Загальне поняття «телекомунікації» базується на уявленні про засоби, які дозволяють

організувати зв'язок між двома і більше віддаленими пунктами. Секція телекомунікацій

Міжнародного союзу електрозв'язку (Telecommunications Standardization Sector of
International Telecommunications Unionl, ITU-T) у Рекомендаціях серії І (І.110, І.112) визначає
термін «телекомунікації» (Telecommunications) як сукупність засобів, які забезпечують
перенесення інформації, поданої у необхідній формі, на значну відстань за допомогою
поширення сигналів в одному з середовищ (міді, оптичному волокні, ефірі) або сукупності
середовищ. Засобами, визначеними загальним поняттям «засоби телекомунікацій», є лінії
зв'язку, пристрої з’єднання середовищ, системи передачі, комунікаційні пристрої мережі,
обладнання сигналізації, синхронізації та ін. Ґрунтуючись на цих поняттях, дамо визначення
телекомунікаційній мережі. Телекомунікаційна мережа (Telecommunication Network, TN) –
це системоутворююча сукупність засобів телекомунікацій, що надає
територіальновіддаленим об'єктам можливість інформаційної взаємодії шляхом обміну
сигналами (електричними, оптичними або радіо). Об'єктами при цьому можуть виступати як
термінальні пристрої користувачів та кінцеві системи мережі, так і окремі мережі.

Рис.1. Телекомунікаційна мережа

    Кінцем (інтерфейсною точкою) телекомунікаційної мережі є або телекомунікаційний

роз'єм, до якого під’єднано пристрій користувача (мережевий інтерфейс), або кінцеве
мережеве обладнання, яке забезпечує з’єднання мереж (міжмережевий інтерфейс) (див. рис.
1). У англомовній науковій літературі, акцентуючи саме на цьому аспекті, телекомунікаційну
мережу називають Carrier Network (мережа-переносник). Транспортування (Transfer)
інформації в мережевій термінології означає перенесення інформації, перетвореної в
сигнал, з кінця в кінець, тобто від джерела до одержувача. Його слід відрізняти від терміна
«передача» (Transmission), під яким розуміється процес поширення сигналу у фізичному
середовищі між двома суміжними пунктами мережі.

    Транспортуючи інформацію, необхідно контролювати такі важливі мережеві функції, як

якість обслуговування з кінця в кінець, керування потоками з метою запобігання
перевантажень у мережі та ін. Телекомунікаційні мережі можна класифікувати за типом
режиму перенесення інформації (синхронні, асинхронні) та технологічними
характеристиками (середовищем передавання, заданою шириною смуги пропускання, якістю
передавання сигналів, швидкістю передавання та ін.).
Ресурс зв’язку та методи його розподілу
Ресурс зв'язку (communications resource - CR) являє собою час і ширину смуги частот, доступні
для передачі сигналу в певній системі. Графічно ресурс зв'язку можна зобразити на двомірному
графіку, де вісь абсцис представляє час, а вісь ординат - частоту. Для створення ефективної
системи зв'язку необхідно спланувати розподіл ресурсу між користувачами системи, щоб
час/частота використовувалися максимально ефективно. Результатом такого планування
повинен бути рівноправний доступ користувачів до ресурсу.

      З проблемою спільного використання ресурсу зв'язку пов'язані терміни "ущільнення" і

"множинний доступ". Різниця між цими поняттями є мінімальною. При використанні
терміну ущільнення вимоги користувача до спільного використання ресурсу зв'язку постійні або (у
більшості випадків) змінюються незначно. Розподіл ресурсу виконується апріорно, а спільне
використання ресурсу зазвичай прив'язується до локального пристрою (наприклад, монтажної
плати). Застосування множинного доступу, як правило, вимагає віддаленого спільного
використання ресурсу, як, наприклад, в разі супутникового зв'язку. При динамічній схемі
множинного доступу контролер системи повинен враховувати потреби кожного користувача
ресурсу зв'язку. Час, необхідний для передачі відповідної керувальної інформації, встановлює
верхню межу ефективного використання ресурсу зв'язку.
Первинні мережі, лінії і канали зв'язку
При описі технічної системи, яка передає інформацію між вузлами мережі, в літературі
можна зустріти кілька назв: лінія зв'язку, складений канал, канал, ланка. Часто ці терміни
використовуються як синоніми, і в багатьох випадках це не викликає проблем. У той же час є
і специфіка в їх вживанні.

