Сетевая безопасность

Содержание и основные понятия

← Вернуться к оглавлению
Alterna · глава 5 · страница 5.4
Сетевая безопасность
Как защитить данные в сети: от межсетевых экранов до шифрования TLS. Разбираем механизмы, которые стоят между вами и угрозами.
В главе 4 вы узнали о паролях, фишинге и защите персональных данных. Теперь поднимемся на
сетевой уровень
— как инфраструктура защищает данные от перехвата, вторжения и атак.
Firewall, IDS, VPN, TLS — каждый из этих инструментов решает свою задачу в многоуровневой защите.
ФГОС · базовый
ФОП · углублённый
01
Угрозы в сети
Что именно мы защищаем и от кого
ФГОС
Три столпа информационной безопасности (CIA)
🔒
Confidentiality
конфиденциальность
Данные доступны только авторизованным пользователям. Защита от перехвата и несанкционированного доступа.
✓
Integrity
целостность
Данные не были изменены несанкционированно. Защита от подмены и модификации.
⚡
Availability
доступность
Данные и сервисы доступны, когда нужны. Защита от DDoS и сбоев.
Основные сетевые угрозы
Угроза
Описание
Нарушает
Перехват (sniffing)
Злоумышленник читает трафик в сети
Конфиденциальность
MITM (Man-in-the-Middle)
Атакующий встраивается между клиентом и сервером
Конфиденциальность + целостность
DDoS
Массовые запросы «ложат» сервер
Доступность
SQL-инъекция
Внедрение вредоносного SQL-кода через формы
Конфиденциальность + целостность
Сканирование портов
Разведка открытых портов для поиска уязвимостей
— (подготовка атаки)
Spoofing
Подделка IP/MAC-адреса
Целостность
02
Межсетевой экран (Firewall)
Фильтр, который решает: пропустить пакет или заблокировать
ФГОС
ФОП
Что делает firewall
Межсетевой экран
(firewall) — устройство или программа, которая анализирует сетевые пакеты и решает, пропустить их или заблокировать, на основе набора
правил
.
Типы firewall
Тип
Что анализирует
Пример правила
Packet filter
Заголовки: IP, порт, протокол
«Запретить TCP-порт 23 (Telnet) извне»
Stateful
+ состояние соединения
«Пропускать ответы на исходящие запросы»
Application (proxy)
Содержимое (HTTP, DNS)
«Блокировать запросы к malware.ru»
NGFW
+ IDS, глубокий анализ
«Блокировать трафик с сигнатурой эксплойта»
Правила firewall
Каждое правило содержит:
протокол
(TCP/UDP/ICMP),
адрес источника
,
порт источника
,
адрес назначения
,
порт назначения
,
действие
(ALLOW / DENY).
Правила обрабатываются
сверху вниз
. Первое совпавшее правило применяется. В конце обычно стоит «default deny» — запретить всё, что не разрешено.
Принцип
Правильная политика firewall:
запретить всё, разрешить только необходимое
(default deny). Обратный подход (разрешить всё, запретить известное плохое) — гораздо менее безопасен.
03
IDS и IPS — обнаружение и предотвращение
Системы, которые видят аномалии в трафике
ФОП
IDS — Intrusion Detection System
Обнаруживает
подозрительную активность и
оповещает
администратора. Не блокирует трафик — только мониторит. Аналогия: камера видеонаблюдения.
IPS — Intrusion Prevention System
Обнаруживает и блокирует
атаки автоматически. Стоит «в разрыв» трафика. Аналогия: охранник на проходной.
Методы обнаружения
Метод
Как работает
Плюсы
Минусы
Signature-based
Сравнение с базой известных атак (сигнатурами)
Точный для известных угроз
Не видит новые (zero-day)
Anomaly-based
Отклонение от «нормального» профиля трафика
Ловит новые атаки
Ложные срабатывания
Heuristic
Анализ поведения (эвристики)
Гибкий
Сложен в настройке
04
VPN — виртуальная частная сеть
Зашифрованный туннель через публичный Интернет
ФГОС
ФОП
Что делает VPN
VPN
(Virtual Private Network) создаёт
зашифрованный туннель
между вашим устройством и VPN-сервером. Весь трафик идёт через этот туннель — провайдер и злоумышленники в сети видят только шифр.
