Общие сведения о локальной и доменной политиках безопасности. Разработка политики корпоративной безопасности сети для предприятия "JDSONS"

Основная задача корпоративной политики безопасности - это задокументировать правила работы на предприятии в области информационной безопасности. Без нее взаимодействие работников с различными ресурсами будет регулироваться лишь неформально и поэтому возрастет риск нарушений и утечек данных . Введение корпоративной политики повысит дисциплинированность и ответственность работников и построит базу, основываясь на которой можно эффективно организовывать работу компании.

При разработке корпоративной политики безопасности начать следует с определения рисков, которые грозят компании. Это значит в первую очередь определить какие информационные активы следует защищать, каким угрозам подвержены эти активы и какой урон грозит предприятию в случае осуществления этих угроз. Процесс внедрения защитных мер - это всегда поиск компромисса между удобством и снижением рисков. Внедрение политики безопасности является своего рода формализацией этого компромисса. Принятие корпоративной политики поможет минимизировать ситуации, в которых рядовой пользователь не воспринимает всерьез рекомендации ИБ-отдела, а «безопасники» пытаются защитить все и от всего, мешая рабочим процессам компании.

Существует международный стандарт безопасности ISO/IEC 27001 , соответствующий лучшим международным практикам в сфере обеспечения безопасности. Прохождение сертификации (получение декларации на соответствие) по ISO/IEC 27001 дает полное право утверждать, что информационная безопасность компании находится на максимально высоком уровне. Однако выполнение всех требований, изложенных в стандарте, может оказаться весьма затратным и не всегда целесообразным. В зависимости от специфики бизнеса отдельные требования стандарта можно взять на вооружение и тем самым «подстелить соломки» на случай непредвиденных обстоятельств. Кроме того, существуют такие стандарты и руководства, как ITIL Information Technology Infrastructure Library и CobiT , представляющие собой гораздо более подробные и объемные документы, в которых информационная безопасность является частью более глобального подхода к организации менеджмента и по которым также проводится сертификация.

Что должно содержаться в корпоративной политике безопасности

Обеспечение безопасности следует проводить на всех уровнях, от сервера до конечного пользователя. Например, составляется список серверов (сервер электронной почты, FTP , HTTP) и перечень лиц, имеющих к ним доступ, определяются задачи и обязанности. Еще более важным при разработке регламентов безопасности является политика безопасности рабочих мест, в частности политика работы с веб-ресурсами. В ней регулируются ответственность и обязанности сотрудников при работе в интернете.

В политике следует прописывать все меры, которые компания применяет для контроля соблюдения этих политик, и указывать уровень ответственности за нарушения политики.

Положения корпоративной политики информационной безопасности дополняются документами, содержащими частные политики, такими, как вышеописанные политики безопасности рабочих мест и политика безопасности серверов. Важно не путать политики ИБ и процедуры. Требования к информационной безопасности процедур - это самый частный документ в политике корпоративной безопасности и описывает непосредственные меры для обеспечения информационной безопасности в процессе работы персонала.

Естественно, что обязательным условием обеспечения информационной безопасности является эффективно отлаженная работа коллектива. Ошибки в менеджменте и управлении персоналом грозят не только недополученной прибылью, но и многочисленными нарушениями политик безопасности.

Контроль соблюдения политики безопасности

Существуют различные методики контроля за соблюдением работниками корпоративных политик. Разнообразное ПО, предназначенное для мониторинга сотрудников, поставляется как отдельно, так и в составе более комплексных продуктов. Многие DLP-системы , такие, как Falcongaze SecureTower , помимо своей главной функции предотвращения утечек данных, позволяют производить мониторинг работы сотрудников и отслеживать даже те нарушения, которые не привели к нежелательным последствиям. А способ борьбы с такими нарушениями - предусмотренные политикой санкции.

Контроль и регулирование работы компании может вызвать протест среди сотрудников, вызванный вмешательством в привычный для них режим работы. Важно понимать, что оборудование и сервисы, предоставляемые работнику работодателем. являются собственностью владельца бизнеса. В том числе и время, «выкупленное» работодателем у персонала. Поэтому все результаты труда, выполненного в рабочее время, принадлежат работодателю, а он, вследствие этого, имеет полное право их контролировать. Будет нелишним прописать это в политике ИБ.

