Просмотр кода страницы Межсетевой экран

{{другое значение|Термины «[[Брандмауэр (значения)|брандмауэр]]», «[[файрвол]]» имеют и другие значения.}}
[[Файл:Firewall.png|thumb|400x400px|Межсетевой экран на границе сетевого периметра.]]

'''Межсетево́й экра́н''', '''сетево́й экра́н''' — [[Программное обеспечение|программный]] или программно-аппаратный элемент [[Вычислительная сеть|компьютерной сети]], осуществляющий контроль и фильтрацию проходящего через него [[сетевой трафик|сетевого трафика]] в соответствии с заданными правилами{{sfn|Лебедь|2002|с = 22}}.

Другие названия{{sfn|Шаньгин|2011|с = 193}}:
* '''брандма́уэр''' ({{lang-de|Brandmauer}} — [[Противопожарная преграда|противопожарная стена]]) — заимствованный из немецкого языка термин;
* '''файрво́л''' ({{Lang-en|Firewall}} — противопожарная стена) — заимствованный из английского языка термин.

== Назначение ==
Среди задач, которые решают межсетевые экраны, основной является защита [[Сегмент сети|сегментов сети]] или отдельных [[хост]]ов от [[несанкционированный доступ|несанкционированного доступа]] с использованием уязвимых мест в протоколах [[Сетевая модель OSI|сетевой модели OSI]] или в программном обеспечении, установленном на компьютерах сети. Межсетевые экраны пропускают или запрещают трафик, сравнивая его характеристики с заданными шаблонами{{sfn|Лебедь|2002|с = 22—25}}, таким образом они работают как некий [[контрольно-пропускной пункт]] на границе локальной сети.

Наиболее распространённое место для установки межсетевых экранов — граница периметра [[Локальная вычислительная сеть|локальной сети]] для защиты внутренних хостов от атак извне. Однако атаки могут начинаться и с внутренних узлов — в этом случае, если атакуемый хост расположен в той же сети, трафик не пересечёт границу сетевого периметра, и межсетевой экран не будет задействован. Поэтому в настоящее время межсетевые экраны размещают не только на границе, но и между различными сегментами сети, что обеспечивает дополнительный уровень безопасности{{sfn|Лапонина|2014|с = 43}}.

'''От каких видов атак защищает брандмауэр'''

Межсетевой экран предназначен для защиты от следующих типов кибер-угроз:

*'''[[Бэкдор]]-доступа'''.
Это атаки с использованием уязвимостей в установленном на ПК программном обеспечении: [[Операционная система|операционной системе]] и её службах, [[утилита]]х, прикладных приложениях. Такие бреши могут иметься везде, включая Windows, они позволяют [[Вредоносная программа|вредоносному ПО]] с помощью [[эксплойт]]а получить доступ к устройству, посылать и принимать с него трафик. Брандмауэр блокирует подобные действия. Важно иметь в виду, что бэкдоры могут присутствовать и в [[Антивирусная программа|антивирусном ПО]], и в программном обеспечении сетевого оборудования, в том числе и в аппаратных брандмауэрах. 
*'''[[Фишинг]]'''.
Мошенническая схема, в ходе которой пользователь попадает на фальшивый (фишинговый) сайт, один в один копирующий интерфейс известного веб-ресурса. Например, повторяет страницы входа в [[Социальная сеть|социальную сеть]], личный кабинет правительственного портала (такого как [[Госуслуги]]) или оплаты через онлайн-банкинг. Человек вводит личные данные, и они попадают в руки злоумышленника. Брандмауэр запрещает подключения к подозрительным и опасным сайтам.
*'''Взлом удаленного доступа.''' 
С помощью удаленного рабочего стола пользователь может управлять компьютером через интернет, т. е. дистанционно. Хакеры могут перехватить этот доступ и украсть/удалить/зашифровать важные данные. В задачи брандмауэра входит запрет на передачу такого трафика.
*'''Переадресация маршрута.'''
Пакеты данных передаются по сети определенными маршрутами, а этот вид атак предполагает подмену пути следования информации таким образом, чтобы конечное устройство ничего не «заподозрило».
*'''DDoS-атаки.'''
Поскольку главная задача брандмауэра — это фильтрация, он помогает справиться с наплывом огромных объемов трафика. Блокировка работает как на входящие, так и на исходящие пакеты, если ваше устройство попробуют использовать в качестве атакующего<ref>{{Cite web|url=https://eurobyte.ru/articles/chto-takoe-brandmauer/|title=Брандмауэр (межсетевой экран) — что это такое|lang=ru|website=eurobyte.ru|date=2022-11-21|access-date=2025-05-28|archive-date=2025-05-28|archive-url=https://web.archive.org/web/20250528171908/https://eurobyte.ru/articles/chto-takoe-brandmauer/|url-status=live}}</ref>.

