Tűzfal-eszközök: A hálózati biztonság alapjainak megértése

Mi történik valójában egy tűzfal esetében a hálózaton

Egy tűzfal-eszköz a hálózatok határán helyezkedik el, és döntéseket hoz arról, mely forgalom jut át, és melyiket blokkolja. Ez egyszerűnek hangzik, de a valóság finomabb részletekben rejlik. A korai tűzfalak lényegében a csomagfejeket ellenőrizték egy szabálylistával szemben – például forrás-IP-cím, cél-IP-cím, portszámok –, és minden egyes csomagot külön-külön engedtek át vagy dobáltak el. A modern tűzfal-eszközök ennél jóval többet tesznek. Állapottáblákat vezetnek, aktív kapcsolatokat követnek nyomon, és nem csupán egyedi csomagokat, hanem a forgalom mintázatait is elemzik. Ez az állapotfelismerő ellenőrzés azt jelenti, hogy az eszköz képes megítélni, egy adott csomag egy meglévő munkamenethez tartozik-e, vagy új, potenciálisan gyanús tevékenységet jelent.

Az alapvető funkció ugyanaz marad: biztonsági szabályzat érvényesítése a különböző bizalmi szintű zónák közötti forgalom szabályozásával. Azonban az ilyen érvényesítés színvonala jelentősen emelkedett. Egy megfelelő tűzfal-eszköz ma már mély csomagvizsgálatot, alkalmazás-azonosítást és akár felhasználóalapú szabályzatokat is kezel. Mindenkinek, aki egy nyilvános internet felé néző hálózatot üzemeltet – ami gyakorlatilag minden hálózat –, ezeknek az alapelveknek a megértése nem választható.

Miért nem elegendők a kizárólag szoftveres megoldások

A szoftveres tűzfalak, amelyek általános célú operációs rendszereken futnak, fontos szerepet töltenek be. Kényelmesek, gyakran ingyenesek, és egyszerűen telepíthetők egyedi gépekre. Azonban ha egy vállalati hálózat fő védelmi eszközeként támaszkodunk rájuk, számos problémát okozhatnak. A gazdagép operációs rendszere maga is támadási felületté válik. Ha az alapul szolgáló operációs rendszer biztonsági réseket tartalmaz, akkor a rajta futó tűzfalszoftver is örökli ezeket a kockázatokat. Az eszközalapú tűzfalak ezzel szemben célzottan fejlesztett firmware-en futnak, leegyszerűsített operációs rendszerekkel, amelyek lényegesen kisebb támadási felületet nyújtanak.

A teljesítmény egy másik tényező. A szoftveres tűzfalak versengenek a CPU-ciklusokért és a memóriáért minden más, ugyanazon a gazdagépen futó alkalmazással. Nagy forgalom esetén a csomagfeldolgozás késleltetést okozhat, sőt akár kapcsolatok megszakadását is. Egy dedikált tűzfal-eszköz specializált processzorokat és hardveres gyorsítást használ a forgalom kezelésére anélkül, hogy más rendszereket befolyásolna. Ez a különbség leginkább azokban a környezetekben fontos, ahol a hálózati megbízhatóság közvetlenül hat az üzemeltetésre – például gyártóüzemekben, irányítótermekben és létesítmény-kezelési hálózatokban.

Az átjátszó-szűrésből az alkalmazás-tudatosodásig való fejlődés

Az egyszerű csomag-szűrésről az alkalmazás-tudatos ellenőrzésre való áttérés az elmúlt egy évtized egyik legjelentősebb változása a tűzfal-technológiában. A hagyományos tűzfalak a 3. és a 4. réteg információit – az IP-címeket és a portszámokat – elemezték. Ez akkor működött elfogadhatóan jól, amikor az alkalmazások előrejelezhető portokat használtak: például HTTP a 80-as, HTTPS a 443-as, SSH a 22-es porton. Azonban a modern alkalmazások összetettebbek. Adatforgalmukat szokatlan portokon vezetik át, titkosítást alkalmaznak, amely elrejti a hasznos adatok tartalmát, és dinamikusan tárgyalják meg a kapcsolatokat.

A következő generációs tűzfal-eszközök ezt úgy oldják meg, hogy az alkalmazási rétegen ellenőrzik a forgalmat. Azonosítani tudnak konkrét alkalmazásokat, függetlenül attól, hogy melyik portot használják. Ez a képesség különösen értékes ipari környezetekben, ahol az üzemeltetési technológia hálózatai speciális protokollokat – például Modbus-t, EtherNet/IP-t vagy OPC-t – használnak. Egy hagyományos tűzfal nem tudja megkülönböztetni a jogos Modbus-forgalmat a rosszindulatú csomagoktól, amelyek véletlenül ugyanazt a portot használják. Egy alkalmazás-érzékeny eszköz viszont képes erre.