Внедрение корпоративной политики безопасности - это не одномоментное событие, а долгий процесс, участвовать в котором должны как представители ИБ- и ИТ-отделов, так и руководители других подразделений, дабы избежать «перекосов» и чтобы исполнение положений политики оказалось возможным на практике. Задача политики безопасности не отрегулировать любой возможный процесс в работе компании, а создать базу, на основе которой будет функционировать предприятие в дальнейшем, дополняя общую политику безопасности отдельными, как формальными, так и устными, регламентами и процедурами.

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Подобные документы

Аналитический обзор корпоративной сети. Анализ существующей сети, информационных потоков. Требования к системе администрирования и маркировке элементов ЛВС. Разработка системной защиты от несанкционированного доступа. Инструкция системному администратору.

дипломная работа , добавлен 19.01.2017


Проектирование логической и физической структуры корпоративной сети из территориально разнесенных сайтов. Распределение внутренних и внешних IP-адресов. Подбор сетевого оборудования и расчет его стоимости. Проработка структуры беспроводной сети.

курсовая работа , добавлен 12.01.2014


Разработка высокоскоростной корпоративной информационной сети на основе линий Ethernet c сегментом мобильной торговли для предприятия ООО "Монарх". Мероприятия по монтажу и эксплуатации оборудования. Расчет технико-экономических показателей проекта.

курсовая работа , добавлен 11.10.2011


Организационно-управленческая структура ЗАО "Карачаево-ЧеркесскГаз". Назначение и цели создания корпоративной сети. Организация доступа к мировым информационным сетям. Обеспечение информационной безопасности. Разработка проекта аппаратной части сети.

дипломная работа , добавлен 24.06.2011


Принцип деятельности ООО "МАГМА Компьютер". Особенности предметной области. Цели создания компьютерной сети. Разработка конфигурации сети. Выбор сетевых компонентов. Перечень функций пользователей сети. Планирование информационной безопасности сети.

курсовая работа , добавлен 17.09.2010


Цели разработки корпоративной сети на уровне предприятия. Проектирование доменной структуры. Развертывание служб терминалов. Организация доступа в сеть Internet на базе сервисного оборудования. Разработка стратегии виртуализации операционных систем.

курсовая работа , добавлен 07.06.2014


Функциональная схема локальной вычислительной сети, анализ информационных потребностей и потоков предприятия. Планирование структуры сети, сетевая архитектура и топология. Структура корпоративной компьютерной сети, устройства и средства коммуникаций.

курсовая работа , добавлен 26.08.2010

Защита информации наиболее эффективна, когда в компьютерной сети поддерживается многоуровневая защита. Она складывается из следующих компонентов:

1) политика безопасности локальной сети организации;

2) система защиты хостов локальной сети;

3) сетевой аудит;

4) защита на основе маршрутизаторов;

5) межсетевые экраны;

6) системы обнаружения вторжений;

7) план реагирования на выявленные атаки.

Полная защита целостности сети зависит от реализации всех выше перечисленных компонентов защиты. Использование многоуровневой защиты – это наиболее эффективный метод предотвращения НСД. Самым важным для функционирования защищенной сети является ее политика безопасности, которая определяет, что защищать и на каком уровне. Все остальные уровни защиты логически следуют после принятия для сети политики ее безопасности.

Проведение выбранной при создании сети организации ПБ предусматривает регулярный пересмотр этой политики и мер защиты, ее реализующих, что подразумевает:

обновление политики и мер защиты безопасности, если это необходимо;

проверку совместимости политики и мер защиты с существующей сетевой средой;

разработку новых и удаление старых правил политики и мер защиты по мере необходимости.

ПБ можно разделить на две категории: административные политики и технические политики . В зависимости от этого ПБ базируется на правилах двух видов.

