Ekranlangan pastki tarmoq - Screened subnet

Ekranlangan ichki tarmoqning arxitekturasi: ekranlangan yo'riqnoma tashqi tarmoqni (Internet) DMZ-dagi bastion xostlardan ajratib turadi va boshqa ekranlangan yo'riqnoma ichki tarmoqni belgilaydi.

Yilda tarmoq xavfsizligi a ekranlangan pastki tarmoq bir yoki bir nechta mantiqiy foydalanishni anglatadi yo'riqchilarni skrining qilish kabi xavfsizlik devori uchta alohida belgilash subnets: tashqi yo'riqnoma (ba'zan an deb nomlanadi kirish yo'riqchisi), bu tashqi tarmoqni perimetr tarmog'idan ajratib turadi va ichki yo'riqnoma (ba'zan a yo'riqnoma) perimetr tarmog'ini ichki tarmoqdan ajratib turadi. Perimetr tarmog'i, shuningdek, chegara tarmog'i yoki qurolsizlanish zonasi (DMZ), serverlarni joylashtirish uchun mo'ljallangan (ba'zan shunday nomlanadi) bastion xostlari ) ichki va tashqi tarmoqlardan foydalanish mumkin bo'lgan yoki kirish huquqiga ega bo'lganlar.[1][2][3] Ekranlangan subnet yoki DMZ-ning maqsadi tashqi va taxmin qilingan dushmanlik tarmog'i, masalan, Internet yoki extranet va ichki tarmoq o'rtasida joylashgan yuqori xavfsizlik bilan tarmoq yaratishdir.

Ekranlangan pastki tarmoq - bu muhim tushuncha elektron tijorat yoki mavjud bo'lgan har qanday shaxs Butunjahon tarmog'i yoki foydalanmoqda elektron to'lov tizimlari yoki tarqalganligi sababli boshqa tarmoq xizmatlari xakerlar, rivojlangan doimiy tahdidlar, kompyuter qurtlari, botnetlar, va tarmoq uchun boshqa tahdidlar axborot tizimlari.

Routerlarni jismoniy ajratish

Ikki tomonlama xavfsizlik devori qurilmalari yordamida ekranlangan pastki tarmoq diagrammasi.
Bitta xavfsizlik devori qurilmasi yordamida ekranlangan pastki tarmoqning diagrammasi.

Xavfsizlik devori tizimini ikkita alohida komponentli marshrutizatorlarga ajratish orqali u har bir yo'riqchining hisoblash yukini kamaytirish orqali potentsial samaradorlikni oshiradi. Ekranlangan ichki tarmoq xavfsizlik devorining har bir komponentli yo'riqchisi faqat bitta umumiy vazifani bajarishi kerak bo'lganligi sababli, har bir yo'riqnoma unchalik murakkab bo'lmagan konfiguratsiyaga ega. Ekranlangan pastki tarmoq yoki DMZ-ga uchta tarmoq interfeysiga ega bo'lgan bitta xavfsizlik devori qurilmasi ham erishishi mumkin.[4]

DMZ bilan aloqasi

Shuningdek qarang: DMZ (hisoblash)

Atama qurolsizlanish zonasi harbiy kontekstda da'vogar guruhlar o'rtasida tuzilgan shartnomalar yoki bitimlar, asosan, belgilangan chegarada yoki ikki yoki undan ortiq harbiy kuchlar yoki ittifoqlarning chegaralari yoki chegaralari bo'ylab harbiy inshootlar va faoliyatni taqiqlaydigan sohani nazarda tutadi. Tarmoq xavfsizligiga o'xshashlik shundaki, ekranlangan tarmoq (DMZ) tashqi tarmoqdan dushman deb taxmin qilinadigan kirish nuqtalarini nazarda tutganligi sababli istehkomlarni kamaytirdi.

Demilitarizatsiya qilingan hudud (DMZ) atamasi ekranlashtirilgan marshrutizatorlar va xavfsizlik devorlari ishlab chiqilgandan keyin bir muncha vaqt o'tgach savdo va marketing atamasi sifatida ommalashgan. Bu ko'pincha sinonim sifatida ishlatiladi, lekin ilgari boshqa ma'noga ega bo'lishi mumkin.

