Обзор Интернет Контроль Сервер (ИКС) 2.3.4 ФСТЭК

1. Введение

2. Изменения в межсетевом экране ИКС версии  2.3.4

3. Системные требования

4. Установка межсетевого экрана ИКС версии 2.3.4

5. Функциональность и работа с межсетевым экраном ИКС

5.1. Дополнительные функциональные модули межсетевого экрана ИКС

5.2 Функциональные модули защиты от атак

5.3. Контроль доступа к ресурсам Интернет

5.4 Мониторинг и управление системой

6. Выводы

Введение

Рост количества локальных вычислительных сетей и острая необходимость предоставления доступа к сети Интернет всё большему числу устройств, а также защиты их от атак извне,  привели к развитию программных, аппаратных и программно-аппаратных комплексов, с помощью которых можно предоставить доступ к сети Интернет большому количеству устройств в локальной сети. Эти комплексы обладают широкой функциональностью, средствами защиты от внешних угроз (межсетевые экраны, средства обнаружения вторжений, антивирусная проверка контента), модули контентной фильтрации, средства для сбора статистических данных, управления пропускной способностью канала и прочее.

ИКС 2.3.4 (Интернет Контроль Сервер) от российской компании "А-Реал Консалтинг" - это многофункциональный межсетевой экран и прокси-сервер. Представляет собой программный комплекс, в основе которого лежит операционная система FreeBSD 8.1. Использование операционной системы FreeBSD означает минимальное потребление системных ресурсов, высокую надёжность, безопасность и скорость работы. Продукт имеет сертификат ФСТЭК №2623 от 19 апреля 2012 г.

К ключевым особенностям интернет-шлюза - межсетевого экрана ИКС стоит отнести:

• Большое количество сетевых сервисов, в том числе FTP, Web, DNS, DHCP, VPN, прокси, почтовый и jabber сервера, LDAP,  и другие. Это позволяет строить конфигурации системы практически произвольного уровня сложности, в зависимости от сценария использования.
• Для доступа к сети Интернет могут быть использованы различные варианты подключения к провайдерам. Поддерживаются:
  • DHCP;
  • PPPOE;
  • PPTP over IP;
  • PPTP over DHCP;
  • Провайдер VLAN.
• Система обнаружения вторжений (IPS) Snort.
• Возможность проверки трафика антивирусами ClamAV (бесплатный продукт) и Dr.Web (для работы требуется приобретение отдельной лицензии).
• Проксирование, в том числе и прозрачное.
• Модуль контентной фильтрации.
• Гибкая система работы с правилами для пользователей, групп пользователей.
• Удобная настройка ширины полосы пропускания.
• Интеграция с сетями Microsoft Windows.
• Поддержка установки и работы на виртуальных машинах Virtualbox, VmWare Workstation  и VmWare ESXi;
• Межсетевой экран ИКС сертифицирован ФСТЭК.

Подробнее остановимся на сертификации ФСТЭК. Согласно Федеральному закону РФ от 27 июля 2006 года № 152-ФЗ «О персональных данных», существенно возросли требования ко всем частным и государственным компаниям и организациям, а также физическим лицам, которые хранят, собирают, передают или обрабатывают персональные данные (в том числе фамилия, имя, отчество). Это означает, что для обеспечения безопасности персональных данных, при работе с ними, должны использоваться средства, которые прошли сертификацию ФСТЭК. К тому же, в случае наличия доступа к сети Интернет локальной вычислительной сети (или её сегмента), в которой идёт работа с персональными данными, то для защиты персональных данных, такая локальная вычислительная сеть (или сегмент) должна быть защищена сертифицированным ФСТЭК межсетевым экраном.

Полученный сертификат Государственной технической комиссии при Президенте РФ (ФСТЭК) удостоверяет, что программный межсетевой экран Интернет Контроль Сервер соответствует требованиям руководящего документа Гостехкомиссии России «Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» по 4-му классу защищённости.

Изменения в межсетевом экране ИКС версии  2.3.4

Версия 2.3.4.10458. Четвертое обновление ИКС 2.3 "Drumba the Dramatic Droid"

• Добавлена команда для получения списка провайдеров и сетей с использованием Jabber/ICQ-бота.
• Добавлены графики загруженности VLAN интерфейсов.
• Добавлена возможность работы веб-почты по https.
• Теперь пользователи могут менять свой пароль в веб-интерфейсе.
• Для сетевого интерфейса теперь можно задать скорость и режим работы.
• Добавлена возможность перенаправлять GRE трафик.
• Добавлена возможность удаления отчётов старше 2 месяцев.
• Различные компоненты системы обновлены до последних версий.