Первая группа связана с заданием правил разграничения доступа ко всем ресурсам системы, а вторая группа основана на правилах анализа сетевого трафика как внутри локальной сети, так и при его выходе из системы или входе в нее. В основе этих правил лежит принцип доверия. Определяя ПБ, нужно выяснить, насколько можно доверять людям и ресурсам.

Для первой группы правил главный вопрос заключается в том, кому и в какой степени в локальной сети можно доверять, имея в виду больше человеческий фактор, но, не забывая при этом и о запущенных в локальной сети процессах и приложениях.

Начальный этап задания этих правил состоит в определении тех, кто получает доступ. Предварительные установки систем, обеспечивающих защиту информации в локальной сети, могут соответствовать принципу наименьшего доступа для всех.

В данном контексте вопрос для второй группы правил звучит так: «Каким пакетам в локальной сети доверять, а каким нет, ибо они могут циркулировать в локальной сети по инициативе злоумышленника» Именно эти правила и являются главенствующими при установке и настройке основных систем анализа трафика в локальной сети и пакетных фильтров.

Для локальной сетей можно выделить три основные модели доверия:

либеральная – доверять всем в течение всего времени работы;

запретительная – не доверять никому и никогда;

разумная или компромиссная – доверять иногда некоторым людям.

Обычно ПБ включает в себя следующие части:

Предмет ПБ . Перед описанием самой ПБ в данной области, нужно сначала определить саму область с помощью ограничений и условий в понятных всем терминах. Часто полезно ясно указать цель или причины разработки политики.

Описание позиции организации . Как только описан предмет ПБ, даны определения основных понятий и рассмотрены условия ее применения, в явной форме описывается позиция организации по данному вопросу.

Применимость . Это означает, что надо уточнить где, как, когда, кем и к чему будет применяться данная ПБ.

Роли и обязанности . Нужно указать ответственных лиц и их обязанности в отношении разработки и внедрения различных аспектов ПБ, а также в случае нарушения ПБ.

Меры защиты . Перечисляются конкретные меры, реализующие ПБ в организации, дается обоснование выбора именно такого перечня мер защиты и указывается, какие угрозы безопасности локальной сети наиболее эффективно предотвращаются какими мерами защиты.

Соблюдение политики . Для ПБ может оказаться уместным описание, с некоторой степенью детальности, нарушений, которые неприемлемы, и последствий такого поведения. Могут быть явно описаны наказания, применяемые к нарушителям ПБ.

Ответственные , или консультанты, по вопросам безопасности и справочная информация.

Система обеспечения безопасности СОБ представляет собой единую совокупность организационных (административных) мер, правовых и морально-этических норм, программно-аппаратных средств, направленных на противодействие угрозам сети с целью сведения до минимума возможного ущерба пользователям и владельцам сети. Обеспечение безопасности конкретной сети должно осуществляться с учетом конкретных особенностей: назначения, топологии, особенностей конфигурации, потоков информации, количества пользователей, режима работы и т.д.

Формирование СОБ корпоративной сети базируется на политике безопасности (способе управления доступом) – наборе законов, правил и практических рекомендаций, реализуемых с помощью различных мер, норм и средств защиты. Для конкретной организации и ее сети политика безопасности должна быть индивидуальной, учитывающей указанные выше особенности. Ее реализация осуществляется с помощью средств управления механизмами защиты.

Основу политики безопасности составляет способ управления доступом, определяющий порядок доступа субъектов сети к ее объектам. Субъект – это активный компонент сети, являющийся причиной потока информации или изменения состояния сети. Объект – пассивный компонент сети, выполняющий функции хранения, приема или передачи информации. Доступ к объекту подразумевает доступ к содержащейся в нем информации.

Различают два вида политики безопасности: избирательную и полномочную.

В основе избирательной политики безопасности лежит избирательное управление доступом, подразумевающее, что все субъекты и объекты сети идентифицированы, а права доступа субъекта к объекту определяются некоторым правилом (свойством избирательности). Наибольшее применение избирательная политика получила в коммерческом секторе, поскольку ее реализация практически отвечает требованиям коммерческих организаций по разграничению доступа, а также имеет небольшие накладные расходы и стоимость.

