Architektura TCP/IP

Klejem, który trzyma w całości Internet, jest protokół TCP/IP. TCP/IP jest w zasadzie zestawem protokołów. Czterowarstwowy model protokołu TCP/IP został opracowany długo wcześniej niż siedmiowarstwowy model OSI, ale wykazują one pewne podobieństwa.  Jeśli nawiązane jest połączenie w sieci TCP/IP, to każdy protokół „rozmawia ze swoim partnerem” na odległym hoscie za pośrednictwem gniazd (sockets).

Gniazdo jest procedurą, która tworzy wirtualne połączenie między hostami. Każde gniazdo ma swój adres (socket address), który składa się z numeru portu i adresu IP lokalnego hosta. Rozróżnia się trzy typy gniazd: IP, TCP i UDP. Jeśli hosty nawiążą połączenie poprzez IP, to otwiera się między nimi gniazdo i wysłane zostaje wywołanie, zawierające unikatowy adres IP odległego hosta oraz numer portu żądanej usługi.

Port jest po prostu kanałem wykorzystywanym przez protokoły do komunikacji ze specyficzną usługą. Kiedy podejmujemy próbę połączenia z odległym hostem, nasze wywołanie będzie zawierało unikatowy adres IP, wykorzystywany typ protokołu (IP, TCP lub UDP) oraz port, którego chcemy użyć.

Na przykład:

jeśli próbujemy wywołać Telnet na odległej stacji, nasze wezwanie będzie się składać z adresu IP odległego komputera, typ wykorzystywanego protokołu (tutaj: TCP) oraz portu odległej stacji, na którym spodziewany jest Telnet. Jeśli chociaż jeden z tych parametrów jest błędny, połączenie nie zostanie zrealizowane.

We wczesnym okresie TCP/IP, ze względu na wygodę i standaryzację, wiele usług było skojarzone ze specyficznymi portami.

Na przykład:

usługi SMTP oczekiwały wezwania portu 25, a HTTP wezwania portu 80. W systemach UNIX porty są definiowane w pliku /etc/services lub w bazie danych Network Information Service. W systemach Windows NT, porty są określone w <winroot>system32driversetcservices (<winroot> oznacza macierzysty katalog Windows NT np.: winnt40).

Windows NT jest wyposażony w doskonały wewnętrzny układ ochrony, który zawiera weryfikację rejestracji, ochronę obiektów, prawa użytkownika i możliwość rozległego monitoringu. Zestaw tych elementów daje gwarancję wysokiego poziomu bezpieczeństwa systemu. Z chwilą podłączenia sieci do Internetu dokładamy jednak do systemu wszystkie wewnętrzne słabości protokołu TCP/IP.

Na szczęście „wyjęty prosto z pudełka” Windows NT jest bardziej bezpieczną platformą internetową od większości propozycji opartych na systemie UNIX. Przewaga Windows NT wynika z braku systemowego wsparcia dla najbardziej niebezpiecznych usług internetowych, takich jak Finger i Telnet. Ważnym czynnikiem jest architektura systemu, której twórcy traktowali bezpieczeństwo jako najważniejsze założenie projektu.

Dobrym przykładem różnic, jest przechowywanie informacji o użytkownikach w silnie zabezpieczonej bazie danych Windows NT (SAM), podczas gdy w systemie UNIX są to nieskomplikowane pliki z tekstami haseł. Jak nietrudno się domyślić, warunkiem wstępnym konfiguracji bezpiecznej współpracy Windows NT z TCP/IP jest zainstalowanie i ustawienie samego protokołu. Jeśli TCP/IP już działa na komputerze, to następnym krokiem jest zapewnienie bezpieczeństwa implementacji. Nie można optymalnie skonfigurować ochrony systemu bez znajomości narzędzi i rozwiązań wbudowanych w Windows NT, jak również, dostarczanych razem z nim, dodatkowych programów narzędziowych TCP/IP. Usługi typu Telnet mogą służyć jako doskonałe sprawdziany do wykrywania luk w układzie zabezpieczeń.