 Ланка (link) - це сегмент, що забезпечує передачу даних між двома сусідніми вузлами
мережі. Тобто ланка не містить проміжних пристроїв комутації і мультиплексування.

Каналом (channel) найчастіше позначають частину пропускної здатності ланки,

використовувану незалежно при комутації. Наприклад, ланка первинної мережі може
складатися з 30 каналів, кожен з яких має пропускну здатність 64 Кбіт / с.
Складений канал (circuit) - це шлях між двома кінцевими вузлами мережі.

Складений канал утворюється окремими каналами проміжних ланок і внутрішніми

з'єднаннями в комутаторах. Часто епітет «складений» опускається, і терміном «канал»
називають як складений канал, так і канал між сусідніми вузлами, тобто в межах ланки.
Узагальнена задача комутації
Якщо топологія мережі не повнозв’язна, то обмін даними між довільною парою кінцевих вузлів
(абонентів) повинен відбуватися в загальному випадку через транзитні вузли.

Наприклад, в мережі на рис. 1 вузли 2 і 4, безпосередньо один з одним не пов'язані, змушені

передавати дані через транзитні вузли, в якості яких можуть використовуватися, наприклад,
вузли 1 і 5. Вузол 1 повинен виконати передачу даних з інтерфейсу A на інтерфейс B, а вузол 5 -
з інтерфейсу B на F.

Рис. 1. Комутація абонентів через мережу транзитних вузлів.

Послідовність транзитних вузлів (мережевих інтерфейсів) на шляху від відправника до

одержувача називається маршрутом.

У найзагальнішому вигляді задача комутації - завдання з'єднання кінцевих вузлів через мережу
транзитних вузлів - може бути представлена у вигляді декількох взаємопов'язаних окремих
завдань:

1. Визначення інформаційних потоків, для яких потрібно прокладати шляхи.

2. Визначення маршрутів для потоків.

3. Повідомлення про знайдені маршрути вузлів мережі.

4. Просування - розпізнавання потоків і локальна комутація на кожному транзитному вузлі.

5. Мультиплексування і демультиплексування потоків.

Загальна характеристика моделі
Сутність технології відкритих систем полягає в забезпеченні портативності (portability) прикладних
програм між різними комп’ютерними платформами або пристроями телекомунікацій при
збереженні взаємодії (interoperability) таких систем один з одним. Технічно це досягається за
рахунок використання стандартизованих програмних і апаратних інтерфейсів між компонентами
(рівнями) відкритих систем.

Стандартизація взаємозв’язку систем охоплює три рівні опису засобів інформаційного обміну. На
першому рівні специфікується еталонна модель взаємодії відкритих систем, у рамках якої
визначаються основні поняття і загальна структура взаємозв’язку, описуються принципи
побудови системи базових стандартів, тобто визначаються мова опису і методологічні основи
побудови й опису стандартів ЕМВВС.

На другому рівні визначаються специфікації сервісу (послуг), що надаються окремими

компонентами ЕМВВС, тобто на цьому рівні стандартизуються функціональні можливості рівнів
моделі.

Третій рівень опису є найбільш детальним. На цьому рівні здійснюється специфікація протоколів
інформаційного обміну між функціональними елементами еталонної моделі, що визначають
правила й формати взаємодії елементів.

Роботи з організації і стандартизації взаємодії відкритих систем постійно ведуться як на рівні

найкрупніших виробників обчислювальних засобів і телекомунікацій (Cisco System, Hewlett-
Packard, IBM, Sun Microsystems тощо), так і на рівні урядових організацій. Провідне місце в галузі
стандартизації відкритих систем належить Спільному технічному комітету СТК-1 (Join Technical
Committee, JTC-1), організації ISO, а також Міжнародній електротехнічній комісії (International
Electrotechnical Commission, IEC) і Міжнародному союзу електрозв’язку.

