Tulimuuri-laitteet: Verkkoturvallisuuden perusteet

Mitä tulimuuri todella tekee verkossa

Tulimuuri laitteen tehtävä on sijaita verkkojen välisellä rajalla ja päättää, mikä liikenne saa kulkea läpi ja mikä estetään. Tämä kuulostaa yksinkertaiselta, mutta todellisuus on hienovaraisempi. Varhaiset tulimuurit tarkistivat käytännössä vain pakettien otsikoita sääntöluetteloa vasten – lähtö-IP-osoitetta, kohde-IP-osoitetta ja porttinumeroita – ja joko hyväksyivät tai hylkäsivät jokaisen paketin erillisesti. Nykyaikaiset tulimuurilaitteet tekevät paljon enemmän kuin tämä. Ne pitävät yllä tilatauluja, seuraavat aktiivisia yhteyksiä ja tarkastelevat liikennemalleja eivätkä ainoastaan yksittäisiä paketteja. Tämä tilallisesti tarkastelu tarkoittaa, että laite ymmärtää, kuuluuko paketti jo olemassa olevaan istuntoon vai edustako se jotakin uutta ja mahdollisesti epäilyttävää.

Perusfunktio pysyy samana: turvallisuuskäytäntöä valvotaan ohjaamalla liikennettä eri luottamustasojen välillä sijaitsevien alueiden välillä. Mutta tämän valvonnan tarkkuus on kuitenkin kasvanut huomattavasti. Nykyaikainen palomuuri kykenee suorittamaan syvällistä pakettitarkastusta, sovellusten tunnistamista ja jopa käyttäjäperusteisia käytäntöjä. Kaikille, jotka hallinnoivat julkista internetiä kohtaavaa verkkoa – mikä on käytännössä kaikki verkot – näiden perusteiden ymmärtäminen ei ole vaihtoehto.

Miksi pelkästään ohjelmistopohjaiset ratkaisut eivät riitä

Ohjelmallisesti toimivat palomuurit, jotka käynnistyvät yleiskäyttöisillä käyttöjärjestelmillä, ovat paikallaan. Ne ovat käteviä, usein ilmaisia ja helppoa asentaa yksittäisille koneille. Mutta niiden käyttö yritysverkon ensisijaisena turvallisuusratkaisuna aiheuttaa useita ongelmia. Isäntäkoneen käyttöjärjestelmä itse muodostaa hyökkäyspinnan. Jos peruskäyttöjärjestelmässä on haavoittuvuuksia, palomuuriohjelmisto, joka suoritetaan sen päällä, perii nämä riskit. Sen sijaan laitteistopalomuurilaitteet toimivat tarkoituksenmukaisella firmwarellä ja supistettujen käyttöjärjestelmien päällä, mikä muodostaa huomattavasti pienemmän hyökkäyspinnan.

Suorituskyky on toinen tekijä. Ohjelmallisesti toteutetut palomuurit kilpailevat keskusprosessorin käyttöaikaa ja muistia muiden samassa isäntäkoneessa suoritettavien sovellusten kanssa. Suurten liikennemäärien aikana pakettien käsittely voi aiheuttaa viivettä tai jopa katkaista yhteydet. Erillinen palomuurilaite käyttää erityisiä prosessoreita ja laitteistopohjaista kiihdytystä liikenteen käsittelyyn ilman muita järjestelmiä rasittavaa vaikutusta. Tämä ero on tärkein ympäristöissä, joissa verkon luotettavuus vaikuttaa suoraan toimintaan – esimerkiksi tuotantolinjoilla, ohjauskeskuksissa ja tilojen hallintaverkoissa.

Keittäytymisprosessi pakettisuodatuksesta sovellustietoiseen

Siirtyminen yksinkertaisesta pakettisuodatuksesta sovellustietoiseen tarkastukseen edustaa yhtä merkittävimmistä muutoksista palomuuriteknologiassa viimeisen kymmenen vuoden aikana. Perinteiset palomuurit tarkastelivat kerrosten 3 ja 4 tietoja – IP-osoitteita ja porttinumeroita. Tämä toimi kohtalaisen hyvin, kun sovellukset käyttivät ennustettavia porteja: HTTP portissa 80, HTTPS portissa 443 ja SSH portissa 22. Nykyaikaiset sovellukset ovat kuitenkin monimutkaisempia. Ne kuljettavat liikennettä epätavallisilla porteilla, käyttävät salauksia, jotka piilottavat hyötykuorman sisällön, ja ne neuvottelevat yhteyksiä dynaamisesti.