Windows NT dostarcza prawie wszystkich najbardziej popularnych narzędzi. Tym niemniej, zgodnie ze wcześniejszymi uwagami, nie świadczy najbardziej niebezpiecznych usług, będących powodem wielu włamań do systemów obronnych. Wszystkie dostarczane z Windows NT usługi internetowe są wspólnie nazywane serwerem informacyjnym Internetu – Internet Information Server, który zawiera między innymi serwery FTP, Gopher i HTTP (Web).

Lokalna sieć komputerowa i jej elementy

Sieć komputerowa jest to zespół systemów informatycznych (węzłów sieci) połączonych ze sobą wspólną podsiecią komunikacyjną do przesyłania informacji.

Ze względu na obszar objęty siecią komputerową można podzielić je na:

  • rozległe WAN (Wide Area Network), których systemy abonenckie są rozmieszczone na dużym obszarze między miastami, w różnych krajach, na różnych kontynentach, itp. bez ograniczeń dotyczących odległości między nimi,
  • miejskie MAN (Metropolitan Area Network), zasięgiem swoim obejmują obszar całego miasta ewentualnie grupy sąsiednich miast,
  • lokalne LAN (Local Area Network), systemy abonenckie są umieszczone na niewielkiej odległości nie przekraczającej kilku kilometrów, na ogół jest to obszar budynku lub kilku budynków.

Podstawowe terminy dotyczące sieci komputerowych:

  • topologie – są różnymi typami fizycznego rozłożenia sieci; zwykle odnoszą się do kształtu np. gwiazda lub pierścień; architektura sieci (punkt 2.2),
  • protokoły komunikacyjne – są „językami” komputerów używanymi przy komunikacji sieciowej; definiują one sposób przesyłania danych (punkt 2.3),
  • standardy – zapewniają, że wszystkie urządzenia sieciowe pracują w ten sam sposób i mogą być połączone; jest wiele standardów np. Ethernet, ARCnet, Token Ring (punkt 2.4),
  • węzły sieci – są urządzeniami pracujące w sieci np. stacje robocze, serwery,
  • szerokość pasma – jest to maksymalna prędkość jaką dane mogą być przesyłane w sieci, zwykle jest mierzona w Mbps (megabity na sekundę).

Sieć komputerowa w ZAP S.A. Ostrów Wlkp. jest przykładem lokalnej sieci komputerowej, która zgodnie z ogólnie przyjętą definicją sieci lokalnej (ang. LAN – Local Area Network) składa się z dwóch lub większej liczby komputerów komunikujących się ze sobą za pomocą pewnego fizycznego nośnika informacji (medium transmisyjnego). Taka sieć komunikacyjna używana jest na ograniczonym obszarze przez jedną organizację i pozwala swoim użytkownikom współdzielić dane i zasoby. Sieci lokalne mogą być używane również do łączenia systemów obróbki obrazu, systemów alarmowych, sprzętu produkcyjnego, a także wszelkiego rodzaju urządzeń, które wymagają szybkiej wymiany danych.

[ciąg dalszy tej pracy inżynierskiej nastąpi…]

Typy zapór sieciowych

Wyróżniamy dwa podstawowe typy zapór sieciowych:

  1. Zapory sieciowe na poziomie sieci/pakietu (filtry pakietów)
  2. Zapory sieciowe na poziomie aplikacji/usługi (bramy pośredniczące, proxy)

Zapory pracujące na poziomie sieci są zazwyczaj routerami z zaawansowanymi możliwościami filtrowania pakietów. Administrator korzystający z takiej zapory ma możliwość przyznania, bądź odmowy dostępu do swego serwerem w oparciu o kilka zmiennych. Są to między innymi:

  1. Adres źródłowy
  2. Protokół
  3. Numer portu
  4. Zawartość

Zapory sieciowe w postaci routerów są popularne ze względu na łatwość ich zastosowania (po prostu podłącza się firewall do sieci i zaopatruje w odpowiednie reguły). Co więcej większość współczesnych routerów ma możliwość translacji/konwersji protokołów (gdzie protokół IP z zewnątrz jest tłumaczony na inne protokoły stosowane w sieci lokalnej). Dodatkową zaletą zastosowania firewalla zbudowanego w oparciu o router, jest fakt, że z racji swej specyfiki urządzenie takie jest elementem zewnętrznym z punktu widzenia naszej sieci lokalnej.