== История ==
Первые устройства, выполняющие функцию фильтрации сетевого трафика, появились в конце 1980-х, когда [[Интернет]] был новшеством и не использовался в глобальных масштабах. Этими устройствами были [[маршрутизатор]]ы, инспектирующие трафик на основании данных, содержащихся в заголовках протоколов [[Протоколы сетевого уровня|сетевого уровня]]. Впоследствии, с развитием сетевых технологий, данные устройства получили возможность выполнять фильтрацию трафика, используя данные протоколов более высокого, [[Транспортный уровень|транспортного уровня]]. Маршрутизаторы можно считать первой программно-аппаратной реализацией межсетевого экрана{{sfn|Forrest|p = 2}}.

Программные межсетевые экраны появились существенно позже и были гораздо моложе, чем [[Антивирусная программа|антивирусные программы]]. Например, проект [[Netfilter|Netfilter/iptables]] (один из первых программных межсетевых экранов, встраиваемых в ядро [[Linux]] с версии 2.4) был основан в 1998 году. Такое позднее появление вполне объяснимо, так как долгое время антивирус решал проблему защиты персональных компьютеров от вредоносных программ. Однако в конце 1990-х вирусы стали активно использовать отсутствие межсетевых экранов на компьютерах, что привело к повышению интереса пользователей к данному классу устройств{{sfn|Фаронов|2016|с = 62}}.

== Фильтрация трафика ==
Фильтрация трафика осуществляется на основе набора предварительно сконфигурированных правил, которые называются ''ruleset''. Удобно представлять межсетевой экран как последовательность фильтров, обрабатывающих информационный поток. Каждый из фильтров предназначен для интерпретации отдельного правила. Последовательность правил в наборе существенно влияет на производительность межсетевого экрана. Например, многие межсетевые экраны последовательно сравнивают трафик с правилами до тех пор, пока не будет найдено соответствие. Для таких межсетевых экранов, правила, которые соответствуют наибольшему количеству трафика, следует располагать как можно выше в списке, увеличивая тем самым производительность{{sfn|Лапонина|2014|с = 131|name = l131}}{{sfn|Шаньгин|2011|с = 195|name = sh195}}.

Существует два принципа обработки поступающего трафика. Первый принцип гласит: «Что явно не запрещено, то разрешено». В данном случае, если межсетевой экран получил пакет, не попадающий ни под одно правило, то он передаётся далее. Противоположный принцип — «Что явно не разрешено, то запрещено» — гарантирует гораздо большую защищённость, так как он запрещает весь трафик, который явно не разрешён правилами. Однако этот принцип оборачивается дополнительной нагрузкой на администратора<ref name="l131" /><ref name="sh195" />.

В конечном счёте межсетевые экраны выполняют над поступающим трафиком одну из двух операций: пропустить пакет далее (''allow'') или отбросить пакет (''deny''). Некоторые межсетевые экраны имеют ещё одну операцию — ''reject'', при которой пакет отбрасывается, но отправителю сообщается о недоступности сервиса, доступ к которому он пытался получить. В противовес этому, при операции ''deny'' отправитель не информируется о недоступности сервиса, что является более безопасным<ref name="l131" /><ref name="sh195" />.

== Классификация межсетевых экранов ==
[[Файл:Классификация межсетевых экранов.png|мини|434x434px|Схематическое изображение классификации межсетевых экранов на основе сетевой модели OSI]]
До сих пор не существует единой и общепризнанной классификации межсетевых экранов{{sfn|Шаньгин|2011|с = 194}}. Однако в большинстве случаев поддерживаемый уровень сетевой модели [[Сетевая модель OSI|OSI]] является основной характеристикой при их классификации. Учитывая данную модель, различают следующие типы межсетевых экранов{{sfn|Фокс|2003|с = 30|name = f30}}{{sfn|Лебедь|2002|с = 48|name = l48}}:
* управляемые коммутаторы;
* пакетные фильтры;
* шлюзы сеансового уровня;
* инспекторы состояния;
* посредники прикладного уровня.

