Межсетевой экран (Firewall), как это работает ?
Ранее в статье
Что такое Системы NTA (Network Traffic Analysis)
Я проводил сравнение технологии NTA c межсетевыми экранами.
В этой статье постараюсь расписать как работает технология межсетевого экранирования, и для чего она нужна.
По определению Межсетевой экран это программный или программно-аппаратный комплекс, который в классическом своем понимании выполняет контроль информационных потоков, поступающих в закрытую систему (внутренний периметр сети организации ) и/или выходящих из нее, и обеспечивающий защиту посредством фильтрации информации.
Современные межсетевые экраны могут быть настроены под широкие задачи. Разрешение или запрет доступа межсетевым экраном осуществляется на основе заданных администратором параметров.
Пример задач выполняемых межсетевым экраном:
- IP-адреса. При помощи межсетевого экрана можно предоставить или запретить получение пакетов с определенного адреса или задать перечень запрещенных и разрешенных IP-адресов.
- Доменные имена. Возможность установки запрета на пропуск трафика с определенных веб-сайтов.
- Порты. Задание перечня запрещенных и разрешенных портов позволяет регулировать доступ к определенным сервисам и приложениям. Например, заблокировав порт 80, можно запретить доступ пользователей к веб-сайтам.
- Протоколы. МСЭ может быть настроен таким образом, чтобы блокировать доступ трафика определенных протоколов.
Какие бывают межсетевые экраны?
Программный межсетевой экран — это специальный софт, который устанавливается на компьютер и обеспечивает защиту сети от внешних угроз. Это удобное и недорогое решение для частных ПК, а также для небольших локальных сетей — домашних или малого офиса. Они могут применяться на корпоративных компьютерах, используемых за пределами офиса.
Для защиты более крупных сетей используются программные комплексы, под которые приходится выделять сервер. При этом требования по техническим характеристикам к таким серверам являются довольно высокими. Использование серверов только под решение задач МСЭ нельзя назвать рациональным.
Поэтому в крупных компаниях и организациях обычно применяют аппаратно-программные комплексы (security appliance). Это специальные устройства, которые, как правило, поставляются с определенной операционной системой (в зависимости от задач)
Функционал таких устройств строго ограничивается задачами межсетевого экрана, что делает их применение экономически оправданным. Также security appliance могут быть реализованы в виде специального модуля в штатном сетевом оборудовании — коммутаторе, маршрутизаторе и т. д.
Реализация МСЭ в виде программно-аппаратных комплексов несет некоторые преимущества:
- Повышенная производительность за счет того, что операционная система работает целенаправленно на выполнение одной функции.
- Простота в управлении. Контролировать работу security appliance можно через любой протокол, в том числе стандартный (SNMP, Telnet) или защищенный (SSH, SSL).
- Повышенная надежность защиты за счет высокой отказоустойчивости программно-аппаратных комплексов.
Помимо этого, межсетевые экраны классифицируют в зависимости от применяемой технологии фильтрации трафика. По этому признаку выделяют следующие основные виды МСЭ:
- прокси-сервер;
- межсетевой экран с контролем состояния сеансов;
- межсетевой экран UTM;
- межсетевой экран нового поколения (NGFW);
- NGFW с активной защитой от угроз.
Рассмотрим более подробно эти виды файрволлов, их функции и возможности.
Прокси-сервер
Прокси-сервер является одним из первых типов межсетевых экранов. Его основная функция — это функция шлюза. Через прокси выполняются косвенные запросы клиентов к другим сетевым службам. При отправке запроса на ресурс, расположенный на другом сервере, клиент вначале подключается к прокси-серверу. Прокси подключается к нужному серверу и получает от него ответ, который возвращает клиенту. Предусматривается возможность изменения прокси-сервером ответов сервера с определенными целями. Proxy обеспечивает анонимность клиента и защиту от некоторых сетевых угроз.
С помощью прокси-сервера можно создать МСЭ на уровне приложения. Главным плюсом технологии является обеспечение прокси полной информации о приложениях. Также они поддерживают частичную информацию о текущем соединении.
Необходимо отметить, что в современных условиях proxy нельзя называть эффективным вариантом реализации межсетевого экрана. Это связано со следующими минусами технологии:
- Технологические ограничения — шлюз ALG не позволяет обеспечивать proxy для протокола UDP.
- Необходимость использования отдельного прокси для каждого сервиса, что ограничивает количество доступных сервисов и возможность масштабирования.
- Недостаточная производительность межсетевого экрана.
Нужно учитывать и чувствительность прокси-серверов к сбоям в операционных системах и приложениях, а также к некорректным данным на нижних уровнях сетевых протоколов.