Для створення моделі взаємодії відкритих систем у 1977 році Міжнародною організацією зі
стандартизації був створений підкомітет щодо розробки стандартів в галузі інформаційних
систем, до завдань якого входило розв’язання питань:

·         уніфікації опису роботи окремої системи;

·         визначення й уніфікації інтерфейсу для обміну інформацією між системами;

·         усунення технічних перешкод для зв’язку систем.

У результаті проведеної роботи був розроблений ряд специфікацій, які визначають правила
взаємодії різних технічних пристроїв, на основі яких у ході спільної діяльності ряду міжнародних
організацій зі стандартизації — ISO, ITU-T і деяких інших у 1984 р. було створено модель, відому
як еталонна модель взаємодії відкритих систем — ЕМВВС (Open System Interconnection, OSI).

Використання моделі OSI в умовах наявності досить різноманітних апаратно-програмних рішень,

окремих методів розподілу й обробки інформації реалізує принципи системного підходу при
аналізі та синтезі мереж зв’язку, що дозволило б забезпечити в майбутньому їхній розвиток і
адаптацію, як до нових видів обслуговування і технологій, так і до знов створюваної техніки. Сама
ж еталонна модель взаємодії відкритих систем у зв’язку з цим являє собою досить загальну
форму опису структури відкритої інформаційної системи, компонент, що входять до неї, а також
правил і процедур взаємодії останніх у процесі виконання системою поставлених задач.

У моделі OSI (рис. 1) засоби взаємодії поділять на сім рівнів: прикладний, представницький,
сеансовий, транспортний, мережний, канальний і фізичний. Кожний рівень має справу з певним
аспектом взаємодії мережних пристроїв.

Рис. 1 Основні рівні ЕММВС

Оскільки нижні рівні (з 1 до 3) моделі OSI управляють фізичною доставкою повідомлень по
мережі, їх, як правило, називають рівнями середовища передачі даних (media layers). Верхні рівні
(з 4 до 7) моделі OSI забезпечують точну доставку даних між термінальним
обладнанням користувачів мережі, тому їх часто називають рівнями хост-машини (host layers)
(рис. 1).

У моделі OSI розрізняють два види протоколів: протоколи із встановленням з’єднання і протоколи
без попереднього встановлення з’єднання. У першому випадку перед обміном даними відправник
і отримувач спочатку мають встановити з’єднання й вибрати певні параметри протоколу, які
використовуватимуться при обміні даними. Після завершення обміну даними відправник і
отримувач мають розірвати з’єднання. У другому випадку відправник передає повідомлення без
попередніх дій.

Слід також мати на увазі, що аплікація може взяти на себе функції деяких верхніх рівнів моделі
OSI. Наприклад, окремі системи управління базами даних мають вбудовані засоби
віддаленого доступу до файлів. У цьому разі аплікація, виконуючи доступ до віддалених ресурсів,
не використовує системну файлову службу; вона обходить верхні рівні моделі OSI і звертається
безпосередньо до системних засобів, відповідальних за транспортування повідомлень по мережі,
які розташовуються на нижніх рівнях моделі OSI.

Логіка роботи ЕМВВС полягає в такому (рис. 2). Нехай аплікація звертається із запитом до
прикладного рівня, наприклад до файлової служби. На підставі цього запиту програмне
забезпечення прикладного рівня формує повідомлення стандартного формату. Звичайне
повідомлення складається із заголовка і поля даних. Заголовок містить службову інформацію, яку
необхідно передати через мережу прикладному рівню машини-адресата, щоб повідомити йому,
яку роботу слід виконати. У цьому разі заголовок, очевидно, має містити інформацію про
місцезнаходження файлу і про тип операції, яку необхідно виконати. Проте для того щоб
доставити цю інформацію за призначенням, слід розв’язати ще багато задач, відповідальність за
які несуть уже нижчі рівні.