Tak więc jego podłączenie do sieci nie wymaga konieczności konfiguracji dziesiątek maszyn czy usług. I wreszcie, jeśli nasza sieć jest połączona z Internetem łączem stałym, to router i tak jest jej niezbędnym elementem. Zatem stosując firewall w oparciu o router możemy upiec dwie pieczenie na jednym ogniu. Z drugiej strony zapory sieciowe oparte na routerach maja kilka wad. Jedną z nich jest fakt, że wiele routerów jest podatnych na ataki, polegające na fałszowaniu adresu nadawcy pakietu – spoofing (aczkolwiek producenci pracują nad rozwiązaniem tego problemu).

Z praktycznego punktu widzenia, istotna jest również efektywność (moc obliczeniowa) routera – jeśli zadamy bardzo szczegółowe kryteria filtrowania, to w przypadku dużego natężenia ruchu przychodzącego możemy się spodziewać spadku jego wydajności. Niektóre routery nie posiadają wystarczająco szczegółowych możliwości zapisu stanu pracy. Oznacza to, że możemy potrzebować zewnętrznego oprogramowania i sprzętu do celów monitorowania pracy routera.

Zapory sieciowe realizowane w oparciu o aplikacje bramy Innym rodzajem zapory sieciowej jest firewall wykorzystujący aplikacje pośredniczące w standardowej komunikacji typu klient-serwer. Zapora taka zwana jest również bramą proxy, bądź bramą programową (application gateway). Żądanie połączenia z daną usługą sieciową wysłane przez zdalnego użytkownika jest obsługiwane nie bezpośrednio przez odpowiedni serwer usług, lecz podawane do niego poprzez bramę proxy. Zatem, w odróżnieniu od firewalla – filtra pakietów, nadchodzące pakiety IP nie są po przetworzeniu przesyłane do sieci lokalnej, zamiast tego brama przeprowadza swego rodzaju translację pośrednicząc pomiędzy klientem a serwerem.

Zaletą stosowania bramkowania usług jest fakt zapobiegania dostaniu się pakietów IP do naszej sieci (tunelowania pakietów). Wadą jest konieczność konfiguracji odpowiedniej bramy dla każdej usługi sieciowej, w tym FTP, Telnet, HTTP, e-mail itd. Dodatkowo użytkownicy muszą wykorzystywać programy klienckie pozwalające na stosowanie bramkowania usług (w przeciwnym wypadku, użytkownicy będą musieli nauczyć się „ręcznie” obsługiwać bramę (co może być czasochłonne, uciążliwe, bądź w ogóle niemożliwe, zależnie od stopnia skomplikowania procedur).

Przykładowo – w przypadku bramkowania popularnej usługi Telnet nie jest wymagana obecność po stronie użytkownika klienta świadomego istnienia bramy proxy; w takiej sytuacji jednak wymusi to na użytkowniku konieczność połączenia się (lecz nie zalogowania) z bramą – firewallem dla danej usługi – a nie bezpośrednio z serwerem Telneta. Zastosowanie klienta wspierającego procedury bramkowania uczyni bramę transparentną z punktu widzenia użytkownika. Zapora sieciowa służy jako wejście do systemu docelowego – przechwytuje żądania połączenia i podejmuje dalsze, uprzednio zdefiniowane, kroki, np. zapytanie o jednorazowe hasło. Zachowanie użytkownika pozostaje takie samo, pod warunkiem stosowania odpowiednio zmodyfikowanych/skonfigurowanych klientów usług.

MS Windows i Trumpet Winsock

Trumpet Winsock występuje z wbudowanymi możliwościami współpracy z serwerem proxy. Aby go skonfigurować wystarczy w setup menu wprowadzić adres serwera, i adresy komputerów dostępnych bezpośrednio. Program przekieruje na serwer wszystkie pakiety mające wyjść na zewnątrz.

Pakiet SOCKS pracuje jedynie z pakietami TCP, pomijając UDP. Powoduje to trochę mniejszą jego użyteczność. Wiele użytecznych programów, takich jak na przykład talki Archie używa UDP. Jest jednak pakiet który może być użyty jako serwer proxy dla UDP: UDPrelay.

