Uzmite sve potrebne mjere da biste zaštitili svoj firewall: napredni savjeti za sigurnost

Preko podrazumevane konfiguracije

Podrazumevane firewall konfiguracije postoje s razlogom - omogućavaju brzo funkcioniranje sustava uz minimalno trenje. No, oni također predstavljaju polaznu liniju, a ne krajnju točku. Podrazumevano pravilo je da su brodovi s većinom firewall uređaja dizajnirani za rad u širokom spektru okruženja. Oni daju prioritet povezanosti nad sigurnošću, omogućavajući širok pristup koji pojednostavljuje početnu implementaciju. Ako ih ostavimo nepromijenjene, stvorit ćemo nepotrebnu izloženost.

Maksimiziranje učinkovitosti vatrogasaca znači da se ide izvan podrazumevanih postavki. To znači razumijevanje specifičnih obrazaca prometa mreže koja se štiti i prilagođavanje pravila u skladu s tim. To znači primjenjivati princip najmanje privilegije ne samo u teoriji, već i u praksi, dopuštajući samo ono što je izričito potrebno i uskraćujući sve ostalo. Napori koji su potrebni su skromni u usporedbi s poboljšanjem sigurnosti.

Pravilo higijene: Očistite nakupljenu mrlju

Setovi pravila zaštitnog zida imaju tendenciju da organski rastu s vremenom. Privremeno pravilo dodano za posjetu dobavljača postaje trajno. Testno pravilo za novu aplikaciju ostaje na mjestu dugo nakon što aplikacija bude aktivna. Izuzeci se gomilaju, svaki dodajući složenost i potencijalnu izloženost. Rezultat je niz pravila koje nitko u potpunosti ne razumije i koji sadrži mnogo više dopusta nego što je potrebno.

Redovite revizije pravila rješavaju ovaj problem. Proces je jednostavan: izvozite trenutni skup pravila, dokumentirajte što svako pravilo zapravo radi, provjerite je li svako pravilo još uvijek potrebno i uklonite ili stežite sve što nije. U mnogim organizacijama se smatra da se 20-30% njihovih pravila može ukinuti ili konsolidirati. Sljedeći pregledi uhvate manje akumulacije prije nego što narastu.

Izbor podataka: nedovoljno korišten dijagnostički alat

Firewall dnevnici sadrže bogatstvo informacija koje ostaju neiskorištene u mnogim implementacijama. Svaka dozvoljena veza, svaki blokirani pokušaj, svaki meč pravila generiše unos dnevnika. Ovi dnevnici bilježe normalne prometne obrasce, otkrivaju neobične aktivnosti i pružaju dokaze kada nešto krene po zlu. Ipak, mnoge organizacije tretiraju evidenciju kao polje za provjeru usklađenosti, a ne operativno sredstvo.

Učinkovito upravljanje dnevnicima počinje razumijevanjem onoga što se bilježi. Ne treba svaki događaj isti nivo detalja. Zapisivanje svake dozvoljene veze u okruženju s velikim prometom stvara probleme s pohranom. Zapisivanje samo blokiranih veza i neobičnih događaja pruža operativnu inteligenciju bez nadogradnje. Ključ je u tome da se logovi odgovarajuće konfigurišu, dovoljno detaljno da budu korisni, dovoljno selektivno da se njima može upravljati. Redovite preglede dnevnika, čak i kratke, otkrivaju probleme koje automatska upozorenja mogu propustiti.

Inspekcija industrijskog protokola: izvan pravila u lukama

Standardna pravila vatrozida koja se oslanjaju na brojeve portova ne pružaju adekvatnu zaštitu za industrijske mreže. Napadač može slati zlonamjerne Modbus zapovijedi preko porta 502 standardni Modbus port i pravilo zasnovano na portu će ih rado proći. Vatreni zid vidi pravi port i dopušta promet bez pregleda onoga što je unutra.

Uređaji za industrijski požarni zid s inspekcijom s prisutnim protokolom ispituju sadržaj poruka industrijskog protokola. Oni razumiju strukturu Modbus zahtjeva, zapovijedni skup Profineta, format podataka EtherNet/IP. Ovo razumijevanje im omogućuje da identificiraju anomalije - Modbus zapisati zapovijed u samo čitan registar, niz zapovijedi koji se ne podudaraju s normalnim obrazacima rada, poruka koja premašuje razumne granice veličine. Ove anomalije često ukazuju na pogrešnu konfiguraciju ili aktivni napad. Inspekcija koja je svjesna protokola uhvatila je oboje.

