Многоуровневая защита Bluesocket

ОБЗОРЫ

Версия 4.0 делает аутентификацию надежнее

Эндрю Гарсиа

Последняя версия ПО фирмы Bluesocket, которой она оснащает свои беспроводные шлюзы, заметно упрощает аутентификацию и делает ее надежнее, лучше интегрируется с беспроводными продуктами Cisco Systems. Кроме того, она довольно эффективно справляется с обнаружением и предотвращением сетевых атак, хотя возможности мониторинга оставляют желать лучшего.

В механизм обнаружения взломов заложены богатые возможности настройки, вот только реализовать их сложно из-за неадекватной документации

Bluesocket, как и другие производители беспроводных шлюзов ЛВС, включая Vernier Networks, ReefEdge Networks и Cranite Systems,  уже научилась надежно отделять беспроводную сеть от внешнего мира с помощью брандмауэров и стойкого шифрования. На повестку дня выходит построение надежной обороны на прикладном уровне, способной выдержать мощный напор сегодняшних атак.

В eWeek Labs прошло проверку программное обеспечение Bluesocket 4.0, установленное на аппаратном беспроводном шлюзе WG-2100. Выпуск этого устройства среднего уровня начался в августе. Оно оснащено двумя сетевыми адаптерами Gigabit Ethernet (могут устанавливаться и волоконно-оптические порты) и способно обрабатывать до 450 Мбит/с нешифрованного трафика или 150 Мбит/с шифрованного. Версия 4.0 предлагает отличные возможности аутентификации и легко настраивается на работу в сквозном режиме со множеством баз данных аутентификации, включая RADIUS (Remote Authentication Dial-In User Service - служба дистанционной аутентификации пользователей по коммутируемым каналам), LDAP, Windows Domain и Kerberos. Шлюз WG-2100 может служить в качестве конечной точки 802.1х, производящей аутентификацию пользователей в локальной или удаленной базе данных.

Особенно нам понравилась появившаяся в версии 4.0 функция аутентификации Transparent Windows (прозрачные окна), которая перехватывает пересылаемые между клиентом и контроллером доменов регистрационные данные, а затем автоматически предоставляет доступ к сети без повторного ввода такой информации.

Новая версия также расширяет возможности шлюза Bluesocket по работе с точками доступа Cisco. Благодаря его способности перехватывать и пересылать широковещательные сообщения CDP (Cisco Discovery Protocol - протокол обнаружения Cisco) администраторам стало проще определять состояние таких устройств.

В отличие от сходных разработок фирмы Vernier Networks, где для борьбы с атаками используются фильтры, реагирующие на содержимое нагрузки, Bluesocket полагается на другой механизм обнаружения

взломов. Здесь мониторинг аномального трафика и его блокирование производятся на основе статистического анализа. Администратор получает возможность ограничивать количество одновременных сеансов сетевого экрана, а пользователи, превысившие такую квоту, заносятся в группу "упреждающего мониторинга", после чего в течение определенного времени ведется регистрация всех допущенных ими нарушений. Если таковых оказывается слишком много, доступ к сети блокируется, а его Web-трафик перенаправляется на сервер нотификации, или коррекции. Все квоты и временные параметры здесь задаются администратором (см. иллюстрацию).

Представители Bluesocket честно предупреждают, что все пороговые значения администраторам придется настраивать самостоятельно в соответствии с требованиями своей организации. Впрочем, в ходе тестирования даже самая скрупулезная настройка не сделала систему обнаружения взломов полностью неприступной. Инфекцию W.32.NetSkyC@mm на нашем клиенте она выявить не смогла и поэтому не блокировала. В результате червяку ничто не помешало добраться до файл-серверов защищаемой сети. Справедливости ради отметим, что с теми клиентами, которые пытались сканировать порты и искать уязвимые места, WG-2100 расправлялся успешно. Отлично блокировались системой защиты и плодовитые черви наподобие Sasser.

А вот при настройке триггеров особой помощи от ПО Bluesocket ждать не приходится. Хотя в WG-2100 и имеется функция захвата трафика, способная экспортировать некоторые данные о пакетах во внешний анализатор протоколов, никаких средств оперативного отображения статистики здесь не предусмотрено. В реальном времени шлюз сообщает только об использовании полосы пропускания клиентами.