Maximalizujte výkon vašich firewallových zařízení: pokročilé bezpečnostní tipy

Výše než výchozí konfigurace

Výchozí konfigurace firewallů mají svůj důvod – umožňují rychlé spuštění systémů s minimálním množstvím překážek. Zároveň však představují pouze výchozí úroveň, nikoli konečný cíl. Sada výchozích pravidel, která je dodávána s většinou firewallových zařízení, je navržena tak, aby fungovala v široké škále prostředí. Zaměřuje se na připojitelnost spíše než na bezpečnost a umožňuje rozsáhlý přístup, čímž zjednodušuje počáteční nasazení. Pokud je ponecháte beze změny, vznikne zbytečné riziko expozice.

Maximalizace účinnosti firewallu znamená přesáhnout výchozí nastavení. Znamená to pochopení konkrétních vzorů provozu v síti, kterou chráníme, a přizpůsobení pravidel tomuto kontextu. Znamená to aplikovat princip nejmenších oprávnění nejen teoreticky, ale i prakticky – povolit pouze to, co je explicitně vyžadováno, a vše ostatní zamítnout. Úsilí potřebné k tomu je skromné ve srovnání se získaným zlepšením bezpečnosti.

Údržba sady pravidel: Odstranění nahromaděného nepotřebného obsahu

Sady pravidel firewallu mají tendenci s časem růst organicky. Dočasné pravidlo přidané pro návštěvu dodavatele se stane trvalým. Testovací pravidlo pro novou aplikaci zůstane aktivní dlouho poté, co aplikace začne běžet v provozu. Výjimky se hromadí, každá z nich přidává složitost i potenciální riziko expozice. Výsledkem je sada pravidel, kterou nikdo plně nepochopí a která obsahuje mnohem více povolení, než je nezbytně nutné.

Pravidelné revize souborů pravidel tento problém řeší. Proces je přímočarý: exportujte aktuální soubor pravidel, zdokumentujte, co každé pravidlo ve skutečnosti dělá, ověřte, zda je každé pravidlo stále potřebné, a odstraňte nebo upravte všechna nepotřebná pravidla. První revize často přináší největší snížení – mnoho organizací zjistí, že 20–30 % svých pravidel lze odstranit nebo sloučit. Následné revize zachytí menší nárůsty, než se stanou významnými.

Protokolování: Nářadí pro diagnostiku, které se nedostatečně využívá

Protokoly brány firewall obsahují bohatou škálu informací, které v mnoha nasazeních zůstávají nevyužité. Každé povolené připojení, každý zablokovaný pokus a každé shodné pravidlo generuje záznam v protokolu. Tyto protokoly dokumentují běžné vzory provozu, odhalují neobvyklou aktivitu a poskytují důkazy v případě, že něco selže. Mnoho organizací však protokolování považuje spíše za povinnost pro splnění požadavků na dodržování předpisů než za operační nástroj.

Účinné správy protokolů začíná pochopením toho, co se vlastně protokoluje. Ne každá událost vyžaduje stejnou úroveň podrobností. Protokolování každého povoleného připojení v prostředí s vysokým provozem vytváří problémy se skladováním dat. Protokolování pouze zablokovaných připojení a neobvyklých událostí poskytuje prakticky využitelné informace bez nadměrné zátěže. Klíčové je vhodné nastavení úrovní protokolování – dostatečně podrobné, aby byly užitečné, ale zároveň dostatečně selektivní, aby byly spravovatelné. Pravidelné prohlídky protokolů, i ty krátké, odhalí problémy, které by mohly uniknout automatickým upozorněním.

Kontrola průmyslových protokolů: Nad rámec pravidel založených na portech

Standardní pravidla firewallu, která se spoléhají na čísla portů, neposkytují průmyslovým sítím dostatečnou ochranu. Útočník může odeslat škodlivé příkazy Modbus přes port 502 – standardní port Modbus – a pravidlo založené na portu je bez problémů propustí. Firewall vidí správný port a provoz povolí, aniž by prozkoumal jeho obsah.

Průmyslová zařízení firewallu s kontrolou vědomou protokolu analyzují obsah zpráv průmyslových protokolů. Rozumí struktuře požadavků Modbus, sadě příkazů Profinet nebo formátu dat EtherNet/IP. Toto porozumění jim umožňuje identifikovat odchylky – například příkaz Modbus pro zápis do registru určeného pouze pro čtení, posloupnost příkazů nesouladící s běžnými provozními vzory nebo zprávu překračující rozumné limity velikosti. Tyto odchylky často signalizují buď chybnou konfiguraci, nebo aktivní útok. Kontrola vědomá protokolu odhalí oba případy.

