Захист комп'ютерних мереж за допомогою АС L- списків

доступу (Access Control List, ACL).

загроз комп'ютерним мережам

Розкрити особливості загроз, умови використання, можливі засоби захисту

Показати,

р.

Звіт, що був підготовлений Cisco спільно з компанією Global

За даними компанії Symantec 65% користувачів Інтернету бували жертвами різного роду атак.
Тому за думкою спеціалістів Cisco у Мережі можуть з'явитися безпечні аналоги з доступом до них на платній основі.

Можливій розвиток Інтернету

за допомогою шифрування.

Захист інформації від випадкового або навмисного пошкодження (видалення).

Ресурс

Суттю захисту інформації є її доступність при збереженні цілісності інформації та гарантованій конфіденційності.

організації шляхом розкриття (порушення конфіденційності), модифікації або руйнування інформації (порушення

так званий людський фактор – цілеспрямовані або випадкові деструктивні дії

продажею зламаних банківських рахунків.

в області інформаційної безпеки, виявила 55389 фішингових Web-сайтів, що на

76% всіх фішингових Web-сайтів відносяться до сектору фінансових послуг (проти 52% у 2007 році).

КО-14 / 21 квітня 2009 року

зараз безпека інформації прогресує через комп'ютерні віруси (черві), що розповсюджуються

Касперського
Згідно звіту, зростання числа нових шкідливих програм в порівнянні з

черв'яком Downadup (Conficker), який швидко розповсюджувався в Інтернет завдяки декільком

«відмова в обслуговуванні» (Denial of service – DOS).

На даний час

SYN Flood

Ping of Death

ACL)

дозволу або блокування його передачі.
Фільтрація дозволяє адміністратору контролювати трафік у

пристрої (сервери), до яких необхідно забезпечити доступ з боку користувачів

списків доступу.

всіх служб певного користувача або локальної мережі (LAN) через маршрутизатор

фільтрація здійснюється на основі вихідної IP-адреси.

Router(config)# access-list 1 permit host 172.34.12.1

Приклад команди створення стандартного списку, яка дозволяє доступ до мережі з окремого вузла

є більш визначеними і забезпечують більш високий рівень контролю.
Розширеним ACL-списками

фільтрація здійснюється на основі вихідної та кінцевої IP-адреси, а також за протоколом і номерами портів

Router(config)# access-list 100 deny tcp 172.16.2.0 0.0.0.255 any eq telnet

Забороняє доступ з підмережі 172.16.2.0/24 до будь-якого іншого вузла за допомогою протоколу Telnet

розширеного списку і позначаються описовим ім'ям, а не номером. При

фільтрація здійснюється на основі вихідної та кінцевої IP-адреси, а також за протоколом і номерами портів

Router(config)# ip access-list standart permit-ip Router(config-ext-nacl)#permit host 192.168.5.47

Створюється стандартний список доступу з ім'ям дозволу IP
Дозволяє доступ з IP-адреси 192.168.5.47

що дозволяє певний трафік, забороняє будь-який трафік

для мережі або підмережі, потрібно відняти десяткову маску підмережі з

55 permit 192.168.77.0 0.0.0.63
access-list 55 permit

Якщо підсумувати маски, те команду можна записати одним рядком:
access-list 55 permit 192.168.77.0 0.0.0.127

Задача: надати дозвіл обміну даними з першими двома підмережами.


Групова маска має вигляд: 0.0.0.63

Якою буде команда, якщо умова задачі стосується 3 і 4 підмереж?

маска 0.0.0.0 або параметр host.
R1(config)#access-list 9 deny

разом з ІР-адресою вузла 0.0.0.0 або параметр any.
R1(config)#access-list 9 permit

маршрутизатору.
Вхідний або вихідний напрям завжди розглядається з точки зору маршрутизатора.
Трафік,

маршрутизатору
вибір інтерфейсу маршрутизатору
вибір напряму застосування списку

блокувати пакети, що направляються в певну кінцеву мережу перш, ніж

Розширений ACL-список краще розміщувати ближче до вихідної адреси.

permit] [вихідна ІР-адреса]
[вихідна-групова маска] [log]





Синтаксис команди видалення ACL-списку наступний

no

permit}
{protocol | protocol-keyword} - наприклад IP,

Використання параметру protocol здійснюється разом з параметром source-port – число з діапазону 0…255

для якого буде використовуватися ACL-список.

2. Здійснюється вибір напрямку фільтрації трафіку.

Дані команди забезпечують застосування створеного ACL-списку 101 до послідовного інтерфейсу маршрутизатору s0/0/0, параметр in визначає напрям обробки трафіку, в даному випадку це вхідний трафік. Якщо трафік вихідний, те потрібно застосовувати параметр out.

access-list
Extended IP access list 101
deny tcp any any

додаткові засоби

2 байти однакові – 192.168, тобто перша частина адреси супермережі

3 байт для кожної підмережі запишемо у двійковому вигляді
192.168.00000000.0 192.168.00000001.0 192.168.00000010.0 192.168.00000011.0

У останніх 2-х бітах є розбіжність, тому їх не враховуємо

Остаточно адреса супермережі буде 192.168.0.0, маска – 255.255.252.0

Границя сумування

можна сумувати

192.168. 00000000.0

255.255.11111100.0