Tűzfal-eszközei teljes kihasználása: Speciális biztonsági tippek

Az alapértelmezett konfiguráción túl

Az alapértelmezett tűzfalkonfigurációk léteznek egy okból – gyorsan működő rendszereket biztosítanak minimális nehézség mellett. Ugyanakkor ezek csak kiindulási alapok, nem pedig végpontok. A legtöbb tűzfal-eszközön szállított alapértelmezett szabálykészletek különböző környezetekben való működésre lettek kialakítva. A biztonságnál inkább a kapcsolódásra helyezik a hangsúlyt, és széles körű hozzáférést engednek, hogy leegyszerűsítsék az első telepítést. Az alapértelmezett beállítások megtartása felesleges kitettséget eredményez.

A tűzfal hatékonyságának maximalizálása azt jelenti, hogy túllépünk az alapértelmezett beállításokon. Azt jelenti, hogy megértjük a védett hálózat specifikus forgalmi mintáit, és ennek megfelelően testre szabjuk a szabályokat. Azt jelenti, hogy a legkisebb jogosultság elvét nemcsak elméletben, hanem gyakorlatban is alkalmazzuk – csak azt engedjük meg, ami kifejezetten szükséges, minden mást tiltunk. A szükséges erőfeszítés csekély ahhoz képest, amennyi biztonságnövekedést ez hoz.

Szabálykészlet karbantartása: takarítsuk fel a felhalmozódott felesleges elemeket

A tűzfalszabály-készletek idővel természetes módon növekednek. Egy ideiglenes szabály, amelyet egy beszállítói látogatás miatt adtak hozzá, állandóvá válik. Egy új alkalmazás teszteléséhez létrehozott szabály továbbra is érvényben marad, miután az alkalmazás már éles környezetben fut. A kivételek gyűlnek, mindegyik bonyolultságot és potenciális kockázatot jelent. Az eredmény egy olyan szabálykészlet, amelyet senki sem ért teljes mértékben, és amely sokkal több engedélyt tartalmaz, mint amire szükség van.

A szokásos szabálykészlet-áttekintések kezelik ezt a problémát. A folyamat egyszerű: exportáljuk az aktuális szabálykészletet, dokumentáljuk, hogy mindegyik szabály pontosan mit csinál, ellenőrizzük, hogy továbbra is szükséges-e minden szabály, és eltávolítjuk vagy szigorítjuk azokat, amelyekre nincs szükség. Az első áttekintés gyakran a legnagyobb csökkenést eredményezi – sok szervezet azt tapasztalja, hogy szabályaik 20–30%-a kivehető vagy összevonható. A későbbi áttekintések időben észlelik a kisebb felhalmozódásokat, mielőtt azok jelentősekké válnának.

Naplózás: A kevéssé használt diagnosztikai eszköz

A tűzfal-naplók számos olyan információt tartalmaznak, amelyeket sok üzemelés során ki sem használnak. Minden engedélyezett kapcsolat, minden blokkolt kísérlet és minden szabálytalálás naplóbejegyzést eredményez. Ezek a naplók dokumentálják a normál forgalmi mintákat, felfedik a szokatlan tevékenységet, és bizonyítékot szolgáltatnak, ha valami hibásodik. Sok szervezet azonban a naplózást inkább egy megfelelőségi ellenőrzési pontként kezeli, semmint egy működési eszközként.

Az hatékony naplókezelés a naplózott adatok megértésével kezdődik. Nem minden esemény igényel ugyanolyan részletességet. Egy nagy forgalmú környezetben minden engedélyezett kapcsolat naplózása tárhelyproblémákat okozhat. Csak a blokkolt kapcsolatok és a szokatlan események naplózása célzott információkat szolgáltat a felesleges terhelés nélkül. A kulcs a naplózási szintek megfelelő konfigurálása: elég részletesek legyenek a hasznosság érdekében, de elegendően szelektívek a kezelhetőség érdekében. Rendszeres naplóáttekintések – akár rövid időtartamúak is – olyan problémákat derítenek fel, amelyeket az automatizált riasztások esetleg nem jeleznek.

Ipari protokoll-ellenőrzés: A portalapú szabályokon túl

A portszámokra támaszkodó szokásos tűzfalszabályok nem nyújtanak megfelelő védelmet az ipari hálózatok számára. Egy támadó rosszindulatú Modbus-parancsokat küldhet a 502-es porton – a szokásos Modbus-porton –, és egy portalapú szabály ezeket örömmel átengedi. A tűzfal látja a megfelelő portot, és engedélyezi a forgalmat anélkül, hogy megvizsgálná, mi van benne.

Az ipari tűzfalberendezések, amelyek protokollérzékeny ellenőrzést végeznek, megvizsgálják az ipari protokollüzenetek tartalmát. Értik a Modbus-kérések szerkezetét, a Profinet parancskészletét, az EtherNet/IP adatformátumát. Ez a megértés lehetővé teszi számukra az anomáliák azonosítását – például egy Modbus-írási parancsot egy csak olvasható regiszterre, egy olyan parancssorozatot, amely nem felel meg a normál működési mintáknak, vagy egy üzenetet, amely meghaladja az ésszerű méretkorlátokat. Ezek az anomáliák gyakran vagy konfigurációs hibára, vagy aktív támadásra utalnak. A protokollérzékeny ellenőrzés mindkettőt észleli.