Межсетевой экран с контролем состояния сеансов
Этот тип МСЭ уже давно стал одним из самых популярных. Принцип его работы предусматривает анализ состояния порта и протокола. На основании этого анализа межсетевой экран принимает решение о пропуске или блокировании трафика. При принятии решения межсетевой экран учитывает не только правила, заданные администратором, но и контекст, что значительно повышает эффективность работы (контекстом называют сведения, которые были получены из предыдущих соединений).
Межсетевой экран UTM
Межсетевые экраны типа UTM (Unified threat management) стали дальнейшим развитием технологии, необходимость в котором возникла в связи с ростом изощренности и разнообразия сетевых атак. Впервые внедрение таких МСЭ началось в 2004 году.
Основным плюсом систем UTM является эффективное сочетание функций:
- контент-фильтра;
- службы IPS — защита от сетевых атак;
- антивирусной защиты.
Это повышает эффективность и удобство управления сетевой защитой за счет необходимости администрирования только одного устройства вместо нескольких.
Экран UTM может быть реализован в виде программного или программно-аппаратного комплекса. Во втором случае предусматривается использование не только центрального процессора, но и дополнительных процессоров, выполняющих специальные функции. Так, процессор контента обеспечивает ускоренную обработку сетевых пакетов и архивированных файлов, вызывающих подозрение. Сетевой процессор обрабатывает сетевые потоки с высокой производительностью. Кроме того, он обрабатывает TCP-сегменты, выполняет шифрование и транслирует сетевые адреса. Процессор безопасности повышает производительность службы IPS, службы защиты от потери данных, службы антивируса.
Программные компоненты устройства обеспечивают создание многоуровневого межсетевого экрана, поддерживают фильтрацию URL, кластеризацию. Есть функции антиспама, повышения безопасности серфинга и другие возможности.
Межсетевой экран нового поколения (NGFW)
В связи с постоянным развитием и ростом технологического и профессионального уровня злоумышленников, возникла необходимость в создании новых типов межсетевых экранов, способных противостоять современным угрозам. Таким решением стал МСЭ нового поколения Next-Generation Firewall (NGFW).
Файрволлы этого типа выполняют все основные функции, характерные для обычных межсетевых экранов. В том числе они обеспечивают фильтрацию пакетов, поддерживают VPN, осуществляют инспектирование трафика, преобразование портов и сетевых адресов. Они способны выполнять фильтрацию уже не просто на уровне протоколов и портов, а на уровне протоколов приложений и их функций. Это дает возможность значительно эффективней блокировать атаки и вредоносную активность.
Экраны типа NGFW должны поддерживать следующие ключевые функции:
- защита сети от постоянных атак со стороны систем, зараженных вредоносным ПО;
- все функции, характерные для первого поколения МСЭ;
- распознавание типов приложений на основе IPS;
- функции инспекции трафика, в том числе приложений;
- настраиваемый точный контроль трафика на уровне приложений;
- инспекция трафика, шифрование которого выполняется посредством SSL;
- поддержка базы описаний приложений и угроз с постоянными обновлениями.
Такая функциональность позволяет поддерживать высокую степень защищенности сети от воздействия сложных современных угроз и вредоносного ПО.
NGFW с активной защитой от угроз
Дальнейшим развитием технологии стало появление NGFW с активной защитой от угроз. Этот тип файрволлов можно назвать модернизированным вариантом обычного межсетевого экрана нового поколения. Он предназначен для эффективной защиты от угроз высокой степени сложности.
Функциональность МСЭ этого типа, наряду со всем возможности обычных NGFW, поддерживает:
- учет контекста, обнаружение на его основе ресурсов, создающих повышенные риски;
- автоматизацию функций безопасности для самостоятельной установки политик и управления - работой системы, что повышает быстродействие и оперативность отражения сетевых атак;
- применение корреляции событий на ПК и в сети, что повышает эффективность обнаружения - - потенциально вредоносной активности (подозрительной и отвлекающей).
В файрволлах типа NGFW с активной защитой от угроз значительно облегчено администрирование за счет внедрения унифицированных политик.
Заключение
При использовании межсетевых экранов необходимо понимать, что их возможности по анализу трафика ограничены. Любой межсетевой экран способен анализировать только тот трафик, который он может четко идентифицировать и интерпретировать. Если МСЭ не распознает тип трафика, то он теряет свою эффективность, поскольку не может принять обоснованное решение по действиям в отношении такого трафика.
Возможности интерпретации данных ограничены в ряде случаев. Так, в протоколах IPsec, SSH, TLS, SRTP применяется криптография, что не позволяет интерпретировать трафик. Данные прикладного уровня шифруются протоколами S/MIME и OpenPGP. Это исключает возможность фильтрации трафика, на основании данных, которые содержатся на прикладном уровне.
Туннельный трафик также накладывает ограничения на возможности анализа МСЭ, поскольку файрволл может «не понимать» примененный механизм туннелирования данных.
В связи с этим при задании правил для межсетевого экрана важно четко задать ему порядок действий при приеме трафика, который он не может однозначно интерпретировать.