Norma IEC 62443 výslovně vyžaduje tento typ vynucení omezeného toku dat mezi zónami. Pravidla založená na portech nesplňují požadavky normy. Splňují je pouze pravidla s kontrolou na úrovni protokolu. Organizace podléhající požadavkům na dodržování předpisů musí ověřit, že jejich zařízení pro brány firewall tuto funkci podporují a že je správně nakonfigurována.

Redundance a převzetí řízení: Plánování nevyhnutelného

Zařízení pro brány firewall nakonec selžou. Napájecí zdroje se opotřebují. Aktualizace firmwaru selžou. Chyby v konfiguraci administrátory uzamknou. Otázkou není, zda selhání nastane – otázkou je, zda bude síť i nadále chráněna, když k němu dojde.

Konfigurace s vysokou dostupností tento problém řeší propojením zařízení firewall v režimu aktivní-pasivní nebo aktivní-aktivní. V konfiguraci aktivní-pasivní jedno zařízení zpracovává veškerý provoz, zatímco druhé je připraveno k okamžitému převzetí úloh. Pokud dojde k selhání aktivního zařízení, pasivní zařízení převezme řízení s minimálním přerušením provozu. V konfiguraci aktivní-aktivní je provoz rozdělen mezi obě zařízení, čímž se dosahuje jak vyvažování zátěže, tak redundance.

Nastavení takové konfigurace není triviální úkol. Tabulky stavů musí být mezi zařízeními synchronizovány, aby aktivní spojení přežila převzetí úloh. Směrování musí zohlednit změnu aktivního zařízení. Testování musí potvrdit, že převzetí úloh funguje podle očekávání. Avšak úsilí se vyplatí, když například v 2:00 ráno selže zdroj napájení a výroba pokračuje bez přerušení.

Reálný scénář: Vzdálený přístup provedený správně

Vodní správa, která zásobuje středně velkou metropolitní oblast, potřebovala zajistit vzdálený přístup pro dodavatele zařízení a smluvní techniky provádějící údržbu. Původní řešení využívalo VPN zařízení se širokými pravidly přístupu – jakýkoli ověřený uživatel mohl získat přístup ke kterémukoli zařízení v OT síti. Toto uspořádání fungovalo, ale vytvářelo významné riziko. Kompromitovaný účet dodavatele by umožnil přístup ke celému řídicímu systému.

Vodní správa přepracovala architekturu vzdáleného přístupu pomocí firewallových zařízení s podrobnými pravidly přístupu. Každý dodavatel získal přístup pouze k těm konkrétním systémům, které potřeboval k poskytování podpory. Smluvní technici provádějící údržbu mohli přistupovat pouze k zařízením na lokalitách, které obsluhovali. Firewall tyto omezení vynutil na úrovni sítě a doplnil ověřování poskytované VPN autorizačními pravidly, která omezila to, co ověření uživatelé skutečně mohli dělat. Nové uspořádání výrazně snížilo útokový povrch, aniž by zvyšovalo složitost pro oprávněné uživatele.

Monitorování a upozorňování, které skutečně pomáhá

Firewallová zařízení generují upozornění z důvodu – aby upoutala pozornost na události vyžadující prošetření. Avšak únavu z upozornění skutečně existuje. Příliš mnoho upozornění, zejména nízkokvalitních, vede k ignorování oznámení a propásnutí incidentů. Účinné upozorňování vyžaduje ladění: snížení falešně pozitivních výsledků, stanovení priority kritických událostí a zajištění, aby upozornění dosáhla správných osob.

Začněte tím, že upozornění kategorizujete podle závažnosti. Změny konfigurace, administrativní přihlášení a kritické selhání vyžadují okamžitou pozornost. Opakující se neúspěšné pokusy o přihlášení z externích adres si vyžadují prošetření, ale možná nevyžadují vyvolání v 2 hodiny ráno. Náhlé nárůsty provozu směrem k neobvyklým cílům spadají někde mezi tyto dvě krajní možnosti. Tato kategorizace by měla odrážet míru rizika, kterou organizace akceptuje, a její provozní omezení. Výrobní provoz fungující 24/7 má jiné požadavky na upozorňování než kancelářská síť, která je aktivní pouze v pracovní době.

Pravidelné revize upozornění, které se provádějí týdně nebo měsíčně, odhalují vzory, jež jednotlivá upozornění nezjevně ukazují. Řada upozornění s nízkou závažností z různých zdrojů může společně naznačovat koordinovaný útok. Proces revize také poskytuje zpětnou vazbu pro doladění – upozornění, která se opakovaně ukážou jako nepodstatná, lze potlačit nebo překonfigurovat.