Служба фильтрации пакетов Packet Filtering Service
Простыми словами
Ключ к этой службе — в том, чего она НЕ знает. Защита границ у O-ESA намеренно устроена так, что поток пакетов управляется независимо от того, кто его послал: «Thus, it might also be referred to as traffic-based access control, as opposed to identity-based access control». Поэтому сравнивать фильтр пакетов со службами контроля доступа бессмысленно — они отвечают на разные вопросы и работают с разными данными. Внутри самой службы важна модель по умолчанию: «Packet filters deny all traffic to the server that is not expressly allowed», то есть запрещено всё, что не разрешено явно. И вторая ошибка — считать фильтрацию делом периметра: «Packet filtering provides security controls between different zones of trust», а зон доверия внутри предприятия много.
Примеры
Одна из главных идей раздела: службы защиты границ распределены по всему предприятию и «they are not intended to focus only on the boundary between the intranet and the Internet». В концептуальной схеме отдельно названы межсетевые экраны анклавов внутри сети и персональные экраны на клиентах.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.5.1 — концептуальная архитектура защиты границ
Фильтрация с сохранением состояния позволяет обращаться с ответом иначе, чем с запросом. Без этого разрешение на ответы пришлось бы записывать как разрешение на всё, что на ответ похоже, то есть открывать порт в обе стороны.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.5.3.1 — определение службы фильтрации пакетов
Фильтрация поддерживает принцип одной службы на сервер и разделение серверов между собой; пример источника прямой: прокси HTTP получает только запросы HTTP, а сервер VPN — только запросы VPN. Это делает границу проверяемой: список разрешённого короток и осмыслен.
Open Enterprise Security Architecture (O-ESA), The Open Group Guide G112 (April 2011), разд. 4.5.3.1 — пояснение после определения службы
Определение из первоисточника
дословная выпискаThis service provides dynamic, stateful (i.e., stable), IP-only packet filtering. It examines each IP packet and determines whether to allow the packet to pass. It does this by examining source and destination addresses and ports and by understanding the “state” of a transaction. This allows a reply to be treated differently from a query.
Эта служба обеспечивает динамическую фильтрацию пакетов с сохранением состояния (то есть устойчивую), только для IP. Она проверяет каждый IP-пакет и определяет, пропустить ли его. Делается это проверкой адресов и портов источника и назначения и пониманием «состояния» транзакции. Это позволяет обрабатывать ответ иначе, чем запрос.
ИсточникOpen Enterprise Security Architecture (O-ESA): A Framework and Template for Policy-Driven Security. The Open Group Guide, April 2011, № документа G112, ISBN 1-931624-94-1
Основные параметры
Атрибуты этой сущности по справочнику источника.
- Документ добавляет: фильтрация пакетов поддерживает принцип «одна служба на сервер» и разделение серверов между собой, запрещая всё, что не разрешено явно, и обеспечивает контроль между зонами доверия.
Связанные понятия
Опишите архитектуру своей компании в Storm
Реестр процессов, архитектурное рабочее пространство, связи между системами и процессами — те самые артефакты, только про вашу организацию.
Это же в StormАрхитектура систем и интеграцийГраф связей реестраРеестр процессов