Канальный уровень

Протоколы и стандарты этого уровня описывают процедуры проверки доступности среды передачи и корректности передачи данных. Осуществление контроля доступности среды необходимо т.к. спецификации физического уровня не учитывают то, что в некоторых сетях линии связи могут разделяться между несколькими взаимодействующими узлами и физическая среда передачи может быть занята. Алгоритм определения доступности среды для всех технологий одинаков и основан на постоянном прослушивании среды передачи всеми подключенными к ней узлами. Эта особенность используется злоумышленниками для организации различных видов атак на компьютерные сети. Даже при условии соблюдения рекомендаций относительно исключения разделения среды передачи злоумышленник может осуществить прослушивание трафика между произвольно выбранной парой узлов компьютерной сети. Причем использование простых коммутаторов не является серьезной преградой для злоумышленника.

Уязвимость системы разрешения сетевых адресов состоит в том, что данные, переданные в ответ на запрос о разрешении сетевого адреса никак не проверяются и ничем не подтверждаются. Этой уязвимостью и воспользуется злоумышленник, желающий подменить собой узел получателя (угроза подмены рабочего места пользователя) или прослушать поток кадров, передаваемых между любыми двумя узлами сети.

Ниже приведены рекомендации, следование которым позволяет дополнительно защитить компьютерную сеть предприятия средствами канального уровня.

1. Администратор должен вести инвентаризационную ведомость соответствия аппаратных и сетевых адресов всех узлов сети предприятия.

2. Администратор, должен разрабатывать политику защиты компьютерной сети средствами канального уровня, определяющую допустимые маршруты передачи кадров канального уровня. Разработанная политика должна запрещать связи типа «один-ко-многим», не обоснованные требованиями информационной поддержки деятельности предприятия. Политикой также должны быть определены рабочие места, с которых разрешено конфигурирование средств коммутации канального уровня.

3. Средства коммутации канального уровня, используемые в компьютерной сети предприятия, должны быть настраиваемыми и обеспечивать разграничение доступа между узлами сети в соответствии с разработанной политикой.

4. Администратор должен выполнить настройку подсистем, необходимых для реализации разработанной политики защиты. В обязанности администратора входит также отключение неиспользуемых подсистем коммутатора.

5. Администратор должен регулярно контролировать соответствие конфигураций коммутаторов разработанной политике защиты.

6. Администратор должен вести мониторинг сетевой активности пользователей с целью выявления источников аномально высокого количества широковещательных запросов.

7. Администратор должен регулярно выполнять мероприятия, связанные с мониторингом сети, осуществлением профилактических работ по настройке коммутаторов, а также созданием резервных копий конфигураций коммутаторов.

8. Администратор должен обеспечить строгий контроль доступа в помещения, в которых расположены коммутаторы и рабочие станции, с которых разрешено управление коммутаторами.

Разбиение сети на различные виртуальные локальные сети (VLAN) необходимо для разграничения трафика. Виртуальной локальной сетью (Virtual LAN, VLAN) называется группа узлов сети, трафик которой, в том числе широковещательный, на канальном уровне полностью изолирован от трафика других узлов сети. Технология виртуальных локальных сетей создает мощные барьеры на пути нежелательного трафика из одной сети в другую и позволяет в сети, построенной на коммутато­рах, программным путем создать изолированные группы конечных узлов, между которыми от­сутствует любой трафик, в том числе широковещательный. Поэтому в УАТХ использовано 7 (семь) коммутаторов для эффективной эксплуатации и защиты локальной вычислительной сети (ЛВС).