Microsoft ISA Server 2004 - новое средство защиты

В конце прошедшего лета корпорация Microsoft выпустила ISA (Internet Security and Acceleration) Server 2004 - серверное решение, объединяющее усовершенствованный трехуровневый межсетевой экран уровня приложений, средства организации и управления виртуальными частными сетями и службу кэширования Web-данных. Продукт предназначен для защиты информационных систем организаций любого размера - от малых предприятий до крупных корпораций - от внутренних и внешних атак и для оптимизации информационного трафика при работе с данными.

Первый продукт Microsoft, обеспечивающий безопасность корпоративных систем при взаимодействии с внешним миром, - Proxy Server (кодовое название Catapult) - появился в середине 1996 г. Спустя полтора года вышла его вторая версия, в которой была существенно повышена производительность межсетевого экрана, а также заметно расширены возможности кэширования. Следующий вариант системы разрабатывался более трех лет и был представлен на рынке в начале 2001 г. под новым названием Internet Security and Acceleration Server 2000, что должно было отразить качественные изменения в продукте (как по функционалу, так и по масштабируемости решения).

Именно с появлением ISA 2000 аналитики стали регулярно включать продукт Microsoft в свои обзоры корпоративных брандмауэров, хотя в число лидеров он чаще всего не входил. Судя по всему, выпуск ISA 2004 означает для Microsoft новый этап развития средств обеспечения информационной безопасности, и с его помощью корпорация намерена улучшить свои позиции в данном сегменте рынка.

В Microsoft ISA 2004 появилось много новшеств, которые мы рассмотрим ниже. А сейчас отметим лишь два наиболее существенных момента. Во-первых, в ISA 2004 полностью переработана внутренняя архитектура, что позволило не просто повысить производительность, но и обеспечить поддержку нескольких сетей одновременно и виртуальных частных сетей (Virtual Private Network, VPN), что позволяет применять сервер в качестве межсетевого экрана на периметре корпоративной сети или межсетевого экрана подразделения без изменения архитектуры сети. Во-вторых, реализован новый интерфейс пользователя, который за счет расширенных средств администрирования обеспечивает единое управление сетью VPN и межсетевым экраном с помощью удобного средства редактирования политик.

Ниже мы рассмотрим основные функции ISA 2004 с точки зрения его применения: межсетевой экран, Web-кэширование, инструменты управления и средства расширения. Кроме того, в таблице приведен краткий перечень технологических функций сервера с указанием степени их новизны.

Основные функции Microsoft ISA Server 2004 (выпуск Standard Edition)

Межсетевой экран предприятия

Многоуровневый межсетевой экран. Для достижения максимального уровня безопасности сетей предприятий используется фильтрация пакетов, фильтрация каналов и фильтрация потока данных приложений.

Динамическая фильтрация пакетов выявляет пакеты, которые будут пропущены в защищенные области сети, а также к прокси-службам прикладного уровня. При этом по мере необходимости автоматически выполняется открытие (а по завершении сеанса связи - закрытие) соответствующих портов.

Фильтрация каналов обеспечивает прозрачный для приложений шлюз для межплатформенного доступа к telnet, RealAudio, Windows Media, IRC (Internet Relay Chat), а также ко многим другим протоколам и службам Интернета. В отличие от других межсетевых экранов, фильтрация каналов в ISA Server 2004 работает совместно с динамической фильтрацией пакетов, что упрощает ее использование и повышает общую безопасность работы сети.

Фильтрация и динамическая проверка данных приложений способна распознавать команды протоколов (например, НТТР, FTP и Gopher), поступающие от клиентских компьютеров. Сервер ISA Server имперсонирует во внутренней сети клиентские компьютеры, скрывая от внешней среды внутреннюю топологию сети и IP-адреса предприятия.

Динамическая проверка данных приложений. ISA Server 2004 динамически проводит интеллектуальную проверку на уровне приложений потока данных, проходящего через межсетевой экран. Во избежание возможных разрывов подключения или нарушения системы безопасности это делается с учетом контекста данных приложения и состояния подключения.

Интеллектуальная фильтрация данных приложений. Помимо базовой фильтрации данных, сервер ISA Server 2004 контролирует поток данных приложений, распознавая в нем данные и команды при помощи специальных фильтров. Средства интеллектуальной фильтрации позволяют на основе анализа содержания потока данных пропускать, блокировать, перенаправлять или изменять данные протоколов HTTP, FTP, SMTP, POP3, DNS, данных конференций по протоколу H.323, потокового мультимедиа, удаленного вызова процедур и VPN.

