NetdefendOS_2.27.01_Firewall_User_Manual_RUS

клиенты и филиалы офисов являются более привлекательной целью, чем основная корпоративная
сеть. Захват мобильных клиентов и филиалов упрощает проникновение в корпоративную сеть.
При разработке VPN существует много вопросов, которые не всегда очевидны и требуют решения. К
ним относятся:
• Защита мобильных и домашних компьютеров;
• VPN-доступ только к необходимым сервисам, так как мобильные компьютеры являются
уязвимыми;
• Создание DMZ для сервисов, совместно используемых другими компаниями с помощью VPN;
• Настройка политик VPN-доступа для различных групп пользователей;
• Создание политик распространения ключей.
Обеспечение безопасности конечной точки
Распространенным заблуждением является то, что с точки зрения безопасности VPN-соединения
подобны внутренней сети и могут быть установлены напрямую без принятия дальнейших
предупредительных мер по обеспечению защиты. Важно помнить, что хотя VPN-соединение само по
себе уже является защищенным, общий уровень безопасности соответствует уровню защиты
конечных точек туннеля.
В настоящее время увеличивается количество пользователей, которые, находясь в частых деловых
поездках, подключаются напрямую со своих ноутбуков к сети компании через VPN. Тем не менее,
сам ноутбук часто не защищен. Другими словами, злоумышленник может получить доступ к
защищенной сети через незащищенный ноутбук и уже открытое VPN соединение.
Помещение в зону DMZ
Не следует рассматривать VPN-соединение как неотъемлемую часть защищенной сети. Межсетевой
экран должен быть помещен в зону DMZ или за пределами межсетевого экрана, посвященному
выполнению этой задачи. Выполнив это, администратор может ограничить VPN-доступ к
определенным сервисам и быть уверенным в том, что данные сервисы надежно защищены от
злоумышленников.
9.1.4. Распределение ключей
Схемы распределения ключей лучше разработать заранее. Необходимо рассмотреть ряд следующих
вопросов:
• Каким образом распространять ключи? Электронная почта не является подходящим решением.
Передача информации по телефону будет достаточно надежной.
• Какое количество различных ключей необходимо использовать? Один ключ на пользователя?
Один ключ на группу пользователей? Один ключ на соединение LAN-to-LAN? Один ключ на всех
пользователей и один ключ для всех соединений LAN-to-LAN? Возможно, лучше использовать
больше ключей, чем необходимо на данный момент, таким образом, будет проще настроить доступ
пользователю (группе) в будущем.
• Что происходит, если работник, обладающий ключом, увольняется из компании? Если
несколько пользователей используют один и тот же ключ, его необходимо изменить.
• Как хранить ключ, если он не установлен непосредственно в память сетевого устройства,
например, межсетевого экрана с поддержкой VPN? На дискете? В виде парольной фразы, которую
369