=== Управляемые коммутаторы ===
Управляемые [[Сетевой коммутатор|коммутаторы]] иногда причисляют к классу межсетевых экранов, так как они осуществляют фильтрацию трафика между сетями или узлами сети. Однако они работают на [[Канальный уровень|канальном уровне]] и разделяют трафик в рамках локальной сети, а значит не могут быть использованы для обработки трафика из внешних сетей (например, из [[Интернет]]а)<ref name="l48" />.

Многие производители сетевого оборудования, такие как [[Cisco]], [[Nortel Networks|Nortel]], [[3Com]], [[ZyXEL]], предоставляют в своих коммутаторах возможность фильтрации трафика на основе [[MAC-адрес]]ов, содержащихся в заголовках [[Кадр (телекоммуникации)|фреймов]]. Например, в коммутаторах семейства Cisco [[Catalyst Switch|Catalyst]] эта возможность реализована при помощи механизма [[Port Security]]{{sfn|Cisco}}. Однако данный метод фильтрации не является эффективным, так как аппаратно установленный в сетевой карте MAC-адрес легко меняется программным путем, поскольку значение, указанное через драйвер, имеет более высокий приоритет, чем зашитое в плату{{sfn|Cardenas|2003}}. Поэтому многие современные коммутаторы позволяют использовать другие параметры в качестве признака фильтрации — например, [[VLAN]] ID. Технология виртуальных локальных сетей ({{Lang-en|Virtual Local Area Network}}) позволяет создавать группы хостов, трафик которых полностью изолирован от других узлов сети{{sfn|Лебедь|2002|с=50}}.

При реализации [[Политика безопасности|политики безопасности]] в рамках [[Корпоративная сеть|корпоративной сети]], основу которых составляют управляемые коммутаторы, они могут быть мощным и достаточно дешёвым решением. Взаимодействуя только с протоколами канального уровня, такие межсетевые экраны фильтруют трафик с очень высокой скоростью. Основным недостатком такого решения является невозможность анализа протоколов более высоких уровней{{sfn|Лебедь|2002|с = 52}}.

=== Пакетные фильтры ===
Пакетные фильтры функционируют на [[Протоколы сетевого уровня|сетевом уровне]] и контролируют прохождение трафика на основе информации, содержащейся в заголовке [[Пакет (сетевые технологии)|пакетов]]. Многие межсетевые экраны данного типа могут оперировать заголовками протоколов и более высокого, [[Транспортный уровень|транспортного]], уровня (например, [[TCP]] или [[UDP]]). Пакетные фильтры одними из первых появились на рынке межсетевых экранов и по сей день остаются самым распространённым их типом. Данная технология реализована в подавляющем большинстве маршрутизаторов и даже в некоторых коммутаторах{{sfn|Лапонина|2014|с = 52}}.

При анализе заголовка сетевого пакета могут использоваться следующие параметры<ref name="f30" />:
* [[IP-адрес]]а источника и получателя;
* тип транспортного протокола;
* поля служебных заголовков протоколов сетевого и транспортного уровней;
* [[Порт (компьютерные сети)|порт]] источника и получателя.

Достаточно часто приходится фильтровать фрагментированные пакеты, что затрудняет определение некоторых [[Хакерская атака|атак]]. Многие сетевые атаки используют данную уязвимость межсетевых экранов, выдавая пакеты, содержащие запрещённые данные, за фрагменты другого, доверенного пакета. Одним из способов борьбы с данным типом атак является конфигурирование межсетевого экрана таким образом, чтобы блокировать фрагментированные пакеты{{sfn|Лапонина|2014|с = 51—56}}. Некоторые межсетевые экраны могут дефрагментировать пакеты перед пересылкой во внутреннюю сеть, но это требует дополнительных ресурсов самого межсетевого экрана, особенно памяти. Дефрагментация должна использоваться очень обоснованно, иначе такой межсетевой экран легко может сам стать жертвой [[DoS-атака|DoS-атаки]]{{sfn|Лапонина|2014|с = 53|name = l53}}.