Рис. 2. Логіка роботи ЕМВВС

Після формування повідомлення прикладний рівень спрямовує його вниз по стеку

представницькому рівню. Протокол представницького рівня на підставі інформації, отриманої із
заголовка прикладного рівня, виконує необхідні дії і додає до повідомлення власну службову
інформацію — заголовок представницького рівня, у якому містяться вказівки для протоколу
представницького рівня вузла-адресата. Отримане в результаті повідомлення передається вниз
сеансовому рівню, що, у свою чергу, додає свій заголовок, тощо. (Деякі протоколи поміщають
службову інформацію не тільки на початку повідомлення у вигляді заголовка, але й наприкінці, у
вигляді так званого «кінцевика».) Нарешті, повідомлення досягає нижнього, фізичного рівня, який,
власне, і передає його по лініях зв’язку вузлу-адресатові. До цього моменту повідомлення
«обростає» заголовками всіх рівнів (рис. 2, 3).

Рис. 3. Вкладеність повідомлень різних рівнів

Коли повідомлення по мережі надходить на вузол-адресат, воно приймається її фізичним рівнем і

послідовно переміщується нагору з рівня на рівень. Кожний рівень аналізує й обробляє заголовок
свого рівня, виконуючи відповідні цьому рівню функції, а потім видаляє цей заголовок і передає
повідомлення вищому рівню.

Поряд з терміном повідомлення (message) існують і інші терміни, що застосовують мережні

фахівці для позначення одиниць даних у процедурах обміну. У стандартах ISO для позначення
одиниць даних, з якими мають справу протоколи різних рівнів, використовується загальна
назва протокольний блок даних (Protocol Data Unit, PDU). Для позначення блоків даних певних
рівнів часто використовуються спеціальні назви: кадр (frame), пакет (packet), дейтаграма
(datagram), сегмент (segment). Проміжок часу, протягом якого процес формує повідомлення,
включаючи необхідну для його передачі супутню інформацію, і виконується взаємодія систем,
називають сеансом зв’язку або сесією. З урахуванням усього вищевикладеного ЕМВВС дозволяє
забезпечити розв’язання завдань опису множини функцій, що визначають правила взаємодії
відкритих систем і, як наслідок, основних вимог щодо фізичних засобів з’єднання, не розглядаючи
структуру та характеристики останніх.

Організація взаємодії між абонентами починається з моменту активізації процесів, інтерфейсів і

протоколів прикладним рівнем, тобто рівнем-ініціатором, з почерговим залученням у роботу всіх
наступних рівнів, аж до фізичного рівня.
Загальні відомості про архітектуру сімейства протоколів TCP/IP
Сімейство протоколів TCP / IP побудоване за  принципом "шарів".  Хоча воно і має багаторівневу
структуру, його будова відрізняється від будови еталонної моделі OSI, запропонованої
стандартом ISO. Це й не дивно, так як основні риси сімейства TCP / IP були закладені до появи
еталонної моделі і багато в чому послужили поштовхом для її розробки. У сімействі протоколів
TCP / IP можна виділити чотири рівні:

- Рівень мережевого інтерфейсу.

- Рівень Internet.

- Транспортний рівень.

- Рівень додатків / процесів.

Співвідношення рівнів сімейства TCP / IP і рівнів моделі OSI / ISO наведено на рис.1.

Рис.1. Співвідношення моделей OSI/ISO і TCP/IP
Загальні положення
Усвідомлення необхідності розробки стратегічних підходів до захисту інформації витікає з
усвідомлення важливості і складності захисту та неможливості ефективного його здійснення
простим використанням деякого набору засобів захисту.

Під стратегією взагалі розуміється загальна спрямованість в організації відповідної діяльності, що

розроблена з урахуванням об'єктивних потреб у даному виді діяльності та потенційно можливих
умов її здійснення і можливостей організації.

Стратегія включає:

·     план – заздалегідь намічені в деталях і контрольовані дії на певний строк, що переслідують

певні цілі;

·     прийоми або заходи короткочасної дії, що мають обмежені цілі та маневр із метою досягнення
переваги;

·     модель поведінки – реакція на виклики, що виникають в процесі діяльності;

·     позицію по відношенню до інших.