Стоит отметить, что на данный момент сертификацию ФСТЭК проходит новая версия межсетевого экрана -- ИКС 4.4, которая содержит ряд важных улучшений и нововведений. Укажем наиболее важные изменения версии 4.4:

• Ядро системы обновлено до FreeBSD 8.3;
• Поддержка работы с  WiFi и 3G.
• IP-телефония поддержкой протоколов SIP и IAX.
• Layer-7 фильтрация.
• Добавлена функция NAT для перенаправления портов и VPN-сети.
• Добавлена возможность работы с почтовым сервером по протоколам SMTPs, IMAPs и POP3s.
• Категории трафика SkyDNS.
• Поддержка протокола L2TP для VPN-подключений.
• Поддержка VMware Tools.
• Другие функциональные возможности.

 Системные требования

Установка межсетевого экрана ИКС версии 2.3.4

Установку межсетевого экрана ИКС можно проводить с компакт-диска или USB-накопителя, предварительно записав туда скачанный с сайта производителя iso-образ, который содержит программу установки межсетевого экрана ИКС. На данный момент отсутствуют iso-образы для виртуальных машин, которые содержат уже установленный межсетевой экран ИКС.

Сама установка предельно проста и проходит в несколько этапов. Программа-установщик имеет внешний вид сходный с sysinstall FreeBSD.

На первом этапе установки будет предложено выбрать язык интерфейса.

Рисунок 1. Выбор языка установки межсетевого экрана ИКС

После чего запустится сама программа установки. Далее необходимо будет принять лицензионное соглашение, выбрать сетевой интерфейс, который подключен к локальной сети, провести его настройку и выбрать жёсткий диск для установки.

Рисунок 2. Выбор сетевого интерфейса для настройки

Рисунок 3. Указание IP-адреса для выбранного интерфейса

Рисунок 4. Задание маски сети

После подтверждения всех заданных настроек и выбора жёсткого диска для установки, программа установки сама разобьёт и отформатирует жёсткий диск, а затем установка продолжится. По окончании установки, будет показано сообщение-напоминание какие данные нужно использовать для подключения к веб-консоли межсетевого экрана ИКС.

Функциональность и работа с межсетевым экраном ИКС.

Основным средством управления межсетевым экраном ИКС является веб-интерфейс.

Рисунок 5. Главная страница веб-интерфейса межсетевого экрана ИКС

Сам веб-интерфейс оставляет приятное впечатление. Для облегчения навигации и доступа к нужным сервисам и пунктам меню, используется четыре логических раздела: «Пользователи и статистика», «Службы», «Сеть» и «Обслуживание».

Раздел «Пользователи». В этом разделе сгруппированы модули управления пользователями, группами пользователей, их ролями. А также модуль для работы с наборами правил (в том числе контентной фильтрации), модуль для управления категориями данных и модуль отображения детальной статистики работы пользователей в сети Интернет.

В разделе «Службы» отображается список запущенных служб межсетевого экрана ИКС. Щёлкнув на любой службе, можно увидеть окно состояния службы, а также получить доступ к дополнительным настройкам этой службы или остановить её работу. Модуль «Все службы» содержит в себе список всех сетевых сервисов, доступных в межсетевом экране ИКС.

Раздел «Сеть» содержит в себе средства управления сетевыми подключениями, управления маршрутизацией, межсетевым экраном, системой обнаружения вторжений,  прокси-сервером, а также DHCP и VPN серверами, которые входят в состав межсетевого экрана ИКС.

А в разделе «Обслуживание» сгруппированы системные модули управления межсетевым экраном ИКС, в том числе и оборудованием, на котором он работает.

Для примера покажем окно состояния одной из служб межсетевого экрана ИКС.

Рисунок 6. Окно состояния службы FTP межсетевого экрана ИКС

В первую очередь необходимо провести настройку сетевых интерфейсов, чтобы обеспечить межсетевому экрану ИКС доступ к сети Интернет, а затем провести обновление межсетевого экрана ИКС.

Легче всего провести настройку сети с помощью мастера настройки сети. Если необходимо провести более тонкую настройку с указанием дополнительных параметров, то это можно сделать вручную.