"Bastion xostlar, ekranlangan subnets, DMZ yoki perimetr tarmoqlari kabi bir qator atamalar mavjud, ular chalkash bo'lishi mumkin, ayniqsa birgalikda ishlatilganda." ... "Tez-tez chalkashliklarni keltirib chiqarishi mumkin bo'lgan yana bir atama DMZ (demilitarizatsiya qilingan zona), aksincha ekranlangan pastki tarmoqdan farq qiladi. Haqiqiy DMZ - bu Internetdan faqat tashqi yoki tashqi yo'riqnoma bilan yo'riqnoma mavjud bo'lgan xostlarni o'z ichiga olgan tarmoq. Ushbu xostlar skrining yo'riqchisi tomonidan himoyalanmagan. " ... "Ekranlangan pastki tarmoq, shuningdek, pastki tarmoqdagi xostlar to'plami bo'lishi mumkin, ammo ular skrining yo'riqchisining orqasida joylashgan. DMZ atamasi sotuvchi tomonidan ikkalasini ham anglatishi mumkin, shuning uchun ularning qaysi ma'noni anglatishini tekshirish yaxshiroqdir. " [5]

Ko'rsatilgan kompyuter xavfsizlik devori / arxitekturasi bilan taqqoslash

Ekranlangan ichki tarmoq xavfsizlik devorida uchta subnet yaratish uchun ikkita ekranlangan yo'riqnoma ishlaydi, a ekranlangan kompyuterning xavfsizlik devori ikkita ichki tarmoqni aniqlash uchun faqat bitta ekranlangan yo'riqchidan foydalanadi: tashqi tarmoq va ichki tarmoq.[6][7][8] Ekranlangan ichki tarmoq xavfsizlik devori xavfsizroq, chunki tajovuzkor ichki tarmoqqa kirish uchun ikkita filtrlangan marshrutni bosib o'tishi kerak. Agar bastion / DMZ xosti buzilgan bo'lsa, tajovuzkor hali ham ichki tarmoq xostlariga kirish uchun ikkinchi filtrlangan marshrutni chetlab o'tishi kerak.

Adabiyotlar

  1. ^ Vak, Jon; Carnahan, Lisa (1994 yil dekabr). "3.4 ekranlangan pastki tarmoq xavfsizlik devori". O'zingizning saytingizni xavfsiz tarzda saqlash: Internet xavfsizlik devorlariga kirish. Milliy standartlar va texnologiyalar instituti. 38-40 betlar.
  2. ^ Chapman, D. Brent; Zviki, Elizabeth D. (1995 yil noyabr). "6.3. Ekranlangan pastki tarmoq arxitekturasi". Internet xavfsizlik devorlarini yaratish (1-nashr). O'Reilly & Associates. ISBN  1-56592-124-0.
  3. ^ "ISACA CISA o'quv imtihoni". ISACA. 2018 yil. Olingan 16 oktyabr 2018. Demilitarizatsiya qilinmagan zona (DMZ) sifatida ishlatiladigan ekranlangan ichki tarmoq xavfsizlik devori ikkita paketli filtrlash yo'riqchisidan va bastion xostidan foydalanadi. Bu eng xavfsiz xavfsizlik devori tizimini ta'minlaydi, chunki u alohida DMZ tarmog'ini belgilashda tarmoq va dastur darajasidagi xavfsizlikni qo'llab-quvvatlaydi.
  4. ^ Jacobs, Stuart (2015). Axborot muhandisligi: Axborotni ta'minlashga erishish uchun tizim muhandislik tushunchalarini qo'llash. John Wiley & Sons. p. 563. ISBN  9781119101604.
  5. ^ Devis, Uilyam S. (20 sentyabr 2000). "Mudofaa to'g'risida ma'lumot berish uchun jinoyatdan foydalaning. Yomonlardan oldin kamchiliklarni toping". SANS instituti. Iqtibos jurnali talab qiladi | jurnal = (Yordam bering)
  6. ^ Vak, Jon; Carnahan, Lisa (1994 yil dekabr). "3.3 ekranlangan xost-xavfsizlik devori". O'zingizning saytingizni xavfsiz tarzda saqlash: Internet xavfsizlik devorlariga kirish. Milliy standartlar va texnologiyalar instituti. 36-38 betlar.
  7. ^ Chapman, D. Brent; Zviki, Elizabeth D. (1995 yil noyabr). "6.2. Ekranlangan xost arxitekturalari". Internet xavfsizlik devorlarini yaratish (1-nashr). O'Reilly & Associates. ISBN  1-56592-124-0.
  8. ^ "ISACA CISA o'quv imtihoni". ISACA. 2018 yil. Olingan 16 oktyabr 2018. Ko'rsatilgan xost-xavfsizlik devori paketlarni filtrlash yo'riqchisidan va bastion xostidan foydalanadi. Ushbu yondashuv tarmoq sathining asosiy xavfsizligini (paketlarni filtrlash) va dastur serverlarining xavfsizligini (proksi-server xizmatlarini) amalga oshiradi.

Shuningdek qarang