EN
Co firewall na síti ve skutečnosti dělá
Zařízení firewall se nachází na hranici mezi sítěmi a rozhoduje, jaký provoz projde a jaký bude blokován. To zní jednoduše, ale realita je složitější. První firewally v podstatě zkontrolovaly hlavičky paketů proti seznamu pravidel – zdrojovou IP adresu, cílovou IP adresu, čísla portů – a každý paket buď povolily, nebo zahodily izolovaně. Moderní zařízení firewall dělají mnohem více. Udržují tabulky stavu, sledují aktivní připojení a analyzují vzory provozu, nikoli jen jednotlivé pakety. Tato stavová inspekce znamená, že zařízení rozumí tomu, zda paket patří do navázané relace nebo zda reprezentuje něco nového a potenciálně podezřelého.
Základní funkce zůstává stejná: vynucování bezpečnostní politiky prostřednictvím řízení provozu mezi zónami s různou úrovní důvěry. Pokročilost tohoto vynucování však výrazně vzrostla. Dnešní kvalitní firewallové zařízení zpracovává hlubokou inspekci paketů, identifikaci aplikací a dokonce i zásady založené na uživateli. Pro každého, kdo spravuje síť připojenou k veřejnému internetu – což je téměř každá síť – pochopení těchto základních principů není volitelné.
Proč řešení pouze na bázi softwaru nestačí
Softwarové firewally běžící na univerzálních operačních systémech mají své místo. Jsou pohodlné, často zdarma a snadno nasazitelné na jednotlivé počítače. Spoléhání na ně jako na hlavní obranu podnikové sítě však přináší několik problémů. Samotný hostitelský operační systém se tak stává cílovým bodem útoku. Pokud má základní operační systém zranitelnosti, softwarový firewall běžící nad ním tyto rizika zdědí. Hardwarová zařízení firewall naproti tomu běží na specializovaném firmwaru se zjednodušenými operačními systémy, které představují mnohem menší útočný povrch.
Výkon je dalším faktorem. Softwarové firewally soutěží o procesorový čas a paměť s každou jinou aplikací běžící na stejném hostiteli. Při vysokém provozu může zpracování paketů způsobit zpoždění nebo dokonce přerušení spojení. Specializované zařízení firewallu využívá specializované procesory a hardwarové akcelerace k zpracování provozu bez dopadu na ostatní systémy. Tento rozdíl je nejdůležitější v prostředích, kde spolehlivost sítě přímo ovlivňuje provoz – výrobní haly, dispečerská střediska a sítě pro správu zařízení.
Vývoj od filtrování paketů k aplikací povědomým řešením
Přesun od jednoduchého filtrování paketů k inspekci s ohledem na aplikace představuje jednu z nejvýznamnějších změn v technologii firewallů za poslední desetiletí. Tradiční firewally analyzovaly informace na vrstvě 3 a vrstvě 4 – tedy IP adresy a čísla portů. To fungovalo poměrně dobře, pokud aplikace používaly předvídatelné porty: HTTP na portu 80, HTTPS na portu 443, SSH na portu 22. Moderní aplikace jsou však složitější. Provoz tunelují přes neobvyklé porty, používají šifrování, které skrývá obsah datových částí, a dynamicky vyjednávají spojení.
Zařízení bránp nové generace tento problém řeší prohlížením provozu na aplikační úrovni. Dokážou identifikovat konkrétní aplikace bez ohledu na to, který port používají. Tato schopnost se ukazuje jako zvláště užitečná v průmyslových prostředích, kde sítě operační technologie využívají specializované protokoly, jako jsou Modbus, EtherNet/IP nebo OPC. Konvenční brána nemusí být schopna rozlišit mezi legitimním provozem Modbus a škodlivými pakety, které náhodou používají stejný port. Aplikačně povědomé zařízení však může.
