По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Фаервол на Микротике основан на базе принципов iptables в Linux позволяет фильтровать входящий и исходящий трафик по определенным правилам. В статье мы хотим рассказать про ключевые компоненты Firewall, дизайне и реализации этого инструмента. Погнали!
Общее представление
Основная идея любого фаервола это определение того, что разрешено и запрет всего остального. Так работают все современные инструменты фильтрации. При наличии фаервола, сеть можно разделить на ненадежные, полу - надежные и надежные.
Firewall Chains
Цепочки (последовательности) фаерволов сопоставляют по своим правилам входящий и исходящий с интерфейса трафик. После того, как трафик попал под определенное правило («сматчился»), вы можете совершать определенные манипуляции с ним: разрешить, блокировать, отклонить, внести в лог запись и так далее. В Mikrotik есть следующие флаги: Input, Output и Forward.
Input Chain
Input матчит входящий на интерфейсы маршрутизатора трафик. Условно говоря – это прилетающие на роутера IP - пакеты. Обычная практика – дропать пакеты, прилетающие на WAN, направленные на сканирование портов, попытки взлома и прочие. Помимо этого, многие блокируют входящий трафик изнутри локальной сети (например, допуск к Winbox или SSH должен быть только с определенного VLAN – остальные дропаются).
Всегда используйте VLAN – это базовое разграничение, которое позволит вам обеспечить современные стандарты безопасности.
Output Chain
Как можно догадаться по названию, данный инструмент направлен на фильтрацию исходящего от роутера трафика. Здесь можно блокировать запросы, исходящие непосредственно с роутера: например, DNS или ICMP запрос с роутера.
Forward Chain
Самое интересное – данный инструмент «матчит» трафик проходящий через Mikrotik с одного интерфейса на другой. Пример: пакет, отправленный с хоста внутри LAN через маршрутизатор в сторону провайдера. Пакет прилетает на внутренний интерфейс, а выходит через WAN.
Firewall Actions
Правила на фаерволе могут делать множество вещей, основные из которых: accept (принять), drop (сбросить) и отклонить (reject).
Accept
Данное правило позволяет просто «пропустить» проходящий через фаервол трафик. Никакой модификации или изменения маршрута – пакету будет позволено продолжить свой изначальный путь.
Reject
Фаервол может легко отклонить (сделать reject) пакетов, которые попадут под определенное правило. При этом, источнику такого пакета будет отправлено уведомление о соответствующей блокировке.
В данном методе есть один весомый минус: в случае, если злоумышленник попробует «сканировать» порты или совершить другой вид атаки – отправленные в его сторону REJECT сообщения лишь помогут ему в злодеяниях. Поэтому, в целях безопасности, мы рекомендуем использовать DROP.
Drop
Данное правило «дропает» пакет без отправления уведомления об этом источнику. Этот метод наиболее безопасен на этапе защиты своего Mikrotik от сканирования портов и прочих атак.
Firewall Rules
Правила Firewall определяют пакеты, которые будут обработаны на уровне фаервола, а какие будут отброшены. Каждое правило – это комбинация параметров IP – адресации (источник/получатель пакета), цепочек (chains), действий (actions), интерфейсов и прочих опций. Как мы говорили ранее – хорошо настроенный фаервол пропустит только необходимый для бизнеса трафика, дав запрет на пропуск всего остального потока трафика. Указывая набор разрешающих правил, всегда замыкайте их на конце строчкой «DENY ALL» (запретить все).
Chains
Каждое создаваемое правило назначается определенной цепочке (chain). После определения принадлежности к цепочке, пакеты проходят проверку через последовательность правил в порядке убывания (сверху вниз).
Порядок правил в фаерволе играет важную роль! Поэтому, от последовательности проверки зависит эффективность фильтрации.
Actions
Правило отрабатывает по одному из основных действий: принять (accept), отклонить (reject) и отбросить (drop). Выше мы подробнее рассказывали про каждое из указанных действий.
