Maximalizujte výkon vašich firewallových zariadení: pokročilé bezpečnostné tipy

Mimo predvoleného nastavenia

Predvolené konfigurácie firewallov existujú z dôvodu – umožňujú rýchle spustenie systémov s minimálnym množstvom komplikácií. Sú však len východiskovým bodom, nie konečným cieľom. Predvolené sady pravidiel, ktoré sa dodávajú s väčšinou firewallových zariadení, sú navrhnuté tak, aby fungovali v širokej škále prostredí. Prioritou je pripojenie, nie bezpečnosť, a umožňujú rozsiahly prístup, čím sa zjednodušuje počiatočná implementácia. Nezmenené predvolené nastavenia vytvárajú nadbytočné riziko vystavenia.

Maximalizácia účinnosti firewallu znamená presiahnuť predvolené nastavenia. Znamená to pochopiť špecifické vzory prenosu dát v chránenej sieti a prispôsobiť pravidlá príslušne. Znamená to uplatniť princíp najmenších privilégií nielen teoreticky, ale aj prakticky – povoliť iba to, čo je výslovne vyžadované, a všetko ostatné zamietnuť. Úsilie potrebné na to je skromné v porovnaní so zvýšením bezpečnosti, ktoré sa tým dosiahne.

Údržba sady pravidiel: Odstránenie nahromadeného nepotrebného obsahu

Sady pravidiel firewallu sa v čase zvyknú rásť organicky. Dočasná pravidlo pridané pre návštevu dodávateľa sa stane trvalým. Testovacie pravidlo pre novú aplikáciu zostane aktívne dlho po tom, čo aplikácia už beží v produkčnom prostredí. Výnimky sa hromadia, pričom každá z nich pridáva zložitosť a potenciálne riziko. Výsledkom je sada pravidiel, ktorú nikto úplne nepozná a ktorá obsahuje výrazne viac povolení, než je nevyhnutné.

Pravidelné prehliadky súborov pravidiel riešia tento problém. Proces je jednoduchý: exportujte aktuálny súbor pravidiel, zdokumentujte, čo každé pravidlo v skutočnosti robí, overte, či je každé pravidlo stále potrebné, a odstráňte alebo zosilnite všetko, čo nie je potrebné. Prvá prehliadka často prináša najväčšie zníženie – mnoho organizácií zistí, že 20–30 % ich pravidiel možno odstrániť alebo konsolidovať. Následné prehliadky odhaľujú menšie nahromadenia, kým sa nezväčšia.

Zaznamenávanie: Nadvážaný diagnostický nástroj

Protipožiarny záznam obsahuje bohaté množstvo informácií, ktoré v mnohých nasadeniach zostávajú nevyužité. Každé povolené pripojenie, každý zablokovaný pokus a každé zhoda s pravidlom generujú záznam v protipožiarnom zázname. Tieto záznamy dokumentujú normálne vzory prenosu dát, odhaľujú nezvyčajnú aktivitu a poskytujú dôkazy v prípade výskytu problémov. Mnoho organizácií však zaznamenávanie považuje len za povinnosť na splnenie požiadaviek na dodržiavanie predpisov, nie ako operačný nástroj.

Účinné správovanie záznamov začína pochopením toho, čo sa zaznamenáva. Nie každá udalosť vyžaduje rovnakú úroveň podrobností. Zaznamenávanie každého povoleného pripojenia v prostredí s vysokým prenosom dát spôsobuje problémy so štápnou kapacitou. Zaznamenávanie iba zablokovaných pripojení a nezvyčajných udalostí poskytuje použiteľné informácie bez nadmernej záťaže. Kľúčové je vhodné nastavenie úrovne zaznamenávania – dostatočne podrobné na to, aby bolo užitočné, ale zároveň dostatočne výberové na to, aby bolo prehľadné. Pravidelné prehliadky záznamov, aj keď krátke, odhaľujú problémy, ktoré by mohli uniknúť automatickým upozorneniam.

Inšpekcia priemyslových protokolov: Nad rámec pravidiel založených na portoch

Štandardné pravidlá firewallu, ktoré sa opierajú o čísla portov, neposkytujú dostatočnú ochranu pre priemyselné siete. Útočník môže posielať škodlivé príkazy Modbus cez port 502 – štandardný port Modbus – a pravidlo založené na porte ich bez problémov presvedčí. Firewall vidí správny port a povolí prenos, aniž by preskúmal jeho obsah.

Zariadenia priemyselného firewallu s inšpekciou vedomou protokolu preskúmavajú obsah správ priemyselných protokolov. Rozumejú štruktúre požiadaviek Modbus, sade príkazov Profinet alebo formátu dát EtherNet/IP. Toto porozumenie im umožňuje identifikovať odchýlky – napríklad príkaz Modbus na zápis do registra určeného len na čítanie, postupnosť príkazov, ktorá sa nelíši od normálnych prevádzkových vzorov, alebo správu, ktorá presahuje rozumné limity veľkosti. Takéto odchýlky často naznačujú buď nesprávnu konfiguráciu, alebo aktívny útok. Inšpekcia vedomá protokolu odhalí oboje.

