Maksimer dine firewall-enheder: Avancerede sikkerhedstips

Ud over standardkonfigurationen

Standardkonfigurationer af firewalls findes af en grund – de får systemer op og kørende hurtigt med minimal modstand. Men de repræsenterer også et udgangspunkt, ikke et mål. De standardregelsæt, der følger med de fleste firewall-enheder, er designet til at fungere i en bred vifte af miljøer. De prioriterer tilslutning frem for sikkerhed og tillader bred adgang, hvilket forenkler den første installation. At efterlade dem uændrede skaber unødigt udsættelse.

At maksimere en firewall's effektivitet betyder, at man går ud over standardindstillingerne. Det betyder at forstå de specifikke trafikmønstre på det netværk, der beskyttes, og tilpasse reglerne derefter. Det betyder at anvende princippet om mindst mulig adgang ikke kun i teorien, men også i praksis – altså kun tillade det, der eksplicit kræves, og nægte alt andet. Den påkrævede indsats er beskeden i forhold til den sikkerhedsforbedring, der opnås.

Vedligeholdelse af regelsæt: Ryd op i den akkumulerede unødige kode

Firewall-regelsæt har tendens til at vokse organisk over tid. En midlertidig regel, der blev tilføjet under et leverandørbesøg, bliver permanent. En testregel til en ny applikation forbliver aktiv lang tid efter, at applikationen er taget i brug. Undtagelser akkumuleres, og hver enkelt tilføjer kompleksitet og potentielle sikkerhedsrisici. Resultatet er et regelsæt, som ingen fuldt ud forstår, og som indeholder langt flere tilladelser, end der er nødvendigt.

Almindelige gennemgange af regelsæt adresserer dette problem. Processen er enkel: Eksporter det nuværende regelsæt, dokumentér, hvad hver enkelt regel faktisk gør, verificér, om hver regel stadig er nødvendig, og fjern eller skærp alt, der ikke er det. Den første gennemgang giver ofte den største reduktion – mange organisationer konstaterer, at 20–30 % af deres regler kan elimineres eller konsolideres. Efterfølgende gennemgange opdager de mindre akkumulationer, inden de bliver store.

Logning: Det utiliserede diagnostiske værktøj

Firewalllogfiler indeholder en rigdom af information, som ikke udnyttes i mange installationer. Hver tilladt forbindelse, hvert blokeret forsøg og hver regelmatch genererer en logpost. Disse logfiler dokumenterer normale trafikmønstre, afslører usædvanlig aktivitet og lever beviser, når noget går galt. Alligevel behandler mange organisationer logning som en compliance-checkboks snarere end et operativt værktøj.

Effektiv logstyring starter med at forstå, hvad der logges. Ikke alle begivenheder kræver samme detaljeniveau. At logge hver enkelt tilladt forbindelse i en miljø med høj trafik skaber lagerproblemer. At logge kun blokerede forbindelser og usædvanlige begivenheder giver handlingsbar intelligens uden den ekstra byrde. Nøglen er at konfigurere logniveauerne korrekt – detaljerede nok til at være nyttige, men selektive nok til at være håndterbare. Regelmæssige loggennemgange, selv korte, opdager problemer, som automatiserede advarsler måske overser.

Inspektion af industrielle protokoller: Ud over regler baseret på porte

Standard-brandvægsregler, der bygger på portnumre, giver ikke tilstrækkelig beskyttelse af industrielle netværk. En angriber kan sende skadelige Modbus-kommandoer via port 502 – den standardmæssige Modbus-port – og en regel baseret på porte vil gladeligt lade dem passere. Brandvæggen ser den korrekte port og tillader trafikken uden at undersøge indholdet.

Industrielle brandvægsenheder med protokolbevidst inspektion analyserer indholdet af beskeder i industrielle protokoller. De forstår strukturen i Modbus-anmodninger, kommandosættet i Profinet og dataformatet i EtherNet/IP. Denne forståelse gør det muligt at identificere afvigelser – f.eks. en Modbus-skrivekommando til en skrivebeskyttet register, en række kommandoer, der ikke svarer til normale driftsmønstre, eller en besked, der overstiger rimelige størrelsesgrænser. Disse afvigelser tyder ofte enten på forkert konfiguration eller en aktiv angrebssituation. Protokolbevidst inspektion opdager begge typer.