Адресация
Нашему правилу можно сказать, по какому критерию проводить блокировку: это может быть протокол, IP – адрес (это может быть как хост с /32 маской, так и целая подсеть с /24, например). Помимо этого, критерием могут быть физические или логические интерфейсы (eth/GRE).
Комментарии
Создавая правила комментируйте их. Это важно, как и при программировании – код без комментариев очень сложно анализировать и понимать в будущем.
Советы
Хотим так же поделиться парой полезных советов по настройке Firewall:
Разрешайте только необходимый для работы трафик - да, это сложно. Но методом проб и ошибок мы рекомендуем добиться той настройки фаервола, в рамках которой все ваши подключения будут ясны и понятны.
Подключения только с определенного пула адресов - это может быть удаленный офис, IP – адреса ЦОД или VPN адресация. Тут нужно быть особенно бдительным.
В конце правил всегда используйте «deny all» - после того, как вы выполнили первую и вторую рекомендации и весь тип трафика по протоколам, адресации, источникам (в том числе L7, например) четко определен – в конце цепочки добавьте правило запрета всего. Это будет означать, дословно: «Все, что не разрешено - запрещено».
Атакуйте свою сеть! - да, да, вы не ослышались. Конечно, без фанатизма :) Мы предлагаем периодически сканировать порты на вашем фаерволе. Например, это можно делать с помощью утилиты исследования сети Nmap.
За прошлый год Роскомнадзор зафиксировал 168 утечек персональных данных, в результате которых в открытый доступ попало более 300 млн записей. Самое большое количество атак пришлось
на ИТ-отрасль
(4,1 млрд строк). Крупная утечка произошла в сентябре 2023 года, когда в сеть попали данные 1 млн держателей карт МТС-банка. На втором месте оказались услуги (218,6 млн), на третьем – ритейл (187,4 млн). Все чаще крупный (и не только) бизнес задумывается о том, как защитить информацию и обезопасить своих пользователей. В связи с угрозой появилась отдельная должность в сфере информационной безопасности — пентестер. Ниже мы подробнее расскажем, кто это такой.
Пентестер ху из ит
Пентестер (от англ. penetration testing, «тест на проникновение») — специалист по информационной безопасности, который защищает системы от атак злоумышленников и анализирует их уязвимости. Еще его называют этичный или «белый» хакер. Звучит заманчиво, не правда ли? Заниматься взломом легаль и получать за это деньги. В этом материале мы подробнее рассмотрим, что это за работа, как стать пентестером, что они делают и сколько зарабатывают.
Навыки пентестера
Пентестер должен обладать широким спектром знаний и навыков в области информационной безопасности, компьютерных сетей, операционных систем, программирования и методов атаки. Ниже развернутый список необходимых навыков:
понимание операционных систем, таких как Linux, Windows, iOS, Android. Знание их уязвимостей является ключевым для защиты и отражения атак.
знание языков программирования. Часто это скриптовые языки, такие как Python, PHP или JavaScript.
умение разбираться в типах уязвимостей, включая программные баги, недостатки конфигурации и слабые места в сетевых протоколах, а также способы их эксплуатации.
знание основных сетевых протоколов (HTTP, TCP, DNS) / сетевых служб (Proxy, VPN, AD).
знание методологии пентестинга, то есть методологии проведения тестирования на проникновение
английский язык: часто он нужен для того, чтобы читать учебные материалы, техническую документацию или разобраться в кейсе.
Где учиться?
Путь в эту профессию может начинаться с базы: получите образование в области информационной безопасности или компьютерных наук: Многие пентестеры имеют степень бакалавра или магистра в информационной безопасности, компьютерных науках или смежных областях.
Дополнительно можно по максимуму использовать бесплатные ресурсы и источники: книги, курсы, сайты и YouTube-каналы для начинающих хакеров. К примеру можно заглянуть на сайт GitHub в раздел
Awesome Ethical Hacking Resources
. Здесь как раз собраны разнообразные материалы по пентестингу.
Для начинающих практиков есть возможность принять участие в CTF (Capture The Flag) соревнованиях. В крупном CTF конкурсе можно протестировать свои скиллы, получить признание среди единомышленников, привлечь внимание работодателей или получить денежную награду.