Полномочная политика безопасности основана на использовании полномочного управления доступом, для которого характерны следующие: субъекты и объекты сети также идентифицированы; каждому объекту присваивается метка критичности, определяющая ценность, уровень приоритета содержащийся в нем информации; каждому субъекту присваивается уровень прозрачности (уровень доступа), определяющий максимальное значение метки критичности объектов, к которым субъект имеет право доступа. Условие защиты звучит так: субъект может выполнять любую операцию над объектом только в том случае, если его уровень доступа не ниже метки критичности объекта. Основное назначение такой политики – регулирование доступа субъектов сети к объектам с различным уровнем критичности, предотвращение утечки информации с верхних уровней на нижние, блокирование возможных проникновений с нижних уровней на верхние. Полномочная политика безопасности изначально была разработана в интересах МО США для обработки информации с различными грифами секретности. В коммерческом секторе ее применение сдерживается отсутствием в коммерческих организациях четкой классификации хранимой в ККС информации (подобной государственной классификации), а также высокой стоимостью реализации и большими накладными расходами.

Помимо управления доступом субъектов к объектам сети, проблема защиты информации имеет еще один аспект: необходимость разработки правил, регулирующих управление информационными потоками в сети. Необходимо определять, какие информационные потоки в сети являются «легальными», не ведущими к утечке информации, и какие «нелегальными», таящими в себе опасность утечки информации. Управление информационными потоками обычно применяется в рамках избирательной или полномочной политики, дополняя их и повышая надежность СОБ.

Таким образом, избирательное или полномочное управление доступом и управление информационными потоками составляют основу формирования и функционирования СОБ корпоративной сети.

Очевидно, что все средства, отвечающие за реализацию политики безопасности, сами должны быть защищены от любого вмешательства в их работу, так как в противном случае трудно говорить о надежности защиты. Политика безопасности и механизмы поддержки ее реализации образуют единую защищенную среду, имеющую иерархическую структуру: ее верхние уровни представлены требованиями политики безопасности, затем следует интерфейс пользователя, далее – несколько программных уровней защиты (включая уровни операционных систем), и, наконец, на нижнем уровне этой структуры располагаются аппаратные средства защиты.

При построении СОБ корпоративной сети принципиально возможен выбор одной из двух концепций :

Создание надежной СОБ на базе каналов связи и средств коммутации территориальной сети связи (ТСС) общего пользования, в которой применяются протоколы Internet. Использование этой концепции связано с большими затратами на обеспечение надежной защиты при подключении ККС к Internet;

Создание СОБ на базе специализированной или выделенной сети связи ККС с использованием конкретной сетевой технологии, в частности FR, ATM, ISDN. Здесь предлагается отказаться от средств, услуг и технологий Internet, убедительно доказавших свою жизнеспособность и эффективность.

Эти концепции представляют полярные взгляды на решение проблемы обеспечения безопасности ККС. Очевидно, что решение этой проблемы представляет собой некоторый компромисс между этими концепциями.

Компромиссное решение по созданию СОБ корпоративной сети, использующей средства, услуги и технологии Internet, может базироваться на двух основных принципах:

Использование закрытого протокола при установлении соединения «клиент-сервер», обеспечивающего защищенное взаимодействие абонентов по виртуальному каналу связи;

Доступность открытых протоколов Internet для взаимодействия по защищенному виртуальному каналу после установления соединения.

В рамках указанных концепций создания СОБ корпоративной сети возможны два подхода к обеспечению безопасности ККС: фрагментарный и комплексный.

Главной отличительной особенностью фрагментарного подхода является отсутствие единой защищенной среды. Такой подход ориентируется на противодействие строго определенным угрозам при определенных условиях, например, использование специализиро-ванных антивирусных средств или автономных средств шифрования. Фрагментарные меры защиты обеспечивают эффективную защиту только конкретных объектов ККС от конкретной угрозы. Даже небольшое видоизменение угрозы ведет к потере эффективности защиты. Естественно, что фрагментарный подход имеет ограниченные области применения.

