EN
Ko uguns sieta patiesībā dara tīklā
Uguns sieta ierīce atrodas starp tīkliem, pieņemot lēmumus par to, kura datu plūsma tiek caurlaista un kura tiek bloķēta. Tas izklausās pietiekami vienkārši, taču realitāte ir niansētāka. Agrīnās uguns sietas pamatā pārbaudīja katras datu paketes galveni pret noteikumu sarakstu — avota IP adresi, mērķa IP adresi, portu numurus — un katru paketi atsevišķi vai caurlaida, vai noraidīja. Mūsdienu uguns sieta ierīces dara daudz vairāk. Tās uztur stāvokļa tabulas, seko aktīvajām savienojumu sesijām un analizē datu plūsmas raksturu, nevis tikai atsevišķas datu paketes. Šī stāvokļa balstītā pārbaude nozīmē, ka ierīce saprot, vai datu pakete pieder pie jau izveidotās sesijas vai vai tā attēlo kaut ko jaunu un potenciāli aizdomīgu.
Pamata funkcija paliek tāda pati: izpildīt drošības politiku, kontrolējot datu plūsmu starp zonām ar dažādu uzticamības līmeni. Tomēr šīs izpildes sarežģītība ir ievērojami pieaugusi. Mūsdienīgs ugunsmūris veic dziļu pakotņu pārbaudi, identificē lietojumprogrammas un pat īsteno lietotāju balstītas politikas. Ikvienam, kurš pārvalda tīklu, kas ir savienots ar publisko internetu — tas ir gandrīz katrs tīkls — šo pamatjēdzienu izpratne nav neobligāta.
Kāpēc tikai programmatūras risinājumi nav pietiekami
Programmatūras ugunssienas, kas darbojas vispārīga mērķa operētājsistēmās, ir savs pielietojums. Tās ir ērtas, bieži vien bez maksas un viegli ievietojamas atsevišķās ierīcēs. Tomēr, ja uz tām balsta galveno aizsardzību uzņēmuma tīklam, rodas vairākas problēmas. Paša resursdatora operētājsistēma kļūst par uzbrukumu mērķi. Ja pamata operētājsistēmai ir drošības trūkumi, tad uz tās darbojošās ugunssienas programmatūrai tiek pārnesti arī šie riski. Savukārt aparatūras ugunssienas ierīces darbojas uz speciāli izstrādātas firmware un vienkāršotām operētājsistēmām, kas rada daudz mazāku uzbrukumu risku.
Veiktspēja ir vēl viens faktors. Programmatūras ugunssienas konkurē ar citām lietotnēm par CPU cikliem un atmiņu uz tās pašas sistēmas. Smagas datu plūsmas apstākļos pakotņu apstrāde var izraisīt kavēšanos vai pat pārtraukt savienojumus. Specializēta ugunssienas ierīce izmanto specializētus procesorus un aprīkojuma paātrinājumu, lai apstrādātu datu plūsmu, neietekmējot citas sistēmas. Šī atšķirība ir visnozīmīgākā vidēs, kur tīkla uzticamība tieši ietekmē darbības — ražošanas telpās, vadības centrālos un objektu pārvaldības tīklos.
Attīstība no pakotņu filtrēšanas līdz lietojumprogrammu apzināšanai
Pāreja no vienkāršas pakotņu filtrēšanas uz lietojumprogrammu apzinātu pārbaudi ir viena no nozīmīgākajām ugunsmūru tehnoloģijas izmaiņām pēdējā desmitgadē. Tradicionālie ugunsmūri analizēja 3. un 4. slāņa informāciju — IP adreses un portu numurus. Tas darbojās diezgan labi, kad lietojumprogrammas izmantoja paredzamus portus: HTTP — 80. portā, HTTPS — 443. portā, SSH — 22. portā. Tomēr modernās lietojumprogrammas ir sarežģītākas. Tās tunelē datu plūsmu caur nenobriedušiem portiem, izmanto šifrēšanu, kas paslēpj datu saturu, un dinamiski noslēdz savienojumus.
Uzraudzības uzticamības ierīces nākamās paaudzes versijas risina šo problēmu, pārbaudot datu plūsmu lietojumprogrammu slānī. Tās spēj identificēt konkrētās lietojumprogrammas neatkarīgi no tā, kuru portu tās izmanto. Šī iespēja ir īpaši vērtīga rūpnieciskajā vidē, kur operacionālo tehnoloģiju tīkli izmanto specializētus protokolus, piemēram, Modbus, EtherNet/IP vai OPC. Parasta uzticamības ierīce var nespēt atšķirt likumīgo Modbus datu plūsmu no kaitīgiem paketiņiem, kas nejauši izmanto to pašu portu. Lietojumprogrammu apzinīga ierīce to var.