U skladu s standardom IEC 62443, ova vrsta ograničenog protoka podataka između zona izričito se zahtijeva. Pravila u lukama ne zadovoljavaju zahtjeve standarda. Inspekcija koja poznaje protokol. Organizacije koje su podložne zahtjevima usklađenosti moraju provjeriti da njihove naprave zaštitnog zida podržavaju ovu mogućnost i da je pravilno konfigurirana.

Odlazak iz službe i prelazak na drugo mjesto: planiranje neizbježnog

Firewall uređaji će na kraju propasti. Smanjuje se napajanje. Napredak firmvera ne radi dobro. -Griješi u konfiguraciji. Pitanje nije hoće li se neuspjeh dogoditi, već ostaje li mreža zaštićena kada se dogodi.

Konfiguracije visoke dostupnosti rješavaju to spajanjem firewall uređaja u aktivno-pasivno ili aktivno-aktivno postavljanje. U aktivno-pasivnoj konfiguraciji, jedan uređaj upravlja svim prometom dok drugi stoji spreman. Ako aktivno uređaj otkaže, pasivno uređaj preuzima s minimalnim prekidima. Aktivno-aktivne konfiguracije raspoređuju promet na oba uređaja, pružajući uravnoteženje opterećenja kao i redundantnost.

Napori za konfiguraciju nisu trivijalni. Tabele stanja moraju se sinhronizirati između uređaja kako bi aktivne veze preživjele prekid. Uputstvo mora uzeti u obzir promjenu aktivnog uređaja. U slučaju da se ne provede ispitivanje, mora se provjeriti da je prekidač za prekidač u skladu s očekivanjima. Ali napor se isplati kada se snabdijevanje strujom prekine u 2 ujutro i proizvodnja se nastavlja neprekidno.

Scenario iz stvarnog svijeta: Odgovarajući pristup na daljinu

U skladu s člankom 3. stavkom 1. točkom (a) Uredbe (EU) br. 1303/2013 Komisija je odlučila da se odluka o pokretanju postupka primjene Direktive 2008/57/EZ primjenjuje na sve poduzeća koja su u skladu s člankom 3. točkom (a) Uredbe (EU) br. 1303/2013. Prvobitno rješenje koristilo je VPN uređaj s širokim pravilima pristupasvaka autentificirana korisnica mogla je doći do bilo kojeg uređaja na OT mreži. Dogovor je upalio, ali je izazvao značajnu izloženost. Kompromitiran račun prodavača bi omogućio pristup cijelom sustavu kontrole.

Kompanija je redizajnirala arhitekturu daljinskog pristupa pomoću firewall uređaja s granularnim kontrolama pristupa. Svaki je prodavatelj imao pristup samo određenim sustavima koje je trebao podržavati. Izvršitelji održavanja mogli su doći samo do opreme na mjestima na kojima su radili. Vatreni zid je provodio ova ograničenja na razini mreže, dopunjavajući autentifikaciju VPN-a pravilima ovlaštenja koja su ograničavala ono što autentificirani korisnici zapravo mogu učiniti. Novi aranžman znatno je smanjio površinu napada bez dodatne složenosti za legitimne korisnike.

Praćenje i upozorenje koje doista pomaže

Uređaji zaštitnog zida stvaraju upozorenja s razlogom da skrenu pažnju na događaje koji zahtijevaju istragu. Ali, umoranost je stvarna. U skladu s člankom 21. stavkom 1. Učinkovito upozorenje zahtijeva podešavanje: smanjenje lažno pozitivnih rezultata, određivanje prioriteta kritičnih događaja i osiguravanje da upozorenja stignu do pravih ljudi.

Počnite kategorizacijom upozorenja po ozbiljnosti. Promjene konfiguracije, administrativne prijave i kritične kvarove zahtijevaju hitnu pozornost. Ponavljeni neuspjehi prilikom prijave sa vanjskih adresa zaslužuju istragu, ali možda ne i stranica u 2 ujutro. Trafik u neobičnim destinacijama je negdje između. U slučaju da je to potrebno, potrebno je utvrditi razinu rizika i ograničenja. Proizvodnja koja radi 24 sata dnevno ima drugačije potrebe za upozorenjem od uredske mreže koja radi samo tijekom dana.

Redovite revizije upozorenja, provode se tjedno ili mjesečno, identificiraju obrasce koje pojedinačne upozorenja ne otkrivaju. Niza niskih ozbiljnosti upozorenja iz različitih izvora zajedno mogu ukazivati na koordinirani napad. Proces pregleda također pruža povratnu informaciju za podešavanje upozorenja koja se dosljedno pokazuju irelevantnim.