Naprave za požarni zid: razumevanje osnov omrežne varnosti

Kaj požarni zid dejansko počne v omrežju

Naprava za požarni zid stoji na meji med omrežji in odloča, kateri promet naj bo dovoljen in kateri blokiran. To se zdi preprosto, vendar je dejavnost bolj niansirana. Zgodnji požarni zidovi so preverjali glave paketov glede na seznam pravil – izvorni IP, ciljni IP, številke vrat – in vsak paket ločeno spustili ali zavrnili. Sodobne naprave za požarni zid storijo veliko več. Vodijo tabele stanj, spremljajo aktivne povezave in pregledujejo vzorce prometa namesto le posameznih paketov. Ta stanje-odvisna preverjanja pomenijo, da naprava razume, ali paket pripada že ustanovljeni seji ali pa predstavlja nekaj novega in potencialno sumljivega.

Osnovna funkcija ostaja enaka: izvajanje varnostne politike z nadzorom prometa med območji z različnimi ravni zaupanja. Vendar se izsrednost tega izvajanja znatno povečala. Danes dober naprava za požarni zid izvaja globoko pregledovanje paketov, prepoznava aplikacij in celo uporabniško temelječe politike. Za vsakogar, ki upravlja omrežje, ki je izpostavljeno javnemu internetu – kar velja za skoraj vsako omrežje – razumevanje teh osnov ni izbirno.

Zakaj rešitve samo na podlagi programske opreme niso zadostne

Programske požarne zidove, ki tečejo na splošnih operacijskih sistemih, je mogoče uporabiti. Udobni so, pogosto brezplačni in jih je enostavno namestiti na posamezna računalnika. Vendar pa je njihova uporaba kot primarnega varnostnega mehanizma za poslovno omrežje povezana z več težavami. Operacijski sistem gostitelja postane površina za napad. Če ima osnovni operacijski sistem ranljivosti, tudi programska oprema za požarni zid, ki teče nad njim, podeduje te tveganja. Naprave za strojne požarne zidove nasprotno delujejo na namenski firmware s poenostavljenimi operacijskimi sistemi, ki predstavljajo veliko manjšo površino za napad.

Zmogljivost je še en dejavnik. Programske požarni zidovi tekmujejo za procesorske cikle in pomnilnik z vsako drugo aplikacijo, ki teče na istem gostitelju. Pri visokih obremenitvah prometa lahko obdelava paketov povzroči zakasnitev ali celo prekinitev povezav. Posebna naprava za požarni zid uporablja specializirane procesorje in strojno pospeševanje za obravnavo prometa brez vpliva na druge sisteme. Ta razlika je najpomembnejša v okoljih, kjer neprekinjenost omrežja neposredno vpliva na delovanje – proizvodne talne površine, nadzorne sobe in omrežja za upravljanje objektov.

Razvoj od filtriranja paketov do zavedanja aplikacij

Premik od preprostega filtriranja paketov k pregledu, ki je zaveden aplikacij, predstavlja eno najpomembnejših sprememb v tehnologiji požarnih zidov v zadnjem desetletju. Tradicionalni požarni zidovi so pregledovali podatke na 3. in 4. plasti – IP-naslove in številke vrat. To je delovalo razumno dobro, ko so aplikacije uporabljale napovedljive vrata. HTTP na vratih 80, HTTPS na 443, SSH na 22. A sodobne aplikacije so bolj zapletene. Prenašajo promet prek nenavadnih vrat, uporabljajo šifriranje, ki skriva vsebino nosilcev, ter dinamično dogovarjajo povezave.

Naprave za požarni zid nove generacije to rešijo z pregledom prometa na aplikacijski plasti. Lahko prepoznajo določene aplikacije, ne glede na vrata, ki jih uporabljajo. Ta sposobnost je še posebej koristna v industrijskih nastavitvah, kjer omrežja operativne tehnologije uporabljajo specializirane protokole, kot so Modbus, EtherNet/IP ali OPC. Konvencionalni požarni zid morda ne more razlikovati med zakonitim prometom Modbus in zlonamernimi paketi, ki naključno uporabljajo ista vrata. Naprava, ki pozna aplikacije, pa lahko.

