ЖУРНАЛ СТА 3/2020

тора и отключить механизм обучения подключённого порта. Эта таблица ад- ресов доверенных пользователей назы- вается белым списком MAC-адресов. Противоположностью белого списка является чёрный список MAC-адресов, куда записываются ненадёжные MAC- адреса. Если исходный MAC-адрес вхо- дящего кадра совпадает с адресом в чёр- ном списке, кадр немедленно отбрасы- вается. Другой, более продвинутой стра- тегией является ограничение макси- мального количества доверенных MAC- адресов для конкретного порта. Чтобы поддерживать соответствующий статус обучения, создаётся журнал нарушений, выявленных при анализе MAC-адресов, и системный администратор активно уведомляется об этих нарушениях. Отказ в доступе по IP-адресу Любой метод вторжения основан на одноранговом соединении через TCP/IP и маскируется в различных службах или приложениях (например, HTTP, TELNET и FTP). Хакеры могут подклю- чаться к критически важным серверам данных, используя недопустимый IP-ад- рес. Эффективный способ защититься от этого и разрешить доступ к сети толь- ко доверенным IP-адресам заключается в создании белого списка IP-адресов. Чтобы гарантировать, что ненадёжным хостам не будет предоставлен доступ, бе- лый список доверенных IP-адресов, так- же известный как список разрешённых IP-адресов, может быть настроен вруч- ную, и только узлам с адресами из этого списка предоставляется доступ. В сети с доступным DHCP-сервером (DHCP – Dynamic Host Configuration Protocol – протокол динамической конфигурации узла) процедуры проверки безопасности обычно выполняются на нём (например, конкретным MAC-адресам разрешается назначать конкретные IP-адреса). Для обеспечения назначения только опреде- лённого диапазона IP-адресов можно использовать также опцию 82 DHCP (DHCP option 82 – опция протокола DHCP, использующаяся для того, чтобы проинформировать DHCP-сервер о том, от какого DHCP-ретранслятора и через какой его порт был получен запрос). Для обеспечения надёжности работыDHCP- сервера используется также механизм отслеживания законных назначений DHCP и автоматического добавления в белый список MAC-адреса, IP-адреса и подключённого порта доверенных хо- стов. Это предотвращает несанкциони- рованный доступ со стороны настроен- ных IP-адресов. Попросту говоря, если сервером DHCP хосту не был назначен IP-адрес, это означает, что его не будет в белом списке. Таким образом, для этого хоста доступ к сети будет запрещён. В соответствии с приведённым опи- санием, если ненадёжному хосту DHCP- сервером не может быть назначен IP- адрес, в качестве альтернативы не мо- жет использоваться фиксированный IP-адрес, поскольку он не будет нахо- диться в белом списке, и, таким обра- зом, ему всё равно не будет разрешён доступ к сети через данный коммутатор. Отказ в доступе по содержимому кадра Кадр является основной единицей се- тевого трафика. Трафик в компьютер- ных сетях присутствует постоянно, и, за исключением специальной служебной информации, невозможно предугадать, когда появится новый трафик. Таким образом, гибкое определение значения каждого поля в кадре является сложной задачей, особенно потому, что создание белых и чёрных списков зависит от то- го, определены ли ненадёжные кадры. Создание белого списка приводит к уда- лению ненадёжных фреймов. Остаются лишь фреймы, считающиеся доверен- ными на основе совокупности фикси- рованных значений определённых по- лей. При создании чёрного списка кад- ры с фиксированными значениями для определённых полей в списке контроля доступа определяются как вредоносные, что приводит к отказу в доступе. Такие меры безопасности необходимы для за- щиты от вредоносных атак вирусов или попыток парализовать работу сети. Од- нако более гибким может быть подход с реализацией пользовательских фильт- ров содержимого или списков управле- ния доступом для зонного шлюза. Такие фильтры разработаны в соответствии с архитектурой фрейма Ethernet и подраз- деляются на уровень 2 (уровень MAC), уровень 3 (уровень IP) и уровень 4 (уро- вень сервисов/приложений). Эта диф- ференциация предоставляет средства для организации различных действий, которые необходимо предпринять для предоставления или отклонения разре- шения на передачу для трафика, ищу- щего доступ к сети (рис. 8). С ТРАТЕГИИ НА БУДУЩЕЕ Всё более изощрённые угрозы могут стать причиной серьёзных масштабных проблем, поэтому роль кибербезопасно- сти неуклонно возрастает. Согласно от- чёту Online Trust Alliance (OTA), дочерней компании организации Internet Society (Internet Society, ISOC, –международная профессиональная организация, зани- мающаяся развитием и обеспечением до- ступности сети Интернет), в 2017 году число кибератак в мире удвоилось. По- страдали организации всех размеров практически во всех отраслях. Статисти- ка показывает, что чем крупнее бизнес, тем больше он подвержен атакам. И, ко- нечно же, чем больше компания, тем вы- ше стоимость простоя, вызванного ата- кой. Учитывая, что среднее время про- стоя на одну компанию в 2017 году со- ставило 23 часа, финансовые затраты да- же на одну кибератаку могут иметь ката- строфические последствия для бизнеса. Помимо денежных затрат кибератаки и потеря данных могут оказать суще- ственное долговременное негативное влияние на репутацию бренда. Это осо- бенно верно в чувствительных отраслях, где нарушения конфиденциальности могут разрушить доверие потребителей к компании или всему сегменту рынка. Вот почему так важна активная разра- ботка надёжных методов кибербезопас- ности и безопасных систем управления паролями, а также не просто мероприя- тия по ликвидации последствий, но об- учение сотрудников выявлению потен- ОБ ЗОР / П РОМЫШЛ Е ННЫЕ С Е Т И СТА 3/2020 30 www.cta.ru Коммутатор с функциями сетевой защиты Не найден в списке разрешённых паттернов – и отключение Поиск во внутреннем списке разрешённых паттернов Защита от подмены IP Компьютер с нелегальным IP Рис. 8. Предотвращение злонамеренного доступа