Tembok Api: Penapisan Paket berbanding Generasi Baharu

Tembok api ialah peranti keselamatan Network (perkakasan atau perisian) yang memantau dan mengawal trafik masuk serta keluar berdasarkan peraturan yang telah ditetapkan. Tembok api berada di antara Network dalaman yang dipercayai dengan Network luaran yang tidak dipercayai dan bertindak sebagai penjaga pintu. Tembok api ialah kawalan Perimeter asas, tetapi serangan moden yang menggunakan saluran yang disulitkan atau pergerakan sisi dalam zon yang dipercayai menunjukkan sebab tembok api sahaja tidak mencukupi dan mesti digabungkan dengan lapisan pertahanan lain.

Tembok api penapisan paket (juga dipanggil tembok api tanpa keadaan) memeriksa setiap paket secara berasingan berdasarkan medan pengepala: IP sumber, IP destinasi, port sumber, port destinasi dan protokol. Tembok api ini menggunakan peraturan benarkan atau tolak yang mudah, dipanggil ACL (Access Control Lists). Oleh sebab setiap paket diperiksa secara berasingan, tembok api ini tidak dapat menjejaki sama ada sesuatu paket merupakan sebahagian daripada sesi yang telah diwujudkan, lalu terdedah kepada serangan yang memalsukan nilai pengepala yang dijangka atau mengeksploitasi kelemahan berbilang paket.

Tembok api pemeriksaan berkeadaan mengekalkan jadual keadaan yang menjejaki connection yang aktif. Apabila sesuatu paket tiba, tembok api menyemak sama ada paket itu tergolong dalam sesi yang telah diwujudkan. Hal ini membolehkan trafik balasan melepasi tembok api secara automatik tanpa peraturan khusus. Tembok api berkeadaan jauh lebih selamat daripada penapis paket kerana ia dapat mengesan paket yang tidak tergolong dalam sesi yang sah — seperti paket ACK yang tidak diminta dan digunakan dalam imbasan senyap — serta menguatkuasakan dasar pada peringkat connection.

Tembok api generasi seterusnya (NGFW) menambah pemeriksaan paket mendalam dan kesedaran aplikasi melebihi penjejakan berkeadaan. NGFW boleh mengenal pasti aplikasi yang menjana trafik — bukan sekadar port — menggunakan penghuraian protokol dan pembelajaran mesin. Keupayaan utama NGFW termasuk kawalan aplikasi (sekat Dropbox tanpa mengira port), integrasi identiti User (peraturan yang dipautkan kepada kumpulan AD), IPS bersepadu dan pemeriksaan SSL/TLS. Vendor termasuk Palo Alto Networks, Fortinet, Check Point dan Cisco Firepower.

Peraturan tembok api dinilai mengikut susunan dari atas ke bawah — peraturan pertama yang sepadan akan digunakan. Ini bermaksud peraturan yang lebih khusus mesti diletakkan sebelum peraturan yang lebih umum. Peraturan tolak semua yang tersirat di bahagian bawah menyekat sebarang trafik yang tidak dibenarkan secara jelas. Kesilapan umum termasuk meletakkan peraturan benarkan yang luas sebelum peraturan tolak yang khusus, pelindungan peraturan (peraturan yang tidak pernah sepadan kerana peraturan terdahulu sentiasa sepadan dahulu), serta terlupa membenarkan trafik balasan atau mesej ralat ICMP yang diperlukan oleh aplikasi.

WAF (Web Application Firewall) beroperasi pada Layer 7 dan direka khusus untuk melindungi aplikasi web daripada serangan seperti suntikan SQL, XSS dan CSRF. Berbeza daripada NGFW yang melindungi trafik Network secara menyeluruh, WAF memahami semantik HTTP dan HTTPS — termasuk memeriksa URL, pengepala, kuki dan badan permintaan. WAF boleh beroperasi dalam mod pengesanan (merekod tetapi tidak menyekat) atau mod pencegahan (menyekat permintaan berniat jahat). AWS WAF, Cloudflare dan Imperva ialah penyelesaian komersial yang umum.

Oleh sebab kebanyakan trafik kini disulitkan dengan HTTPS, ancaman boleh bersembunyi di dalam sesi TLS. Pemeriksaan SSL/TLS (juga dipanggil pemintasan SSL atau decryption) membolehkan NGFW bertindak sebagai proksi man-in-the-middle: tembok api menamatkan connection TLS client, memeriksa teks biasa dan menyulitkannya semula ke arah destinasi. Hal ini membolehkan pengimbasan perisian hasad dan DLP dalam terowong yang disulitkan. Sijil tembok api mesti dipercayai oleh client, biasanya diedarkan melalui Dasar Kumpulan kepada peranti CORPORATE.

Tembok api paling berkesan apabila diletakkan pada sempadan kepercayaan. Reka bentuk umum meletakkan tembok api Perimeter antara internet dengan DMZ, serta tembok api dalaman antara DMZ dengan Network dalaman. Ini mewujudkan subnet bertapis tempat Server yang menghadap awam (web, mel) diasingkan supaya jika Server tersebut terjejas, penyerang tidak dapat mencapai sistem dalaman secara langsung. Reka bentuk moden turut meletakkan tembok api antara segmen dalaman untuk mengehadkan pergerakan sisi.

IDS (Intrusion Detection System) memantau trafik dan menjana amaran apabila mengenal pasti corak yang mencurigakan, tetapi tidak menyekat trafik. IPS (Intrusion Prevention System) berada secara inline dan boleh menggugurkan paket berniat jahat atau menetapkan semula connection secara aktif dalam masa nyata. Kebanyakan NGFW moden menyertakan IPS bersepadu. Kaedah pengesanan termasuk berasaskan tandatangan (memadankan corak serangan yang diketahui) dan berasaskan anomali (mengesan penyimpangan daripada garis dasar yang dipelajari).

Perkakas UTM (Unified Threat Management) menggabungkan pelbagai fungsi keselamatan dalam satu peranti: tembok api, IPS, antivirus, VPN, penapisan web dan kadangkala keselamatan e-mel. UTM popular dalam perniagaan kecil hingga sederhana kerana memudahkan pengurusan dan mengurangkan kos. Pertukarannya ialah satu perkakas menjadi satu titik kegagalan dan mungkin tidak menawarkan prestasi atau kedalaman seperti penyelesaian khusus. Istilah UTM sebahagian besarnya telah digantikan oleh NGFW dalam konteks perusahaan.

Peperiksaan Security+ menguji keupayaan anda memilih jenis tembok api yang sesuai bagi sesuatu senario. Penapisan paket pantas tetapi tidak berkeadaan dan mudah dielakkan. Pemeriksaan berkeadaan menjejaki sesi dan menjadi garis dasar untuk Network moden. NGFW menambah kesedaran aplikasi, identiti User dan IPS bersepadu — pilihan yang tepat untuk Perimeter perusahaan. WAF khususnya melindungi aplikasi web pada HTTP Layer 7. Sentiasa padankan kawalan dengan ancaman: WAF tidak akan menghentikan imbasan port, manakala penapis paket tidak akan menghentikan suntikan SQL.

Dalam pelajaran ini anda telah mempelajari bahawa tembok api penapisan paket tidak berkeadaan dan menilai setiap paket hanya berdasarkan medan pengepala, tembok api berkeadaan menjejaki keadaan connection untuk membenarkan trafik balasan serta mengesan paket anomali, manakala tembok api generasi seterusnya menambah kesedaran aplikasi, identiti User dan IPS bersepadu untuk pemeriksaan yang lebih mendalam. Seterusnya kita akan meneroka pembahagian Network dan VLANs.