IEC 62443-standarden kræver eksplicit denne type begrænset datastrømsstyring mellem zoner. Regler baseret på porte opfylder ikke standardens krav. Protokolbevidst inspektion gør det. Organisationer, der er underlagt overholdelseskrav, skal verificere, at deres firewall-enheder understøtter denne funktionalitet, og at den er korrekt konfigureret.

Redundans og fejloverskift: Planlægning af det uundgåelige

Firewall-enheder vil til sidst svigte. Strømforsyninger forringes. Firmware-opdateringer mislykkes. Konfigurationsfejl spærre administratorer ud. Spørgsmålet er ikke, om et svigt vil ske – men om netværket forbliver beskyttet, når det gør.

Konfigurationer med høj tilgængelighed løser dette ved at parre firewall-enheder i aktiv-passiv- eller aktiv-aktiv-opstillinger. I en aktiv-passiv-konfiguration håndterer én enhed al trafik, mens den anden står klar. Hvis den aktive enhed går ned, overtager den passive enhed med minimal afbrydelse. I aktiv-aktiv-konfigurationer fordeles trafikken mellem begge enheder, hvilket giver både belastningsfordeling og redundanthed.

Konfigurationsindsatsen er ikke ubetydelig. Status-tabeller skal synkroniseres mellem enhederne, så aktive forbindelser overlever en fejl-overtagelse. Routingen skal tage højde for ændringen af den aktive enhed. Tests skal bekræfte, at fejl-overtagelsen fungerer som forventet. Men indsatsen er værdifuld, når en strømforsyning svigter kl. 2 om morgenen, og produktionen fortsætter uafbrudt.

Et eksempel fra virkeligheden: Fjernadgang udført korrekt

En vandforsyningsvirksomhed, der betjener et mellemstort metropolitområde, skulle give fjernadgang til udstyrsleverandører og vedligeholdelseskontraktører. Den oprindelige løsning brugte en VPN-enhedsapparat med brede adgangsregler – enhver godkendt bruger kunne nå ethvert device på OT-netværket. Arrangementet fungerede, men skabte betydelig eksponering. En kompromitteret leverandørkonto ville give adgang til hele kontrolsystemet.

Vandforsyningsvirksomheden genudformede arkitekturen for fjernadgang ved hjælp af firewall-enheder med granulære adgangskontroller. Hver leverandør fik adgang udelukkende til de specifikke systemer, som de skulle understøtte. Vedligeholdelseskontraktører kunne kun nå udstyret på de lokationer, som de betjente. Firewall’en håndhævede disse begrænsninger på netværksniveau og supplerede VPN’s godkendelse med autoriseringsregler, der begrænsede, hvad godkendte brugere faktisk måtte gøre. Det nye arrangement reducerede angrebsoverfladen væsentligt uden at tilføje kompleksitet for berettigede brugere.

Overvågning og advarsler, der faktisk hjælper

Firewall-enheder genererer advarsler af en grund – for at rette opmærksomheden mod hændelser, der kræver efterforskning. Men advarselstræthed er en realitet. For mange advarsler, især af lav kvalitet, fører til ignorerede beskeder og oversete hændelser. Effektiv advarselshåndtering kræver justering: reduktion af falske positive, prioritering af kritiske hændelser og sikring af, at advarsler når de rigtige personer.

Start med at kategorisere advarsler efter alvorlighedsgrad. Konfigurationsændringer, administrative login og kritiske fejl kræver øjeblikkelig opmærksomhed. Gentagne mislykkede loginforsøg fra eksterne adresser kræver efterforskning, men måske ikke en opkaldsbesked klokken 2 om natten. Datastrømspike til usædvanlige destinationer ligger et sted imellem. Kategoriseringen skal afspejle organisationens risikotolerance og operationelle begrænsninger. En fabrik, der kører døgn-og-døgn, har andre advarselskrav end et kontornetværk, der kun er aktivt i dagtimerne.

Almindelige gennemgangssessioner af advarsler, som foretages ugentligt eller månedligt, identificerer mønstre, som enkelte advarsler ikke afslører. En række advarsler med lav alvorlighed fra forskellige kilder kan tilsammen indikere en koordineret angrebshandling. Gennemgangsprocessen giver også feedback til justering – advarsler, der konsekvent viser sig irrelevante, kan undertrykkes eller genkonfigureres.