Seuraavan sukupolven palomuurilaitteet ratkaisevat tämän tarkastamalla liikennettä sovellustasolla. Ne voivat tunnistaa tiettyjä sovelluksia riippumatta siitä, mitä porttia ne käyttävät. Tämä ominaisuus on erityisen arvokas teollisuusympäristöissä, joissa toimintateknologian verkot käyttävät erikoisprotokollia, kuten Modbus-, EtherNet/IP- tai OPC-protokollia. Perinteinen palomuurilaite ei välttämättä erota laillista Modbus-liikennettä haitallisista paketeista, jotka sattuvat käyttämään samaa porttia. Sovellustietoinen laite voi.

Miten palomuurilaitteet sopivat syvällisen puolustuksen strategiaan

Yksittäinen turvatoimi ei tarjoa täydellistä suojaa. Palomuurilaitteet toimivat yhtenä kerroksena laajemmassa syvällisen puolustuksen lähestymistavassa. Periaate on yksinkertainen: useat toisistaan riippumattomat turvatoimet, joista jokainen peittää aukkoja, joita muut saattavat jättää avoimeksi. Palomuurilaite hoitaa verkkotasoisen suodatuksen. Päätepisteen suoja käsittelee isäntäpohjaisia uhkia. Pääsynvalvonta hallinnoi, ketkä voivat tehdä mitäkin. Valvonta havaitsee sen, mikä pääsee läpi.

NIST:n erikoisjulkaisu 800-82, teollisten ohjausjärjestelmien turvallisuutta käsittelevä opas, käsittelee erityisesti palomuurien sijoittelua ja määrittelyä toimintateknologiaympäristöissä. Ohjeistuksessa korostetaan segmentointia – verkkojen jakamista eri turvallisuusvaatimuksia vaativiin vyöhykkeisiin ja liikenteen valvontaa näiden vyöhykkeiden välillä. Tämä vyöhyke- ja kanavamalli, joka on myös virallisesti määritelty IEC 62443 -standardisarjassa, käsittää palomuurit pääasiallisena keinona turvallisuusalueiden välisten rajojen valvonnassa.

Käytännön rajoitukset, jotka muuttavat kaiken

Teoria näyttää selkeältä paperilla. Käytännössä näin harvoin on. Valmistuslaitos eteläisessä Yhdysvalloissa kohtasi tämän todellisuuden verkon päivityshankkeen yhteydessä. Tiimi oli suunnitellut segmentoidun arkkitehtuurin, jossa palomuurilaitteet erottavat yrityksen TI-verkon tuotantotilalta. Tämä on standardikäytäntö, joka noudattaa ohjeita. Mutta kun säännöt otettiin käyttöön, joukko ohjelmoitavia logiikkasäätimiä alkoi antaa viestintäaikakatkoksia. Palomuurit tarkastivat Modbus-liikennettä ja aiheuttivat juuri riittävästi viivettä, jotta säätimet ylittäisivät aikarajoituksensa.

Korjaus ei ollut palomuurien poistaminen – se olisi heikentänyt turvallisuuden tarkoitusta. Sen sijaan tiimi muokkasi tarkastussyvyyttä, sovelsi vähemmän tiukkoja sääntöjä tunnettuun turvallisesti toimiviin liikennevirtoihin ja lisäsi erityisiä teollisuuspalomuurilaitteita, jotka ymmärsivät protokollan ajoitusvaatimukset. Opittu opetus jäi pysyvästi mieleen: turvallisuusohjaukset täytyy suunnitella ottamaan huomioon toiminnalliset rajoitteet, ei pelkästään teoreettiset parhaat käytännöt. Palomuuri, joka katkaisee tuotantoprosessin, on huonompi kuin ei mitään palomuuria lainkaan, koska se ohitetaan tai kytketään pois päältä.

Käytännön harkinnat käyttöönottoa varten

Palomuurilaitteiden käyttöönotto edellyttää muutamien peruskysymysten ratkaisemista ennen kuin kosketetaan mitään laitteistoa. Mitä liikennettä todellisuudessa tarvitaan eri alueiden välillä? Mitä protokollia käytetään, ja onko niillä erityisiä ajoitus- tai viivevaatimuksia? Kenellä on hallintapääsy, ja mistä se on mahdollista? Mitä tapahtuu, jos palomuuri epäonnistuu – sallitaanko vai estetäänkö liikenne oletusarvoisesti?

Vastaukset vaihtelevat ympäristön mukaan. Yritystoimiston verkkoympäristöllä on erilaiset prioriteetit kuin jätevesiasemalla tai varastoautomaatiotyössä. Yhteinen tekijä on, että palomuurisäännöt tulisi laatia vähimmäisoikeuksien periaatteen mukaisesti: sallitaan ainoastaan se, mikä on eksplisiittisesti tarpeellista, ja muutoin estetään kaikki. Tämä kuulostaa itsestäänselvältä, mutta käytännössä sääntöjoukot keräävät usein ajan myötä poikkeuksia, kunnes ne muistuttavat juustoa rei’ittäin. Säännölliset tarkistukset ja siivoukset estävät tämän turvallisuuden hitaan heikkenemisen.