Мастер первоначальной настройки сети можно запустить из модуля Сеть, щёлкнув по соответствующему меню.

Рисунок 7. Запуск мастера первоначальной настройки сети межсетевого экрана ИКС

Как видим, нам предлагают широкий выбор вариантов подключений. Это позволяет использовать ФСТЭК версию ИКС практически с любыми типами провайдеров.

Рисунок 8. Настройка сетевых интерфейсов межсетевого экрана ИКС

Перед подтверждением настроек сетевых интерфейсов будет показана итоговая таблица изменений. Если какие-то параметры заданы неверно, можно вернуться на несколько шагов назад и подкорректировать настройки.

Рисунок 9. Итоговая таблица изменений настроек сетей и провайдеров межсетевого экрана ИКС

После того, как все настройки были подтверждены и применены, произойдёт автоматическая переадресация в меню «Провайдеры и сети» модуля «Сеть».

В этом меню можно посмотреть список и состояние сетевых интерфейсов, отключить или включить те или иные интерфейсы, провести их настройку. Также можно посмотреть журнал работы комплекса.

Рисунок 10. Список настроенных сетей и провайдеров межсетевого экрана ИКС

В правильности соединения с сетью Интернет можно убедиться, воспользовавшись стандартной утилитой Ping. Она доступна в меню «Сетевые утилиты» модуля «Сеть».

Если необходимо, можно сделать и трассировку, использовав утилиту traceroute, которая находится в том же меню.

Рисунок 11. Результаты работы утилиты ping межсетевого экрана ИКС

В целом, настройка сетевых интерфейсов трудностей не вызывает.

После того, как мы смогли подключиться к сети Интернет, нужно проверить наличие обновление. Сделать это можно щёлкнув на пункт меню «Обновления» модуля «Обслуживание».

Рисунок 12. Результат проверки обновлений межсетевого экрана ИКС

Как видим, какие-либо обновления отсутствуют.

На этом краткую первоначальную настройку ИКС можно считать оконченной.

Дальнейшая настройка межсетевого экрана ИКС зависит от конкретного сценария использования.

Межсетевой экрана ИКС обладает широкой функциональностью и содержит множество сетевых сервисов.

Так, межсетевой экран ИКС может выступать в роли полноценного:

• DHCP-сервера, для автоматической настройки сетевых параметров клиентских устройств локальной сети;
• FTP-сервера (Proftpd), для обеспечения доступа к файлам по протоколу FTP;
• WEB-сервера (Apache), с поддержкой виртуальных хостов, для размещения сайтов и обеспечения к ним доступа;
• Mail-сервера (Postfix), с возможностями сбора почты с других почтовых ящиков и встроенным спам-фильтром, для передачи и приёма электронной почты;
• DNS-сервера (Bind), для работы со службами разрешения имён;
• Сервера каталогов, для синхронизации с сетями Microsoft Windows и Microsoft Active Directory;
• HTTP прокси-сервера (squid), с поддержкой прозрачного проксирования, проверки трафика с помощью антивирусов ClamAV и DrWeb, учёт и фильтрация трафика по URL и mime-типам, кэширования страниц (для экономии трафика), а также авторизации для доступа к прокси-серверу по учётным данным пользователей межсетевого экрана ИКС или Active Directory;
• Socks5 прокси-сервера, для предоставления возможности прозрачного использования сервисов за межсетевым экраном;
• VPN-сервера, для предоставления клиентам удалённого доступа с помощью VPN-авторизации;
• Сервера времени, для возможности синхронизации времени клиентских устройств с сервером, что особенно актуально в сетях с Active Directory.

Как видим, межсетевой экран ИКС предоставляет широкие возможности для использования различных сетевых сервисов и построения конфигураций различно сложности, в зависимости от потребностей той или иной организации. К тому же, есть возможность задействования сервисов по мере роста потребностей, без использования дополнительного стороннего программного обеспечения и отдельных серверов для этих сервисов.

Так же, в межсетевом экране ИКС, помимо вышеперечисленного, есть ряд дополнительных возможностей. Рассмотрим и их.

Дополнительные функциональные модули межсетевого экрана ИКС

«Журнал ICQ».  Этот сервис служит для перехвата сообщений ICQ и может использоваться как простой модуль DLP-системы для контроля переписки сотрудников и установления факта утечки конфиденциальной информации.  «Журнал ICQ» работает не со всеми сторонними клиентами службы ICQ и не перехватывает зашифрованные сообщения.

