файлов (FTP)
почта (SMTP)
новости Usenet (NNTP, SNNTP)
Web (HTTP, HTTPS)
Gopher
Real Audio
Archie
Wais
X Window System
Кроме этого, в состав "Black Hole" входят proxy сервер уровня TCP и proxy сервер для UDP протокола.
"Black Hole" осуществляет мониторинг всех 65 535 TCP/UDP портов и сбор статистики по попыткам доступа к этим портам.
Правила доступа могут использовать в качестве параметров:
адрес источника
адрес назначения
сервис ( FTP, TELNET, и т.д.)
дата и время доступа
идентификатор и пароль пользователя
"Black Hole" поддерживает строгую аутентификацию как с использованием обычных
паролей, так и различных типов одноразовых паролей:
S/Key
Enigma Logic Safeword
Security Dynamics SecureID,
при этом аутентификация может быть включена для любого вида сервиса.
"Black Hole" поддерживает два режима аутентификации:
аутентификацию каждой TCP сессии
прозрачную аутентификацию
Второй режим позволяет прозрачно пользоваться всеми авторизованными
пользователю сервисами ( без аутентификации каждой сессии ). Для установки этого
режима пользователю необходимо аутентифицироваться при помощи одного из
следующих сервисов ( TELNET, FTP, Gopher, WWW). Для каждого пользователя можно
задать период времени, в течении которого он может использовать этот режим. Это
позволяет создать крайне удобный для пользователя режим использования firewall.
Система выдачи предупреждений о попытках НСД в реальном времени в "Black Hole"
позволяет администратору системы описывать опасные события и реакцию на них
системы (вывод на консоль, звонок на пейджер и т.д.)
"Black Hole" позволяет описывать различные типы нарушений и определять реакцию
на их появление.
"Black Hole" позволяет образовывть соединения за один шаг ( т.е. в качестве хоста
назначения сразу указывается необходимый сервер, без первоначального
соединения с proxy и с proxy до нужного хоста).
"Black Hole" предоставляет сервис для создания групп пользователей, сервисов,
хостов и сетей и позволяеть создавать правила для этих групп, что дает возможность
легко описывать и администрировать большое количество пользователей.
"Black Hole" имеет удобную и дружественную графическую оболочку под X-Windows,
так что настойкой системы может заниматься неискушенный в UNIX человек. Все
административные функции могут быть выполнены из этой оболочки. Ядро ОС
модифицировано для защиты графического интерфейса от внешнего доступа.
"Black Hole" предоставляет следующие возможности по конвертации адреса
источника пакета при прохождении через firewall:
адрес может быть заменен на адрес firewall;
адрес может быть оставлен без изменения;
адрес быть заменен на выбранный администратором
Последняя опция позволяет для пользователей INTERNET представлять
внутреннюю сеть как состоящую из набора подсетей.
"Black Hole" позволяет организвать дополнительную подсеть (Service Network) (через
дополнительный сетевой интерфейс) для открытых сервисов (FTP, HTTP, Gopher).
Это позволяет вынести эти сервисы из внутренней сети, обеспечив при этом
контроль доступа и сбор статистики за использованием этих сервисов.
"Black Hole" использует для хранения и обработки статистической информации
реляционную базу данных с языком запросов SQL. Большой выбор типов выборок
по различным параметрам соединения в сочетании со средствами графического
представления
"Black Hole" функционирует на PC и Sun Sparc платформах под управлением
модифицированных версий операционных систем BSDI и SunOS.
"Black Hole" имеет сертификат NCSA, гарантирующий его высокую надежность и уровень защиты.
"Black Hole 3.0" для BSDI платформы сертифицирована Государственной Технической Комиссией при Президенте России. СЕРТИФИКАТ N79
Межсетевой экран BlackHole является фильтром на уровне приложений и служит для защиты от
несанкционированного доступа машин в приватной сети. Поддерживаются все
стандартные сетевые протоколы семейства TCP/IP (например TELNET,FTP,HTTP,
TCP sessions, UDP virtual sessions). В случае типичной установки межсетевой экран
располагается между приватной сетью и глобальной сетью Internet.