Зачем нужен VPN
Безопасность в публичных Wi-Fi
— в кафе, аэропорту трафик шифруется
Удалённый доступ к корпоративной сети
— сотрудник работает из дома как в офисе
Конфиденциальность
— провайдер не видит, какие сайты вы посещаете
Протоколы VPN
Протокол
Шифрование
Скорость
Применение
OpenVPN
AES-256
Средняя
Универсальный, открытый
WireGuard
ChaCha20
Высокая
Современный, лёгкий
IPsec
AES / 3DES
Средняя
Корпоративные site-to-site
PPTP
MPPE (слабый)
Высокая
Устарел, не безопасен
Важно
VPN
не делает вас анонимным
. VPN-провайдер видит ваш трафик. Для анонимности нужен Tor (луковая маршрутизация через 3+ узла).
05
TLS и PKI — как работает HTTPS
SSL-сертификаты, центры сертификации, рукопожатие TLS
ФОП
Что такое TLS
TLS
(Transport Layer Security) — протокол шифрования на транспортном уровне. Наследник SSL. Обеспечивает:
Шифрование
— данные в транзите нечитаемы
Аутентификацию
— вы уверены, что общаетесь с нужным сервером
Целостность
— данные не подменены
TLS Handshake — рукопожатие
Client Hello
— браузер отправляет поддерживаемые алгоритмы шифрования
Server Hello
— сервер выбирает алгоритм + отправляет
сертификат
Проверка сертификата
— браузер проверяет подпись центра сертификации (CA)
Обмен ключами
— генерируется общий симметричный ключ (через RSA или Diffie-Hellman)
Зашифрованная связь
— весь дальнейший трафик шифруется симметричным ключом
PKI — инфраструктура открытых ключей
PKI
(Public Key Infrastructure) — система центров сертификации (CA), которые выдают цифровые сертификаты. Сертификат подтверждает: «этот публичный ключ действительно принадлежит domain.com».
Связь с главой 4
В главе 4 вы узнали, что HTTPS использует шифрование. Теперь видно всю цепочку: браузер → TLS handshake → проверка сертификата CA → обмен ключами → шифрованный канал. Значок 🔒 в адресной строке — результат этой процедуры.
Предупреждение
Если браузер показывает «Сертификат недействителен» — это может означать MITM-атаку.
Не продолжайте
ввод паролей на таком сайте!
06
Шифрование и хеширование
Симметричное и асимметричное шифрование, хеш-функции, цифровые подписи
ФОП · углублённый
Симметричное шифрование
Один ключ
используется и для шифрования, и для расшифровки. Как замок с одним ключом: закрыл — открыл тем же ключом.
Алгоритм
Ключ
Применение
AES-256
256 бит
Стандарт: TLS, VPN, шифрование дисков
ChaCha20
256 бит
WireGuard, мобильные устройства
DES / 3DES
56 / 168 бит
Устарел, взламывается
Асимметричное шифрование
Два ключа
: публичный (public) и приватный (private). Публичным ключом
шифруют
, приватным —
расшифровывают
.
🔑
Публичный ключ
открытый
Раздаётся всем. Им шифруют данные для вас. Как почтовый ящик — любой может бросить письмо.
🗝️
Приватный ключ
секретный
Хранится только у вас. Им расшифровываете. Как ключ от почтового ящика — только у вас.
Алгоритм
Основа
Применение
RSA
Факторизация больших чисел
TLS handshake, цифровые подписи
Diffie-Hellman
Дискретный логарифм
Обмен ключами (ECDHE в TLS)
ECDSA
Эллиптические кривые
Подписи в блокчейне, TLS
Как работает TLS
TLS использует
оба
типа: асимметричное шифрование (RSA/ECDHE) — для обмена ключами при рукопожатии, симметричное (AES/ChaCha20) — для шифрования трафика. Асимметричное медленнее в 100–1000 раз, поэтому его применяют только в начале.
Хеширование
Хеш-функция
— одностороннее преобразование: из данных любого размера получает
фиксированную
строку (хеш). Обратное преобразование невозможно.
Алгоритм
Длина хеша
Пр