10-mavzu. Texnik tizimlarda tarmoq xavfsizligi.
Reja :
1. Axborot kommunikatsion texnologiyalarining xavfsizligini ta’minlash
Tizim ishlashiga ta’sir qiluvchi kiber hujumlarni aniqlash va tahdidlardan
himoya qilish, hujumlarni qaytarish mexanizmlarini o‘rganish.
2. Commodo, FirewallPro, Avast Internet Security Kerio tarmoqlararo ekran
dasturlaridan foydalanish
Tayanch so’z va iboralar: Internet, model, Operatsion Commodo,
FirewallPro, Avast Internet Security, Kerio, Control files, AVG, VPN online redo
log files, Operativ jurnal.
Tarmoq xavfsizligi
Yillar davomida tashkilotlar kichik shaharcha aholisi uylarining eshiklarini
qulflamagandek tarmoq xavfsizligiga e’tiborsiz edi. Internet va global tarmoqning
keng tarqalishi tarmoqqa bo‘lgan bunday munosabatga o‘z ta’sirini o‘tkazishi
natijasida ochiq eshiklar yopiladigan va qulflanadigan bo‘ldi.
Xavfsizlik nima uchun muhim?
Xavfsizlik muhimdir, chunki kompyuter tizimlari va tarmoqlari
himoyalanishi zarur bo‘lgan keng spektrdagi axborot va resurslarni o‘zida
saqlaydi. Siz Internet orqali xarid qilish uchun o‘z kredit kartangizdan
foydalanganingizda siz shartnoma tuzayotgan vaqtda Internetdagi sotuvchi sizga
xavfsiz aloqa ta’minlayotganiga ishonasiz va Siz berayotgan ma’lumotlar uchun
hech qanday xavf yo‘qligiga ishonch bildirasiz Bugungi kundagi identifikatsiyaga
tahdid yuqori bo‘lgan davrda tashkilot xodimlari Xavfsizlik bo‘limiga o‘zining
ijtimoiy himoya nomeri yoki oilaga oid axborot kabi shaxsiy ma’lumotlari
himoyadaligiga ishonadi. Talaba tajriba natijalarini kiritayotganida har gal
kompyuterda ishlash imkoni borligi va dastur ishlayotganiga ishonch hosil qiladi.
Bular nima uchun tarmoq xavfsizligi zarurligini namoyon etuvchi ba’zi
sabablardir. Bu va boshqa sabablarni quyidagi guruhlarga ajratishimiz mumkin:
1.
Axborot va resurslarni shunday himoyasiki, bunda tijorat yoki
tashkilotlar muammo va uzilishlarsiz o‘z faoliyatini saqlab qoladi.
2.
Tibbiy yozuvlar kabi shaxsiy ma’lumotlar maxfiyligi ta’minlanishi
kafolatlanadi
3.
Identifikatsiya va kredit kartalarini o‘g‘irlanishidan himoya etadi.
4.
Ish jarayonlari oqimini oila a’zolari, talabalar va tashkilot
xodimlarining ishlashi va o‘yinlar o‘ynashida to‘xtash va buzilishlar yuz
bermaydigan etib,engillashtiradi.
5.
Kompyuter xakerlarini keyingi zararli hujumlar uyushtirishdan
to‘xtatadi.
Xavfsizlik bo‘yicha amaliy tayyorgarliklar
Hujumlardan amaliy himoyalanish mustahkamlikni oshirish jarayonidagi
qadamdir. Mustahkamlikni oshirish o‘z tarkibiga tarmoq himoyasi va operatsion
tizim usullari orqali hujumni to‘xtatish yoki oldini olish uchun belgilangan
vazifalarni qabul qiladi. Siz ishlayotgan tizimni mustahkamlash yo‘lida bir nechta
umumiy qadamlar mavjud:
1.
Operatsion tizim va tarmoq himoyasi imkoniyatlari bo‘yicha imkoni
boricha ko‘proq ma’lumot bilishga intiling va ulardan foydalanishni o‘rganing.
2.
Yangi hujumlar va ularni qayta ishlash uchun himoya tashklotlarining
veb-sahifalarida tez-tez maslaxat olib turing.
3.
Operatsion tizimni ishlatishingiz uchun absolyut zarur bo‘lgan xizmat
va jarayonlarnigina yuriting va kerak bo‘lmaydiganlarini o‘chirib tashlang, chunki
bunda hujumchilar foydalanishi mumkin bo‘lgan ochiq TCP/UDP portlar va
operatsion tizim dasturlari va jarayonlari sonini kamaytiradi (hujum maydonini
kamaytirish deb ham ataladi).
4.
Imkon bo‘lsa, alohida server, fayrvol va marshrutizatorlardan
foydalaning. Ko‘p funksiya bajaradigan kompyuter va tarmoq qurilmalari
hujumchilar uchun ko‘p ochiq darchalar yaratishi mumkin. Masalan, Internet, DNS
va marshrutizatsiya funksiyalarini yagona serverda jamlamang. Alohida server va
qurilmalarni boshqarish ham soddaroq, himoya etish ham osonroq.
5.
Operatsion tizimning foydalanuvchi login va parollari, himoyalangan
guruhlar, huquqlar, himoyalanish siyosatlari, loginni o‘chirish, himoya
protokollari, shifrlash va autentifikatsiya kabi himoya uchun mo‘ljallangan
imkoniyatlarini o‘rganing va ulardan foydalaning. Hujumchilarga qarshi imkoni
boricha ko‘proq to‘siqlar qo‘ying.
6.
Muntazam ravishda himoya tizimida yuzaga kelishi mumkin bo‘lgan
darchalarning joyini aniqlash va shu erga yo‘naltirilgan himoyalash kabi usullar
qanday o‘rnatilganini tekshirib boring.
7.
Foydalanuvchilarni ongli ravishda himoyalanishga o‘rgatib boring.
8.
Hujum yo‘qligiga ishonch hosil qilish uchun doimiy ravishda
operatsion tizimni nazorat qilib boring.
9.
Bir operatsion tizim, masalan, Mac OS X boshqa operatsion tizim,
misol uchun, Windows 7 dan hujumga kamroq moyil, deb, xato qilmang. Barcha
operatsion tizimlar o‘z nozik tomonlariga ega va hujumchilar barcha turdagi
operatsion tizimlarga hujum uyushtirish uchun zararli dasturlar yozishadi. Android
va iOS kabi mobil operatsion tizimlar ham bundan mustasno emas. Masalan,
Android asosidagi smartfon va planshetlar chiqqanining birinchi yilidayoq ularga
bo‘lgan hujumlar soni asosan dastur yuklash orqali hujum hisobiga 400 foizga
