Zariadenia firewall: pochopenie základov sieťovej bezpečnosti

Čo firewall v skutočnosti robí v sieti

Zariadenie firewall sa nachádza na hranici medzi sieťami a rozhoduje, ktorý sieťový prenos prejde a ktorý bude zablokovaný. Znie to jednoducho, no realita je zložitejšia. Prvé firewally v podstate kontrolovali hlavičky paketov vo vzťahu k zoznamu pravidiel – zdrojová IP adresa, cieľová IP adresa, čísla portov – a každý paket buď presmerovali, alebo zahodili izolovane. Moderné firewally robia omnoho viac. Udržiavajú tabuľky stavov, sledujú aktívne pripojenia a analyzujú vzory sieťového prenosu namiesto toho, aby kontrolovali len jednotlivé pakety. Táto stavová kontrola znamená, že zariadenie rozumie tomu, či patrí daný paket k už naviazanej relácii, alebo či predstavuje niečo nové a potenciálne podozrivé.

Základná funkcia zostáva rovnaká: vynútenie bezpečnostnej politiky prostredníctvom kontroly prenosu dát medzi zónami s rôznymi úrovňami dôvery. Avšak sofistikovanosť tohto vynútenia sa výrazne zvýšila. Dnes kvalitné firewallové zariadenie vykonáva hlbokú kontrolu paketov, identifikáciu aplikácií a dokonca aj zásady založené na používateľovi. Pre každého, kto spravuje sieť vystavenú verejnému internetu – čo je takmer každá sieť – pochopenie týchto základov nie je voliteľné.

Prečo softvérové riešenia nestačia

Softvérové firewally bežiace na všeobecných operačných systémoch majú svoje miesto. Sú pohodlné, často zadarmo a ľahko sa nasadzujú na jednotlivé počítače. Avšak spoliehanie sa na ne ako na hlavnú obranu podnikovej siete prináša niekoľko problémov. Samotný hostiteľský operačný systém sa stáva povrchom útoku. Ak má základný operačný systém zraniteľnosti, softvér firewallu bežiaci nad ním tieto riziká dedí. Hardvérové zariadenia firewallu naopak bežia na účelovo vyvinutom firmvéri so zjednodušenými operačnými systémami, ktoré predstavujú výrazne menší útočný povrch.

Výkon je ďalším faktorom. Softvérové firewally sú v súťaži o procesorové cykly a pamäť s každou inou aplikáciou, ktorá beží na rovnakom hostiteľovi. Pri veľkom zaťažení sieťového prenosu spracovanie paketov môže spôsobiť oneskorenie alebo dokonca prerušenie pripojení. Vyhradené zariadenie firewall využíva špecializované procesory a hardvérové zrýchlenie na spracovanie prenosu bez ovplyvnenia iných systémov. Tento rozdiel je najdôležitejší v prostrediach, kde spoľahlivosť siete priamo ovplyvňuje prevádzku – výrobné priestory, riadiace strediská a siete pre správu zariadení.

Vývoj od filtrovania paketov po povedomie aplikácií

Presun od jednoduchej filtrovania paketov k preskúmavaniu s vedomosťou o aplikáciách predstavuje jednu z významnejších zmien v technológii firewallov za posledné desaťročie. Tradičné firewally skúmali informácie na vrstve 3 a vrstve 4 – IP adresy a čísla portov. To fungovalo primerane dobre, keď aplikácie používali predvídateľné porty. HTTP na porte 80, HTTPS na porte 443, SSH na porte 22. Moderné aplikácie však sú zložitejšie. Prenášajú prevádzku cez nezvyčajné porty, používajú šifrovanie, ktoré skrýva obsah dát, a dynamicky vyjednávajú pripojenia.

Zariadenia pre firewall novej generácie tento problém riešia kontrolou premávky na aplikačnej vrstve. Dokážu identifikovať konkrétne aplikácie bez ohľadu na to, ktorý port používajú. Táto schopnosť sa ukazuje ako obzvlášť cenná v priemyselných prostrediach, kde siete operačnej technológie využívajú špecializované protokoly, ako napríklad Modbus, EtherNet/IP alebo OPC. Konvenčný firewall nemusí rozlíšiť medzi legitimnou Modbus-ovou premávkou a závadnými paketmi, ktoré náhodou používajú rovnaký port. Zariadenie s poznatkami o aplikáciách to dokáže.