Завдання стратегії полягає в створенні переваги, усуненні негативного ефекту нестабільності

навколишнього середовища, забезпеченні прибутковості, зрівноваженні зовнішніх впливів і
внутрішніх можливостей. Здатність проводити самостійну стратегію у всіх областях забезпечує
більшу гнучкість, стійкість системи, дозволяє адаптуватися до вимог часу й обставинам.

Стратегія формується під впливом внутрішнього і зовнішнього середовища, постійно

розвивається, тому що завжди виникає щось нове, на що потрібно реагувати.
Загальні положення
Проблема дослідження критичних ситуацій і факторів, які можуть становити певну небезпеку для
інформації, а також пошуку і обґрунтування заходів і засобів по її виключенню або зниженню,
характеризується наступними особливостями:

великою кількістю факторів небезпечних ситуацій і необхідністю виявлення джерел і причин їх

виникнення;

необхідністю виявлення і вивчення повного спектру можливих заходів і засобів протидії

небезпечним факторами з метою забезпечення безпеки інформації.

З іншого боку, існує загроза інформації, що захищається. У літературі визначення загрози

сформульоване в такий спосіб: «Загроза інформації, що захищається, це є сукупність явищ,
факторів і умов, що створюють небезпеку порушення статусу інформації». Тобто загроза
інформації обумовлена цілком певними факторами, сукупністю явищ і умов, які можуть виникнути
в конкретній ситуації.

Стосовно інформаційної системи вся безліч загроз можна розбити на дві групи: зовнішні та
внутрішні, кожна з яких, у свою чергу, ділитися на навмисні та випадкові загрози, які можуть бути
явними або прихованими.

Виявлення і аналіз загроз інформації, що захищається, є відповідальним етапом при побудові

системи захисту інформації. Більшість фахівців вживають термін «загрози безпеки інформації».
Але безпека інформації –  це стан захищеності інформації від впливів, що порушують її статус.
Отже, безпека інформації означає, що інформація перебуває в такому захищеному виді, який
здатний протистояти будь-яким дестабілізуючим впливам.
Загальні положення
Розглянуті види загроз та властивості інформації хоча і дають уявлення про властивості
захищеної інформації та шляхи їх забезпечення, проте вони носять досить абстрактний характер.
Дійсно, в процесі розробки захищеної інформаційно-комунікаційної системи на кожному етапі її
розробки обов'язково доведеться зіткнутися з проблемою конкретної реалізації систем захисту
інформації, тобто реалізації конкретних захисних механізмів і заходів. І тут вже йтиметься не про
абстрактні загрози (типу «порушення конфіденційності»), а про конкретні обставини, які можуть
перешкодити підтримці зазначених властивостей інформації.

Фактично це означає, що на будь-якому об'єкті будь-якої інформаційно-комунікаційної системи

необхідно визначити ті обставини, події, чинники (або причини), які перешкоджатимуть реалізації
конкретних захисних механізмів і заходів, створюючи тим самим відзначені вище загрози. При
цьому вони будуть безпосередньо пов'язані з цими загрозами і, по суті, будуть їх причинами.

Таким чином, можна вважати, що загрози інформації можуть виникати унаслідок здійснення цих
чинників і фактично є їх результатом.
Архітектурна безпека в корпоративних мережах
Інформаційна система типової сучасної організації є дуже складним утворенням, побудованим у
багаторівневій архітектурі клієнт/сервер, яка користується численними зовнішніми сервісами і, у
свою чергу, надає власні сервіси зовні. З точки зору безпеки істотними видаються наступні
аспекти ІС:

-   корпоративна мережа має декілька територіально рознесених частин, зв'язки між якими

знаходяться у веденні зовнішнього постачальника мережевих послуг, виходячи за межі зони,
контрольованої організацією;

-   корпоративна мережа має одне або декілька підключень до Internet;

-   на кожній з рознесених частин ІС можуть знаходитися критично важливі сервери, в доступі до
яких мають потребу співробітники, які працюють на віддалених робочих місцях,
мобільні користувачі і, можливо, співробітники інших організацій;