oshdi. iOS mobil qurilmalariga bo‘lgan hujumlar Android qurilmalariga nisbatan
ko‘p bo‘lmaganiga qaramasdan, ularga bo‘lgan hurujlar ham o‘sdi.
Operatsion tizimning himoya imkoniyatlaridan foydalanish
Operatsion tizimlar tizim mustahkamligini ta’minlovchi ko‘p imkoniyatlarga
ega. Sozlash mumkin bo‘lgan imkoniyatlarning ba’zilari quyidagilardir:
1.
Tarmoq tizimida ro‘yxatdan o‘tgan har bir foydalanuvchi tizimga
mustahkam parol bilan kirishni talab eting.
2.
Foydalanuvchilar tarmoqqa kirishi vaqtida autentifikatsiya va
shifrlashning operatsion tizimlaringiz taklif eta oladigan eng mukammal
shakllaridan foydalaning.
3.
Tarmoq ulanishlari uchun raqamli sertifikatsiyali himoyadan
foydalaning. Raqamli sertifikatsiya tarmoq kompyuterlari o‘rtasida uzatish asl
ekanligini tekshirish, ya’ni ulanayotgan qurilmalar haqiqatda o‘zligi ekanligiga
ishonch hosil qilish uchun zarur.
4.
Jild va fayllar xavfsizligi uchun huquqlarni sozlab qo‘ying.
5.
Umumiy foydalanish huquqlari kabi umumiy foydalaniladigan resurs
himoyasidan flydalaning.
6.
Foydalanuvchilar uchun “qiyin” parolь talabi va tarmoqqa ma’lum
marta kira olmagandan keyin foydalanuvchi hisob yozuvini bloklash kabi
xavfsizlik siyosatini o‘rnating.
7.
Simsiz tarmoq uchun tizimda mavjud eng yuqori himoya darajasini
o‘rnating.
8.
Uzoqdan ulanishlar, ayniqsa simsiz tarmoqlar xavsizligi uchun Virtual
xususiy tarmoq – VPNdan foydalaning.
9.
Muntazam ehtiyot uchun nusxalash kabi buzilishdan keyin tiklash
texnologiyalaridan foydalaning.
Hatto ko‘p narsani biladigan odamlar ham ba’zida uyga ishdan nozik
ma’lumotni olib kelishi va operatsion tizimning himoya imkoniyatlaridan
foydalana olmasligi mumkin. Bir misol – yuqori lavozimda ishlovchi havfsizlik
xizmati ofitseri mahfiy fayllarni uyda ular bilan ishlash uchun olib kelgan, deylik.
Bu fayllar etarlicha himoyalanmagan va ihtiyoriy odam, shuningdek, Internet
orqali hujum uyushtiruvchi yoki chet el razvedka agentligining josusi tomonidan
ochib ko‘rish mumkin.
Boshqa bir misolda kompaniyaning server administratori o‘z uyidan
uzoqdan ulanish usuli bilan serverga ba’zi texnik xizmatlar ko‘rsatish uchun
kirgan. Afsuski, uning uy kompyuteri virus tekshiruvchi dasturdagi yangilanish
xizmatining vaqti tugagan sababli virus bilan zararlangan edi. Natijada virus
serverga o‘tib ketdi.
Tarmoq xavfsizligi imkoniyatlaridan foydalanish.
Siz tarmoqda ishlata oladigan bir nechta mustahkamlash usullari mavjud.
Ulardan ba’zi usullar maxsus tarmoq uskunalaridan foydalanishni talab etadi,
boshqalari esa o‘z ichiga dasturiy ta’minotni oladi. Tarmoqni mustahkamlash
usullarining eng oddiylari quyidagilarni o‘z ichiga oladi:
1. tarmoqning ma’lum qismlariga kim kirganini nazorat qilish uchun
tarmoqni kommutator va marshrutizator asosida loyihalash;
2. tarmoq fayrvollari va opersion tizim fayrvollaridan foydalanish;
3. xavfsizroq simli tarmoqlarni loyihalashda yulduzsimon
topologiyasidan foydalanish;
4. tarmoqdagi faollikni muntazam nazorat qilish.
tarmoq
Tarmoq xavfsizligini ta’minlash muammolari va tarmoq hujumlarga qarshi
samarali himoya yechimlari
Mamlakatimiz siyosatining ustuvor yo‘nalishlariga kiritilgan kompyuter va
axborot texnologiyalari, telekomunikatsiya, ma’lumotlarni uzatish tarmoqlari,
Internet xizmatlaridan foydalanish rivojlanmoqda va modernizatsiyalashmoqda.
Jamiyatimizning barcha sohalariga kundalik hayotimizga zamonaviy axborot
texnologiyalarini keng joriy etish istiqboldagi maqsadlarimizga erishishni
ta’minlaydi. Har bir soha faoliyatida Internet tarmog‘idan foydalanish ish
unumdorligini oshirmoqda.
Aynan tarmoqdan foydalangan holda tezkor ma’lumot almashish vaqtdan
yutish imkonini beradi. Xususan, yurtimizda Elektron hukumat tizimi
shakllantirilishi va uning zamirida davlat boshqaruv organlari hamda aholi
o‘rtasidagi o‘zaro aloqaning mustahkamlanishini tashkil etish tarmoqdan
foydalangan holda amalga oshadi. Tarmoqdan samarali foydalanish demokratik
axborotlashgan jamiyatni shakllantirishni ta’minlaydi. Bunday jamiyatda, axborot
almashinuv tezligi yuksaladi, axborotlarni yig‘ish, saqlash, qayta ishlash va
ulardan foydalanish bo‘yicha tezkor natijaga ega bo‘linadi.
Biroq tarmoqqa noqonuniy kirish, axborotlardan foydalanish va o‘zgartirish,
yo‘qotish kabi muammolardan himoya qilish dolzarb masala bo‘lib qoldi. Ish
faoliyatini tarmoq bilan bog‘lagan korxona, tashkilotlar hamda davlat idoralari
ma’lumot almashish uchun tarmoqqa bog‘lanishidan oldin tarmoq xavfsizligiga
jiddiy e’tibor qara-tishi kerak. Tarmoq xavfsizligi uzatilayotgan, saqlanayotgan va
qayta ishlanayotgan axborotni ishonchli tizimli tarzda ta’minlash maqsadida turli
vositalar va usullarni qo‘llash, choralarni ko‘rish va tadbirlarni amalga oshirish
orqali amalga oshiriladi. Tarmoq xavsizligini ta’minlash maqsadida qo‘llanilgan
vosita xavf-xatarni tezda aniqlashi va unga nisbatan qarshi chora ko‘rishi kerak.
Tarmoq xavfsizligiga tahdidlarning ko‘p turlari bor, biroq ular bir necha toifalarga
bo‘linadi:

axborotni uzatish jarayonida hujum qilish orqali, eshitish va
o‘zgartirish (Eavesdropping);

xizmat ko‘rsatishdan voz kechish; (Denial-of-service)

portlarni tekshirish (Port scanning).
Axborotni uzatish jarayonida, eshitish va o‘zgartirish hujumi bilan telefon
aloqa liniyalari, Internet orqali tezkor xabar almashish, videokonferensiya va faks
jo‘natmalari
orqali
amalga
oshiriladigan
axborot
almashinuvida
foydalanuvchilarga sezdirmagan holatda axborotlarni tinglash, o‘zgartirish hamda
to‘sib qo‘yish mumkin. Bir qancha tarmoqni tahlillovchi protokollar orqali bu
hujumni amalga oshirish mumkin. Hujumni amalga oshiruvchi dasturiy ta’minotlar
orqali CODEC (video yoki ovozli analog signalni raqamli signalga aylantirib
berish va aksincha) standartidagi raqamli tovushni osonlik bilan yuqori sifatli,
ammo katta hajmni egallaydigan ovozli fayllar (WAV)ga aylantirib beradi. Odatda
bu hujumning amalga oshirilish jarayoni foydalanuvchiga umuman sezilmaydi.
Tizim ortiqcha zo‘riqishlarsiz va shovqinsiz belgilangan amallarni bajaraveradi.
Axborotning o‘g‘irlanishi haqida mutlaqo shubha tug‘ilmaydi. Faqatgina oldindan
ushbu tahdid haqida ma’lumotga ega bo‘lgan va yuborilayotgan axborotning o‘z
qiymatini saqlab qolishini xohlovchilar maxsus tarmoq xafvsizlik choralarini
qo‘llash natijasida himoyalangan tarmoq orqali ma’lumot almashish imkoniyatiga
ega bo‘ladilar. Tarmoq orqali ma’lumot almashish mobaynida yuborilayotgan
axborotni eshitish va o‘zgartirishga qarshi bir necha samarali natija beruvchi
texnologiyalar mavjud:



IPSec (Internet protocol security) protokoli;
VPN (Virtual Private Network) virtual xususiy tarmoq;
IDS (Intrusion Detection System) ruxsatsiz kirishlarni aniqlash tizimi.
Ipsec (Internet protocol security) bu xavfsizlik protokollari hamda shifrlash
algoritmlaridan foydalangan holda tarmoq orqali xavfsiz ma’lumot almashish
imkonini beradi. Bu maxsus standart orqali tarmoqdagi kompyuterlarning o‘zaro
aloqasida dastur va ma’lumotlar hamda qurilmaviy vositalar bir-biriga mos
kelishini ta’minlaydi. Ipsec protokoli tarmoq orqali uzatilayotgan axborotning
sirliligini, ya’ni faqatgina yubo-ruvchi va qabul qiluvchiga tushunarli bo‘lishini,
axborotning sofligini hamda paketlarni autentifikatsiyalashni amalga oshiradi.
Zamonaviy axborot texnologiyalarni qo‘llash har bir tashkilotning rivojlanishi
uchun zaruriy vosita bo‘lib qoldi, Ipsec protokoli esa aynan quyidagilar uchun
samarali himoyani ta’minlaydi:




bosh ofis va filiallarni global tarmoq bilan bog‘laganda;
uzoq masofadan turib, korxonani Internet orqali boshqarishda;
homiylar bilan bog‘langan tarmoqni himoyalashda;
elektron tijoratning xavfsizlik darajasini yuksaltirishda.
VPN (Virtual Private Network) virtual xususiy tarmoq sifatida ta’riflanadi.
Bu texnologiya foydalanuvchilar o‘rtasida barcha ma’lumotlarni almashish boshqa
tarmoq doirasida ichki tarmoqni shakllantirishga asoslangan, ishonchli himoyani
ta’minlashga qaratilgan. VPN uchun tarmoq asosi sifatida Internetdan
foydalaniladi.
VPN texnologiyasining afzalligi. Lokal tarmoqlarni umumiy VPN
tarmog‘iga birlashtirish orqali kam xarajatli va yuqori darajali himoyalangan
tunelni qurish mumkin. Bunday tarmoqni yaratish uchun sizga har bir tarmoq
qismining bitta kompyuteriga filiallar o‘rtasida ma’lumot almashishiga xizmat
qiluvchi maxsus VPN shlyuz o‘rnatish kerak. Har bir bo‘limda axborot almashishi
oddiy usulda amalga oshiriladi. Agar VPN tarmog‘ining boshqa qismiga ma’lumot
jo‘natish kerak bo‘lsa, bu holda barcha ma’lumotlar shlyuzga jo‘natiladi. O‘z
navbatida, shlyuz ma’lumotlarni qayta ishlashni amalga oshiradi, ishonchli
algoritm asosida shifrlaydi va Internet tarmog‘i orqali boshqa filialdagi shlyuzga
jo‘natadi. Belgilangan nuqtada ma’lumotlar qayta deshifrlanadi va oxirgi
kompyuterga oddiy usulda uzatiladi. Bularning barchasi foydalanuvchi uchun
umuman sezilmas darajada amalga oshadi hamda lokal tarmoqda ishlashdan hech
qanday farq qilmaydi. Eavesdropping hujumidan foydalanib, tinglangan axborot
tushunarsiz bo‘ladi.
Bundan tashqari, VPN alohida kompyuterni tashkilotning lokal tarmog‘iga
qo‘shishning ajoyib usuli hisoblanadi. Tasavvur qilamiz, xizmat safariga
noutbukingiz bilan chiqqansiz, o‘z tarmog‘ingizga ulanish yoki u yerdan biror-bir
ma’lumotni olish zaruriyati paydo bo‘ldi. Maxsus dastur yordamida VPN shlyuz
bilan bog‘lanishingiz mumkin va ofisda joylashgan har bir ishchi kabi faoliyat olib
borishigiz mumkin. Bu nafaqat qulay, balki arzondir.
VPN ishlash tamoyili. VPN tarmog‘ini tashkil etish uchun yangi qurilmalar
va dasturiy ta’minotdan tashqari ikkita asosiy qismga ham ega bo‘lish lozim:
ma’lumot uzatish protokoli va uning himoyasi bo‘yicha vositalar.
Ruxsatsiz kirishni aniqlash tizimi (IDS) yordamida tizim yoki tarmoq
xavfsizlik siyosatini buzib kirishga harakat qilingan usul yoki vositalar aniqlanadi.
Ruxsatsiz kirishlarni aniqlash tizimlari deyarli chorak asrlik tarixga ega. Ruxsatsiz
kirishlarni aniqlash tizimlarining ilk modellari va prototiplari kompyuter
tizimlarining audit ma’lumotlarini tahlillashdan foydalangan. Bu tizim ikkita
asosiy sinfga ajratiladi. Tarmoqqa ruxsatsiz kirishni aniqlash tizimi (Network
Intrusion Detection System) va kompyuterga ruxsatsiz kirishni aniqlash tizimiga
(Host Intrusion Detection System) bo‘linadi.
10.1-rasm. Virtual Ethernet qurilmasi
IDS tizimlari arxitekturasi tarkibiga quyidagilar kiradi:
himoyalangan tizimlar xavfsizligi bilan bog‘liq holatlarni yig‘ib
tahlillovchi sensor qism tizimi;

sensorlar ma’lumotlariga ko‘ra shubhali harakatlar va hujumlarni
aniqlashga mo‘ljallangan tahlillovchi qism tizimi;

tahlil natijalari va dastlabki holatlar haqidagi ma’lumotlarni yig‘ishni
ta’minlaydigan omborxona;

IDS tizimini konfiguratsiyalashga imkon beruvchi, IDS va
himoyalangan tizim holatini kuzatuvchi, tahlil qism tizimlari aniqlagan mojarolarni
kuzatuvchi boshqaruv konsoli.

Bu tizim ikkita asosiy sinfga ajratiladi. Tarmoqqa ruxsatsiz kirishni aniqlash
tizimi (Network Intrusion Detection System) va kompyuterga ruxsatsiz kirishni
aniqlash tizimiga (Host Intrusion Detection System) bo‘linadi. Tarmoqqa ruxsatsiz
kirishni aniqlash tizimi (NIDS) ishlash tamoyili quyidagicha:
1. tarmoqqa kirish huquqiga ega bo‘lgan trafiklarni tekshiradi;
2. zararli va ruxsatga ega bo‘lmagan paketlarga cheklov qo‘yadi.
Sanab o‘tilgan xavfsizlik bosqichlarini qo‘llagan holda Eavesdropping
tahdidiga qarshi samarali tarzda himoyalanish mumkin.
DOS (Denial-of-service) tarmoq hujumning bu turi xizmat qilishdan voz
kechish hujumi deb nomlanadi. Bunda hujum qiluvchi legal foydalanuvchilarning
tizim yoki xizmatdan foydalanishiga to‘sqinlik qilishga urinadi. Tez-tez bu
hujumlar infratuzilma resurslarini xizmatga ruxsat so‘rovlari bilan to‘lib toshishi
orqali amalga oshiriladi. Bunday hujumlar alohida xostga yo‘naltirilgani kabi
butun tarmoqqa ham yo‘naltirilishi mumkin. Hujumni amalga oshirishdan oldin
obyekt to‘liq o‘rganilib chiqiladi, ya’ni tarmoq hujumlariga qarshi qo‘llanilgan
himoya vositalarining zaifligi yoki kamchliklari, qanday operatsion tizim
o‘rnatilgan va obyekt ish faoliyatining eng yuqori bo‘lgan vaqti. Quyidagilarni
aniqlab va tekshirish natijalariga asoslanib, maxsus dastur yoziladi. Keyingi
bosqichda esa yaratilgan dastur katta mavqega ega bo‘lgan serverlarga yuboriladi.
Serverlar o‘z bazasidagi ro‘yxatdan o‘tgan foydalanuvchilarga yuboradi. Dasturni
qabul qilgan foydalanuvchi ishonchli server tomonidan yuborilganligini bilib yoki
bilmay dasturni o‘rnatadi. Aynan shu holat minglab hattoki, millionlab
kompyuterlarda sodir bo‘lishi mumkin. Dastur belgilangan vaqtda barcha
kompyuterlarda faollashadi va to‘xtovsiz ravishda hujum qilinishi mo‘ljallangan
obyektning serveriga so‘rovlar yuboradi. Server tinimsiz kelayotgan so‘rovlarga
javob berish bilan ovora bo‘lib, asosiy ish faoliyatini yurgiza olmaydi. Server
xizmat qilishdan voz kechib qoladi.
10.2-rasm. Xizmat qilishdan voz kechish (DoS) hujumini tashkil qilish
Xizmat qilishdan voz kechish hujumidan himoyalanishning eng samarali
yo‘llari quyidagilar:


tarmoqlararo ekranlar texnologiyasi (Firewall);
IPsec protokoli.
Tarmoqlararo ekran ichki va tashqi perimetrlarning birinchi himoya
qurilmasi hisoblanadi. Tarmoqlararo ekran axborot-kommunikatsiya texnologiya
(AKT)larida kiruvchi va chiquvchi ma’lumotlarni boshqaradi va ma’lumotlarni
filtrlash orqali AKT himoyasini ta’minlaydi, belgilangan mezonlar asosida axborot
tekshiruvini amalga oshirib, paketlarning tizimga kirishiga qaror qabul qiladi.
Tarmoqlararo ekran tarmoqdan o‘tuvchi barcha paketlarni ko‘radi va ikkala (kirish,
chiqish) yo‘nalishi bo‘yicha paketlarni belgilangan qoidalar asosida tekshirib,
ularga ruxsat berish yoki bermaslikni hal qiladi. Shuningdek, tarmoqlararo ekran
ikki tarmoq orasidagi himoyani amalga oshiradi, ya’ni himoyalanayotgan tarmoqni
ochiq tashqi tarmoqdan himoyalaydi. Himoya vositasining quyida sanab o‘tilgan
qulayliklari, ayniqsa, paketlarni filtrlash funksiyasi DOS hujumiga qarshi
himoyalanishning samarali vositasidir. Paket filtrlari quyidagilarni nazorat qiladi:




fizik Interfeys, paket qayerdan keladi;
manbaning IP-manzili;
qabul qiluvchining IP-manzili;
manba va qabul qiluvchi transport portlari.
Tarmoqlararo ekran ba’zi bir kamchiliklari tufayli Dos hujumidan to‘laqonli
himoyani ta’minlab bera olmaydi:
loyihalashdagi xatoliklar yoki kamchiliklar — tarmoqlararo
ekranlarning har xil texnologiyalari himoyalana-yotgan tarmoqqa bo‘ladigan
barcha suqilib kirish yo‘llarini qamrab olmaydi;

amalga oshirish kamchiliklari — har bir tarmoqlararo ekran murakkab
dasturiy (dasturiy-apparat) majmua ko‘rinishida ekan, u xatoliklarga ega. Bundan
tashqari, dasturiy amalga oshirish sifatini aniqlash imkonini beradigan va
tarmoqlararo ekranda barcha spetsifikatsiyalangan xususiyatlar amalga
oshirilganligiga ishonch hosil qiladigan sinov o‘tkazishning umumiy
metodologiyasi mavjud emas;

qo‘llashdagi (ekspluatatsiyadagi) kamchiliklar — tarmoqlararo
ekranlarni boshqarish, ularni xavfsizlik siyosati asosida konfiguratsiyalash juda
murakkab hisoblanadi va ko‘pgina vaziyatlarda tarmoqlararo ekranlarni noto‘g‘ri
konfiguratsiyalash hollari uchrab turadi. Sanab o‘tilgan kamchiliklarni IPsec
protokolidan foydalangan holda bartaraf etish mumkin. Yuqoridagilarni
umumlashtirib, tarmoqlararo ekranlar va IPsec protokolidan to‘g‘ri foydalanish
orqali DOS hujumidan yetarlicha himoyaga ega bo‘lish mumkin.

Port scanning hujum turi odatda tarmoq xizmatini ko‘rsatuvchi
kompyuterlarga nisbatan ko‘p qo‘llanadi. Tarmoq xavfsizligini ta’minlash uchun
ko‘proq virtual portlarga e’tibor qaratishimiz kerak. Chunki portlar ma’lumotlarni
kanal orqali tashuvchi vositadir. Kompyuterda 65 536ta standart portlar mavjud.
Kompyuter portlarini majoziy ma’noda uyning eshigi yoki derazasiga o‘xshatish
mumkin. Portlarni tekshirish hujumi esa o‘g‘rilar uyga kirishdan oldin eshik va
derazalarni ochiq yoki yopiqligini bilishiga o‘xshaydi. Agar deraza ochiqligini
o‘g‘ri payqasa, uyga kirish oson bo‘ladi. Hakker hujum qilayotgan vaqtda port
ochiq yoki foydalanilmayotganligi haqida ma’lumot olishi uchun Portlarni
tekshirish hujumidan foydalanadi.
Bir vaqtda barcha portlarni tahlil qilish maqsadida xabar yuboriladi, natijada
real vaqt davomida foydalanuvchi kompyuterning qaysi portini ishlatayotgani
aniqlanadi, bu esa kompyuterning nozik nuqtasi hisob-lanadi. Aynan ma’lum
bo‘lgan port raqami orqali foydalanuvchi qanday xizmatni ishlatayotganini aniq
aytish mumkin. Masalan, tahlil natijasida quyidagi port raqamlari aniqlangan
bo‘lsin, aynan shu raqamlar orqali foydalanilayotgan xizmat nomini aniqlash
mumkin

Port #21: FTP (File Transfer Protocol) fayl almashish protokoli;

Port #35: Xususiy prInter server;

Port #80: HTTP traffic (Hypertext Transfer [Transport] Protocol)
gipermatn almashish protokoli;