Az IEC 62443 szabvány kifejezetten előírja e típusú korlátozott adatfolyam-kezelést a zónák között. A portalapú szabályok nem felelnek meg a szabvány követelményeinek. A protokollt ismerő ellenőrzés viszont igen. A megfelelőségi követelmények alá eső szervezeteknek ellenőrizniük kell, hogy tűzfal-eszközeik támogatják-e ezt a funkciót, és hogy megfelelően van-e konfigurálva.

Tartalékrendszer és átváltás: A kerülhetetlenre való felkészülés

A tűzfal-eszközök végül meghibásodnak. A tápegységek romlanak. A firmware-frissítések hibásan futnak le. A konfigurációs hibák kizárják az adminisztrátorokat. A kérdés nem az, hogy bekövetkezik-e a hiba – hanem az, hogy a hálózat továbbra is védett marad-e, amikor az bekövetkezik.

A magas rendelkezésre állású konfigurációk ezt úgy oldják meg, hogy tűzfal-eszközöket aktív-passzív vagy aktív-aktív párosításban használnak. Az aktív-passzív konfigurációban az egyik eszköz kezeli az összes forgalmat, míg a második készen áll. Ha az aktív eszköz meghibásodik, a passzív eszköz minimális megszakítással veszi át a feladatot. Az aktív-aktív konfigurációk a forgalmat mindkét eszköz között osztják el, így terheléselosztást és redundanciát is biztosítanak.

A konfigurációs munka nem elhanyagolható. Az állapottáblákat szinkronizálni kell az eszközök között, hogy az aktív kapcsolatok túléljék az átkapcsolódást. A forgalomirányításnak figyelembe kell vennie az aktív eszköz változását. A tesztelésnek ellenőriznie kell, hogy az átkapcsolódás a várt módon működik-e. De a befektetett erőfeszítés megtérül, amikor például 2 órakor meghibásodik egy tápegység, és a termelés folyamatosan folytatódik.

Egy gyakorlati példa: Távoli hozzáférés helyesen

Egy közepes méretű metropolisz területét ellátó vízműnek távoli hozzáférést kellett biztosítania a berendezésgyártók és karbantartási vállalkozók számára. Az eredeti megoldás egy VPN-eszközt használt, amely széles körű hozzáférési szabályokat alkalmazott – bármely hitelesített felhasználó elérhette az OT-hálózaton lévő bármely eszközt. Ez a megoldás működött, de jelentős kockázatot jelentett. Egy kompromittált gyártói fiók teljes hozzáférést biztosított volna az egész irányítási rendszerhez.

A vízmű újratervezte a távoli hozzáférési architektúrát tűzfal-eszközök segítségével, amelyek finomhangolt hozzáférés-vezérlést biztosítanak. Minden gyártó csak azokhoz a rendszerekhez kapott hozzáférést, amelyeket támogatnia kellett. A karbantartási vállalkozók csak azokhoz a berendezésekhez férhettek hozzá, amelyeket a szolgáltatási helyszíneken kezeltek. A tűzfal ezeket a korlátozásokat a hálózati szinten érvényesítette, kiegészítve a VPN hitelesítését olyan engedélyezési szabályokkal, amelyek meghatározták, hogy a hitelesített felhasználók valójában mit tehetnek. Az új megoldás jelentősen csökkentette a támadási felületet anélkül, hogy bonyolultságot adott volna a jogosult felhasználók számára.

Figyelés és riasztás, amely tényleg segít

A tűzfal-eszközök riasztásokat generálnak egy okból – hogy figyelmet vonzanak azokra az eseményekre, amelyeket vizsgálatnak kell alávetni. De a riasztási fáradtság valós probléma. Túl sok riasztás, különösen alacsony minőségűek, elhanyagolt értesítésekhez és kimaradt incidensekhez vezetnek. Hatékony riasztáshoz finomhangolás szükséges: csökkenteni kell a hamis pozitív riasztásokat, ki kell emelni a kritikus eseményeket, és biztosítani kell, hogy a riasztások a megfelelő személyekhez jussanak.

Kezdje a riasztások súlyossági kategóriák szerinti besorolásával. A konfigurációs módosítások, a rendszergazdai bejelentkezések és a kritikus hibák azonnali figyelmet igényelnek. A külső címekről érkező ismétlődő bejelentkezési kísérletek vizsgálatot igényelnek, de talán nem szükséges rájuk 2 órakor értesítést küldeni. A szokatlan célok felé mutató forgalomcsúcsok valahol e két végpont között helyezkednek el. A besorolásnak tükröznie kell a szervezet kockázati toleranciáját és működési korlátozásait. Egy 24/7-es gyártási üzem más riasztási igényekkel bír, mint egy nappali munkaidőben működő irodahálózat.

A rendszeres riasztáselemzési ülések – heti vagy havi gyakorisággal megtartva – olyan mintázatokat tárhatnak fel, amelyeket az egyedi riasztások egyedül nem mutatnak. Például különböző forrásokból származó, alacsony súlyosságú riasztások sorozata együttesen koordinált támadást jelezhet. Az elemzési folyamat emellett visszajelzést is biztosít a beállítások finomhangolásához: azokat a riasztásokat, amelyek rendszeresen irrelevánsnak bizonyulnak, el lehet nyomni vagy újra konfigurálni.