ЖУРНАЛ СТА 3/2020

сти, что делает контент идентифицируе- мым. Если пакеты всё же перехвачены, хакер может потратить практически бес- конечное время, пытаясь взломать алго- ритм шифрования, и оказаться неспо- собным сделать это (рис. 6). Д ОСТУПНОСТЬ СЕТИ Реакция на события Для обеспечения доступности сеть использует различные методы уведом- ления супервизоров о нерегулярном по- ведении сети. Самым простым из них является мигающий светодиод, указы- вающий на критическую ситуацию. Эта сигнализация может сопровождаться последующими процедурами, такими как сброс/перезагрузка системы. На- пример, если по неизвестным причи- нам создаётся сетевая петля, кроме ге- нерации записи в журнале и мигания светодиода единственное последующее действие, выполняемое системой, – от- ключение порта, в котором была обна- ружена петля, и изоляция её. Это, одна- ко, всего лишь окольный путь, имею- щий целью не допустить развития кри- тической ситуации, – на самом деле изначальную проблему он не решает. Чтобы обеспечить соответствующий уровень реагирования, необходимо проводить постоянный мониторинг. Эта рутинная работа включает в себя опрос состояния узлов сети и выполне- ние выборки за определённый период. После сбора записей и выполнения об- общающих вычислений определяются нормальные границы функционирова- ния. Впоследствии ненормальные усло- вия оцениваются на основе выработан- ных пользовательских порогов. Пред- положим, что трафик в порту (загрузка порта) был, например, менее 10 МБ на протяжении последних двух недель, но затем в последней выборке внезапно увеличился до 100 МБ. Расчёт средней загрузки порта за последние 2 недели показал бы, что 10 МБ – это нормаль- но; таким образом, пик трафика 100 МБ можно считать аномалией. В своей про- стейшей форме среднее значение каж- дого параметра выборки по времени вычисляется и сравнивается с текущим, чтобы определить, насколько новое значение выборки отличается от пре- дыдущего среднего значения. Сетевые ресурсы Обеспечение пропускной способности является наиболее важной проблемой при рассмотрении сетевых ресурсов. Ме- ханизм ограниченной и гарантирован- ной пропускной способности обеспечи- вает эффективнуюработу сети. Для обес- печения трафика без потерь гарантиро- ванная пропускная способность обес- печивает стабильность всех критически важных соединений, тогда как ограни- ченная пропускная способность отбра- сывает недопустимые и опасные кадры в качестве превентивной меры против се- тевых штормов. Для обеспечения до- ступности полосы пропускания компо- ненты сети оснащаются функциями контроля шторма и контроля скорости. DDoS-атаки также представляют значительную угрозу доступности ре- сурсов, но такие атаки можно пред- отвратить, используя фильтр, выявляю- щий и отбрасывающий недопустимые кадры. Конечно, это не означает, что все DDoS-атаки можно распознать ав- томатически, поскольку некоторые кадры могут нести действительно цен- ный контент. Поэтому другим эффек- тивным способом защиты от широко- вещательных, многоадресных или не- известных одноадресных штормов яв- ляется контроль штормов (рис. 7). Б ЛОКИРОВКА ВРЕДОНОСНОГО ТРАФИКА Отказ в доступе к порту Самый простой способ предотвратить несанкционированный доступ через портовые соединения – отключить все необслуживаемые порты. Но хотя этот подход прост и эффективен, когда ко- му-то нужно использовать закрытый порт, он создаёт неудобства, поскольку системный администратор должен включить и настроить порт, прежде чем он станет доступным для использова- ния. Для решения этой проблемы была разработана удалённая аутентификация 802.1X (стандарт EAP – Extensible Authentication Protocol – позволяет про- верять подлинность при подключениях удалённого доступа). Этот процесс дове- ренной авторизации выполняет опера- ции аутентификации с профессиональ- ного сервера безопасности RADIUS (Remote Authentication in Dial-In User Service – протокол для реализации аутентификации). Когда неавторизо- ванный хост запускает процесс EAP для обмена информацией учётной записи с сетевыми компонентами, это, в свою очередь, запускает процесс RADIUS на сервере. По завершении аутентифика- ции подключённый порт разблокиру- ется для использования. Отказ в доступе по MAC-адресу Ещё один способ запретить доступ не- авторизованным пользователям – доба- вить MAC-адреса доверенных пользова- телей в таблицу MAC-адресов коммута- ОБ ЗОР / П РОМЫШЛ Е ННЫЕ С Е Т И СТА 3/2020 29 www.cta.ru Рис. 6. Шифрование и дешифрование данных Рис. 7. Критерии определения доступности сети Метод управления Алгоритм шифрования Приложение Команда SSH SSL (HTTPS) Веб-интерфейс Идентификатор объекта MIB-браузер Веб-браузер Терминал Зашифровано SNMPv3 Коммутатор с функциями сетевой защиты Поиск в списке запрещённых паттернов Поиск в списке паттернов и отключение Управление Botnet (зомби-сеть) Предупреждение DDoS-атак