Port #110: POP3 (Post Office Protocol 3) E-mail portokoli.
Kerio Control
Bu sahifada hozircha hech qanday matn yoʻq. Siz bu atamani boshqa
sahifalar ichidan qidirib koʻrishingiz yoki ushbu sahifaga oid qaydlarni koʻrib
chiqishingiz mumkin.
Nima uchun bu kerak?
Kerio 7-versiyasida bir nechta qo'shimcha (yangi) modul mavjud: o'rnatilgan
antivirusSophos odatdagidekMakafi Buzilishning oldini olish moduliQovurg'a .
Bundan tashqari, ba'zi qo'shimcha funktsiyalar mavjud - masalan, tashqi antivirus
plaginlaridan foydalanish. Bularning barchasi muntazam yangilanishni talab qiladi
va ishlab chiqaruvchi bunday imkoniyatni bermaydi :)
Faqatgina bitta usul mavjud - ushbu modullarning barchasini va ular uchun
zarur ma'lumotlarni Kerio mahsulotlariga muvofiq ravishda qayta ishlangan
ma'lumotlarga mustaqil ravishda yangilash. Muammo bunday ma'lumotlarning
manbalarini topishda emas, balki uning taqdim etilish shakli Kerio mahsulotlari
tomonidan yoki qabul qilingan ma'lumotlarga ishlov berish usuli bilan belgilangan
muayyan standartlarga mos kelishini ta'minlashdir. Mutlaqo barcha modullar
yangilanishlari uchun protokoldan foydalanadilarhttp (https) ), ma'lum bir tarzda
tuzilgan veb-sayt yaratish talab qilinadi, shundan Kerio tayyorlagan mahsulot
yangilanadi.
Buning uchun nima kerak?
10.3-rasm. Xizmat ko’rsatish serverlari
Aslida, har qanday konfiguratsiya, tur va joylashuvning veb-serveri - bu OT
dan qat'iy nazar barcha talablar tipikdir. Biz vazifani iloji boricha soddalashtiramiz
- operatsion tizimning ichki imkoniyatlaridan foydalanamizWindows i.e. IIS har
qanday versiyasi ( bu erda ko'rib chiqilganIIS7).
Biz quyidagi mahsulotlar uchun oynani yaratamiz:WebFilter, McAfee,
Sophos, Snort va ClamAV.
Bir nechta tushuntirishlar - antivirus uchun yangilanishlarMcAfee va
ClamAV barqaror aloqalarda joylashgan va qoida tariqasida ular uchun oyna
unchalik zarur emas. Biroq, barcha Internet manbalariga kirish ta'minlanmaydigan
yopiq tizimlar mavjud, ammo bunday tizimlar uchun oynani almashtirish mumkin
emas - uni flesh-diskdan to'ldirish mumkin.
Ko'zgu antivirusidagi mahsulotlar soniga kiritilishi mumkinAvast! - bu
antivirusdan foydalanish server litsenziyasini anglatishi va bunday dastur mustaqil
ravishda yangilanishi sababli amalga oshirilmadi. Texnik jihatdan oyna
yasangAvast! oson va m. u yaqinda amalga oshiriladi.
Snort uchun yangilanishlar - Bepul va har doim mavjud, yagona muammo
shundaki, ushbu yangilanishlarni Kerio foydalanadigan qoidalarga muvofiq qayta
ishlash kerak.
Sophos uchun yangilanishlar Internetda qidirish kerak va bunday manbalar
mavjud, ammo ma'lumotlar taqdimoti, yangilanishi va yaxlitligi formatida beqaror.
Nimadan boshlaymiz?
Ma'lumotni saqlash uchun kerakli fayl tuzilishini yaratishdan. Keling, uni
veb-serverimiz joylashgan jismoniy (yoki virtual) kompyuterda yarataylik.
Ushbu struktura oddiy. (yana, soddaligi uchun biz yordam dasturlaridan
birida berilgan tavsifdan foydalanamiz, keyinchalik foydalanish mumkin bo'lgan
tavsif):
Bundan tashqari, biz skriptlarimiz va oraliq natijalarni saqlash uchun papka
yaratamiz - c: \\ autoit.
Endi biz veb-serverni sozlaymiz (uning o'rnatilishi o'quvchi uchun
qiyinchiliklarga olib kelmaydi deb taxmin qilinadi). O'rnatish paytida yaratilgan
andoza joylashgan saytdan foydalanamiz c: \\ inetpub \\ wwwroot. Sozlamalarda
nimani o'zgartiramiz:
1. Sayt bog'lanishiga uchta nom qo'shing(barcha ismlar shartli, ularning
formati
muhimdir)
http
protokoli
uchun
Updater,
antivirusupdater.MyLocalDomain.ru
va nomi sifatida -IP kompyuterning manzili
172.16.101.1, unda mijozlar yangilanishlarni tinglashlari va barcha tarmoq
manzillarini tinglashlari mumkin.
Nega shunday: manzil bo'yicha 10.3-rasm. Xizmat ko’rsatish serverlari
nomyuqoriga ko'taruvchi har doim ham imkoni bo'lmaydigan DNS
yozuvini talab qiladi. Bundan tashqari, Kerio-ning 64-bitli versiyalari qisqa nomlar
bilan DNS javoblarini to'g'ri ishlamaydi, shuning uchun biz uni iloji boricha nom
sifatida ishlatamiz.IP veb-server manzili. Uzun domen nomi versiyalarda
ishlatilishi kerakKCONTROL 7.1.1 va KCONNECT 7.1.4 - Ism 23 belgidan
iborat bo'lishi kerak, jumladan davrlar yoki undan ko'p. Tabiiyki, ismlar sizning
didingizga qarab tanlanishi mumkin.
Kerio yangilanishlar uchun protokoldan foydalanadihttps . Yamoq bunday
bog'lanishni to'g'ridan-to'g'ri protokolni ko'rsatib olib tashlashi mumkin, masalan,
masalan WebFilter - http: // Updater, ammo kutubxona uchunSophos muallif
bunday imkoniyatni bermadi, bizni qoldirdiHTTPS protokoli, shuning uchun sayt
bog'lanishida biz tizim bizga taklif qiladigan har qanday sertifikat bilan buni
ko'rsatamiz.
2. MIME- qo'shing sayt uchun turlari. Barcha qo'shilgan qiymatlar turga ega
bo'lishi kerakmatn \\ tekis.
Quyidagi qiymatlarni qo'shing:
McAfee: .log .bof .gem .msc .ini .pdb .so .nrc
Snort: .rules .db
Sophos: .ver .vdb .dat .ide .list .php
ClamAv: .cvd .cld
3. Saytdagi voqea ishlov beruvchilarida fayllar uchun modul xaritasini
qo'shing.rules tadbir uchun belgilanganidek
StaticFile
StaticFileModule,
DefaultDocumentModule,
DirectoryListingModule,
so'rovni cheklash fayl \\ katalogiga kiritilganligiga ishonch hosil qiling. Biz
xohlagan narsani chaqiring.
4. Sayt so'rovlarini filtrlashda fayl turidagi yozuvni o'chiring* .rules.
5. Biz ilgari yaratilgan fayl tuzilishiga havola qilib virtual katalog yaratamiz
va kataloglar tarkibini ko'rishga imkon beramiz (osonroq, ammo noto'g'ri - butun
sayt):
Hammasi - Kerio mahsulotlarini yangilash uchun sayt yaratildi. Biz
tarmoqdagi mavjudligini brauzerda kerakli kataloglarni ochib tekshiramiz -http: //
Updater / snort yoki http://172.16.101.1/sophos yoki http://antivirusupdater.MyLocalDomain.ru/clamav
Bo'sh kataloglar ochilishi kerak.
Sayt nomi haqida yana bir bor aytaman: har bir mahsulot uchun o'z nomidan
foydalanish mumkin, tanlov mahsulot versiyasiga, OS bit chuqurligiga va DNS
sozlamalariga bog'liq. Nom ma'lum bir mahsulotni yamash paytida tanlanadi va
veb-serverga va uning sozlamalariga bog'liq emas - bu bog'lashda e'tiborga olinishi
kerak.
Endi saytni to'ldirish kerak. Mahsulotlarning har biri o'z sxemasiga muvofiq
yangilanadi. v ushbu jarayonni avtomatlashtiradigan mustaqil dasturiy vositalar
va skriptlardan foydalanish, shuning uchun ularni alohida ko'rib chiqamiz.
Ushbu usul joriy yangilanish serverining asosidir.
Server Kerio Control va Kerio Connectning barcha qismlarini yangilanish
manbai sifatida ishlatish uchun to'liq konfiguratsiya qilingan: Sophos, McAfee
Arxivga yo'l quyidagi rasmlarda ko'rsatilgan:
10.3-rasm. Kerio Control Interfeysi
10.4-rasm. Kerio Control versiyasiga tanlash
Aytaylik, siz KWF 6.7.1-ning so'nggi versiyasidan o'tmoqdasiz, sizning
maqsadingiz Kerio Control Appliance 8.3-ning ishlaydigan versiyasi (dasturning
joriy versiyasi 2014 yil aprel)
Bu holatda o'tishning asosiy "murakkabligi" KWF 6.7.1-dan Kerio Control
8.3-ga to'g'ridan-to'g'ri yangilanishni amalga oshirish zarurati emas, balki ba'zi bir
asosiy versiyalarga ketma-ket o'tish. Ushbu ehtiyoj, ushbu "asosiy" versiyalarning
konfiguratsiya fayllariga dasturni o'rnatgandan so'ng qayta ishlov berishni talab
qiladigan
ba'zi
xususiyatlarning
kiritilishi
bilan
bog'liq.
KWF 6.7.1-dan Kerio Control 8.3-ga yangilash uchun siz quyidagi
yangilash bosqichlarini bajarishingiz kerak bo'ladi:
1.
Kerio Control 7.0.0 ga yangilang
2.
Kerio Control 7.1.0-ga yangilang
3.
Kerio Control 7.4.2-ga yangilang (Windows uchun so'nggi versiya)
Siz kerakli tarqatishlarni bizning nashr arxivimizdan yuklab olishingiz
mumkin.
Versiyadan versiyaga yangilash jarayoni odatdagi eski versiyaning
"tepasida" o'rnatilishi. O'rnatish dasturi Kerio boshqaruv tizimi xizmatini (Kerio
Winroute Firewall) avtomatik ravishda o'chiradi, Kerio Control (Kerio Winmarshrutlash devori) joriy versiyasining o'rnatish katalogini aniqlaydi va
yangilanishni talab qiladigan dastur fayllarini almashtiradi; Ilova jurnali va
foydalanuvchi konfiguratsion fayllari o'zgarishsiz saqlanadi. Konfiguratsiya
fayllari% programmfiles% \\ Kerio \\ papkasida joylashgan maxsus
"UpgradeBackups" katalogida saqlanadi.
Doimiy yangilanish jarayonining videoklipi:
Kerio Control 7.4.2-ning eng so'nggi Windows versiyasiga o'tish ushbu
platformadagi so'nggi yangilash bosqichi bo'ladi. O'tishning keyingi bosqichlari moslama platformasini tayyorlash, konfiguratsiya, jurnal ma'lumotlar bazasi va
foydalanuvchi statistikasini ko'chirish.
Qurilma platformasiga o'tish.
Ushbu bo'limda biz turli xil Kerio Nazorat asboblarini tarqatish uchun
tarqatish variantlarini ko'rib chiqamiz.
Dasturiy ta'minot jihozini o'rnating
O'rnatish paketining ushbu versiyasini quyidagi yo'llar bilan ishlatish
mumkin:

ISO tasvirini jismoniy CD yoki DVD-disklarga yozib olish mumkin,
keyinchalik siz jismoniy va virtual xostga Kerio Control-ni o'rnatishda
foydalanishingiz kerak.

Virtual kompyuterlardan foydalanganda, ISO-tasvirni virtual CD /
DVD-ROM sifatida ulanishi mumkin, bunda jismoniy ommaviy axborot
vositalariga yozishni talab etmasdan turib, o'rnatishni yakunlash mumkin.

ISO tasvirini USB-flesh-diskka yozib olish va undan o'rnatish
mumkin. Ko'rsatmalar uchun bizning ma'lumot bazamizdagi tegishli maqolaga
(kb.kerio.com/928) murojaat qiling.
VMware virtual moslamasini o'rnating
VMware-ning turli xil virtualizatsiya vositalariga Kerio Control VMware
Virtual Appliance-ni o'rnatish uchun tegishli Kerio Control VMware Virtual App
tarqatish paketidan foydalaning:
VMware Server, Workstation, Player, Fusion uchun arxivlangan (*. Zip)
VMX faylidan foydalaning:
VMware pleeriga virtual modulni o'rnatish
VMware ESX / ESXi / vSphere Hypervisor uchun virtual modulni import
qilish uchun maxsus OVF havolasidan foydalaning:
http://download.kerio.com/uz/dwn/control/kerio-control-appliance-1.2.34567-linux.ovf
VMware ESX / ESXi avtomatik ravishda OVF konfiguratsiya faylini va
unga mos keladigan virtual qattiq disk rasmini (.vmdk) yuklab oladi
OVF formatini ishlatishda quyidagi jihatlarni hisobga olish kerak.