Serwer proxy, jak  pokazano powyżej jest narzędziem bezpieczeństwa. Używanie go zwiększa dostępność do Internetu z ograniczoną liczbą adresów wiąże się jednak z wieloma niedogodnościami. Serwer proxy pozwala na większą dostępność internetu z sieci chronionej, ale pozostawia wnętrze całkowicie niedostępne z zewnątrz. Oznacza to brak możliwości uruchomienia wewnątrz sieci rozmaitych serwerów, talk i archie, oraz bezpośredniego wysyłania listów do chronionej sieci.

Przypadek FTP pokazuje jeszcze jeden problem z serwerami proxymi. Kiedy pobieramy pliki lub wydajemy komendę ls, serwer FTP otwiera gniazdo (,,socket”) na maszynie klienckiej i wysyła o tym informację. Serwer proxy nie pozwala na to, tak więc FTP nie działa w sposób prawidłowy.

Poza tym serwery pośredniczące działają powoli – z powodu większej wydajności większość innych metod dostępu do Internetu będzie szybsza.

Jeśli mamy przydzielony adres IP, i nie musimy martwić się o bezpieczeństwo, nie zachodzi konieczność używania ścian ogniowych i/lub serwerów proxy. Jeśli nie mamy IP, i także nie trzeba przejmować się bezpieczeństwem  sieci, możemy użyć jednego z ,,emulatorów IP” takich jak Term, Slirp lub TIA. Pakiety te pracują szybciej, pozwalają na szybsze połączenia i na większy dostęp z sieci wewnętrznej do internetu. Serwery pośredniczące są dobre dla tych który mają duże sieci z komputerami mającymi mieć dostęp ,,w locie” do internetu z jednorazowym ustawieniem.

Bezpieczeństwo danych i sieci – Kopie zapasowe i archiwizacja danych

podrozdział pracy inżynierskiej

Niezależnie od ciągłego postępu technicznego sprzętowe awarie systemu i przypadki losowe są możliwe. Konsekwencje jakie to niesie za sobą dla skomputeryzowanej instytucji są łatwe do wyobrażenia – zniszczone konta księgowe, listy płacowe, rachunki, należności wykazy produkcyjne i wiele innych ważnych danych. Najprostszą metodą obrony jest utrzymanie w miarę aktualnych kopii zapasowych BACKUP. Do takiego zastosowania potrzebny jest nośnik wielokrotnego zapisu o odpowiedniej pojemności np. dyski magnetooptyczne, taśmy magnetyczne, dyski magnetyczne, płyty CD wielokrotnego zapisu CD-RW itp. Mogą w tym celu być wykorzystane takie urządzenia jak: Jukebox magnetooptyczny, pojedyńczy napęd magnetooptyczny, streamer, nagrywarka CD-RW lub małej pojemności napęd ZIP a nawet dyski twarde stacji roboczych i innych serwerów.

Od oprogramowania backupu wymagamy automatyzacji procesu backupu, zarządzania nośnikami, łatwego procesu odtwarzania i wyszukiwania danych. Istnieje wiele systemów składowania i archiwizacji danych: ARCserve firmy Cheyenne, NetWorker firmy Legato Systems, Backup Exec firmy Seagate Software, FileSafe i FileTalk firmy Mountain, MaynStream firmy Maynard, The Network Archivist firmy Palindrome, FileSECURE i OverNet firmy Tallgrass Technologies oraz wiele innych programów Backup dostarczanych ze sprzętem do tworzenia kopii zapasowej lub w sieciowych systemach operacyjnych.

W systemie NetWare 5 program składujący musi radzić sobie ze składowaniem nie tylko zawartości zbiorów, ale również takich informacji, jak dysponenci plików i katalogów, atrybuty rozszerzone plików i katalogów, przestrzenie nazewnicze, strzeżone zbiory systemowe związane z replikami NDS, pliki poddane kompresji lub migracji. Kolejną cechą programu składującego dane jest zdolność do składowania i odzyskiwania dowolnie wybranych fragmentów systemu, włączając w to możliwość reagowania na atrybut Archive.

