Сетевая безопасность

Сетевая безопасность защищает данные при передаче и саму сетевую инфраструктуру, используя криптографические протоколы, периметровый контроль и мониторинг для защиты от перехвата, спуфинга, отказа в обслуживании и вторжений.

Definition

Сетевая безопасность — это практика защиты конфиденциальности, целостности и доступности данных при их передаче по сетям, а также самих сетевых устройств и служб от вредоносной активности.

Scope

Эта тема, рассматриваемая с точки зрения криптографии и безопасности, охватывает угрозы, специфичные для сетевой связи, и средства защиты от них: шифрование на сетевом уровне (IPsec, VPN), межсетевые экраны и сегментация сети, обнаружение и предотвращение вторжений, смягчение последствий отказа в обслуживании, а также безопасность DNS и маршрутизации. В ней рассматривается, как криптография защищает трафик от атакующих, находящихся на пути следования данных. Она исключает детали протоколов защищенных каналов TLS и темы сетевой архитектуры, рассматриваемые в разделе «Компьютерные сети».

Core questions

• Какие атаки угрожают данным и сервисам при их передаче через недоверенные сети?
• Как криптография на сетевом уровне (IPsec, VPN) прозрачно для приложений защищает трафик?
• Как межсетевые экраны и сегментация ограничивают возможности злоумышленника внутри сети?
• Как обнаруживаются и сдерживаются вторжения и аномальный трафик?
• Как базовые сервисы, такие как DNS и маршрутизация, защищены от спуфинга и перехвата?

Key concepts

• атакующий на пути следования данных (man-in-the-middle)
• IPsec и VPN
• межсетевые экраны
• сетевая сегментация
• обнаружение и предотвращение вторжений
• смягчение последствий отказа в обслуживании
• безопасность DNS (DNSSEC)
• спуфинг ARP и маршрутов
• фильтрация пакетов

Key theories

Глубокая защита и сегментация

Сети защищаются многоуровневыми, независимыми средствами контроля — периметровыми межсетевыми экранами, внутренней сегментацией, защитой хостов и мониторингом — так, чтобы нарушение одного уровня не предоставляло свободного перемещения по всей сети.

Криптографическая защита трафика при передаче

Конфиденциальность и целостность сетевого трафика достигаются путем шифрования и аутентификации пакетов (IPsec) или сеансов, что предотвращает перехват и подделку данных злоумышленником, находящимся на пути следования.

Mechanisms

Безопасность на сетевом уровне шифрует и аутентифицирует IP-пакеты (ESP и AH IPsec), устанавливая туннели между шлюзами или хостами, чтобы приложениям не требовались изменения. Межсетевые экраны обеспечивают соблюдение политик, фильтруя пакеты по адресам, портам и состоянию соединения, в то время как сегментация изолирует сетевые зоны. Системы обнаружения вторжений проверяют трафик на наличие сигнатур или аномалий, а DNSSEC подписывает записи DNS для предотвращения поддельных ответов. Эти средства контроля предполагают, что злоумышленник может наблюдать или внедрять трафик на пути следования данных.

Clinical relevance

Сетевая безопасность лежит в основе удаленной работы и корпоративных операций: VPN и IPsec безопасно соединяют филиалы и удаленных сотрудников, межсетевые экраны и сегментация сдерживают нарушения, а смягчение DDoS-атак обеспечивает доступность онлайн-сервисов. Громкие инциденты — перехваты маршрутов BGP, отравление кэша DNS и крупные DDoS-атаки с использованием ботнетов — показывают, что происходит, когда эти средства защиты выходят из строя.

Evidence & guidelines

IPsec стандартизирован в RFC (4301 и связанных с ним), DNSSEC в RFC 4033-4035, а рекомендации представлены в NIST SP 800-41 (межсетевые экраны) и SP 800-77 (IPsec VPN). Современные рекомендации отдают предпочтение сегментации с нулевым доверием (NIST SP 800-207) по сравнению с плоскими сетями только с периметром, а фреймворк MITRE ATT&CK каталогизирует методы сетевых атак.

History

Сетевая безопасность стала актуальной по мере роста сетей TCP/IP: червь Морриса 1988 года распространился по раннему интернету, 1990-е годы принесли межсетевые экраны и первые VPN, а IPsec был стандартизирован для защиты сетевого уровня. Повторяющиеся инциденты в DNS (атака Каминского 2008 года по отравлению кэша) и маршрутизации (перехваты BGP) привели к развертыванию DNSSEC и мер безопасности маршрутизации, в то время как DDoS-атаки превратились в постоянную угрозу.

Key figures

• William Stallings
• Ross Anderson
• Steven Bellovin
• Radia Perlman

Seminal works

• stallings2017
• anderson2020
• kurose2021

Frequently asked questions

Делает ли VPN меня анонимным в сети?

VPN шифрует трафик между вами и VPN-сервером, скрывая его от вашей локальной сети и вашего интернет-провайдера, а также маскируя ваш IP-адрес от целевых серверов. Однако он не обеспечивает полной анонимности: провайдер VPN может видеть ваш трафик, а другие методы отслеживания (файлы cookie, учетные записи, снятие отпечатков) по-прежнему могут вас идентифицировать.

Если трафик зашифрован с помощью TLS, почему сетевая безопасность все еще необходима?

TLS защищает отдельные сеансы приложений, но сети также сталкиваются с отказами в обслуживании, вторжениями, горизонтальным перемещением после взлома, атаками на DNS и маршрутизацию, а также незашифрованными или неправильно настроенными службами. Средства защиты на сетевом уровне устраняют угрозы, которые не могут быть решены только с помощью шифрования на уровне сеанса.