Для комплексного подхода отличительной особенностью является создание защищенной среды передачи, приема, хранения и обработки информации, объединяющей разнородные меры и средства противодействия угрозам безопасности. Эта среда строится на основе разработанной для конкретной ККС политики безопасности, что позволяет гарантировать определенный уровень безопасности. Недостатки комплексного подхода: сложность управления, ограничения на свободу действий пользователей сети, высокая чувствительность к ошибкам установки и настройки средств защиты. Области применения такого подхода неизмеримо шире. Он применяется для создания СОБ крупных ККС (где нарушение безопасности информации может принести огромный материальный ущерб) или небольших ККС, обрабатывающих дорогостоящую информацию или выполняющих ответственные задачи. Комплексный подход реализуется большинством государственных и крупных коммерческих предприятий и учреждений. Он нашел свое отражение в различных стандартах и целенаправленно проводится в жизнь.

Похожая информация.

1.1.2. Организационная структура предприятия

Рис 1.Схема организационной структуры.

Организационная структура предприятия: линейно-функциональная

Руководитель отдела принимает решение наряду с заместителями генерального директора по различным вопросам.

Стоить выделить отдел АСУ (Автоматизация систем управления), так как данный отдел отвечает за работоспособность сети и, в нашем случае главное, за ее безопасность.

Функции отдела АСУ:

Поддержка рабочих мест;

Построение и прокладка сети;

Администрирование сети;

Рассмотрим несколько характерных случаев, наглядно демонстрирующих типичные инциденты, связанные с деятельностью пользователей. Все описанные ниже случаи взяты из практики и с весьма высокой степенью вероятности могут возникнуть и в организации ОК «БОР».

Случай 1. Многопоточная закачка

Сценарий. Сотрудник загружает из Интернета утилиту для многопоточного сохранения контента указанных сайтов. Указав несколько сайтов, он запускает утилиту в фоновом режиме. В результате сбоя утилита начинает выдавать 500-700 запросов в секунду в непрерывном цикле, что приводит к ситуации DoS на корпоративном прокси-сервере.

Анализ. В данном случае злой умысел со стороны сотрудника отсутствует, однако анализ ситуации показал, что применение данной утилиты не требуется для решения производственных задач. Кроме того, утилита не проходила никаких тестов со стороны администраторов сети и ее применение не было согласовано с ними, что, собственно, и привело к данной ситуации.

Решение проблемы. В политике безопасности вводится запрет на установку программного обеспечения, активно взаимодействующего с Интернетом, без согласования с администраторами и службой безопасности. После этого проводятся технические мероприятия для поиска и удаления подобных программ и блокировки их последующей установки.

Случай 2. Электронная почта

Сценарий. Желая поздравить с Новым годом коллег, сотрудник составляет базу рассылки из 1500 адресов, после чего создает письмо с Flash-мультфильмом размером в 1,5 Мбайт и запускает рассылку. Подобные операции производят также его коллеги, рассылая поздравительные письма с вложенными картинками, Flash-роликами и звуковыми файлами. В результате создается ситуация DoS на почтовом сервере и блокируется прием-отправка деловой корреспонденции.

Анализ. Это типичный пример нецелевого использования корпоративной электронной почты, обычно подобные проблемы возникают перед праздниками. Наиболее характерно данная ситуация проявляется в больших сетях (более 500 пользователей).

Решение проблемы . Технически решить подобную проблему очень сложно, так как ограничения на объем письма и количество писем в единицу времени не всегда приемлемы и малоэффективны при большом количестве пользователей. Наиболее действенная мера - разработка правил использования корпоративного почтового сервера и доведение этих правил до сведения всех пользователей.

Случай 3. Средства анализа сети

Сценарий. Недавно принятый на работу молодой программист для самообразования загружает из Интернета сканер сетевой безопасности XSpider. Для изучения его работы он выставляет настройки по максимуму и в качестве цели указывает адрес одного из корпоративных серверов. В результате средства защиты сервера регистрируют атаку, замедляется время реакции сервера на запросы пользователей.