Межсетевой экран базируется на принципе - "что не разрешено, то запрещено".
Межсетевой экран защищает приватную сеть на уровне конкретных протоколов и "сырого"
соединения. Пересылка пакетов стандартным путем (IP forwarding) полностью
блокирована. Все запросы, идущие через межсетевой экран полностью аутентифицированы.
BlackHole разрабатывался таким образом, чтобы создать наиболее комфортабельные
условия для пользователей защищенной сети, поэтому имеет прозрачный режим
работы. В последнем случае пользователь аутентифицируется при первоначальном
использовании межсетевого экрана, после чего от него не требуется дополнительная аутентификация в
течение времени, определяемого администратором.
Аутентификация пользователей производиться по следующим правилам:
Где находиться с использованием исходного и конечного адресов
запроса
Что хочет с использование типам запрошенного сервиса
Когда хочет с использованием времени суток и даты запроса
Что он знает с использованием имени пользователя и пароля
Что у него есть с использованием смарт-карты
Межсетевой экран записывает в журнал информацию о все сетевых сессиях, проходящих через него.
Дата и время суток
Тип соединения или протокол
Исходный адрес инициатора
Удаленный адрес запроса
Номер порта для "сырого" соединения
Имя аутентифицированного пользователя
Информацию о трафике
Расширенное с точки зрения безопасности ядро ОС
Минимизированное окружение системы UNIX
Guardian - сетевой супер-сервер
Oracle - сервер аутентификации
Транслирующие сервера (proxy):
Telnet
FTP
Gopher
HTTP
Mail
TCP (сырой)
UDP Relay
Netacl
Системный журнал
Система оповещения в реальном времени
Система статистики
Система администрирования
Игнорирует пакеты со специальными признаками
Закрыта прямая передача через ядро пакетов
Добавлена система глобального мониторинга соединений
Включен анализатор направления передачи пакетов
Установлен режим перехвата всех пакетов для прозрачного режима
Полностью закрыты от внешнего доступа сервисы, использующиеся локально
Из состава системы исключены все программы, являющиеся серверной частью
сетевых сервисов
Изменены режимы доступа к ключевым файлам и командам
Ликвидированы все ссылки на использование сетевых информационных сервисов
типа NIS
Уничтожены все бюджеты пользователей, кроме системных и администратора.
Исключены все виды компиляторов и загрузчиков
Все серверные программы работают в усеченном отрезке файловой системы
(UNIX chroot)
Guardian в межсетевом экране является заменой стандартного UNIX inetd демона. В данной
реализации межсетевого экрана guardian является единственным процессом, находящегося в ожидании соединения по сети. При получении соединения этот процесс сверяется со
специальной базой данный, и в случае, если соединение разрешено, запускает соответствующий
proxy.
Guardian управляется специальной программой контроля, допускающей
использование команд: THROTTLE (остановить), RELEASE (продолжить работу),
RECONFIGURE (перечитать файл конфигурации).
Guardian стартует при первоначальном запуске системы и должен управляться
только через вышеописанный интерфейс.
Oracle принимает запросы на аутентификацию через локальное устройство,
сверяет полученный запрос с политикой безопасности, описанной администратором
межсетевого экрана, и в случае, если запрос соответствует правилам, разрешает его выполнение.
При необходимости аутентифицировать пользователя, Oracle может в качестве
ответа заносить дополнительную информацию, например пароль пользователя или
запрос для системы одноразовых паролей.
Oracle - единственный процесс межсетевого экрана, осуществляющий доступ к аутентификационной
базе данных.
Oracle каждый час создает резервную копию базы, и в случае сбоя в работе
автоматически производит восстановление рабочей версии базы.
Oracle стартует при начальной загрузке системы.
Proxy TCP
Основной функцией этого proxy является поддержка коммуникаций между
интерфейсами межсетевого экрана. Для выполнения этой функции proxy может
консультироваться с Oracle. Поскольку этот сервер является базовым, он не
поддерживает аутентификации пользователей, преимущественно предназначен для
работы в прозрачном режиме. Администратор имеет возможность контролировать
использование этого proxy по следующим параметрам:
устанавливать максимальное время неактивности, после которого разрывается
соединение.