Sieć w ZAP S.A. Ostrów Wlkp. po modernizacji będzie pracować pod kontrolą systemu NetWare 5, dzięki czemu można wykorzystać istniejący w systemie wysokiej klasy program składujący SBACKUP spełniający powyższe wymogi, pozwalający w miarę posiadania odpowiednich driverów pracować z dużą ilością różnych streamerów i innych urządzeń pamięciowych. SBACKUP pracuje na serwerze jako moduł ładowalny a unikalną zaletą jego jest zdolność do składowania w zasadzie dowolnych zasobów sieci, czyli nie tylko danych serwera, na których jest zainstalowany, ale również innych serwerów 3.x lub 4.x dostępnych w sieci, a nawet dysków lokalnych stacji roboczych DOS lub OS/2. Program ten bazuje na uniwersalnym systemie usług gromadzenia danych o nazwie Storage Management Services (SMS). Sterownik do urządzenia składującego musi być załadowany na serwerze jako moduł ładowalny, a samo urządzenie przyłączone do serwera.

Wyróżniamy następujące strategie kopiowania:

  • pełna – kopia wszystkich danych jest najprostszą i najbezpieczniejszą,
  • różnicowa – polega na składowaniu w kolejne dni tylko różnic w stosunku do ostatniego pełnego składowania danych,
  • przyrostowa – polega na składowaniu w kolejne dni zmienionych i nowych danych
    w stosunku do ostatniej kopii.

Wykonywanie kopii zapasowej musi być ustalone i egzekwowane bez żadnych wyjątków. Należy rotacyjnie używać kompletu nośników (taśmy, dyski optyczne itp. ) kopii zapasowej obejmujących pewien okres czasu. Ten okres nazywa się oknem kopii zapasowej i zależnie od konkretnych wymagań oraz ilości danych może obejmować okres od 2 do 4 tygodni.

Biorąc pod uwagę ilość danych przetwarzanych w sieci zakładowej ZAP S.A. Ostrów Wlkp. cykl wykonywania kopii zapasowej powinien trwać trzy tygodnie (cykl ten określa się jako: Syn, Ojciec, Dziadek). Tworzone są trzy pokolenia kopii, każde odpowiadające jednemu tygodniowi pracy. W przypadku wykonywania kopii na taśmach magnetycznych, każdy dzień w całym cyklu to inna taśma (tak samo w przypadku innych nośników). Pierwszego dnia jest tworzona pełna kopia zapasowa wszystkich danych w sieci. Tak powstaje taśma Syna.

W kolejnych dniach tygodnia są kopiowane tylko pliki, które zmieniły się od czasu wykonania poprzedniej kopii i nadany im został atrybut Archive oraz nowe pliki danych (kopia przyrostowa). W pierwszy dzień drugiego tygodnia jest tworzona następna pełna kopia wszystkich danych a w następne dni tygodnia podobnie jak w pierwszym tygodniu tylko kopie przyrostowe. W czasie drugiego tygodnia taśmy Syna stają się taśmami Ojca, natomiast taśmy zawierające kopie z drugiego tygodnia stają się taśmami Syna. Trzeci tydzień podobnie jak pierwszy i drugi rozpoczyna się od pełnej kopii a następne dni tylko kopie przyrostowe. Zestaw taśm Ojca przechodzi teraz w zestaw Dziadka, taśmy Syna stają się taśmami Ojca a nowe taśmy tworzą komplet Syna. Cały cykl wymaga użycia 21 taśm. Po pełnym cyklu rozpoczyna się nowy cykl zapisywany na taśmach z poprzedniego cyklu. Taśmy Dziadka są powtórnie używane i stają się taśmami Syna.

Należy wykonywać dwie kopie zapasowe: jedna powinna zostać w siedzibie firmy, a drugą należy przechowywać w bezpiecznym miejscu poza firmą. Jeśli wykonujemy tylko jedną kopię należy ją przechowywać w miejscu zabezpieczonym przed kradzieżą i przypadkami losowymi np. ognio i wodoodpornej szafie pancernej. Niestety nie jest to najlepsze rozwiązanie ponieważ w czasie pożaru nawet jeśli kopie nie spłoną to wysoka temperatura może je nieodwracalnie uszkodzić.

