Συσκευές Firewall: Κατανόηση των βασικών αρχών ασφάλειας δικτύου

Τι πραγματικά κάνει ένα firewall στο δίκτυο

Μία συσκευή firewall βρίσκεται στο όριο μεταξύ δικτύων και λαμβάνει αποφάσεις για το ποια κίνηση επιτρέπεται να περάσει και ποια αποκλείεται. Αυτό ακούγεται αρκετά απλό, αλλά η πραγματικότητα είναι πιο λεπτομερής. Τα πρώιμα firewalls ελέγχουν ουσιαστικά τις επικεφαλίδες των πακέτων με βάση μία λίστα κανόνων — δηλαδή τη διεύθυνση IP πηγής, τη διεύθυνση IP προορισμού και τους αριθμούς θυρών — και είτε επιτρέπουν είτε απορρίπτουν κάθε πακέτο ανεξάρτητα. Οι σύγχρονες συσκευές firewall κάνουν πολύ περισσότερα από αυτό. Διατηρούν πίνακες κατάστασης, παρακολουθούν τις ενεργές συνδέσεις και εξετάζουν τα μοτίβα κίνησης, όχι μόνο τα μεμονωμένα πακέτα. Αυτή η ενεργή εξέταση (stateful inspection) σημαίνει ότι η συσκευή κατανοεί εάν ένα πακέτο ανήκει σε μία ήδη εγκατεστημένη σύνοδο ή αντιπροσωπεύει κάτι καινούργιο και ενδεχομένως ύποπτο.

Η βασική λειτουργία παραμένει η ίδια: επιβολή μιας πολιτικής ασφαλείας μέσω ελέγχου της κίνησης μεταξύ ζωνών με διαφορετικά επίπεδα εμπιστοσύνης. Ωστόσο, η πολυπλοκότητα αυτής της επιβολής έχει αυξηθεί σημαντικά. Ένας καλός σήμερα firewall υποστηρίζει εξελιγμένο έλεγχο πακέτων (deep packet inspection), αναγνώριση εφαρμογών και ακόμη και πολιτικές βασισμένες στο χρήστη. Για οποιονδήποτε διαχειρίζεται ένα δίκτυο που εκτίθεται στο δημόσιο διαδίκτυο — και αυτό ισχύει για σχεδόν κάθε δίκτυο — η κατανόηση αυτών των βασικών αρχών δεν είναι προαιρετική.

Γιατί οι λύσεις μόνο λογισμικού αποτυγχάνουν

Οι λογισμικοί τοίχοι προστασίας που εκτελούνται σε γενικού σκοπού λειτουργικά συστήματα έχουν τη θέση τους. Είναι βολικοί, συχνά δωρεάν και εύκολοι στην εγκατάσταση σε μεμονωμένες μηχανές. Ωστόσο, η εξάρτηση από αυτούς ως κύριο μέσο προστασίας ενός επιχειρηματικού δικτύου δημιουργεί αρκετά προβλήματα. Το ίδιο το λειτουργικό σύστημα του υπολογιστή αποτελεί επιφάνεια επίθεσης. Εάν το υποκείμενο λειτουργικό σύστημα έχει ελλείψεις ασφαλείας, το λογισμικό τοίχου προστασίας που εκτελείται πάνω του κληρονομεί αυτούς τους κινδύνους. Αντίθετα, οι υλικοτεχνικοί τοίχοι προστασίας λειτουργούν με ειδικά σχεδιασμένο λογισμικό ελέγχου (firmware) και απλοποιημένα λειτουργικά συστήματα, τα οποία παρουσιάζουν πολύ μικρότερο πεδίο επίθεσης.

Η απόδοση είναι ένας άλλος παράγοντας. Τα λογισμικά τείχη προστασίας ανταγωνίζονται για κύκλους CPU και μνήμη με κάθε άλλη εφαρμογή που εκτελείται στον ίδιο υπολογιστή. Υπό συνθήκες εντατικής κίνησης, η επεξεργασία πακέτων μπορεί να προκαλέσει καθυστέρηση ή ακόμα και να διακόψει συνδέσεις. Ένα αφιερωμένο τείχος προστασίας χρησιμοποιεί εξειδικευμένους επεξεργαστές και υλικό επιτάχυνσης για να διαχειρίζεται την κίνηση χωρίς να επηρεάζει άλλα συστήματα. Αυτή η διάκριση έχει τη μεγαλύτερη σημασία σε περιβάλλοντα όπου η αξιοπιστία του δικτύου επηρεάζει άμεσα τις λειτουργίες — βιομηχανικές εγκαταστάσεις, κέντρα ελέγχου και δίκτυα διαχείρισης εγκαταστάσεων.