Безопасная публикация. Механизм безопасной публикации серверов позволяет защитить от внешних атак в Интернете Web-серверы, почтовые серверы и приложения электронной торговли. ISA Server способен выдавать себя за опубликованный сервер, реализуя дополнительный уровень защиты. Для защиты внутренних серверов в правилах Web-публикации можно определить доступные компьютеры, а правила публикации средств управления сервером защищают внутренние серверы от незаконного доступа со стороны внешних пользователей. Кроме того, опубликованные серверы защищены от атак извне с помощью интеллектуальной фильтрации данных приложений.

Обнаружение вторжений. Интегрированный компонент обнаружения вторжений (разработанный на основе технологии компании Internet Security Systems) уведомляет пользователя и предпринимает необходимые действия в случае обнаружения попытки незаконного проникновения в сеть (например, сканирования портов, использования средств WinNuke или Ping of Death).

Встроенная поддержка VPN. Для предоставления стандартного безопасного удаленного доступа используются встроенные службы виртуальных частных сетей Windows 2000 и Windows Server 2003. ISA Server 2004 поддерживает безопасные VPN-подключения филиалов или удаленных пользователей к основному офису. Политика межсетевого экрана применяется к VPN-подключениям и позволяет точно контролировать те протоколы и ресурсы, к которым получают доступ пользователи таких подключений.

Прозрачность межсетевого экрана. Механизм SecureNAT путем замены внутреннего IP-адреса на внешний предоставляет прозрачный доступ к межсетевому экрану и защиту для всех IP-клиентов (независимо от конфигурации клиента и не требуя специального ПО). Сложные фильтры прикладного уровня, которые служат для управления подключением, предоставляют комплексную поддержку клиентам SecureNAT.

Проверка подлинности пользователей. Для клиентов Web-прокси и межсетевого экрана ISA Server 2004 поддерживает аутентификацию Windows (NTLM и Kerberos). Для клиентов Web-прокси поддерживаются клиентские сертификаты, выборочная, базовая, анонимная проверка подлинности, а также проверка подлинности на основе форм. Проверка подлинности пользователей может проводиться по данным локальной базы данных на межсетевом экране, Active Directory или с помощью службы RADIUS.

Мост SSL-SSL. Для серверов, использующих доступ только по зашифрованным и проверенным каналам, ISA Server 2004 поддерживает механизм фильтрации моста SSL-SSL. В отличие от большинства межсетевых экранов, в ISA Server 2004 зашифрованные данные могут быть проверены до попадания на сервер. Межсетевой экран расшифровывает поток SSL, проводит динамическую проверку, а затем повторно шифрует и пересылает данные опубликованному Web-серверу.

Сервер Web-кэширования

Высокопроизводительное Web-кэширование. Повышена производительность Web-кэширования для внутренних клиентов, получающих доступ к серверам Интернета, а также внешних пользователей Интернета, которые подключаются к Web-серверу предприятия. Для достижения максимальной производительности ISA Server 2004 использует быстрое кэширование в оперативной памяти и оптимизированный дисковый кэш.

Интеллектуальное кэширование. Благодаря активному кэшированию часто используемых объектов пользователь получает Web-контент последней версии. ISA Server 2004 автоматически определяет часто используемые Web-сайты, а также необходимую частоту обновления их содержания (на основании продолжительности пребывания объекта в кэше или времени последнего извлечения объекта). В периоды низкого потребления сетевых ресурсов ISA Server 2004 без вмешательства диспетчера сети предварительно загружает Web-контент в кэш. Кроме того, Web-кэш ISA Server 2004 можно использовать для предварительной загрузки автономного контента, которое хранится на компакт- или DVD-дисках.

Кэширование по графику. Существует возможность предварительной загрузки в кэш целых Web-сайтов по определенному графику. За счет этого можно предоставить пользователям на предприятии доступ к контенту на автономных Web-серверах.

Управление межсетевым экраном

Управление доступом с помощью политик. Организация может контролировать входящий и исходящий доступ по пользователям, группам, приложениям, источникам и местам назначения, по изменению контента, а также по расписанию. С помощью мастеров политик межсетевого экрана задаются доступные Web-сайты и контент, доступность определенного протокола для установки входящих и исходящих подключений, а также разрешения на установку подключений между определенными IP-адресами с помощью заданных протоколов и портов.

Упрощенное управление. В ISA Server 2004 конфигурацию межсетевого экрана можно целиком скопировать в файл XML. Затем такой файл переносится на сменный носитель или отправляется в составе безопасного почтового сообщения администратору другого межсетевого экрана, чтобы обеспечить стандартную конфигурацию в рамках всей организации. Кроме того, можно скопировать в файл XML, а затем импортировать и отдельные элементы конфигурации.

Интеграция с Active Directory. Межсетевой экран ISA Server 2004 для проверки подлинности входящих и исходящих подключений использует базу данных пользователей Active Directory.