Kako se naprave za požarni zid ujemajo v strategijo obrambnih ukrepov na več ravneh

Noben posamezen varnostni ukrep ne zagotavlja popolne zaščite. Naprave za požarni zid predstavljajo eno plast širše strategije obrambnih ukrepov na več ravneh. Koncept je preprost: več neodvisnih varnostnih nadzorov, pri čemer vsak pokrije luknje, ki jih drugi morda pustijo odprte. Požarni zid opravlja filtriranje na omrežni ravni. Zaščita končnih točk se ukvarja z grožnjami na ravni gostitelja. Nadzori dostopa določajo, kdo lahko kaj naredi. Nadzorovanje zazna tisto, kar pride skozi.

NIST Special Publication 800-82, priročnik za varnost industrijskih krmilnih sistemov, posebej obravnava namestitev in nastavitev požarnih zidov za okolja operativne tehnologije. Smernice poudarjajo segmentacijo – razdelitev omrežij v cone z različnimi zahtevami glede varnosti ter nadzor prometa med temi conami. Ta model cone in prehoda, ki ga formalizirajo tudi standardi IEC 62443, požarne zide obravnava kot glavni mehanizem za izvrševanje meja med domenami varnosti.

Dejanski omejitveni pogoji, ki vse spremenijo

Teorija na papirju izgleda čisto. V praksi pa redko. Proizvodna obrat v jugovzhodnih ZDA je naletel na to dejavnost med projektom nadgradnje omrežja. Ekipa je zasnovala segmentirano arhitekturo z napravami za požarni zid, ki ločujejo korporativno IT-omrežje od proizvodne talne površine. To je standardna praksa, kot jo predpisujejo navodila. Ko so vključili pravila, je skupina programabilnih krmilnikov logike (PLC) začela oddajati časovne časovne omejitve pri komunikaciji. Požarni zid je pregledoval Modbus promet in povzročil dovolj zamude, da so PLC-ji presegli svoje časovne tolerance.

Popravek ni bil odstranitev požarnih zidov – to bi podkopalo varnostni namen. Namesto tega je ekipa ponovno konfigurirala globino pregleda, uporabila manj agresivna pravila za znane varne prometne tokove ter dodala specializirane industrijske požarne zidove, ki so razumeli časovne zahteve protokola. Učinkovita izkušnja je bila: varnostni nadzori morajo upoštevati operativne omejitve, ne le teoretične najboljše prakse. Požarni zid, ki prekine proizvodnjo, je slabši kot noben požarni zid, saj ga zaradi tega običajno izključijo ali onemogočijo.

Praktični vidiki namestitve

Namestitev naprav za požarne zidove zahteva odgovore na nekaj osnovnih vprašanj, preden se spremeni katera koli strojna oprema. Kakšen promet dejansko potrebuje pretok med conami? Kateri protokoli se uporabljajo in imajo li posebne časovne ali zakasnitvene zahteve? Kdo potrebuje administrativni dostop in od kod? Kaj se zgodi, ko požarni zid odpove – ali se promet privzeto dovoli ali zavrne?

Odgovori se razlikujejo glede na okolje. Omrežje korporativne pisarne ima druge prednosti kot postaja za čiščenje odpadnih voda ali sistem za avtomatizacijo skladišča. Skupna nit je, da bi morala pravila požarnega zidu slediti načelu najmanjše privilegirane dostopnosti: dovoliti le tisto, kar je izrecno potrebno, vse ostalo pa zavrniti. To se zdi očitno, vendar se v praksi pravilne množice pogosto s časom nabirajo izjeme, dokler ne postanejo podobne švicarskemu siru. Redni pregledi in čiščenja pravil preprečujejo to postopno zmanjševanje varnosti.