Kerio Control virtual modulida virtualizatsiya serveri bilan vaqtni
sinxronlashtirish o'chirilgan. Shu bilan birga, Kerio Control-da Internet vaqtining
umumiy tarmoq manbalari bilan vaqtni sinxronlashtirish uchun ichki vositalar
mavjud. Shunday qilib, virtual mashina va virtualizatsiya serveri o'rtasida
sinxronlashdan foydalanish ixtiyoriydir.

Virtual mashinani o'chirish va qayta boshlash vazifalari standart
qiymatlarga o'rnatiladi. Ushbu qiymatlarni "majburiy" o'chirish va "majburiy"
qayta ishga tushirish rejimiga o'rnatish qobiliyati saqlanib qoldi, ammo bu o'chirish
va qayta boshlash parametrlari Kerio Control virtual modulida ma'lumotlarning
yo'qolishiga olib kelishi mumkin. Kerio Control virtual moduli ushbu deb
nomlangan narsani qo'llab-quvvatlaydi "Yumshoq" o'chirish va "yumshoq" qayta
ishga tushirish, bu sizning mehmon OS-ni kerakli tarzda o'chirish yoki qayta
boshlash imkonini beradi, shuning uchun standart qiymatlardan foydalanish tavsiya
etiladi.
VMware vSphere-da virtual modulni (ovf) o'rnatish
Hyper-V uchun virtual qurilmani o'rnatish

Arxivlangan (* .zip) tarqatishni yuklab oling, uni kerakli papkaga
oching.

Yangi virtual mashinani yarating, "Mavjud virtual qattiq diskdan
foydalanish" variantini tanlang, faylni yuklab olingan arxivdan chiqarib tashlangan
faylni diskdagi rasm sifatida belgilang.
MS Hyper-V-ga virtual modulni o'rnatish
Apparat platformasiga o'tishga tayyorgarlik ko'rishning navbatdagi muhim
jihati tanlangan asbob platformasida tarmoq Interfeyslarining to'g'ri
konfiguratsiyasi hisoblanadi.
Dastur Apparatida tarmoq Interfeyslarini sozlash
Kerio Control Software Appliance soxta grafik Interfeysida siz IPmanzillarni / bir nechta manzillarni statik yoki dinamik rejimda sozlashingiz,
VLAN Interfeyslarini yaratishingiz va PPPoE rejimida Interfeysni sozlashingiz
mumkin.
Izoh:
Kerio Control dasturiy ta'minotining dasturiy ta'minotini
tarqatishdagi tarmoq Interfeyslarining dastlabki konfiguratsiyasi barcha Kerio
Control Appliance yig'ilishlari uchun bir xil, faqat Kerio Control-dan foydalanish
mumkin bo'lgan turli xil virtualizatsiya muhitlarida virtual tarmoq Interfeyslarini
sozlashda farqlar mavjud.
Hyper-V-da virtual tarmoq Interfeyslarini tayyorlash
Hyper-V virtual kalitini to'g'ri va minimallashtirish uchun siz quyidagi
amallarni bajarishingiz kerak:
Fizik va virtual tarmoq Interfeyslarini xaritalash
Virtual ko'prik xizmati serverning jismoniy Interfeysida mavjudligini
tekshiring
Kerio Control Hyper-V virtual moslama tarmoq Interfeysi uchun tezkor
sozlash variantini ko'rish uchun quyidagi videoni tomosha qiling:
VMware vSphere-da virtual tarmoq Interfeyslarini tayyorlash
VSphere-da virtual tarmoq Interfeyslarini tayyorlashda taxminan bir xil
harakatlar zanjiri.
Bir nechta virtual kalitlarni yaratish, ularning soni virtual tarmoq aloqasiga
bo'lgan ehtiyojingizga bog'liq.
MUHIM: Quyida tavsiflangan protsedura hujjatlashtirilgan imkoniyat
emas, shuning uchun istalmagan oqibatlarga yo'l qo'ymaslik uchun ma'lumotlarni
uzatishni boshlashdan oldin ma'lumotlarni ishonchli saqlashga nusxalash orqali
to'liq zaxira nusxasini yarating.
Shunday qilib, biz tajovuz qilamiz! Birinchidan, joriy dastur protokoli
ma'lumotlar bazasini saqlang. Buning uchun, belgilangan yo'lda joylashgan jurnal
fayllarini saqlang
% programfiles% \\ kerio \\ winroute xavfsizlik devori \\ jurnallari \\ *
Ushbu ma'lumotlarning eng yaxshi saqlanishi uchun, uni topshirishdan
oldin, mavjud bo'lgan xavfsiz saqlash uchun zaxiralash tavsiya etiladi.
Keyin, joriy foydalanuvchilar statistik ma'lumotlar bazasini saqlang. Ushbu
ma'lumotlarning barchasi papkada joylashgan firebird ma'lumotlar bazasi faylida
to'plangan
% programfiles% \\ kerio \\ winroute xavfsizlik devori \\ yulduz \\
ma'lumotlar \\
U erdan bizga faqat star.fdb fayli kerak bo'ladi. Ushbu ma'lumotlarning
yaxshi saqlanishi uchun, uzatishdan oldin, kirishingiz mumkin bo'lgan va xavfsiz
saqlanadigan zaxira nusxasini olish tavsiya etiladi.
Nazorat savollari :
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
Tarmoq xavfsizligi deganda nimanai tushunasiz ?
Operatsion tizim xavfsizligi nima ?
Firewall, Kerio dasturlari vazifalarini tushuntiring.
Port protocollari qanday vazifalarni bajaradi?
Server xizmati deganda nimanai tushunasiz ?
FTP server qanday vazifani bajaradi ?
IDS tizimlari arxitekturasini tushutrirb bering.
(NIDS) ishlash tamoyili tushutrirb bering.
VPN tarmog‘iga qanday ulanish mumkin ?
http:// bilan https:// farqi nimada ?