Підсистема розмежування доступу

Підсистема розмежування доступу є основним елементом комплексу безпеки Web-портала і призначена для захисту інформаційних ресурсів порталу від несанкціонованого доступу. За допомогою засобів захисту, що входять в цю підсистему, Web-портал підрозділяється на чотири функціональні сегменти (мал. 2):

· сегмент демілітаризованої зони, в якому розміщуються сервери порталу, доступ до яких можуть отримати будь-які користувачі мережі Інтернет. До таких серверів відносяться кеш-сервери, публічні Web-сервери і DNS-сервери;

· сегмент службових серверів, доступ до ресурсів яких можуть отримати тільки адміністратори або службові сервіси Web-портала;

· сегмент управління, в якому розміщуються засоби, необхідні для управління комплексом безпеки Web-портала;

· комунікаційний сегмент, що включає маршрутизатори і комутатори, що забезпечують взаємодію між іншими сегментами порталу.

Рис. 2. Структура захищеного Web-портала

Розділення на окремі сегменти дозволяє ізолювати різні ресурси Web-портала один від одного. В цьому випадку при компрометації сервера одного з сегментів порталу порушник не зможе дістати доступ до інформаційних ресурсів, розташованих в інших сегментах.

Розмежування доступу реалізується підсистемою на трьох рівнях стека TCP/IP - канальному, мережевому і прикладному. На канальному рівні розмежування доступу здійснюється на основі віртуальних локальних мереж VLAN (Virtual Local Area Network), на які розділяється Web-портал. Ділення на такі віртуальні мережі проводиться за допомогою настройок комутаторів, в яких кожен фізичний порт включається в певну віртуальну мережу. Хости можуть вільно обмінюватися даними один з одним в рамках однієї віртуальної мережі, а управління взаємодією між різними віртуальними мережами здійснюється за допомогою списків контролю доступу ACL (Access Control List). У цих списках визначаються правила, відповідно до яких вирішується або забороняється інформаційний обмін між різними мережами VLAN. Так, наприклад, якщо для роботи Web-портала два публічні Web-сервера не повинні обмінюватися між собою інформацією, то вони розділяються на різні віртуальні мережі, між якими забороняється взаємодія. У випадку якщо порушник “зламає” один з публічних серверів Web-портала йому не вдасться дістати доступ до тих ресурсів, які зберігаються на інших серверах, включених в інші віртуальні мережі.

На мережевому рівні розмежування доступу проводиться за допомогою двох міжмережевих екранів (МЕ), що забезпечують фільтрацію пакетів даних відповідно до заданих критеріїв. Приклади критеріїв фільтрації, визначених на різних рівнях стека протоколів TCP/IP, приведені в табл. 1.

Таблиця 1