Анализ. В данном случае злой умысел отсутствует, так как установивший данную программу пользователь сети не имел четкого представления о возможных последствиях.

Решение проблемы . В политике безопасности вводится раздел, категорически запрещающий установку и использование на рабочих местах пользователей средств активного и пассивного исследования сети, генераторов сетевых пакетов, сканеров безопасности и иных средств. Согласно данному положению применение подобных инструментов разрешается только администраторам сети и специалистам по защите информации.

Случай 4. Почтовый вирус

Сценарий. Пользователь получает письмо, содержащее явные аномалии (отправителем и получателем письма является сам пользователь, текст письма не соответствует деловой переписке или отсутствует). К письму приложен архив с неким приложением. Несмотря на инструктаж, любопытство оказывается сильнее, пользователь сохраняет архив на диск, распаковывает и запускает файл, который оказывается новой разновидностью почтового червя.

Анализ. Технические меры в данном случае бесполезны. Тот факт, что пользователь получил письмо, свидетельствует о том, что применяемый почтовый антивирус и антивирус на ПК пользователя не детектируют данную разновидность вируса.

Решение проблемы . Обучение пользователей и разработка планов проведения мероприятий в случае появления в сети почтового или сетевого червя.

Случай 5. Несанкционированное подключение модема

Сценарий. Пользователь несанкционированно подключает к своему компьютеру сотовый телефон и выходит в Интернет через GPRS-соединение. В ходе работы в Интернете на его компьютер проникает сетевой червь, который в дальнейшем пытается заразить другие компьютеры в рамках ЛВС.

Анализ. Сотовые телефоны с GPRS очень распространены, поэтому организовать точку несанкционированного подключения не составляет труда. Опасность такого подключения очень велика, так как оно не контролируется администраторами и не защищено брандмауэром.

Решение проблемы. У данной проблемы имеется два решения: техническое и административное. Для эффективной защиты необходимо применять оба: с одной стороны, политика безопасности должна строжайше запрещать пользователям подключение модемов или сотовых телефонов для выхода в Интернет, а с другой - необходимо предпринимать технические меры для блокирования такой возможности (привилегии и политики безопасности, средства мониторинга).

Случай 6. Зараженный ноутбук

Сценарий. Пользователю выдается служебный ноутбук, который он берет с собой в командировку. Там он подключается к сети, и его компьютер заражается сетевым червем. По возвращении он подключается к ЛВС, и его ноутбук становится источником заражения сети.

Анализ. Данная ситуация достаточно распространена, то есть в этом случае вирус проникает в сеть путем подключения к сети зараженного мобильного компьютера (ноутбука, КПК). Проблема усугубляется наличием в современных ноутбуках Wi-Fi-адаптеров.

Решение проблемы . Данная проблема не имеет однозначного решения. Хорошие результаты достигаются в случае установки на ноутбук антивируса и брандмауэра, причем установка производится администраторами, а пользователю строжайше запрещается их отключать или переконфигурировать.

Случай 7. Работа с электронной почтой в обход корпоративного почтового сервера

Сценарий. Пользователь заводит один или несколько почтовых ящиков в Интернете и использует их в обход корпоративного почтового сервера. В результате он получает письмо с вирусом, и его компьютер в дальнейшем становится источником заражения ЛВС.

Анализ . Это весьма распространенная ситуация. Корпоративный сервер достаточно легко защитить, установив на нем систему почтовых фильтров и антивирус (как вариант - несколько антивирусов). Работа в обход почтового сервера открывает неконтролируемую администраторами брешь в защите сети. Вышесказанное относится также к средствам онлайновых коммуникаций типа ICQ, MSN Messanger и их аналогов.

Решение проблемы. Наиболее эффективное решение - запрет для сотрудников компании на использование посторонних почтовых ящиков. С одной стороны, данный шаг кажется драконовской мерой, с другой - закрывает канал утечки информации и устраняет один из основных источников проникновения вредоносных программ в сеть.

