Maksymalizuj wydajność swoich urządzeń zapory sieciowej: zaawansowane wskazówki dotyczące zabezpieczeń

Ponad domyślne konfiguracje

Domyślne konfiguracje zapór sieciowych istnieją z powodu — umożliwiają szybkie uruchomienie systemów przy minimalnym poziomie zakłóceń. Jednocześnie jednak reprezentują one punkt wyjścia, a nie cel końcowy. Zestawy reguł domyślnych dostarczane razem z większością urządzeń zapory sieciowej są zaprojektowane tak, aby działać w szerokim zakresie środowisk. Priorytetem jest łączność, a nie bezpieczeństwo; zapewniają one szeroki dostęp, który upraszcza początkową wdrożenie. Pozostawianie tych ustawień bez zmian powoduje niepotrzebne narażenie.

Maksymalizacja skuteczności zapory ogniowej oznacza wyjście poza ustawienia domyślne. Oznacza to zrozumienie konkretnych wzorców ruchu w chronionej sieci i dostosowanie do nich reguł. Oznacza to stosowanie zasady najmniejszych uprawnień nie tylko w teorii, lecz także w praktyce – zezwalanie wyłącznie na to, co jest wyraźnie wymagane, oraz blokowanie wszystkiego innego. Wysiłek potrzebny do tego jest niewielki w porównaniu do osiągniętego zwiększenia bezpieczeństwa.

Higiena zestawu reguł: usunięcie nagromadzonego bałaganu

Zestawy reguł zapory ogniowej mają tendencję do organicznego rozrastania się w czasie. Reguła tymczasowa dodana na czas wizyty dostawcy staje się trwała. Reguła testowa dla nowej aplikacji pozostaje aktywna długą chwilę po wprowadzeniu aplikacji do eksploatacji. Wyjątki gromadzą się, a każdy z nich zwiększa złożoność i potencjalne zagrożenie. Wynikiem jest zestaw reguł, którego nikt w pełni nie rozumie i który zawiera znacznie więcej zezwoleń, niż jest to konieczne.

Regularne przeglądy zestawów reguł rozwiązują ten problem. Proces jest prosty: wyeksportuj obecny zestaw reguł, udokumentuj, co dokładnie robi każda reguła, zweryfikuj, czy każda reguła nadal jest potrzebna, a następnie usuń lub wzmocnij te, które nie są już potrzebne. Pierwszy przegląd zwykle przynosi największe zmniejszenie liczby reguł — wiele organizacji stwierdza, że 20–30% ich reguł można usunąć lub połączyć. Kolejne przeglądy wykrywają mniejsze nagromadzenia zanim zdążą one znacznie urosnąć.

Rejestrowanie: Narzędzie diagnostyczne stosowane zbyt rzadko

Dzienniki zapory sieciowej zawierają bogactwo informacji, które w wielu wdrożeniach pozostają nieużytkowane. Każde dozwolone połączenie, każda zablokowana próba oraz każde dopasowanie reguły generują wpis dziennika. Te dzienniki dokumentują normalne wzorce ruchu, ujawniają nietypową aktywność i dostarczają dowodów w przypadku wystąpienia problemów. Jednak wiele organizacji traktuje rejestrowanie jedynie jako element spełnienia wymogów zgodności, a nie jako narzędzie operacyjne.

Skuteczne zarządzanie dziennikami rozpoczyna się od zrozumienia, co jest rejestrowane. Nie każde zdarzenie wymaga tego samego poziomu szczegółowości. Rejestrowanie każdego dozwolonego połączenia w środowisku o dużym natężeniu ruchu powoduje problemy ze storage’em. Rejestrowanie wyłącznie zablokowanych połączeń oraz nietypowych zdarzeń zapewnia praktyczną wiedzę bez nadmiernego obciążenia. Kluczem jest odpowiednie skonfigurowanie poziomów rejestrowania — wystarczająco szczegółowe, aby były przydatne, ale jednocześnie wybiórcze, aby można je było skutecznie zarządzać. Regularne przeglądy dzienników, nawet krótkie, pozwalają wykryć problemy, których mogą nie zauważyć automatyczne alerty.

Inspekcja protokołów przemysłowych: Poza regułami opartymi na portach

Standardowe reguły zapory sieciowej, które polegają na numerach portów, nie zapewniają wystarczającego zabezpieczenia sieci przemysłowych. Atakujący może wysłać złośliwe polecenia Modbus przez port 502 – standardowy port Modbus – a reguła oparta na porcie bez żadnych problemów przepuści je dalej. Zaporę widzi poprawny port i zezwala na ruch, nie sprawdzając jego zawartości.

Urządzenia zapory sieciowej przeznaczone do zastosowań przemysłowych z inspekcją świadomościową protokołu analizują treść komunikatów protokołów przemysłowych. Rozumieją strukturę żądań Modbus, zestaw poleceń Profinet oraz format danych EtherNet/IP. To zrozumienie pozwala im wykrywać anomalie – np. polecenie zapisu Modbus skierowane do rejestru tylko do odczytu, sekwencję poleceń niespójną z normalnymi wzorcami działania lub komunikat przekraczający uzasadnione limity rozmiaru. Takie anomalie często wskazują na błędną konfigurację lub aktywny atak. Inspekcja świadomościowa protokołu wykrywa oba te przypadki.