Η Εξέλιξη από τη Φιλτράριση Πακέτων στην Επίγνωση Εφαρμογών

Η μετάβαση από την απλή φιλτράρισμα πακέτων στην επίγνωση εφαρμογής αποτελεί μία από τις σημαντικότερες αλλαγές στην τεχνολογία των firewall την τελευταία δεκαετία. Τα παραδοσιακά firewall εξετάζουν πληροφορίες του επιπέδου 3 και του επιπέδου 4—δηλαδή διευθύνσεις IP και αριθμούς θυρών. Αυτό λειτουργούσε ικανοποιητικά όταν οι εφαρμογές χρησιμοποιούσαν προβλέψιμες θύρες. HTTP στη θύρα 80, HTTPS στη θύρα 443, SSH στη θύρα 22. Ωστόσο, οι σύγχρονες εφαρμογές είναι πιο περίπλοκες. Διοχετεύουν κίνηση μέσω μη συνηθισμένων θυρών, χρησιμοποιούν κρυπτογράφηση που κρύβει το περιεχόμενο των πακέτων και διαπραγματεύονται συνδέσεις δυναμικά.

Τα τείχη προστασίας της επόμενης γενιάς αντιμετωπίζουν αυτό το ζήτημα εξετάζοντας την κίνηση στο επίπεδο εφαρμογής. Μπορούν να αναγνωρίζουν συγκεκριμένες εφαρμογές, ανεξάρτητα από τη θύρα που χρησιμοποιούν. Αυτή η δυνατότητα αποδεικνύεται ιδιαίτερα χρήσιμη σε βιομηχανικά περιβάλλοντα, όπου τα δίκτυα τεχνολογίας λειτουργίας (OT) χρησιμοποιούν ειδικά πρωτόκολλα όπως το Modbus, το EtherNet/IP ή το OPC. Ένα συμβατικό τείχος προστασίας ενδέχεται να μην διακρίνει μεταξύ νόμιμης κίνησης Modbus και κακόβουλων πακέτων που συμπτωματικά χρησιμοποιούν την ίδια θύρα. Ένα συσκευή ευαισθητοποιημένη στις εφαρμογές μπορεί.

Πώς εντάσσονται τα τείχη προστασίας σε μια στρατηγική «άμυνας σε βάθος»

Κανένα μεμονωμένο μέτρο ασφαλείας δεν παρέχει πλήρη προστασία. Τα τείχη προστασίας αποτελούν ένα στρώμα σε μια ευρύτερη προσέγγιση «άμυνας σε βάθος». Η ιδέα είναι απλή: πολλαπλοί ανεξάρτητοι έλεγχοι ασφαλείας, ο καθένας από τους οποίους καλύπτει κενά που ενδέχεται να αφήνουν άλλοι. Ένα τείχος προστασίας αναλαμβάνει τη φιλτράριση στο επίπεδο δικτύου. Η προστασία κόμβων αντιμετωπίζει απειλές που αφορούν τον υπολογιστή. Οι έλεγχοι πρόσβασης διαχειρίζονται ποιος μπορεί να κάνει τι. Η παρακολούθηση εντοπίζει ό,τι περνά απαρατήρητο.

Η Ειδική Δημοσίευση 800-82 του NIST, οδηγός για την ασφάλεια των συστημάτων ελέγχου βιομηχανικών διαδικασιών, αναφέρεται ειδικά στην τοποθέτηση και τη διαμόρφωση των τειχών προστασίας για περιβάλλοντα τεχνολογίας λειτουργίας. Οι οδηγίες τονίζουν την τμηματοποίηση—δηλαδή τη διαίρεση των δικτύων σε ζώνες με διαφορετικές απαιτήσεις ασφαλείας και τον έλεγχο της κίνησης μεταξύ αυτών των ζωνών. Αυτό το μοντέλο «ζώνης και διαύλου», το οποίο τυποποιήθηκε επίσης στη σειρά προτύπων IEC 62443, θεωρεί τα τείχη προστασίας ως τον κύριο μηχανισμό επιβολής ορίων μεταξύ των τομέων ασφαλείας.