-   для доступу користувачів можуть застосовуватися не лише комп'ютери, але і користувацькі

пристрої, що використовують безпровідний зв'язок;

-   впродовж одного сеансу роботи користувачеві доводиться звертатися до декількох

інформаційних сервісів, що спираються на різні апаратно-програмні платформи;

-   до доступності інформаційних сервісів пред'являються жорсткі вимоги, які виражаються в

необхідності цілодобового функціонування з максимальним часом простою близько декількох
хвилин;

-   інформаційна система є мережею з активними агентами, тобто в процесі роботи програмні

компоненти, такі як аплети або сервлети, передаються з однієї машини на іншу і виконуються
в цільовому середовищі, підтримуючи зв'язок з віддаленими компонентами;

-   не усі призначені для користувача системи контролюються мережевими і/або системними

адміністраторами організації;

-   програмне забезпечення, особливо отримане по мережі, не може вважатися надійним, в ньому

можуть бути помилки, що створюють проблеми в захисті;

-   конфігурація інформаційної системи постійно змінюється на рівнях адміністративних даних,

програм і апаратури (змінюється склад користувачів, їх привілеї і версії програм, з'являються нові
сервіси, нова апаратура і тому подібне).

 Архітектурна безпека

Сервіси безпеки, якими б потужними вони не були, самі по собі не можуть гарантувати надійність
програмно-технічного рівня захисту. Тільки перевірена архітектура здатна зробити ефективним
об'єднання сервісів, забезпечити керованість інформаційної системи, її здатність розвиватися і
протистояти новим загрозам при збереженні таких властивостей, як висока продуктивність,
простота і зручність використання.

Якщо який-небудь (складений) сервіс не має повного набору захисних засобів, потрібне
залучення додаткових сервісів, які називаються такими, що екранують. Екрануючі сервіси
встановлюються на шляхах доступу до недостатньо захищених елементів; в принципі, один такий
сервіс може екранувати (захищати) скільки завгодно велике число елементів.

З практичної точки зору найбільш важливими є наступні принципи архітектурної безпеки :

-        безперервність захисту у просторі та часі, неможливість минути захисні засоби;

-        наслідування визнаних стандартів, використання апробованих рішень;

-        ієрархічна організація ІС з невеликим числом сутностей на кожному рівні;

-        посилення найслабкішої ланки;

-        неможливість переходу в небезпечний стан;

-        мінімізація привілеїв;

-        розділення обов'язків;

-        ешелонованість оборони;

-        різноманітність захисних засобів;

-        простота і керованість інформаційної системи.

Для забезпечення високої доступності необхідно дотримуватися наступних принципів

архітектурної безпеки :

-    внесення в конфігурацію тієї або іншої форми надмірності (резервне устаткування, запасні

канали зв'язку і тому подібне);

-    наявність засобів виявлення нештатних ситуацій;

-    наявність засобів реконфігурування для відновлення, ізоляції і заміни компонентів, що

відмовили або піддалися атаці на доступність;

-    розосередженість мережевого управління, відсутність єдиної точки відмови;

виділення підмереж і ізоляція груп користувачів один від одного.

Класифікація мережевих екранів
Фільтрація інформаційних потоків здійснюється мережевими екранами на основі набору правил,
що є вираженням мережевих аспектів політики безпеки організації.

Мережеві екрани забезпечують декілька типів захисту :

-    блокують небажаний трафік;

-    направляють вхідний трафік тільки до надійних внутрішніх систем;

-    приховують уразливі системи, які не можна убезпечити від атак з Інтернету іншим способом;

-    протоколюють трафік в та із внутрішньої мережі;

-    приховують інформацію, таку як імена систем, топологія мережі, типи мережевих пристроїв і
внутрішні ідентифікатори користувачів, від Інтернету;

забезпечують надійнішу аутентифікацію, ніж та, яку представляють стандартні засоби.