Ako sa zariadenia firewall zapájajú do stratégie obrany na hĺbku

Žiadna jediná bezpečnostná opatrenie neposkytuje úplnú ochranu. Zariadenia firewall slúžia ako jedna vrstva v širšej stratégií obrany na hĺbku. Koncept je jednoduchý: viacero nezávislých bezpečnostných mechanizmov, pričom každý pokrýva medzery, ktoré by iné mohli nechať otvorené. Firewall zabezpečuje filtrovanie na sieťovej úrovni. Ochrana koncových zariadení sa zaoberá hrozbami na úrovni hostiteľa. Ovládanie prístupu určuje, kto môže čo robiť. Monitorovanie odhaľuje to, čo prejde ostatnými mechanizmami.

Špeciálna publikácia NIST 800-82, príručka pre zabezpečenie systémov priemyselnej automatizácie, sa špecificky zaoberá umiestnením a konfiguráciou firewallov v prostrediach operačných technológií. Táto príručka zdôrazňuje segmentáciu – rozdelenie sietí na zóny s rôznymi požiadavkami na bezpečnosť a riadenie prevádzky medzi týmito zónami. Tento model zón a spojovacích kanálov, ktorý je formálne definovaný aj v štandardnej sérii IEC 62443, považuje firewally za hlavný mechanizmus na vynucovanie hraníc medzi doménami bezpečnosti.

Skutočné obmedzenia, ktoré menia všetko

Teória vyzerá na papieri čistá. Prax to zvyčajne nie je. Výrobné zariadenie v juhovýchodnej časti Spojených štátov sa pri projekte aktualizácie siete stretlo s touto realitou. Tím navrhol segmentovanú architektúru s firewallmi, ktoré oddelovali korporátnu IT sieť od výrobnej plošiny. Ide o štandardný postup podľa príručky. Avšak keď boli pravidlá nasadené, skupina programovateľných logických regulátorov (PLC) začala vyhadzovať chyby týkajúce sa vypršania časových limitov komunikácie. Firewally kontrolovali prevádzku protokolu Modbus a spôsobili tak malé oneskorenie, že PLC prekročili svoje časové limity.

Riešením nebolo odstrániť firewally – to by zmaťovalo bezpečnostný účel. Namiesto toho tím prekonfiguroval hĺbku kontroly, uplatnil menej agresívne pravidlá pre známe bezpečné toky premávky a pridal špeciálne priemyselné firewallové zariadenia, ktoré rozumeli časovým požiadavkám protokolu. Ponaučenie sa udržalo: bezpečnostné mechanizmy musia brať do úvahy prevádzkové obmedzenia, nie len teoreticky najlepšie postupy. Firewall, ktorý preruší výrobu, je horší ako žiadny firewall vôbec, pretože sa buď obíde, alebo zakladne vypne.

Praktické aspekty nasadenia

Nasadenie firewallových zariadení vyžaduje pred manipuláciou s akýmkoľvek hardvérom odpoveď na niekoľko základných otázok. Aká premávka sa vlastne musí medzi zónami pohybovať? Aké protokoly sa používajú a majú špecifické časové alebo latencné požiadavky? Kto potrebuje administratívny prístup a odkiaľ? Čo sa stane, keď firewall zlyhá – premávka sa štandardne povolí alebo zamietne?

Odpovede sa líšia podľa prostredia. Sieť kancelárie má iné priority ako čistička odpadových vôd alebo systém automatizácie skladu. Spoločnou zložkou je, že pravidlá firewallu by mali dodržiavať princíp najmenších privilégií: povoliť iba to, čo je výslovne potrebné, a všetko ostatné zamietnuť. Znie to samozrejme, no v praxi sa súbory pravidiel často postupne nahromadia výnimkami, kým sa nepodobajú švajčiarskemu syru. Pravidelné prehliadky a údržba pravidiel tomuto postupnému oslabovaniu bezpečnosti zabránia.