Jak se zařízení bránp vejdou do strategie obrany na hloubku
Žádné jediné bezpečnostní opatření neposkytuje úplnou ochranu. Zařízení bránp slouží jako jedna vrstva širšího přístupu obrany na hloubku. Koncept je jednoduchý: více nezávislých bezpečnostních opatření, z nichž každé pokrývá mezery, které by jiná opatření mohla nechat otevřené. Brána zajišťuje filtrování na síťové úrovni. Ochrana koncových zařízení se zabývá hrozbami na úrovni hostitele. Řízení přístupu určuje, kdo může co dělat. Monitorování odhaluje to, co projde ostatními ochrannými mechanismy.
Publikace NIST Special Publication 800-82, průvodce zabezpečením průmyslových řídicích systémů, se specificky zabývá umístěním a konfigurací firewallů v prostředích operační technologie. Tato doporučení zdůrazňují segmentaci – rozdělení sítí do zón s různými požadavky na zabezpečení a řízení provozu mezi těmito zónami. Tento model zón a spojovacích kanálů, který je také formálně definován v řadě norem IEC 62443, považuje firewally za hlavní mechanismus pro vynucování hranic mezi bezpečnostními doménami.
| Bezpečnostní vrstva | Hlavní funkce | Jak přispívají zařízení firewallů |
|---|---|---|
| Síťový okraj | Blokovat neoprávněný přístup zvenčí | První linie obrany na síťové hranici |
| Vnitřní segmentace | Omezit boční pohyb mezi zónami | Vynucovat pravidla provozu mezi zónami |
| Ochrana uzlu | Zabezpečení jednotlivých koncových bodů | Doplňování firewallů a antivirových řešení založených na hostiteli |
| Monitorování a detekce | Identifikace aktivních hrozeb | Poskytování protokolů provozu a dat pro upozornění |
| Kontrolní přístup | Ověřování a autorizace uživatelů | Integrace se službami adresáře pro vynucování zásad |
Skutečné omezení, která změní vše
Teorie vypadá na papíře čistě. Praxe to jen zřídka dělá. Výrobní zařízení na jihovýchodě Spojených států narazilo na tuto realitu během projektu modernizace sítě. Tým navrhl segmentovanou architekturu s firewallovými zařízeními oddělujícími korporátní IT síť od výrobního prostoru. Standardní postup, přesně podle příručky. Avšak když nasadili pravidla, skupina programovatelných logických řídicích systémů (PLC) začala vyhazovat chyby komunikačního časového limitu. Firewally kontrolovaly provoz Modbus a způsobily právě takové zpoždění, že PLC překročily své časové limity.
Řešením nebylo odstranění firewallů – to by zmařilo bezpečnostní účel. Tým místo toho překonfiguroval hloubku inspekce, použil méně agresivní pravidla pro známé bezpečné provozy dat a přidal specializovaná průmyslová zařízení firewallu, která rozuměla časovým požadavkům protokolu. Závěr zůstal trvalý: bezpečnostní opatření musí brát v úvahu provozní omezení, nikoli jen teoreticky ideální postupy. Firewall, který naruší výrobu, je horší než žádný firewall vůbec, protože se buď obejde, nebo se zakáže.
Praktické aspekty nasazení
Nasazení zařízení firewallu vyžaduje před manipulací s jakýmkoli hardwarem odpověď na několik základních otázek. Jaký provoz dat skutečně musí mezi zónami proudit? Jaké protokoly se používají a mají specifické časové nebo latencí požadavky? Kdo potřebuje administrativní přístup a odkud? Co se stane, když dojde k selhání firewallu – bude provoz dat ve výchozím nastavení povolen nebo zamítnut?
Odpovědi se liší podle prostředí. Sítě kancelářských firem mají jiné priority než čistírny odpadních vod nebo systémy automatizace skladů. Společným prvkem je, že pravidla brány by měla dodržovat princip minimálních oprávnění: povolit pouze to, co je výslovně nutné, a vše ostatní zamítnout. To zní samozřejmě, ale v praxi se soubory pravidel často postupně nahromadí výjimky, dokud nepřipomínají švýcarský sýr. Pravidelné revize a úklidové relace pravidel tomuto postupnému oslabení zabezpečení zabrání.