Пакетные фильтры могут быть реализованы в следующих компонентах сетевой инфраструктуры<ref name="l53" />:
* пограничные маршрутизаторы;
* операционные системы;
* [[Персональный файрвол|персональные межсетевые экраны]].

Так как пакетные фильтры обычно проверяют данные только в заголовках сетевого и транспортного уровней, они могут выполнять это достаточно быстро. Поэтому пакетные фильтры, встроенные в пограничные маршрутизаторы, идеальны для размещения на границе с сетью с низкой степенью доверия. Однако в пакетных фильтрах отсутствует возможность анализа протоколов более высоких уровней сетевой модели OSI. Кроме того, пакетные фильтры обычно уязвимы для атак, которые используют [[Спуфинг|подделку сетевого адреса]]. Такие атаки обычно выполняются для обхода управления доступом, осуществляемого межсетевым экраном{{sfn|Фокс|2003|с = 30—31}}{{sfn|Лебедь|2002|с = 54}}.

=== Шлюзы сеансового уровня ===
{{Также|SOCKS}}
Межсетевой экран [[Сеансовый уровень|сеансового уровня]] исключает прямое взаимодействие внешних хостов с узлом, расположенным в локальной сети, выступая в качестве [[Прокси-сервер|посредника]] ({{Lang-en|proxy}}), который реагирует на все входящие пакеты и проверяет их допустимость на основании текущей фазы соединения. Шлюз сеансового уровня гарантирует, что ни один сетевой пакет не будет пропущен, если он не принадлежит ранее установленному соединению. Как только приходит запрос на установление соединения, в специальную таблицу помещается соответствующая информация (адреса отправителя и получателя, используемые протоколы сетевого и транспортного уровня, состояние соединения и т. д.). В случае, если соединение установлено, пакеты, передаваемые в рамках данной сессии, будут просто копироваться в локальную сеть без дополнительной фильтрации. Когда сеанс связи завершается, сведения о нём удаляются из данной таблицы. Поэтому все последующие пакеты, «притворяющиеся» пакетами уже завершённого соединения, отбрасываются{{sfn|Фокс|2003|с = 31}}.

Так как межсетевой экран данного типа исключает прямое взаимодействие между двумя узлами, шлюз сеансового уровня является единственным связующим элементом между внешней сетью и внутренними ресурсами. Это создаёт видимость того, что на все запросы из внешней сети отвечает шлюз, и делает практически невозможным определение топологии защищаемой сети. Кроме того, так как контакт между узлами устанавливается только при условии его допустимости, шлюз сеансового уровня предотвращает возможность реализации DoS-атаки, присущей пакетным фильтрам{{sfn|Лебедь|2002|с = 58}}.

Несмотря на эффективность этой технологии, она обладает серьёзным недостатком: как и у всех вышеперечисленных классов межсетевых экранов, у шлюзов сеансового уровня отсутствует возможность проверки содержания поля данных, что позволяет злоумышленнику передавать «[[Троянская программа|троянских коней]]» в защищаемую сеть{{sfn|Лапонина|2014|с = 63—64}}.

=== Посредники прикладного уровня ===
Межсетевые экраны [[Протоколы прикладного уровня|прикладного уровня]], к которым, в частности, относится [[файрвол веб-приложений]], как и шлюзы сеансового уровня, исключают прямое взаимодействие двух узлов. Однако, функционируя на прикладном уровне, они способны «понимать» контекст передаваемого трафика. Межсетевые экраны, реализующие эту технологию, содержат несколько приложений-посредников ({{lang-en|application proxy}}), каждое из которых обслуживает свой прикладной протокол. Такой межсетевой экран способен выявлять в передаваемых сообщениях и блокировать несуществующие или нежелательные последовательности команд, что зачастую означает DoS-атаку, либо запрещать использование некоторых команд (например, [[FTP]] PUT, которая даёт возможность пользователю записывать информацию на FTP-сервер).

Посредник прикладного уровня может определять тип передаваемой информации. Например, это позволяет заблокировать почтовое сообщение, содержащее исполняемый файл. Другой возможностью межсетевого экрана данного типа является проверка аргументов входных данных. Например, аргумент имени пользователя длиной в 100 символов либо содержащий бинарные данные является, по крайней мере, подозрительным.