Hogyan illeszkednek be a tűzfal-eszközök egy mélyített védelem stratégiájába

Egyetlen biztonsági intézkedés sem nyújt teljes védelmet. A tűzfal-eszközök egy réteget képeznek a szélesebb körű mélyített védelem megközelítésben. A fogalom egyszerű: több független biztonsági vezérlő, mindegyik más-más hiányosságot pótol, amelyet a többi esetleg kihagy. A tűzfal a hálózati szintű szűrést végzi. A végpontvédelem a gazdagépalapú fenyegetéseket kezeli. A hozzáférés-vezérlések azt szabályozzák, hogy ki mit tehet. A figyelés felfedi, amit a többi rendszer elenged.

A NIST Special Publication 800-82, az ipari vezérlőrendszerek biztonságára vonatkozó útmutató különösen a tűzfalak elhelyezésével és konfigurálásával foglalkozik az üzemeltetési technológia környezeteiben. Az útmutató kiemeli a szegmentációt – azaz a hálózatok felosztását különböző biztonsági követelményekkel rendelkező zónákra, valamint a közöttük zajló forgalom szabályozását. Ezt a zóna-és-csatorna modellt az IEC 62443 szabványsorozat is formálisan meghatározza, amely szerint a tűzfalak a fő eszközök a biztonsági tartományok közötti határok érvényesítésére.

Valós világbeli korlátozások, amelyek mindent megváltoztatnak

Az elmélet papíron tiszta képet nyújt. A gyakorlatban ez ritkán fordul elő. Egy gyártóüzem a délkelet-amerikai régióban ezt a valóságot tapasztalta meg egy hálózati frissítési projekt során. A csapat egy szegmentált architektúrát tervezett, amelyben tűzfalak választották el a vállalati IT-hálózatot a termelőtéri hálózattól. Ez a szokásos, szabványos gyakorlat. Amikor azonban telepítették a szabályokat, egy csoport programozható logikai vezérlő (PLC) kommunikációs időtúllépéseket kezdett jelezni. A tűzfalak a Modbus-forgalmat ellenőrizték, és éppen annyi késleltetést okoztak, hogy a PLC-k túllépjék időzítési tűréshatárukat.

A megoldás nem a tűzfalak eltávolítása volt – ez ellentmondott volna a biztonsági célkitűzésnek. Ehelyett a csapat újra konfigurálta az ellenőrzés mélységét, kevésbé agresszív szabályokat alkalmazott a ismert biztonságos forgalmi folyamokra, és külön ipari tűzfal-eszközöket telepített, amelyek értették a protokoll időzítési követelményeit. A tanulság maradandóvá vált: a biztonsági vezérlőknek figyelembe kell venniük az üzemeltetési korlátozásokat, nem csupán az elméleti legjobb gyakorlatokat. Egy olyan tűzfal, amely leállítja a termelést, rosszabb, mint egyáltalán nincs tűzfal, mert ekkor kikerülik vagy kikapcsolják.

Gyakorlati megfontolások a telepítéshez

A tűzfal-eszközök telepítése előtt néhány alapvető kérdésre választ kell adni, még mielőtt bármely hardverhez hozzányúlnánk. Milyen forgalomnak kell ténylegesen áramlania a zónák között? Milyen protokollok kerülnek használatra, és van-e speciális időzítési vagy késleltetési követelményük? Ki szerezhet adminisztratív hozzáférést, és honnan? Mi történik, ha a tűzfal meghibásodik – a forgalom alapértelmezés szerint engedélyezett vagy tiltott lesz?

A válaszok környezettől függően változnak. Egy vállalati irodahálózat más prioritásokat határoz meg, mint egy szennyvíztisztító telep vagy egy raktárautomatizálási rendszer. A közös vonás az, hogy a tűzfal-szabályoknak az alacsonyabb jogosultság elvét kell követniük: csak azt szabad engedélyezni, ami kifejezetten szükséges, minden mást meg kell tiltani. Ez nyilvánvalónak tűnik, de a gyakorlatban a szabálykészletek gyakran idővel egyre több kivételt halmoznak fel, amíg végül svájci sajthoz hasonlóvá nem válnak. A rendszeres szabályfelülvizsgálatok és takarítási munkafolyamatok megakadályozzák ezt a biztonság fokozatos romlását.