Если провайдер предоставляет динамический ip-адрес, а доступ к серверу из сети Интернет необходим, то можно воспользоваться модулем «DynDNS» (динамический DNS). Предварительно нужно зарегистрироваться на сайте http://dyndns.org/ или http://no-ip.com, и зарегистрировать своё собственное доменное имя. После чего указать учётные данные в модуле «DynDNS» для доступа к учётной записи, указать провайдера и ip-адрес, который будет меняться, и задать имя хоста. Удобная функция, если нет возможности получить статический ip-адрес, но, к примеру, хочется чтобы свой собственный сайт на своём сервере был доступен в сети Интернет.

Если в организации используются аппаратные маршрутизаторы фирмы Cisco, то межсетевой экран ИКС может подключаться к ним по протоколу Netflow v.5 для сбора и обработки статистической информации. Что может использоваться для более полного учёта объёмов трафика, анализа посещаемых ресурсов и прочее.

В состав межсетевого экрана ИКС включен модуль «Сертификаты», для создания и управления цифровыми сертификатами.  Цифровые сертификаты необходимы для того, чтобы обеспечить возможность работы сетевых сервисов межсетевого экрана ИКС с использованием протокола SSL. SSL (Secure Sockets Layer — уровень защищённых сокетов) — криптографический протокол, который обеспечивает установление безопасного соединения между клиентом и сервером. Использование протокола SSL может быть продиктовано желанием повысить безопасность работы с данными и повышением уровня надёжности и защищённости сетевых сервисов.

Для дополнительного контроля над безопасностью межсетевого экрана ИКС, используется модуль «Монитор файлов», который позволяет отслеживать изменения  в важных системных файлах и файлах конфигурации. Это может быть полезно в том случае, если злоумышленник смог каким-либо образом получить доступ к межсетевому экрану ИКС и произвёл подмену файлов или же изменил их. В таком случае в журнале будет запись о том, что есть изменения в тех файлах, которые отслеживаются.

Хорошим подспорьем в работе системному администратору послужит модуль «ARP-таблица», который позволяет отслеживать появление в сети новых устройств (по MAC-адресу), соответствие IP и MAC адресов, а также осуществлять привязку и отвязку IP адресов к MAC адресам. Особенно полезен будет этот модуль в большой сети. А также для отслеживания недобросовестных пользователей, которые могут изменять mac-адрес своих сетевых устройств, что создаёт дополнительные проблемы IT-персоналу.

В дополнение к этому, в межсетевом экране ИКС есть модуль «Сетевые утилиты», в котором собраны наиболее часто используемые сетевые утилиты для контроля состояния сети и диагностики сетевых неполадок, а именно:

• Ping, для проверки соединения;
• Traceroute, для отображения маршрута прохождения запроса до нужного хоста;
• Dig, утилита для тестирования работы DNS, путём посылки разных запросов к ним;
• Whois, для получения информации о владельце домена или диапазона ip-адресов;
• Route, для отображения текущей таблицы маршрутизации межсетевого экрана ИКС;
• Ifconfig, показывает текущую настройку сетевых интерфейсов межсетевого экрана ИКС;
• Tcpdump, отображает заголовки пакетов, которые проходят через заданную сетевую карту. Это позволяет детально анализировать проблемы с сетевым оборудованием и настройками межсетевого экрана ИКС.

Также доступно ARP-сканирование сети (на доступность локальных устройств в сети) и сканирование на проверку открытых портов в сети. Это позволяет повысить безопасность сети в целом, путём выявления проблем в настройках программного обеспечения, которое работает с сетью. Для обеспечения этих возможностей используется широко известное программное обеспечение Nmap.

Модуль «Маршруты» позволяет создавать гибкие правила маршрутизации трафика. В межсетевом экране ИКС поддерживается маршрутизация TCP/UDP, ICMP, GRE.

Функциональные модули защиты от атак

Как и полагается комплексу подобного класса, для защиты от сетевых атак извне используется межсетевой экран и детектор обнаружения атак.

Управление межсетевым экраном и работа с правилами очень простые, благодаря продуманности веб-консоли. При установке межсетевого экрана ИКС, ряд правил добавляется автоматически, для корректного функционирования ряда сетевых сервисов.

