Firewall-enheder: Forståelse af grundlæggende netværkssikkerhed

Hvad en firewall faktisk gør på netværket

En firewall-enhed er placeret ved grænsen mellem netværk og træffer beslutninger om, hvilken trafik der må passere, og hvilken der blokeres. Det lyder ret enkelt, men virkeligheden er mere nuanceret. De første firewalls kontrollerede i væsentlig grad pakkehoveder mod en regelliste – kilde-IP, destinations-IP, portnumre – og enten videreførte eller forkastede hver pakke isoleret. Moderne firewall-enheder gør langt mere end det. De opretholder tilstandstabeller, sporer aktive forbindelser og inspicerer trafikmønstre i stedet for kun enkeltpakker. Denne tilstandsbevidste inspektion betyder, at enheden forstår, om en pakke tilhører en etableret session eller repræsenterer noget nyt og muligvis mistænkeligt.

Den grundlæggende funktion forbliver den samme: at håndhæve en sikkerhedspolitik ved at kontrollere trafikken mellem zoner med forskellige tillidsniveauer. Men sofistikationen i denne håndhævelse er dog vokset betydeligt. En god firewall-enhed håndterer i dag dyb pakkeinspektion, applikationsidentifikation og endda brugerbaserede politikker. For enhver, der administrerer et netværk, der står over for det offentlige internet – hvilket er næsten alle netværk – er forståelse af disse grundprincipper ikke frivillig.

Hvorfor software-baserede løsninger ikke er tilstrækkelige

Software-brande firewall-løsninger, der kører på almindelige operativsystemer, har deres plads. De er praktiske, ofte gratis og nemme at installere på enkelte computere. Men at stole udelukkende på dem som primær beskyttelse for et virksomhedens netværk skaber flere problemer. Operativsystemet på værten bliver selv en angrebsflade. Hvis det underliggende operativsystem har sårbarheder, arver firewall-softwaren, der kører ovenpå det, disse risici. Hardware-firewall-enheder kører derimod på specialudviklet firmware med forenklede operativsystemer, hvilket giver en langt mindre angrebsflade.

Yderligere en faktor er ydeevnen. Software-brogeforsikringer konkurrerer om CPU-cykler og hukommelse med alle andre programmer, der kører på samme vært. Under tunge trafikbelastninger kan pakkebehandling introducere forsinkelser eller endda afbryde forbindelser. En dedikeret firewall-enhed bruger specialiserede processorer og hardwareacceleration til at håndtere trafik uden at påvirke andre systemer. Denne forskel er særligt afgørende i miljøer, hvor netværkspålidelighed direkte påvirker driften – f.eks. på produktionsgulve, i kontrolrum og i facilitetsstyringsnetværk.

Udviklingen fra pakkefiltrering til applikationsbevidsthed

Skiftet fra simpel pakkefiltrering til applikationsbevidst inspektion udgør en af de mest betydningsfulde ændringer inden for firewall-teknologi inden for det seneste årti. Traditionelle firewalls analyserede oplysninger på lag 3 og lag 4 – altså IP-adresser og portnumre. Det fungerede rimeligt godt, så længe applikationer brugte forudsigelige porte: HTTP på port 80, HTTPS på 443, SSH på 22. Men moderne applikationer er mere komplekse. De tunnelerer trafik over usædvanlige porte, bruger kryptering, der skjuler nyttelastens indhold, og aftaler forbindelser dynamisk.

Firewall-enheder af næste generation adresserer dette ved at inspicere trafikken på applikationslaget. De kan identificere specifikke applikationer uanset hvilken port de bruger. Denne funktion viser sig særligt værdifuld i industrielle miljøer, hvor operativteknologinettværk bruger specialiserede protokoller som Modbus, EtherNet/IP eller OPC. En konventionel firewall vil muligvis ikke kunne skelne mellem legitim Modbus-trafik og ondsindede pakker, der tilfældigvis bruger den samme port. En applikationsbevidst enhed kan det.

Hvordan firewall-enheder indgår i en defense-in-depth-strategi

Ingen enkelt sikkerhedsforanstaltning giver fuldstændig beskyttelse. Firewall-enheder fungerer som én lag i en bredere defense-in-depth-tilgang. Konceptet er enkelt: flere uafhængige sikkerhedskontroller, hvor hver dækker huller, som andre muligvis efterlader åbne. En firewall håndterer netværksniveau-filtrering. Endpoint-beskyttelse håndterer trusler på værtsniveau. Adgangskontrol styrer, hvem der må gøre hvad. Overvågning registrerer det, der slipper igennem.

NIST Special Publication 800-82, vejledningen om sikkerhed for industrielle styresystemer, behandler specifikt placering og konfiguration af firewall-systemer i miljøer med operativ teknologi. Vejledningen understreger segmentering – opdeling af netværk i zoner med forskellige sikkerhedskrav samt kontrol af trafikken mellem disse zoner. Denne zone-og-kanal-model, som også er formaliseret i IEC 62443-standardserien, betragter firewall-systemer som den primære mekanisme til at håndhæve grænser mellem sikkerhedsdomæner.

Reelle verden-begrænsninger, der ændrer alt

Teorien ser ren ud på papiret. Praksis gør det sjældent. En fremstillingsfacilitet i det sydøstlige USA stødte på denne virkelighed under et netværksopgraderingsprojekt. Holdet havde designet en segmenteret arkitektur med firewall-enheder, der adskilte den korporative IT-netværk fra produktionsgulvet. Standardpraksis, som det står i bogen. Men da de implementerede reglerne, begyndte en række programmerbare logikstyringer at generere kommunikationstimeouts. Firewallene inspicerede Modbus-trafikken og introducerede netop nok forsinkelse til at skubbe PLC’erne uden for deres tidskrav.

Løsningen var ikke at fjerne firewallene – det ville have undergravet sikkerhedsmålet. I stedet genkonfigurerede teamet inspektionsdybden, anvendte mindre aggressive regler for kendt sikre trafikstrømme og tilføjede dedikerede industrielle firewall-enheder, der forstod protokollens tidskrav. Læren blev ved: Sikkerhedskontroller skal tage hensyn til driftsmæssige begrænsninger, ikke kun teoretiske bedste praksis. En firewall, der bryder produktionen, er værre end ingen firewall overhovedet, fordi den bliver omgået eller deaktiveret.

Praktiske overvejelser ved implementering

Installation af firewall-enheder kræver, at et par grundlæggende spørgsmål besvares, inden der røres ved noget hardware. Hvilken trafik skal faktisk flyde mellem zonerne? Hvilke protokoller bruges, og har de specifikke tids- eller latenstærskler? Hvem har brug for administrativ adgang, og fra hvor? Hvad sker der, når firewallen fejler – tillades eller nægtes trafik som standard?

Svarene varierer afhængigt af miljøet. Et virksomhedskontornets netværk har andre prioriteringer end et spildevandsrensningsanlæg eller et lagerautomatiseringssystem. Den fælles tråd er, at firewall-regler bør følge princippet om mindst mulig adgang: kun tillade det, der eksplicit er nødvendigt, og nægte alt andet. Det lyder indlysende, men i praksis akkumulerer regelsæt ofte undtagelser over tid, indtil de ligner svejsskese. Regelmæssige gennemgange og oprydning af regler forhindrer denne gradvise forringelse af sikkerheden.