Графические панели задач и мастера конфигурации. Эти средства упрощают навигацию и настройку стандартных задач. Так, с помощью мастера можно опубликовать сервер Exchange в сети под защитой компьютера ISA Server 2004, настроить межсетевой экран на выполнение функций сервера или шлюза VPN или создать новое правило межсетевого экрана (рис. 1).

Рис. 1. Управление конфигурацией сервера.

Удаленное управление. Управлять работой ISA Server 2004 можно в удаленном режиме с помощью оснастки MMC, служб терминалов Windows 2000 и удаленного рабочего стола Windows Server 2003. Для удаленного управления межсетевым экраном на компьютере Windows Server 2003 может использоваться безопасное туннелирование SSL/RDP. Кроме того, удаленное управление службами ISA Server 2004 возможно с помощью сценариев, запускаемых из командной строки.

Журналы, отчеты и оповещения. В стандартных форматах (текстовые файлы с символами-разделителями, базы данных SQL и MSDE) создаются подробные журналы безопасности и доступа. Кроме того, есть возможность создавать по определенному графику стандартные отчеты об использовании сети и приложений, моделях потока сетевых данных и безопасности с автоматической публикацией в локальной папке или на удаленном общем ресурсе. Оповещения на основе событий служат для отправки сообщений администратору, запуска и остановки служб межсетевого экрана, а также автоматического выполнения действий на основании заданных критериев.

Управление на уровне пользователя. Существует возможность ограничить доступ клиентов межсетевого экрана и Web-прокси ISA Server 2004 для каждого отдельного пользователя (а не просто по IP-адресам), что позволяет более точно контролировать входящий и исходящий доступ по всем протоколам.

Расширяемая платформа

ISA Server 2004 поддерживает многие протоколы Интернета, в том числе HTTP/SSL, FTP, RDP, telnet, RealAudio и RealVideo, IRC, H.323, потоковое мультимедиа Windows, почтовые и новостные протоколы.

Независимые разработчики предлагают программы (например, антивирусное ПО, средства управления, фильтрации содержания и составления отчетов), предназначенные для использования с ISA Server, с учетом особенностей продукта. Так, существуют фильтры сторонних разработчиков, с помощью которых можно предотвратить загрузку в защищенную сеть предприятия последних версий вирусов, сценариев Java и элементов управления ActiveX.

В состав ISA Server 2004 включены подробные файлы справки Software Development Kit по разработке средств на основе функций межсетевого экрана, кэширования и управления продуктом, а также полная документация API и примеры создания дополнительных Web-фильтров и фильтров приложений, оснасток ММС, средств составления отчетов, сценариев, оповещений и т. д.

Сценарии применения Microsoft ISA Server 2004

В ISA Server 2004 реализована функциональность, способная обеспечить безопасность, производительность, управляемость и экономическую эффективность работы сетей в организациях любого размера. Ниже мы рассмотрим несколько основных сценариев развертывания сервера.

Предоставление доступа к электронной почте сотрудникам за пределами сети. Интерфейс ISA Server 2004 позволяет быстро установить защиту сервера Exchange в Интернете (рис. 2). Чтобы ускорить развертывание и снизить риск создания ошибочной конфигурации, выполнение стандартных задач автоматизируется с помощью мастера Web-публикации почтового сервера.

Кроме того, ISA Server 2004 предотвращает возможные атаки на почтовые серверы. Команды, которые направлены на использование возможных уязвимостей или раскрытие избыточной информации, блокируются. В системе предусмотрена возможность предварительной проверки подлинности пользователей, что позволяет блокировать потенциально опасные анонимные запросы до их попадания на сервер Exchange.

Рис. 2. Предоставление доступа к электронной почте сотрудникам за пределами сети.

Предоставление данных корпоративной интрасети через Интернет. В ISA Server 2004 реализован безопасный метод доступа к приложениям внутренней корпоративной сети из Интернета (рис. 3) путем Web-публикации и публикации сервера. Интегрированные мастера автоматизируют выполнение стандартных задач и снижают риск создания ошибочной конфигурации.

Средства преобразования ссылок осуществляют интеллектуальное преобразование внутренних ссылок в адреса внешних Web-сайтов. Благодаря усовершенствованным защитным функциям ISA Server 2004 может контролировать допустимость содержания потока данных и принудительно подставлять разрешенные URL-адреса.

Рис. 3. Предоставление данных корпоративной интрасети через Интернет.