Štandard IEC 62443 výslovne vyžaduje tento typ vynúteného obmedzenia dátového toku medzi zónami. Pravidlá založené na portoch nespĺňajú požiadavky štandardu. Spĺňa ich však kontrola s vedomím protokolu. Organizácie, ktoré sú povinné dodržiavať predpisy, musia overiť, či ich firewallové zariadenia túto funkciu podporujú a či je správne nakonfigurovaná.

Zbytočnosť a prepínanie do rezervy: Plánovanie nevyhnutného

Firewallové zariadenia nakoniec zlyhajú. Napájacie zdroje sa opotrebujú. Aktualizácie firmvéru sa nepodarí. Chyby v konfigurácii administrátorov odmietnu. Otázka nie je, či k zlyhaniu dôjde – ale či bude sieť stále chránená, keď k nemu dôjde.

Konfigurácie s vysokou dostupnosťou tento problém riešia tak, že zariadenia firewall spárujú do aktívno-pasívnych alebo aktívno-aktívnych nastavení. V aktívno-pasívnej konfigurácii jedno zariadenie spravuje celý prevádzkový tok, zatiaľ čo druhé je pripravené na prevzatie úloh. Ak zlyhá aktívne zariadenie, pasívne zariadenie ho prevezme s minimálnym prerušením prevádzky. V aktívno-aktívnych konfiguráciách sa prevádzkový tok rozdeľuje medzi obe zariadenia, čím sa dosahuje vyvažovanie zaťaženia aj redundancia.

Nastavenie konfigurácie nie je jednoduché. Tabuľky stavov musia byť medzi zariadeniami synchronizované, aby aktívne pripojenia prežili prepínanie (failover). Smerovanie musí zohľadniť zmenu aktívneho zariadenia. Testovanie musí potvrdiť, že prepínanie funguje podľa očakávaní. Avšak úsilie sa vyplatí, keď napríklad v 2:00 ráno zlyhá napájací zdroj a výroba pokračuje bez prerušenia.

Reálny prípad: Vzdialený prístup správnym spôsobom

Vodárenská spoločnosť, ktorá zabezpečuje vodné služby pre stredne veľkú metropolitnú oblasť, potrebovala poskytnúť vzdialený prístup dodávateľom zariadení a zmluvným technikom na údržbu. Pôvodné riešenie využívalo VPN zariadenie s rozsiahlymi pravidlami prístupu – akýkoľvek overený používateľ mohol získať prístup k akémukoľvek zariadeniu v OT sieti. Toto usporiadanie fungovalo, avšak vytváralo významné bezpečnostné riziko. Kompromitovaný účet dodávateľa by poskytol prístup k celému riadiacemu systému.

Vodárenská spoločnosť prepracovala architektúru vzdialeného prístupu pomocou firewallových zariadení s podrobnými pravidlami prístupu. Každý dodávateľ získal prístup len k konkrétnym systémom, ktoré potreboval na poskytovanie podpory. Zmluvní technici na údržbu mohli získať prístup len k zariadeniam na lokalitách, ktoré obsluhovali. Firewall tieto obmedzenia vynutil na sieťovej úrovni a doplnil overovanie prostredníctvom VPN autorizačnými pravidlami, ktoré obmedzovali to, čo overení používatelia mohli skutočne robiť. Nové usporiadanie výrazne znížilo útočný povrch bez zvyšovania zložitosti pre oprávnených používateľov.

Monitorovanie a upozorňovanie, ktoré skutočne pomáha

Zariadenia firewall generujú upozornenia z dôvodu – aby upozornili na udalosti, ktoré vyžadujú vyšetrenie. Avšak únavu spôsobenú nadmerným počtom upozornení naozaj existuje. Príliš veľa upozornení, najmä nízkokvalitných, vedie k ignorovaniu oznámení a prehliadnutiu incidentov. Účinné upozorňovanie vyžaduje doladenie: zníženie falošných pozitívnych výsledkov, stanovenie priority kritických udalostí a zabezpečenie toho, aby upozornenia dosiahli správnych ľudí.

Začnite kategorizáciou upozornení podľa závažnosti. Zmeny konfigurácie, administratívne prihlásenia a kritické zlyhania vyžadujú okamžitú pozornosť. Opakované neúspešné pokusy o prihlásenie z externých adries si vyžadujú vyšetrenie, avšak možno nie nutne urgentné upozornenie o 2:00 ráno. Náhle nárasty prevádzky smerujúce do nezvyčajných cieľov sa nachádzajú niekde medzi týmito extrémami. Táto kategorizácia by mala odrážať rizikovú toleranciu a operačné obmedzenia organizácie. Výrobná prevádzka fungujúca 24/7 má iné požiadavky na upozorňovanie ako kancelárská sieť fungujúca len počas pracovného času.

Pravidelné kontroly upozornení, ktoré sa uskutočňujú týždenne alebo mesačne, odhaľujú vzory, ktoré jednotlivé upozornenia nezrejmujú. Séria upozornení s nízkou závažnosťou z rôznych zdrojov môže spoločne naznačovať koordinovaný útok. Proces kontroly tiež poskytuje spätnú väzbu pre doladenie – upozornenia, ktoré sa opakovane ukážu ako nevyhnutné, je možné potlačiť alebo prekonfigurovať.