1.3. Необходимость использования межсетевых экранов для защиты ЛВС ОК «БОР»

В связи с бурным ростом глобальных информационных технологий, вопросы защиты информации в IP-сетях приобретают большую актуальность. В нашем случае во внутренней локальной сети предприятия циркулирует информация, распространение которой нежелательно, и существует потребность в анализе каналов утечки и вариантов защиты. Все "слабые места" сетевых информационных систем можно условно классифицировать на два класса:

Ошибки в программном обеспечении серверов и рабочих станций, позволяющие получить полный или частичный доступ к информации, хранящейся на данной компьютере;

Ошибки при проектировании сетевых протоколов, приводящие к тому, например, что даже при корректной программной реализации того или иного протокола появляются возможности для несанкционированного доступа.

Межсетевые экраны (firewall, брандмауэр) делают возможной фильтрацию входящего и исходящего трафика, идущего через систему. Межсетевой экран использует один или более наборов ""правил"" для проверки сетевых пакетов при их входе или выходе через сетевое соединение, он или позволяет прохождение трафика или блокирует его. Правила межсетевого экрана могут проверять одну или более характеристик пакетов, включая но не ограничиваясь типом протокола, адресом хоста источника или назначения и портом источника или назначения.

Межсетевые экраны могут серьезно повысить уровень безопасности хоста или сети. Они могут быть использованы для выполнения одной или более ниже перечисленных задач:

Для защиты и изоляции приложений, сервисов и машин во внутренней сети от нежелательного трафика, приходящего из внешней сети Интернет.

Для ограничения или запрещения доступа хостов внутренней сети к сервисам внешней сети Интернет.

Для поддержки преобразования сетевых адресов (network address translation, NAT), что позволяет использование во внутренней сети приватных IP адресов (либо через один выделенный IP адрес, либо через адрес из пула автоматически присваиваемых публичных адресов).

Итак, чтобы обеспечить информационную безопасность ЛВС следует учесть следующие угрозы:

Анализ сетевого трафика с целью получения доступа к конфиденциальной информации, например к передаваемым в открытом виде по сети пользовательским паролям;
нарушение целостности передаваемой информации. При этом может модифицироваться как пользовательская, так и служебная информация, например подмена идентификатора группы, к которой принадлежит пользователь;
получение несанкционированного доступа к информационным ресурсам, например с использованием подмены одной из сторон обмена данными с целью получения доступа к файл-серверу от имени другого пользователя;
попытка совершения ряда действий от имени зарегистрированного пользователя в системе, например злоумышленник, скомпрометировав пароль администратора, может начать общаться с ЛВС от его имени.
Причинами возникновения данных угроз в общем случае могут оказаться:
наличие уязвимостей в базовых версиях сетевых протоколов. Так, при использовании стека протоколов TCP/IP нарушитель может внедрить в ЛВС ложный ARP-сервер (см. пример, приведенный далее);
уязвимости специализированных защитных механизмов. Например, причиной возникновения подмены стороны информационного обмена может служить уязвимость процедур аутентификации клиентов при доступе к серверу;
некорректное назначение уровня доступа;
использование в качестве каналов передачи данных общедоступной среды, например применение топологии построения ЛВС с общей шиной. В данном случае злоумышленник может использовать ПО (например, Network Monitor или LanAnalyzer), позволяющее просматривать все передаваемые в сети пакеты;
некорректное администрирование ОС, например задание не до конца продуманных разрешений на удаленное редактирование системного реестра (в ОС Windows NT);
ошибки в реализации ОС;
ошибки персонала.

Обеспечение защиты в соответствии с заданной политикой безопасности в ЛВС является комплексной задачей и осуществляется при помощи:

Корректного администрирования сетевых настроек ОС (в том числе и настроек, отвечающих в данной ОС за сетевую безопасность, которые являются штатными средствами большинства современных ОС);
дополнительных защитных механизмов: шифрования, ЭЦП, аутентификации сторон и др.;
организационных методов защиты и контроля за их неукоснительным соблюдением, например с использованием системы аудита.программных ... с помощью программного обеспечения... реализация или поддержка принятой политики безопасности в данной организации . Например, согласно политике безопасности ... ОК . ...