Рисунок 13. Список предустановленных правил межсетевого экрана

Помимо обычных разрешающих и запрещающих правил, можно задавать правила маршрутизации, правила ограничения полосы пропускания и правила приоритезации трафика. Это позволяет построить очень гибкую систему обработки сетевого трафика. Управление приоритетом трафика очень полезно в случае высокой загруженности каналов или наличия в сети критически важных сетевых сервисов, для которых важно обеспечить постоянную доступность. К примеру, если есть веб-сервер, на котором размещён сайт компании и важно, чтобы клиенты всегда имели к нему доступ, то можно задать правило обработки трафика, согласно которому будет обрабатываться трафик этого сервера в первую очередь. А вот почтовому трафику или FTP, можно задать и пониженный приоритет.

К тому же, правилам можно задавать время действия, что само по себе очень удобно. И предоставляет ещё большую гибкость в плане управления сетевым трафиком.

Рисунок 14. Пример редактирования правила межсетевого экрана

Для обеспечения дополнительных возможностей управления сетевым трафиком, межсетевой экран обеспечивает возможность перенаправления портов.

Для дополнительной защиты от сетевых атак используется модуль «Детектор атак», реализованный с помощью известной IPS Snort, способной выполнять регистрацию пакетов и в режиме реального времени осуществлять анализ трафика в IP сетях. IPS Snort выполняет протоколирование, анализ, поиск по содержимому, а также широко используется для активного блокирования или пассивного обнаружения целого ряда нападений и зондирований, таких как переполнение буфера, стелс-сканирование портов, атаки на веб-приложения, SMB-зондирование и попытки определения ОС.

Для корректной работы этого модуля необходимо установить правила для системы обнаружения атак.

Рисунок 15. Настройка обновления списков правил модуля «Детектор атак»

Для получения и постоянного обновления первого списка правил, необходимо зарегистрироваться на сайте snort.org, получить код Oinkcode для скачивания правил и ввести его в поле «Код для Oinkcode».

Второй список правил распространяется свободно без регистрации.

После того, как нужные источники списков правил отмечены в чекбоксах, можно нажать кнопку Обновить и дожидаться обновления списков правил. После чего система обнаружения вторжений готова к работе.

Также можно указать дополнительные настройки для этого модуля, список защищаемых портов, сетевые интерфейсы и прочее.

Рисунок 16. Окно настроек модуля «Детектор атак»

Стоит отметить, что Snort является довольно мощной системой предотвращения вторжений и широко распространена.

Для проверки трафика на наличие вредоносного кода, в межсетевом экране ИКС используется два антивирусных продукта. Это широко известные ClamAV (является бесплатным программным обеспечением) и российский Dr.Web (для работы требуется приобретение отдельной лицензии). Использование антивирусных продуктов на шлюзе, позволяет сильно повысить безопасность в локальной сети. При этом возможны несколько сценариев организации безопасности:

• Сетевой трафик сканируется на интернет-шлюзе, на рабочих местах используется антивирусное программное обеспечение без модуля проверки трафика;
• Сетевой трафик сканируется на интернет-шлюзе, на рабочих местах используется антивирусное программное обеспечение другого производителя с модулем проверки трафика;
• Сетевой трафик сканируется на интернет-шлюзе, на выбранных рабочих местах используется антивирусное программное обеспечение другого производителя с модулем проверки трафика.

Как видим, межсетевой экран ИКС имеет в своём составе мощные средства противодействия сетевым и вирусным атакам. Что позволяет создать мощную инфраструктуру информационной безопасности организации или свободно интегрировать его в существующую и повысить уровень безопасности в целом.

Контроль доступа к ресурсам Интернет

Теперь рассмотрим, каким образом осуществляется контроль доступа пользователей к различным ресурсам сети Интернет.

В наше время, контроль доступа к ресурсам сети Интернет необходим по разным причинам. Это может быть и желание администрации повысить производительность труда путём блокирования развлекательных ресурсов, социальных сетей и прочего. Или повышение уровня безопасности в локальной сети путём блокировки известных вредоносных ресурсов. Или же блокирование доступа к нежелательным ресурсам в детских образовательных учреждениях согласно ФЗ «О защите детей от информации, причиняющей вред их здоровью и развитию». Естественно, база таки ресурсов должна постоянно пополняться.

Такая возможность реализована в межсетевом экране ИКС. Для такого контроля есть предустановленные категории трафика.

Рисунок 17. Категории трафика межсетевого экрана ИКС

Стоит отметить, что эти список ресурсов в этих категориях очень обширен.