При розгляді будь-якого питання, що стосується мережевих технологій, основою служить
семирівнева еталонна модель ISO/OSI. Мережеві екрани також доцільно класифікувати по рівню
фільтрації - канальному, мережевому, транспортному або прикладному. Відповідно, можна
говорити про екрануючі концентратори(рівень 2), маршрутизатори (рівень 3), про транспортне
екранування (рівень 4) і про прикладні екрани (рівень 7). Існують також комплексні екрани, що
аналізують інформацію на декількох рівнях.

У цих правилах, окрім інформації, що міститься у фільтрованих потоках, можуть фігурувати дані,
отримані з оточення, наприклад, поточний час, кількість активних з'єднань, порт, через який
поступив мережевий запит, і так далі. Таким чином, в мережевих екранах використовується дуже
потужний логічний підхід до розмежування доступу. Чим вище рівень в моделі ISO/OSI, на якому
функціонує МЕ, тим більше змістовна інформація йому доступна і, отже, тим тонше і надійніше
він може бути конфігурований.

Екрануючі маршрутизатори (і концентратори) мають справу з окремими пакетами даних

(пакетні фільтри). Рішення про те, пропустити або затримати дані, приймаються для кожного
пакету незалежно, на підставі аналізу адрес і інших полів заголовків мережевого (канального) і
можливо транспортного рівнів. Ще один важливий компонент аналізованої інформації - порт,
через який поступив пакет.

Сучасні маршрутизатори дозволяють зв'язувати з кожним портом декілька десятків правил

і фільтрувати пакети як на вході, так і на виході. В принципі, в якості пакетного фільтру може
використовуватися і універсальний комп'ютер, забезпечений декількома мережевими картами.

Основні достоїнства екрануючих маршрутизаторів - доступна ціна і прозорість для більш

високих рівнів моделі OSI. Основний недолік - обмеженість аналізованої інформації і, як наслідок,
відносна слабкість забезпечуваного захисту.

Транспортне екранування дозволяє контролювати процес встановлення віртуальних з'єднань і

передачу інформації по них. В порівнянні з пакетними фільтрами, транспортне екранування має
більшу інформацію, тому відповідний МЕ може здійснювати тонший контроль за віртуальними
з'єднаннями (наприклад, він здатний відстежувати кількість передаваної інформації і розривати
з'єднання після перевищення певного порогу, перешкоджаючи тим самим несанкціонованому
експорту інформації). Аналогічно, можливе накопичення змістовнішої реєстраційної інформації.
Головний недолік - звуження сфери застосування, оскільки поза контролем залишаються
датаграмні протоколи.

Екран, що функціонує на прикладному рівні, здатний забезпечити найбільш надійний захист.

Як правило, подібний МЕ є універсальним комп'ютером, на якому функціонують екрануючі
агенти, що інтерпретують протоколи прикладного рівня (HTTP, FTP, SMTP, TELNET і так далі) в
тому ступені, який потрібний для забезпечення безпеки.
При використанні прикладних МЕ, окрім фільтрації, реалізується ще один найважливіший аспект
екранування. Суб'єкти із зовнішньої мережі бачать тільки шлюзовий комп'ютер; відповідно,
їм доступна тільки та інформація про внутрішню мережу, яку він вважає потрібним експортувати.
Прикладний МЕ насправді екранує, тобто затуляє, внутрішню мережу від зовнішнього світу. В той
же час, суб'єктам внутрішньої мережі здається, що вони безпосередньо спілкуються з об'єктами
зовнішнього світу. Недолік прикладних МЕ - відсутність повної прозорості, що вимагає
спеціальних дій для підтримки кожного прикладного протоколу.

Комплексні мережеві екрани, що охоплюють рівні від мережевого до прикладного, сполучають

в собі кращі властивості "однорівневих" МЕ різних видів. Захисні функції виконуються
комплексними МЕ прозорим для додатків, не вимагаючи внесення яких-небудь змін ні в існуюче
програмне забезпечення, ні в дії, що стали для користувачів звичними.

Комплексність МЕ може досягатися різними способами: "від низу до верху", від мережевого рівня
через накопичення контексту до прикладного рівня, або зверху "вниз", за допомогою доповнення
прикладного МЕ механізмами транспортного і мережевого рівнів.