Посредники прикладного уровня способны выполнять аутентификацию пользователя, а также проверять, что [[SSL]]-сертификаты подписаны конкретным [[Центр сертификации|центром]]. Межсетевые экраны прикладного уровня доступны для многих протоколов, включая [[HTTP]], FTP, почтовые ([[SMTP]], [[POP3|POP]], [[IMAP]]), [[Telnet]] и другие{{sfn|Лебедь|2002|с = 55—56}}{{sfn|Лапонина|2014|с = 59}}.

Недостатками данного типа межсетевых экранов являются большие затраты времени и ресурсов на анализ каждого пакета. По этой причине они обычно не подходят для приложений реального времени. Другим недостатком является невозможность автоматического подключения поддержки новых сетевых приложений и протоколов, так как для каждого из них необходим свой агент{{sfn|Лебедь|2002|с = 56}}.

=== Инспекторы состояния ===
Каждый из вышеперечисленных типов межсетевых экранов используется для защиты корпоративных сетей и обладает рядом преимуществ. Однако, куда эффективней было бы собрать все эти преимущества в одном устройстве и получить межсетевой экран, осуществляющий фильтрацию трафика с сетевого по прикладной уровень. Данная идея была реализована в инспекторах состояний, совмещающих в себе высокую производительность и защищённость. Данный класс межсетевых экранов позволяет контролировать{{sfn|Лебедь|2002|с = 58—61}}:
* каждый передаваемый пакет — на основе таблицы правил;
* каждую сессию — на основе таблицы состояний;
* каждое [[Компьютерная программа|приложение]] — на основе разработанных посредников.

Осуществляя фильтрацию трафика по принципу шлюза сеансового уровня, данный класс межсетевых экранов не вмешивается в процесс установления соединения между узлами. Поэтому производительность инспектора состояний заметно выше, чем у посредника прикладного уровня и шлюза сеансового уровня, и сравнима с производительностью пакетных фильтров. Ещё одно достоинство инспекторов состояния — прозрачность для пользователя: для клиентского программного обеспечения не потребуется дополнительная настройка. Данные межсетевые экраны имеют большие возможности расширения. При появлении новой службы или нового протокола прикладного уровня для его поддержки достаточно добавить несколько шаблонов. Однако инспекторам состояний по сравнению с посредниками прикладного уровня свойственна более низкая защищённость{{sfn|Фокс|2003|с = 32}}.

Термин инспектор состояния ({{Lang-en|stateful inspection}}), внедрённый компанией [[Check Point|Check Point Software]], полюбился производителям сетевого оборудования настолько, что сейчас практически каждый межсетевой экран причисляют к этой технологии, даже если он и не реализует её полностью.

== <ref>[[:Реклама|Реклама]]</ref> Реализация ==
Существует два варианта исполнения межсетевых экранов — программный и программно-аппаратный. В свою очередь программно-аппаратный вариант имеет две разновидности — в виде отдельного модуля в коммутаторе или маршрутизаторе и в виде специализированного устройства.

В настоящее время чаще используется программное решение, которое на первый взгляд выглядит более привлекательным. Это вызвано тем, что для его применения достаточно, казалось бы, всего лишь приобрести программное обеспечение межсетевого экрана и установить на любой имеющийся в организации компьютер. Однако, как показывает практика, в организации далеко не всегда находится свободный компьютер, да ещё и удовлетворяющий достаточно высоким требованиям по системным ресурсам. После того, как компьютер всё-таки найден (чаще всего — куплен), следует процесс установки и настройки операционной системы, а также, непосредственно, программного обеспечения межсетевого экрана. Нетрудно заметить, что использование обычного персонального компьютера далеко не так просто, как может показаться. Именно поэтому всё большее распространение стали получать специализированные программно-аппаратные комплексы, называемые ''security appliance'', на основе, как правило, [[FreeBSD]] или [[Linux]], «урезанные» для выполнения только необходимых функций. Достоинствами данных решений являются{{sfn|Шаньгин|2011|с = 207}}:
* простота внедрения: данные устройства имеют предустановленную и настроенную операционную систему и требуют минимум настроек после внедрения в сеть;
* простота управления: данными устройствами можно управлять откуда угодно по стандартным протоколам, таким как [[SNMP]] или [[Telnet]], либо посредством защищённых протоколов, таких как [[SSH]] или [[SSL]];
* производительность: данные устройства работают более эффективно, так как из их операционной системы исключены все неиспользуемые сервисы;
* отказоустойчивость и высокая доступность: данные устройства созданы выполнять конкретные задачи с высокой доступностью.