Для более гибкого и полного контроля над доступом к ресурсам сети Интернет, в межсетевом экране ИКС предусмотрена возможность создания собственных категорий и автоматических категорий.

Автоматические категории удобны тем, что системный администратор может сам вести списки требуемых ресурсов, либо же брать готовые, указывать межсетевому экрану ИКС месторасположение файлов со списком ресурсов, а потом указать период автоматического обновления этой категории. Таким образом, если в файл со списком будут внесены новые данные, они автоматически загрузятся в нужную категорию на сервере.

Для того, чтобы реализовать контроль доступа к ресурсам сети, применяются правила и наборы правил для пользователей в сети. Для работы с правила служит модуль «Наборы правил» раздела «Пользователи и статистика».

Рисунок 18. Модуль «Наборы правил» межсетевого экрана ИКС

Есть три предустановленных набора правил (по-умолчанию сами правила там отсутствуют), а также можно создавать свои наборы, для большей наглядности и  упрощения работы.

К примеру, можно создать набор правил «Школа», где создать правила запрещающие посещать те или иные категории ресурсов нежелательных для детей.

Рисунок 19. Пример создания запрещающего правила для выбранного набора правил

Доступ к ресурсам из указанных категорий можно запретить или, при попытке посетить ресурс из запрещённой категории, перенаправить на нужный сайт. К примеру, на сайт школы.

Правила могут иметь определённое время действия, которое можно задать. Это позволяет гибко управлять контролем доступа к ресурсам в зависимости от времени суток. К примеру, можно запретить посещение социальных сетей в рабочее время, но разрешать посещать в обеденный перерыв.

Кроме правил контроля доступа, можно создавать правила управления шириной пропускания канала для отдельных пользователей, групп пользователей и диапазонов адресов.

Также, в межсетевом экране ИКС предусмотрена возможность просмотра детальной статистики посещения ресурсов сети, объём потреблённого трафика и прочей статистической информации.

Таким образом, межсетевой экран ИКС, предоставляет возможность контролировать работу пользователей в сети Интернет в полном объёме. С учётом контроля доступа к ресурсам сети, ограничения на объём потребляемого трафика и управления загрузкой каналов.

Мониторинг и управление системой

Помимо всех вышеперечисленных возможностей, межсетевой экран ИКС позволяет в реальном времени контролировать состояние оборудования, на котором он установлен, просматривать загрузку каналов, качество связи, контролировать состояние операционной системы и многое другое.

Для контроля всех этих параметров служит модуль «Мониторинг»

Рисунок 20. Модуля «Мониторинг» межсетевого экрана ИКС. Контроль загрузки процессора

Данные сортируются по временным интервалам: последний час, последние 6 часов, последний день, неделя и месяц. Это даёт системному администратору возможность следить за состоянием системы в целом, её отдельных параметров, отслеживать пиковую нагрузку для возможной оптимизации работы системы и предотвращение отказа в обслуживании.

Для облегчения восстановления системы после сбоя (от подобного не застрахован никто), в межсетевом экране ИКС предусмотрена возможность автоматического создания резервных копий настроек системы, а также полного резервного копирования системы. Помимо локального хранения резервных копий, предусмотрена возможность сохранения резервных копий на флэш-накопитель и на удалённый FTP-сервер. Что сильно повышает возможность быстрого восстановления работы, в случае если локальные резервные копии были утеряны или повреждены. Настройку резервного копирования можно провести в модуле «Резервное копирование».

Рисунок 21. Модуль «Резервное копирование», настройка создания резервных копий

Для дополнительного контроля межсетевого экрана ИКС предусмотрен модуль «Системный журнал». В модуле «системный журнал» отображаются сообщения о действиях пользователей, изменениях в статусах сервисов и ошибках системы. Для того, чтобы не пропустить какое-либо очень важное событие, в этом модуле предусмотрена система отправки уведомлений ответственному лицу. Уведомление может быть отправлено по электронной почте, а также с помощью Jabber или ICQ.

Рисунок 22. Настройка категорий уведомлений для отправки

Таким образом, нет необходимости постоянно следить за журналом событий, что, в целом, затруднительно. Такая возможность обеспечивает своевременное уведомление о тех или иных событиях, без постоянного отвлечения внимания.

Модуль «Жёсткие диски» предназначен для управления дисковой подсистемой сервера с установленным межсетевым экраном ИКС. Довольно часто получается так, что объёма установленных жёстких дисков перестаёт хватать. Для этого и была введена возможность лёгкого добавления новых жёстких дисков, создания дополнительных разделов и прочего в межсетевом экране ИКС.