Standard IEC 62443 wyraźnie wymaga tego typu egzekwowania ograniczonego przepływu danych między strefami. Reguły oparte na portach nie spełniają wymogów standardu. Spełnia je natomiast inspekcja świadoma protokołu. Organizacje podlegające wymogom zgodności muszą zweryfikować, czy ich urządzenia zapory sieciowej obsługują tę funkcjonalność oraz czy została ona prawidłowo skonfigurowana.

Redundancja i przełączenie awaryjne: planowanie nieuniknionego

Urządzenia zapory sieciowej ostatecznie ulegną awarii. Zasilacze się zużywają. Aktualizacje oprogramowania układowego kończą się niepowodzeniem. Błędy konfiguracji blokują dostęp administratorów. Pytanie nie brzmi, czy awaria nastąpi – lecz czy sieć pozostanie chroniona w momencie jej wystąpienia.

Konfiguracje zapewniające wysoką dostępność rozwiązują ten problem poprzez łączenie urządzeń zapory ogniowej w trybie aktywny-pasywny lub aktywny-aktywny. W konfiguracji aktywny-pasywny jedno urządzenie obsługuje cały ruch, podczas gdy drugie pozostaje w gotowości. W przypadku awarii urządzenia aktywnego urządzenie pasywne przejmuje jego funkcje z minimalnym przerywaniem działania.

Wdrożenie takiej konfiguracji wymaga znacznych nakładów pracy. Tabele stanu muszą być zsynchronizowane między urządzeniami, aby aktywne połączenia przetrwały przełączenie. Trasy sieciowe muszą uwzględniać zmianę aktywnego urządzenia. Testy muszą potwierdzić, że przełączenie działa zgodnie z oczekiwaniami. Jednak te wysiłki okazują się opłacalne, gdy zasilanie ulega awarii o 2:00 w nocy, a produkcja kontynuowana jest bez przerwy.

Przykład z praktyki: prawidłowy dostęp zdalny

Przedsiębiorstwo wodociągowe obsługujące metropolitalny obszar średniej wielkości potrzebowało zapewnić zdalny dostęp dla dostawców sprzętu oraz podmiotów wykonujących konserwację. Oryginalne rozwiązanie wykorzystywało urządzenie VPN z szerokimi regułami dostępu – każdy uwierzytelniony użytkownik mógł uzyskać dostęp do dowolnego urządzenia w sieci OT. Takie ułożenie funkcjonowało, lecz generowało istotne zagrożenie. Skompromitowane konto dostawcy umożliwiałoby dostęp do całego systemu sterowania.

Przedsiębiorstwo wodociągowe przeprojektowało architekturę zdalnego dostępu, stosując urządzenia zapory ogniowej z szczegółowymi kontrolami dostępu. Każdy dostawca otrzymał dostęp wyłącznie do konkretnych systemów, które musiał obsługiwać. Podmioty wykonujące konserwację mogły uzyskać dostęp jedynie do sprzętu znajdującego się w miejscach, w których świadczyły usługi. Zasady ograniczające dostęp były egzekwowane na poziomie sieci przez zaporę ogniową, która uzupełniała uwierzytelnianie realizowane przez VPN o reguły autoryzacji określające, jakie czynności mogą wykonywać uwierzytelnieni użytkownicy. Nowe ułożenie znacznie zmniejszyło powierzchnię ataku, nie zwiększając przy tym złożoności dla uprawnionych użytkowników.

Monitorowanie i powiadamianie, które rzeczywiście pomaga

Urządzenia zapory sieciowej generują powiadomienia z określonego powodu – aby zwrócić uwagę na zdarzenia wymagające analizy. Jednak zmęczenie powiadomieniami to rzeczywistość. Zbyt wiele powiadomień, zwłaszcza niskiej jakości, prowadzi do ignorowania powiadomień i przegapienia incydentów. Skuteczne powiadamianie wymaga dostrojenia: ograniczania fałszywych dodatnich wyników, priorytetyzowania krytycznych zdarzeń oraz zapewnienia, że powiadomienia docierają do właściwych osób.

Zacznij od sklasyfikowania powiadomień według stopnia pilności. Zmiany konfiguracji, logowania administracyjne oraz krytyczne awarie wymagają natychmiastowej uwagi. Powtarzające się nieudane próby logowania z adresów zewnętrznych zasługują na analizę, ale być może nie na powiadomienie o 2 nad ranem. Nagłe skoki ruchu w kierunku nietypowych miejsc docelowych znajdują się gdzieś pomiędzy tymi skrajnościami. Klasyfikacja ta powinna odzwierciedlać poziom akceptowanego ryzyka oraz ograniczenia operacyjne organizacji. Działająca 24/7 firma produkcyjna ma inne potrzeby w zakresie powiadamiania niż sieć biurowa funkcjonująca wyłącznie w godzinach dziennych.

Regularne sesje przeglądu alertów, przeprowadzane co tydzień lub co miesiąc, pozwalają zidentyfikować wzorce, których nie ujawniają pojedyncze alerty. Seria alertów o niskim stopniu powagi pochodzących z różnych źródeł może łącznie wskazywać na skoordynowaną atak. Proces przeglądu zapewnia również informacje zwrotne służące do strojenia — alerty, które systematycznie okazują się nieistotne, można wyłączyć lub przekonfigurować.