Разнообразные онлайн-курсы и ИТ-школы. Здесь мы рады посоветовать вам наш
курс по кибербезопасности
, где вы изучите хакерский майндсет и научитесь защищать инфраструктуру компании. Занятия рассчитаны на 2 месяца и подойдут как начинающим студентам, так и опытным специалистам. Для них подготовлены лабораторные работы.
Карьерный роадмап и зарплаты
Начнем с того, что у пентестера есть несколько вариантов развития карьеры. Во-первых, можно устроиться в отдел информационной безопасности крупной компании или присоединиться к команде пентестеров. Во-вторых, работать в качестве фрилансера по договору с малым или средним бизнесом, которому нет смысла нанимать постоянный штат специалистов. Следующая опция — Bug Bounty. Такие программы позволяют получить вознаграждение за найденные уязвимости в программном обеспечении компании. Принять участие может любой специалист, главное — придерживаться заявленных условий.
По состоянию на февраль 2024 года зарплаты белых хакеров на
hh.ru
варьируются от 80 до 400 тыс. рублей в месяц. Вакансий на русскоязычных ресурсах представлено не так много в отличие от программирования и разработки.
Итак, несмотря на то, что это развивающееся в России направление, востребованность специалистов по безопасности стабильно растёт. Пентестеры играют важную роль в компании, особенно в обеспечении безопасности информационных систем, и помогают защитить ее от кибератак.
Говоря техническим языком, Институт инженеров электротехники и электроники (Institute of Electrical and Electronics Engineers, IEEE) определяет Ethernet как стандарт группы 802.3. Воу - воу, слишком сложно. В этой статье мы объясним термин Ethernet простым языком, так как он стал действительно популярным даже среди непрофессионального сообщества.
Видео: Ethernet на пальцах
Обобщенно про Ethernet
Скажем прямо - Ethernet это стандарт, который относится только к построению локальных сетей LAN (Local Area Network). Локальная сеть мала, в отличие от старшего брата WAN (Wide Area Network), которую еще называют глобальной сетью. Локальная сеть у вас дома, в офисе, то есть на любой небольшой территории. Именно локальная сеть - один из основных идентификаторов наличия Ethernet.
В терминах семиуровневой модели OSI (если не знаете про нее, почитайте, это интересно!), стандарт Ethernet живет на первом и на втором уровнях. На первом уровне описаны способы передачи электрических, оптических и беспроводных (радио, например) сигналов, а на втором формирование кадров (фреймов). И тут мы делаем вывод:
Ethernet - это набор описаний способов физической передачи сигналов (электричество) на первом уровне модели OSI и формирования кадров (фреймов) на втором уровне модели OSI внутри локальных сетей LAN.
А сейчас важное уточнение: Ethernet относится только к проводным сетям. Многим миллениалам и представителям поколения Z кажется, что подключение по проводу - это своего рода “некромантия”. Однако это не так, и сейчас мы объясним почему.
Ethernet “по полочкам”
Скорость
Технология “Эзернет” разработана в 1970. Поэтому, сам по себе стандарт Ethernet имеет скорость 10 Мбит/с. Мало, согласитесь? Вот и мы так думаем. В 1995 году на свет появился стандарт Fast Ethernet, к которому мы все так привыкли и который работает в большинстве домашних “локалок”. Не трудно догадаться - его скорость 100 Мбит/с
В 1999 году, благодаря технологическому “рывку”, на свет появился Gigabit Ethernet, который уже поддерживает подключения скоростью 1000 Мбит/с или 1 Гбит/с. Отметим, что “гигабитными” линками зачастую в корпоративных сетях подключает даже сервера.
Линком в профессиональной среде называют канал подключения того или иного узла. Фраза “подключил к свичу сервер гигабитным линком” означает, что коллега подключил кабелем UTP сервер к коммутатору по стандарту Gigabit Ethernet.