Archiwizacja danych – oznaczać będzie składowanie informacji w elektronicznym archiwum, w celu jej przechowania przez wymagany czas. Trwała archiwizacja oznacza więc gromadzenie różnego rodzaju danych na trwałych nośnikach, które są później składowane w archiwach i niejednokrotnie przechowywane przez długie lata. Dotychczas taką archiwizację przeprowadzano na taśmach magnetycznych, których głównymi wadami były długi czas odszukania potrzebnej informacji, niska trwałość nośników i ich wrażliwość na różne „przeciwności losu” oraz wysoki koszt magazynowania danych. Współczesne technologie otwierają nowe możliwości dla systemów trwałej archiwizacji. Istnieją bowiem nośniki charakteryzujące się bardzo wysoką trwałością, odpornością na czynniki zewnętrzne i dużą pojemnością.

Duże archiwum zajmuje więc mało miejsca. Takim nośnikiem jest wszechobecny dysk CD lub CD-R. Dodatkowo nośniki CD i CD-R posiadają cechę predysponującą je do zastosowań finasowo-księgowych: są zgodne z ustawą o rachunkowości (raz zapisane dane są niemodyfikowalne a zabezpieczenie płyty przed zapisem jest gwarancją ostatecznej wersji danych). Archiwizując, kopiuje się pliki do pamięci masowej (CD-R) a następnie usuwa z serwera odzyskując tym samym przestrzeń dyskową. Wybór plików do archiwizacji dokonuje się zwykle według kryterium wykorzystania pliku. Archiwizowane są tylko pliki nie używane przez określony czas. W sieci zakładowej ZAP S.A. Ostrów Wlkp. należy archiwizować dane nie używane przez okres pół roku oraz przed zmianą wersji oprogramowania. Okres półroczny nie dotyczy danych księgowych, które należy archiwizować po zamknięciu roku obrachunkowego.

Sprawdzenie czy dany plik był używany, wiąże się z badaniem znacznika czasu utworzenia lub ostatniej modyfikacji, który przypisany jest każdemu plikowi. Przy modyfikowaniu pliku odpowiadający mu znacznik czasu jest zmieniany i wskazuje datę i godzinę zapisania zmienionego pliku. Administrator sieci może sprawdzić daty plików „ręcznie”, ale jest to czasochłonne i uciążliwe. Lepszym rozwiązaniem jest wykorzystanie możliwości programów archiwizujących, które mogą automatycznie sprawdzać znaczniki czasu plików, po czym archiwizują, indeksują i usuwają pliki spełniające zdefiniowane kryteria.

Internetowa usługa nazewnicza Windows

Internetowa usługa nazewnicza Windows (Windows Internet Name Service – WINS) jest dynamicznym schematem adresowania opartym na nazwach hostów, używanym w sieci Microsoft obsługującej operacje sieci NetBIOS. Jest ona zintegrowana z NDS przez Microsoft DNS Server i w ten sposób umożliwia klientom WINS rozwiązywanie nazw DNS.

WINS tłumaczy nazwy NetBIOS na adresy IP, wykorzystując następujący proces:

  • Komputer klienta kontaktuje się z systemem serwera WINS, dając mu swoją nazwę hosta i numer IP i prosząc o dodanie do bazy danych. Jego prośba jest przyjmowana, jeżeli podana nazwa i adres nie są aktualnie używane przez inny system i dostaje on wyłączność na korzystanie z tej nazwy na okres nazywany dzierżawą (ang. lease).
  • Gdy system klienta jest zamykany, WINS kontaktuje się z serwerem WINS i zwalnia nazwę, pod którą był zarejestrowany.
  • Jeżeli okres dzierżawy upłynął w 50%, system klienta próbuje odnowić ją na serwerze WINS. Próby są podejmowane tak długo, aż nie uzyska przedłużenia lub okres wygaśnie. W tym ostatnim przypadku klient jest rejestrowany pod nazwą dostępną w serwerze WINS.