Окрім виразних можливостей і допустимої кількості правил, якість МЕ визначається ще двома

важливими характеристиками - простотою використання і власною захищеністю. У плані
простоти використання первинне значення мають наочний інтерфейс при визначенні правил
фільтрації і можливість централізованого адміністрування складених конфігурацій. У
останньому аспекті виділяють кошти централізованого завантаження правил фільтрації
і перевірки набору правил на несуперечність. Важливий і централізований збір і аналіз
реєстраційної інформації, а також отримання сигналів про спроби виконання дій, заборонених
політикою безпеки.

Власна захищеність мережевого екрану забезпечується тими ж засобами, що і захищеність

універсальних систем. Мається на увазі фізичний захист, ідентифікація і аутентифікація,
розмежування доступу, контроль цілісності, протоколювання і аудит. При виконанні
централізованого адміністрування слід також потурбуватися про захист інформації від пасивного
і активного прослуховування мережі, тобто забезпечити цілісність і конфіденційність інформації.

Окрім блокування потоків даних, що порушують політику безпеки, МЕ може приховувати

інформацію про мережу, що захищається, тим самим утрудняючи дії потенційних зловмисників.
Потужним методом приховання інформації є трансляція "внутрішніх" мережевих адрес, яка ще
вирішує проблему розширення адресного простору організації.
Міжмережеві екрани
Міжмережевий екран (МЕ) — це спеціалізований комплекс міжмережевого захисту, що
називається також брандмауером або системою firewall. МЕ дозволяє розділити загальну мережу
на дві частини (чи більше) і реалізувати набір правил, що визначають умови проходження пакетів
з даними через кордон з однієї частини загальної мережі в іншу. Як правило, ця межа
проводиться між корпоративною (локальною) мережею підприємства і глобальною мережею
Internet.

Зазвичай МЕ захищають внутрішню мережу підприємства від «вторгнень» з глобальної мережі

Internet, хоча вони можуть використовуватися і для захисту від

«нападів» з корпоративної інтрамережі, до якої підключена локальна мережа підприємства.

Технологія МЕ одна з найперших технологій захисту корпоративних мереж від зовнішніх загроз.

Для більшості організацій установка МЕ є необхідною умовою забезпечення безпеки внутрішньої

мережі.
Для протидії несанкціонованому міжмережевому доступу МЕ повинен розташовуватися між
мережею організації, внутрішньої, що являється, що захищається, і потенційно ворожою
зовнішньою мережею. При цьому усі взаємодії між цими мережами повинні здійснюватися тільки
через МЕ. Організаційно МЕ входить до складу мережі, що захищається.

МЕ, що захищає відразу безліч вузлів внутрішньої мережі, покликаний вирішити:

•                     завдання обмеження доступу зовнішніх (по відношенню до мережі, що

захищається) користувачів до внутрішніх ресурсів корпоративній мережі. До таких користувачів
можуть бути віднесені партнери, видалені користувачі, хакери і навіть співробітники самої
компанії, що намагаються отримати доступ до серверів баз даних, МЕ, що захищаються;

•                     завдання розмежування доступу користувачів мережі, що захищається, до зовнішніх

ресурсів. Рішення цієї задачі дозволяє, наприклад, регулювати доступ до серверів, що не
вимагаються для виконання службових обов'язків.

Досі не існує єдиної загальновизнаної класифікації МЕ. Їх можна класифікувати, наприклад, за

наступними основними ознаками.
По функціонуванню на рівнях моделі OSI:

•                    пакетний фільтр (екрануючий маршрутизатор — screening router);

•                    шлюз сеансового рівня (екрануючий транспорт);

•                    прикладний шлюз (application gateway);

•                    шлюз експертного рівня (stateful inspection firewall). За використовуваною

технологією:

•                    контроль стану протоколу (stateful inspection);

•                    на основі модулів посередників (proxy). По виконанню:

•                    апаратно програмний;

•                    програмний.

За схемою підключення:

•                    схема єдиного захисту мережі;

•                     схема із закритим, що захищається, і відкритим, що не захищається, сегментами
мережі;

схема з роздільним захистом закритого і відкритого сегментів мережі.