Предоставление партнерам доступа к данным внутри корпоративной сети. С помощью интегрированного компонента VPN пользователи сервера ISA Server 2004 могут подключать партнеров к своей сети (рис. 4), одновременно ограничивая доступ к определенным серверам и приложениям. Для обеспечения конфиденциальности и целостности данных ISA Server 2004 шифрует весь поток данных между внутренними сетями внешних организаций и корпоративной сетью предприятия. Серверы конечных точек VPN-подключения проверяют подлинность друг друга, после чего ISA Server 2004 применяет политики доступа и маршрутизации, ограничивающие доступ партнера к корпоративной сети. Кроме того, пользователи ISA Server 2004 для защиты корпоративной сети от возможных атак на прикладном уровне могут назначать строгие правила фильтрации данных приложений.

Рис. 4. Предоставление партнерам доступа к данным внутри корпоративной сети.

Предоставление удаленного доступа сотрудникам с одновременной защитой корпоративной сети от возможных атак. С помощью усовершенствованной фильтрации на уровне приложений ISA Server 2004 защищает сеть от неконтролируемых удаленных компьютеров, устанавливающих VPN-подключение к корпоративной сети (рис. 5). Кроме того, в процессе проверки и анализа потока данных блокируются вирусы и "черви". Пользователям и группам VPN могут быть назначены гибкие сетевые политики, предоставляющие доступ только к определенным серверам и приложениям. Наконец, ISA Server 2004 может автоматически блокировать доступ к сети с клиентских компьютеров, не соответствующих принятым на предприятии политикам в отношении установленных пакетов обновления, средств антивирусной защиты и других критериев.

Рис. 5. Предоставление удаленного доступа для сотрудников с одновременной защитой корпоративной сети от возможных атак.

Взаимодействие филиалов с основным офисом через Интернет. Входящий в состав сервера ISA Server 2004 VPN-шлюз позволяет администратору объединять различные сети, например, основного офиса и филиалов (рис. 6) с помощью VPN-подключения «узел в узел». Функция маршрутизатора VPN туннельного режима IPSec используется для управления доступом пользователей, групп, узлов, компьютеров, протоколов и данных уровня приложений при подключениях «узел в узел». Пользователи имеют доступ только к разрешенному содержанию удаленной сети, а пользователи удаленной сети имеют доступ только к явно предоставленным ресурсам локальной сети.

Рис. 6. Взаимодействие филиалов с основным офисом через Интернет.

Управление доступом к Интернету и защита клиентов от возможных атак из Интернета. Для управления доступом к Интернету (рис. 7) служат гибкие политики межсетевого экрана, которые позволяют блокировать Web-сайты и фильтровать контент в целях повышения производительности труда пользователей и отсечения нежелательного содержания. За счет интеграции с Active Directory можно создавать элементы управления доступом для разных организационных ролей и должностных уровней.

Рис. 7. Управление доступом к Интернету и защита клиентов от возможных атак.

С помощью усовершенствованной фильтрации данных протокола HTTP можно блокировать использование встроенных приложений, например, голосовых, видео и других одноранговых служб или средств обмена мгновенными сообщениями. Реализованные в сервере ISA Server 2004 средства фильтрации данных приложений позволяют защитить рабочие компьютеры и серверы от возможных атак, повышая надежность сетевой среды предприятия.

Кроме того, предотвращению возможных атак способствует фильтрация потока данных: внутренние клиенты недоступны за пределами сети, ответный входящий поток данных подвергается проверке, и допускается подключение надстроек сторонних производителей, обеспечивающих защиту от вирусов.

Быстрый доступ к часто используемому Web-контенту. Средства предварительной загрузки позволяют администратору вручную указать те Web-сайты, к которым обращаются наиболее часто, с тем чтобы предварительно загрузить их контент, а с помощью активного кэширования сервер ISA Server 2004 распознает закономерности в Web-потоке данных и автоматически загружает контент часто запрашиваемых Web-сайтов (рис. 8). В случае необходимости ISA Server 2004 направляет специальные запросы внешним серверам кэширования. Кроме того, встроенная проверка подлинности позволяет проверять исходящие запросы на соответствие заданным условиям.

Рис. 8. Быстрый доступ к часто используемому Web-контенту.

***

Сервер ISA Server 2004, компонент системы Microsoft Windows Server System - надежное, простое и экономически выгодное решение, помогающее ИТ-специалистам бороться с возникающими угрозами безопасности. В настоящее время ISA 2004 представлен выпуском Standard Edition. В конце текущего года ожидается выход варианта Enterprise Edition, в котором будут расширены возможности управления распределенным комплексом серверов для создания маштабируемых решений корпоративного уровня.

* Статья подготовлена по материалам корпорации Microsoft.

• Подробнее о продуктах Microsoft
• Приобрести продукты Microsoft в Интернет-магазине ITshop.ru
• Курсы по продуктам Microsoft
• Обратиться в Interface Ltd. за дополнительной информацией/по вопросу приобретения продуктов
• Серверные продукты Microsoft