Πραγματικοί περιορισμοί που αλλάζουν τα πάντα

Η θεωρία φαίνεται καθαρή στο χαρτί. Στην πράξη σπάνια είναι έτσι. Μια βιομηχανική εγκατάσταση στο νοτιοανατολικό τμήμα των Ηνωμένων Πολιτειών αντιμετώπισε αυτή την πραγματικότητα κατά τη διάρκεια ενός έργου αναβάθμισης δικτύου. Η ομάδα είχε σχεδιάσει μια τμηματοποιημένη αρχιτεκτονική με συσκευές πυροτοίχου να χωρίζουν το εταιρικό δίκτυο ΤΠ από την παραγωγική περιοχή. Αυτή είναι η συνήθης πρακτική, σύμφωνα με το βιβλίο. Ωστόσο, όταν εφάρμοσαν τους κανόνες, μια ομάδα προγραμματιζόμενων λογικών ελεγκτών (PLC) άρχισε να εμφανίζει χρονικά όρια επικοινωνίας. Οι πυροτοίχοι εξέταζαν την κίνηση Modbus και εισήγαγαν αρκετή καθυστέρηση ώστε να υπερβούν οι PLC τα χρονικά περιθώρια ανοχής τους.

Η λύση δεν ήταν η αφαίρεση των τοίχων προστασίας—αυτό θα εξουδετέρωνε τον σκοπό της ασφάλειας. Αντ’ αυτού, η ομάδα επαναρρύθμισε το βάθος επιθεώρησης, εφάρμοσε λιγότερο επιθετικούς κανόνες για ροές κίνησης που ήταν γνωστό ότι είναι ασφαλείς και πρόσθεσε αφιερωμένες βιομηχανικές συσκευές τοίχων προστασίας που κατανοούσαν τις απαιτήσεις χρονισμού του πρωτοκόλλου. Το μάθημα έμεινε: οι ελέγχους ασφαλείας πρέπει να λαμβάνουν υπόψη τους τους λειτουργικούς περιορισμούς, όχι μόνο τις θεωρητικές καλύτερες πρακτικές. Ένας τοίχος προστασίας που διακόπτει την παραγωγή είναι χειρότερος από κανέναν τοίχο προστασίας, επειδή παρακάμπτεται ή απενεργοποιείται.

Πρακτικές Πτυχές της Εφαρμογής

Η εγκατάσταση συσκευών τοίχων προστασίας απαιτεί την απάντηση ορισμένων θεμελιωδών ερωτήσεων προτού ακουμπήσει κανείς οποιοδήποτε υλικό. Ποια κίνηση πρέπει πραγματικά να διέρχεται μεταξύ των ζωνών; Ποια πρωτόκολλα χρησιμοποιούνται και έχουν ειδικές απαιτήσεις χρονισμού ή καθυστέρησης; Ποιος χρειάζεται διαχειριστική πρόσβαση και από πού; Τι συμβαίνει όταν ο τοίχος προστασίας αποτύχει—η κίνηση προεπιλέγεται να επιτρέπεται ή να απορρίπτεται;

Οι απαντήσεις διαφέρουν ανάλογα με το περιβάλλον. Ένα δίκτυο επιχειρησιακού γραφείου έχει διαφορετικές προτεραιότητες από ένα εργοστάσιο επεξεργασίας αποβλήτων ή ένα σύστημα αυτοματοποίησης αποθήκης. Το κοινό στοιχείο είναι ότι οι κανόνες του firewall πρέπει να ακολουθούν την αρχή των ελάχιστων προνομίων: να επιτρέπεται μόνο αυτό που είναι ρητώς απαραίτητο, και να απαγορεύεται το υπόλοιπο. Αυτό φαίνεται προφανές, αλλά στην πραγματικότητα τα σύνολα κανόνων συχνά συσσωρεύουν εξαιρέσεις με την πάροδο του χρόνου, μέχρις ότου μοιάζουν με τυρί Emmental. Οι τακτικές επισκέψεις και καθαρισμοί των κανόνων αποτρέπουν αυτήν τη σταδιακή εξασθένιση της ασφάλειας.