Рисунок 23. Управление жёсткими  дисками в межсетевом экране ИКС

Для тех случаев, когда доступ к межсетевому экрану ИКС невозможен с помощью веб-интерфейса, предусмотрена консоль восстановления, которую можно активировать нажатием клавиши F2, на клавиатуре, которая подсоединена к серверу с установленным межсетевым экраном ИКС. С помощью консоли восстановления можно изменить настройки сетевых интерфейсов, изменить таблицу маршрутизации, изменить пароли доступа к межсетевому экрану ИКС, настроить дисковую подсистему, перезагрузить или выключить сервер.

На этом мы заканчиваем обзор сертифицированного межсетевого экрана ИКС и переходим к выводам.

Выводы

Межсетевой экран ИКС оставил приятное впечатление. Это хорошо продуманный программный продукт с очень широкими возможностями. Его легко освоить персоналу, который впервые сталкивается с подобным классом продуктов или же не имел достаточного опыта работы. Для опытных системных администраторов в межсетевом экране ИКС предусмотрена возможность сколь угодно тонкой настройки параметров, а также широкий выбор сетевых сервисов для построения системы высокой сложности. Что даёт возможность наиболее полно учесть требования той или иной организации в создании сетевой инфраструктуры.

Достоинства:

• Использование в качестве основы операционной системы FreeBSD.
• Большое количество сетевых сервисов, в том числе FTP, Web, DNS, DHCP, VPN, прокси, почтовый и jabber сервера, LDAP,  и другие.
• Использование популярной и хорошо зарекомендовавшей себя IPS Snort.
• Возможность проверки трафика с помощью антивирусов ClamAV, который является бесплатным и Dr.Web, для работы с которым нужно приобрести отдельную лицензию.
• Возможность построения гибкой системы правил обработки сетевого трафика, в том числе возможность контентной фильтрации, приоритезация трафика, маршрутизация, перенаправление портов, указание временных диапазонов работы правил обработки трафика, управление полосой пропускания и прочее.
• Поддержка работы на виртуальных машинах. Но преднастроенные образы отсутствуют.
• Система мониторинга оборудования, компонентов межсетевого экрана ИКС и самой системы.
• Простота и наглядность в настройке, удобный веб-интерфейс.
• Пробный период использования составляет 35 дней.
• Бесплатная техническая поддержка и хорошая документация.
• Наличие сертификации ФСТЭК (сертификат ФСТЭК №2623 от 19 апреля 2012 г.).
• Пожизненная лицензия, не ограниченная по времени использования.

Недостатки:

• Использование в качестве основы операционной системы FreeBSD. Да, это как плюс, так и минус. Минус в плане поддерживаемого оборудования. У операционной системы FreeBSD есть определённые проблемы в этом направлении. К сожалению, операционная система FreeBSD немного отстаёт, в плане поддержки нового оборудования, от Linux и, тем более, от Microsoft Windows. Поэтому, мы рекомендуем перед установкой межсетевого экрана ИКС убедиться, что оборудование поддерживается операционной системой FreeBSD.
• Отсутствие в качестве провайдера Wi-Fi соединения. С учётом развития беспроводных сетей – это актуально. Разработчики добавили поддержку Wi-Fi соединений в версии ИКС 4.4, которая на момент публикации обзора проходит сертификацию ФСТЭК.
• В процессе подготовки обзора были проблемы с использованием сетевого адаптера PCnet FAST III в виртуальной машине Virtualbox. Система корректно заработала только с сетевым адаптером Intel;
• Модуль «Обновления» сообщает об отсутствии обновлений, не смотря на то, что новое обновление в списке есть;
• Проблемы работы с консолью в некоторых менее популярных браузерах. Например, Internet Explorer 8 довольно часто предлагал остановить сценарий выполнения на странице, при работе с веб-интерфейсом;
• Консоль восстановления довольно ограничена в возможностях. Например, желательно иметь возможность попасть в стандартную оболочку, для прямой работы с операционной системой межсетевого экрана ИКС в особо тяжёлых случаях;
• Хотелось бы иметь возможность дополнительной установки пакетов программного обеспечения, из списка поддерживаемых разработчиками, с интеграцией в веб-интерфейс. Это расширило бы возможности продукта в целом.