Kā uzticamības ierīces iekļaujas aizsardzības dziļumā stratēģijā
Neviens viens drošības pasākums nepiedāvā pilnīgu aizsardzību. Uzticamības ierīces veido vienu slāni plašākā aizsardzības dziļumā pieejā. Pamata princips ir vienkāršs: vairāki neatkarīgi drošības kontroli, katrs no kuriem aizsargā tās jomas, kuras citas kontroles varētu palikt neatkarīgas. Uzticamības ierīce nodrošina tīkla līmeņa filtrēšanu. Galapunkta aizsardzība risina datora līmeņa draudus. Piekļuves kontroli reglamentē, kurš var darīt ko. Uzraudzība reģistrē to, kas izbēg cauri.
NIST Special Publication 800-82, norādījumi par rūpnieciskās vadības sistēmu drošību, īpaši apskata ugunsmūru novietojumu un konfigurāciju operacionālo tehnoloģiju vides ietvaros. Norādījumi uzsvēr segmentāciju — tīklu sadalīšanu zonās ar dažādām drošības prasībām un datu plūsmu kontroli starp šīm zonām. Šis zonu un kanālu modelis, kuru arī oficiāli noteikušas IEC 62443 sērijas standarti, ugunsmūrus uzskata par galveno mehānismu drošības domēnu robežu izpildīšanai.
| Drošības slānis | Galvenā funkcija | Kā ugunsmūru ierīces veicina drošību |
|---|---|---|
| Tīkla robeža | Bloķēt neatļautu ārējo piekļuvi | Pirmā aizsardzības līnija tīkla robežā |
| Iekšējā segmentācija | Ierobežot horizontālo pārvietošanos starp zonām | Izpildīt noteikumus par datu plūsmu no vienas zonas uz otru |
| Resursa aizsardzība | Drošināt atsevišķus galapunktus | Papildināt ar mājas datora ugunsmūriem un pretvīrusu programmatūru |
| Uzraudzība un atklāšana | Identificēt aktīvus draudus | Sniedz tīkla satiksmes žurnālus un brīdinājumu datus |
| Pieejas kontrole | Autentificēt un autorizēt lietotājus | Integrēties ar direktoriju pakalpojumiem politiku izpildei |
Reālās pasaules ierobežojumi, kas viss maina
Teorija uz papīra izskatās vienkārša. Praktiskā īstenošana reti ir tāda. Ražošanas uzņēmums Dienvidaustrumu ASV saskārās ar šo realitāti tīkla modernizācijas projektā. Komanda bija izstrādājusi segmentētu arhitektūru ar ugunsmūra ierīcēm, kas atdalīja korporatīvo IT tīklu no ražošanas zonas. Tas ir standarta process, kā norādīts dokumentos. Tomēr, kad tika piemērotas noteikumu kopas, vairākas programmējamās loģikas vadības ierīces sāka izraisīt savienojuma noildzes kļūdas. Ugunsmūri pārbaudīja Modbus satiksmi un radīja tikai nedaudz aizkavēšanos, kas tomēr pārsniedza programmējamās loģikas vadības ierīču laika pieļaujamības robežas.
Risinājums nebija ugunsmūru noņemšana — tas būtu apdraudējis drošības mērķi. Vismazāk, komanda pārkonfigurēja inspekcijas dziļumu, piemēroja mazāk agresīvus noteikumus zināmi drošiem datu plūsmas virzieniem un pievienoja specializētus rūpnieciskos ugunsmūru ierīču risinājumus, kas saprata protokola laika prasības. Mācība palika: drošības kontroles jāpielāgo operacionālajām ierobežojumu prasībām, nevis tikai teorētiskajām optimālajām praksēm. Ugunsmūrs, kas traucē ražošanu, ir sliktāks par vispārēju ugunsmūra trūkumu, jo to vai nu apiet, vai atslēdz.
Praktiski apsvērumi izvietošanai
Ugunsmūru ierīču izvietošanai ir jāatbild uz dažiem pamatjautājumiem pirms kādas darbības ar aprīkojumu. Kāda datu plūsma patiesībā jānodrošina starp zonām? Kādi protokoli tiek izmantoti un vai tiem ir īpašas laika vai kavēšanās prasības? Kam nepieciešama administratīvā piekļuve un no kurienes? Ko darīt, ja ugunsmūrs nedarbojas — vai datu plūsmai noklusējuma režīmā tiek atļauta vai liegta piekļuve?
Atbildes atšķiras atkarībā no vides. Korporatīvās biroja tīkla prioritātes ir citādas nekā notekūdeņu attīrīšanas rūpnīcas vai noliktavu automatizācijas sistēmas. Kopīgais pavediens ir tas, ka uguns sienu noteikumiem jāievēro minimālās privilēģiju princips: jāatļauj tikai tas, kas ir skaidri nepieciešams, un viss pārējais jānoraida. Tas šķiet acīmredzami, taču praksē noteikumu kopas bieži pakāpeniski uzkrāj izņēmumus, līdz tās sasniedz sieras „Šveices sierra” līmeni. Regulāras noteikumu pārskatīšanas un attīrīšanas sesijas novērš šo pakāpenisko drošības samazināšanos.