Architektury zapór ogniowych

Dual-Homed Host Firewall (router ekranujący)

Rysunek 1

źródło własne

Umieszczenie routera ekranującego i filtra pakietowego na komputerze z dwoma kartami sieciowymi jest najprostszym rozwiązaniem, w którym jeden komputer oddziela sieć lokalną od potencjalnych zagrożeń. Blokuje on ruch pomiędzy konkretnymi sieciami, hostami lub niektórymi portami.

Screened Host Gateway Firewall (firewall z routerem ekranującym)

Rysunek 2

źródło własne

Taka konfiguracja wymaga dodania WAN routera, który dostarcza połączenie z WAN i filtrowanie pakietów. Rozwiązanie to pozwala umieścić komputer główny z dala od sieci publicznej. Komputer główny w tym przypadku to serwer firewall z usługami proxy i dodatkowym filtrowaniem pakietów. Przerwanie bezpośredniego połączenia tego serwera z Internetem pozwala znacząco zwiększyć bezpieczeństwo.

Screened Subnet Firewall (firewall z dwoma routerami ekranującymi)

Rysunek 3

źródło własne

Firewall z dwoma routerami ekranującymi zapewnia dodatkową izolację sieci lokalnej. Oprócz routera WAN dodajemy router LAN, który kontroluje przepływ danych w sieci lokalnej. Dzięki temu, że komputer główny z Proxy Server jest umieszczony w osobnej sieci, atak ogranicza się jedynie do uderzenia na niego. Dodatkowo router LAN uniemożliwia nieautoryzowany dostęp do komputera głównego z wnętrza sieci. Oba routery mogą zostać skonfigurowane, by serwer komunikował się wyłącznie z nimi.

Modelowanie systemów informacji

Przyczyną wielu problemów eksploatacyjnych jest niewystarczająca efektywność działania obiektów technicznych, stosunkowo wysokiej jakości, spowodowana specyficznymi cechami sposobu ich eksploatacji. Jakość charakteryzuje bowiem „potencjalne możliwości działania urządzenia”, efektywność działania traktowana jest zaś, w literaturze przedmiotu jako miara przydatności obiektu do przeznaczonych mu zadań w konkretnych warunkach eksploatacji. W takim ujęciu, specyfika eksploatacji obiektu, stanowi obok jego jakości, czynnik zasadniczy, decydujący o efektywności działania obiektu.

Możliwości podwyższania efektywności działania leżą więc zarówno w sferach projektowania i wytwarzania, jak i eksploatacji obiektu.

Warunkiem prawidłowej realizacji tych procesów, zapewniającym uzyskiwanie wymaganej efektywności działania obiektu, jest występowanie informacyjnych sprzężeń zwrotnych pomiędzy tymi procesami. Ogólnie przyjętą formą realizacji tych sprzężeń są systemy informacji eksploatacyjnej (SIE), modelowane dla wybranych obiektów technicznych lub określonych klas obiektów z uwzględnieniem specjalnych cech, realizowanych przez nie procesów eksploatacji.

Celem funkcjonowania SIE jest zapewnienie okresowo ciągłego dopływu informacji eksploatacyjnych, stanowiących podstawę dla iteracyjnych, optymalizujących ingerencji w procesy projektowania, wytwarzania i eksploatacji, które realizowane są w systemie, nazywanym w literaturze przedmiotu, systemem zaspokajania potrzeb społeczeństwa (SZPS).

Przykłady programów powodujących blokowanie usług (DoS)

Bonk i Boink

Tabela 10

Nazwa pliku
bonk.c
Autor:
Zespół ROOTSHELL.COM
Lokalizacja:
Dodatkowe informacje:
Por. kod źródłowy
Wejściowy system operacyjny:
UNIX
Docelowy system operacyjny:
Windows 95 Windows NT
Skutki:
Program ten powoduje zawieszenie dowolnej maszyny z systemem Windows 95, bodź Windows NT

Źródło własne

Pong

Tabela 11

Nazwa pliku
pong.c
Autor:
FA-Q
Lokalizacja:
Dodatkowe informacje:
Por. kod źródłowy
Wejściowy system operacyjny:
LINUX
Docelowy system operacyjny:
Windows 95
Skutki:
Cel ataku zalewany sfałszowanymi pakietami ICMP (ping) zawiesza się.

Źródło własne