устанавливать время действия аутентификации для прозрачного режима работы
Proxy TCP запускается через Guardian после проверки последним
правомочности запрошенного соединения.
Proxy FTP.
Этот сервер поддерживает протокол FTP и позволяет:
производить аутентификацию пользователя
интерпретировать команды протокола FTP
включать прозрачный режим
Proxy Telnet
Служит для поддержки протокола удаленного интерактивного доступа Telnet.
Позволяет:
производить аутентификацию пользователя
включать прозрачный режим
менять пароль пользователя
Proxy HTTP
Этот сервер служит для поддержки на межсетевом экране протокола HTTP и имеет следующие
возможности:
аутентификация пользователя на использование протокола и запроса
включение прозрачного режима
изменять пароль пользователя
интерпретировать команды HTTP протокола
Proxy Gopher
Служит для поддержки протокола Gopher на межсетевом экране и позволяет:
осуществлять аутентификацию пользователя для использование gopher-запроса
включать прозрачный режим
UDP relay
Очень сходен с TCP proxy, за исключением того, что вместо TCP соединения
оперирует виртуальными UDP соединениями. Служит для поддержки некоторых
протоколов, таких как DNS, Archie. При запуске консультируется с Oracle для
определения правомочности пришедшего запроса.
Netacl
Служит для разрешения удаленного администрирования межсетевого экрана. Поддерживает все виды
аутентификации пользователей (по адресам, условно-постоянным и одноразовым
паролям, смарт-картам).
Система электронной почты.
Система состоит их двух частей - получателя почты и отправителя. Получатель
стартует через guardian при попытке удаленной машины. Не требует аутентификации
пользователя. Для дополнительного режима безопасности работает в ограниченном
участке файловой системы (UNIX chroot). Производит анализ управляющих
заголовков сообщений на предмет несанкционированных адресов.
Отправитель почты запускается при первоначальной загрузке системы как сервер
и через определенные промежутки времени проверяет пришедшую через приемник
почты, которую оправляет по назначению. В отличие от стандартных почтовых
программ в состав отправителя не включены:
Include mailer
File mailer
Program mailer
local mailer
Такая схема обеспечивает прием и передачу только корректных сообщений,
содержащих все необходимые заголовки в правильном формате.
Системный журнал.
Сервер системного журнала стартует при начальной загрузке системы и служит для
обработки сообщений, записываемых в системных журнал. Распределение сообщений в
соответствии с приоритетами осуществляется по правилам, описанных в
конфигурационном файле. Для предотвращения записи ложных сообщений, порт, по
которому работает этот сервер недоступен со стороны сети.
Уведомление администратора о событиях
Данная подсистема позволяет в реальном времени отслеживать события, связанные с
попытками нарушения политики безопасности. Имеется возможность пользоваться
различными механизмами уведомления, например по электронной почте, пэджеру или
путем вывода сообщения в специальное окно на консоли межсетевого экрана.
Система анализа статистики
Данная система позволяет осуществлять гибкий анализ статистики межсетевого экрана. Конкретные
возможности:
Суммарный анализ трафика
Анализ трафика по протоколам
Анализ переданного/принятого количества пакетов по функциям
Анализ трафика по рабочим станциям
приходящий трафик
Исходящий трафик
10 наиболее популярных удаленных машин.
Система администрирования межсетевого экрана
Содержит в своем составе развитый графический интерфейс, который позволяет:
работать с базой данных по пользователям
работать с базой данных по сервисам
управлять базой правил сетевого доступа
В качестве возможных расширений межсетевой экран позволяет использовать VPN (по специальной
лицензии). Используемые в составе VPN алгоритмы работы являются уникальными и
не позволяют организовать приватный канал с межсетевого экрана других производителей. При
общении между двумя и более BlackHole имеющаяся система поддержки VPN позволяет
решать задачи взаимной аутентификации и смены ключей весьма эффективно.
Новое название Black Hole - SecurIT FIREWALL.
| 