И пожалуй финалочку по скорость: впервые в 2002 году IEEE опубликовал стандарт 802.3ae, в котором описал 10 Gigabit Ethernet, или как его еще называют 10GE, 10GbE и 10 GigE. Догадаетесь, на какой скорости он работает? 😉
Кабели
Еще раз подчеркнем - Ethernet описывает только проводные подключения. Сейчас наиболее популярен кабель UTP 5 категории (CAT 5). Вы спросите, почему UTP? Unshielded Twisted Pair, ответим мы, или переводя на русский язык неэкранированная витая пара. Кабель 5 категории отлично справляется со стандартами Ethernet и Fast Ethernet.
Для работы с более высокоскоростными стандартами, такими как Gigabit Ethernet и 10 Gigabit Ethernet понадобится кабель категории 5e или 6 категории
Ethernet vs. Wi-Fi: преимущества
Стабильность сигнала
На самом деле развертывание локальной сети на базе проводного подключения дороже и сложнее. Но конечно есть преимущества, а особенно для организаций. В первую очередь, вспомним: Wi-FI передается по радиочастотам. Если вы живете в Москве и слушаю радио на машине въезжали в Лефортовский туннель вы точно знаете, что происходит с радиосигналом по мере погружения в туннель. Тоже самое происходит и с Wi-Fi.
В проводном Ethernet помехи - не проблема. Если вы - организация и осуществляете чувствительные банковские транзакции, или у вас в офисе работает IP - телефония - конечно проводное подключение по Ethernet. Если вы домашний пользователей и “рубитесь в доту” или скачиваете массивные файлы, смотрите трансляции, майните биткоины - лучше Ethernet.
Безопасность
Это, безусловно, важно. А особенно для организаций. С помощью проводной сети на базовом уровне просто контролировать подключение к вашей сети. Например Wi-FI сеть может быть доступны вне вашего офиса - а там уже все зависит от компетенции злоумышленника.
Отметим, что как правило, Ethernet работает на удаленности 100 метров от от роутера. При большем расстоянии нужен некий репитер сигнала.
Ethernet vs. Wi-Fi: недостатки
Стоимость
С одной стороны, в домашней сети, достаточно просто подключить 1 кабель к порту вашего ПК и все работает. Здесь стоимость отличия от домашней Wi-Fi сети складывается только из стоимости кабеля. А что если вы организация? Кабелей нужно больше, к тому же, 1 кабель = 1 порт на коммутаторе. Соответственно, нужно закупать коммутаторы, фаерволы (безопасность, а как же?), маршрутизаторы. Именно поэтому, инвестиции в проводные Ethernet сети выше, чем в беспроводные.
Порты
Этот пункт пожалуй важен для дома. Пусть у вас обычный домашний маршрутизатор: в нем предположим 5 портов (1 аплинк от провайдера уже занят). При условии, что у вас телевизор, Xbox, ТВ - приставка, и два домашних компьютеры - ваши порты закончены. Если нужно подключить еще девайсы - нужно покупать дополнительное оборудование. Такой проблемы нет в Wi-Fi.
Мобильность
Самое важное, пожалуй. С Ethernet вы жестко завязаны на одном месте (особенно это характерно в офисе, где у вас скоммутирована Ethernet розетка). Дома, если у вас “красивый” ремонт, кабели спрятаны под плинтус. Поэтому, мобильностью и гибкостью здесь и не пахнет.
С Wi-Fi можно легко подключать ноутбуки, планшенты и мобильные телефоны. Представьте забавный кейс: по пути в туалетную комнату, вы берете с собой ноутбук с кабелем, вместо мобильного телефона, в котором привычно листаете любимую ленту. Пожалуй, это тот самый случай, когда лучше почитать надписи на освежителе воздуха.
Итоги
Ethernet - стандарт, описывающий подключение к локальным сетям через провод. При использовании его дома, есть профит только в большей скорость загрузки/отдачи. В офисе, кабели безусловно занимают лидирующие позиции - это связано в первую очередь с безопасностью, ведь утечки коммерческих тайн еще никому не шли на пользу. В домашних условиях Wi-Fi занимает уверенные лидерские позиции.