== Ограниченность анализа межсетевого экрана ==
Межсетевой экран позволяет осуществлять фильтрацию только того трафика, который он способен «понимать». В противном случае он теряет свою эффективность, так как не способен осознанно принять решение о том, что делать с нераспознанным трафиком. Существуют протоколы, такие как [[TLS]], [[SSH]], [[IPsec]] и [[SRTP]], использующие [[Криптография|криптографию]] для того, чтобы скрыть содержимое, из-за чего их трафик не может быть проинтерпретирован. Также некоторые протоколы, такие как [[OpenPGP]] и [[S/MIME]], шифруют данные прикладного уровня, из-за чего фильтровать трафик на основании информации, содержащейся на данном сетевом уровне, становится невозможно. Ещё одним примером ограниченности анализа межсетевых экранов является [[Туннелирование (компьютерные сети)|туннелированный]] трафик, так как его фильтрация является невозможной, если межсетевой экран «не понимает» используемый механизм туннелирования. Во всех этих случаях правила, сконфигурированные на межсетевом экране, должны явно определять, что делать с трафиком, который они не могут интерпретировать{{sfn|Лапонина|2014|с = 73}}.

== Примечания ==
{{примечания|4}}

== Литература ==

=== Книги ===
* {{книга|автор = Лебедь С. В.|заглавие = Межсетевое экранирование. Теория и практика защиты внешнего периметра|издательство = МГТУ им. Н. Э. Баумана|год = 2002|страниц = 306|isbn = 5-7038-2059-6|ref = Лебедь}}
* {{книга|автор = Чепмен-мл. Д. В., Фокс Э.|заглавие = Брандмауэры Cisco Secure PIX|оригинал = Cisco® Secure PIX® Firewalls|ссылка = http://www.ciscopress.ru/books/5-8459-0463-3.html|издательство = Вильямс|год = 2003|страниц = 341|isbn = 5-8459-0463-3|ref = Фокс}}
* {{книга|автор = Мэйволд Э.|часть = Лекция 10 «Межсетевые экраны»|ссылка часть = http://www.intuit.ru/studies/courses/102/102/lecture/2989|ссылка = http://www.intuit.ru/studies/courses/102/102/info|заглавие = Безопасность сетей: Информация|издательство = ИНТУИТ|год = 2006|isbn = 978-5-9570-0046-9|ref = Мэйволд}}
* {{книга|автор = Шаньгин В. Ф.|заглавие = Защита информации в компьютерных системах и сетях|издательство = ИНФРА-М|год = 2011|страниц = 416|isbn = 978-5-16-003132-3|ref = Шаньгин}}
* {{книга|автор = Фаронов А. Е.|заглавие = Основы информационной безопасности при работе на компьютере|издательство = ИНТУИТ|год = 2016|страниц = 155|ref = Фаронов}}
* {{книга|автор = Лапонина О. Р.|заглавие = Межсетевое экранирование|издательство = Бином|год = 2014|страниц = 343|isbn = 5-94774-603-4|ref = Лапонина}}

=== Статьи ===
* {{статья|автор = K. Ingham, S. Forrest|заглавие = A History and Survey of Network Firewalls|ссылка = http://www.cs.unm.edu/~treport/tr/02-12/firewall.pdf|язык = en|ref = Forrest}}
* {{статья|автор = Cisco|заглавие = Configuring Port Security|ссылка = http://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst6500/ios/12-2SX/configuration/guide/book/port_sec.pdf|язык = en|ref = Cisco}}
* {{статья|автор = Edgar D Cardenas|заглавие = MAC Spoofing — An Introduction|ссылка = http://www.giac.org/paper/gsec/3199/mac-spoofing-an-introduction/105315|язык = en|год = 2003|ref = Cardenas}}

{{Межсетевые экраны}}
{{Вредоносное программное обеспечение}}

[[Категория:Сетевое оборудование]]
[[Категория:Межсетевые экраны]]
[[Категория:Кибервойна]]
[[Категория:Информационная безопасность]]