Zapory sieciowe jako strażnicy ruchu

Zapora sieciowa to urządzenie lub oprogramowanie, które kontroluje, jaki ruch może wejść do sieci lub z niej wyjść, pełniąc funkcję strażnika bezpieczeństwa. Sprawdza pakiety względem zestawu reguł i odpowiednio je przepuszcza albo blokuje. Zapory sieciowe są podstawą ochrony sieci i umieszcza się je na granicach, na przykład między siecią wewnętrzną a internetem, aby powstrzymywać niepożądany ruch.

Zapora egzekwuje zestaw reguł (nazywany także listą kontroli dostępu). Każda reguła określa, czy należy zezwolić na ruch, czy go odrzucić, na podstawie takich kryteriów jak źródłowy i docelowy adres IP, numer portu oraz protokół. Zapora sprawdza ruch względem reguł w określonej kolejności i działa na podstawie pierwszego pasującego wpisu. Dzięki temu administratorzy mogą precyzyjnie określić, jaka komunikacja jest dozwolona.

Podstawową zasadą działania zapory jest domyślne odrzucanie: wszystko, co nie zostało wyraźnie dozwolone, jest domyślnie blokowane. Jeśli więc żadna reguła nie zezwala na określony rodzaj ruchu, zapora go odrzuca. Takie podejście jest znacznie bezpieczniejsze niż zezwalanie na wszystko i blokowanie wyjątków, ponieważ przeoczenie reguły skutkuje bezpiecznym zamknięciem dostępu, a nie jego otwarciem i narażeniem sieci.

Najprostsze zapory wykonują bezstanowe filtrowanie pakietów: oceniają każdy pakiet niezależnie, na podstawie pól nagłówka, takich jak adres IP i port, bez zapamiętywania wcześniejszego ruchu. Filtrowanie bezstanowe jest szybkie, ale ma ograniczone możliwości, ponieważ nie potrafi określić, czy pakiet jest częścią istniejącej, prawidłowej komunikacji, czy też stanowi niezamówioną próbę przedostania się do sieci.

Lepsze zapory korzystają z kontroli stanowej, śledząc stan aktywnych połączeń w tabeli. Gdy komputer rozpoczyna komunikację, zapora ją zapamiętuje i automatycznie zezwala na pasujące odpowiedzi, jednocześnie blokując niezamówiony ruch przychodzący, który nie jest częścią znanej sesji. Zapory stanowe są obecnie standardem, ponieważ są zarówno inteligentniejsze, jak i bezpieczniejsze od zapór bezstanowych.

Zapora nowej generacji (NGFW) idzie o krok dalej i sprawdza ruch na warstwie aplikacji. Może rozpoznawać konkretne aplikacje, filtrować ruch według użytkownika, blokować złośliwe oprogramowanie oraz oferować funkcje zapobiegania włamaniom. Zapory NGFW widzą nie tylko porty i adresy IP, lecz także faktyczny rodzaj ruchu, co umożliwia szczegółową kontrolę, na przykład zezwalanie na przeglądanie stron internetowych przy jednoczesnym blokowaniu ryzykownej aplikacji korzystającej z tego samego portu.

Zapory występują w dwóch miejscach:

• Zapora sieciowa — chroni całą sieć na jej granicy, często jako dedykowane urządzenie.
• Zapora hosta — oprogramowanie na pojedynczym urządzeniu, takie jak zapora wbudowana w system Windows lub Linux.

Zastosowanie obu rodzajów zapewnia ochronę warstwową: zapora sieciowa chroni obwód sieci, a zapory hostów zabezpieczają poszczególne urządzenia.

Zapory umieszcza się na granicach zaufania — przede wszystkim między siecią wewnętrzną a internetem. Typowy projekt wykorzystuje DMZ (Demilitarized Zone), czyli sieć buforową dla publicznie dostępnych serwerów, takich jak serwery WWW lub pocztowe, oddzieloną od wewnętrznej sieci LAN regułami zapory. Dzięki temu nawet w przypadku przejęcia publicznego serwera sieć wewnętrzna pozostaje chroniona przez dodatkową warstwę.

Zapory wykonują wiele zadań związanych z bezpieczeństwem:

• Blokują niezamówione połączenia przychodzące z internetu.
• Ograniczają ruch wychodzący do zatwierdzonych usług.
• Segmentują wewnętrzne strefy względem siebie.
• Rejestrują ruch na potrzeby monitorowania i reagowania na incydenty.

Łącznie te zastosowania sprawiają, że zapora odgrywa kluczową rolę w egzekwowaniu zasad bezpieczeństwa organizacji.

Zapory często współpracują z systemami wykrywania. IDS (Intrusion Detection System) obserwuje ruch i informuje o podejrzanej aktywności, ale jej nie blokuje. IPS (Intrusion Prevention System) działa w ścieżce przepływu ruchu i może aktywnie blokować wykryte zagrożenia. Zapora egzekwuje reguły zezwalania i odrzucania, natomiast systemy IDS/IPS wyszukują wzorce ataków w dozwolonym ruchu. Współczesne zapory NGFW często zawierają funkcje IPS, łącząc kontrolę dostępu z blokowaniem zagrożeń.

Na egzamin należy wiedzieć, że zapora sieciowa zezwala na ruch lub go odrzuca na podstawie reguł dotyczących adresu IP, portu i protokołu, stosuje zasadę domyślnego odrzucania i może być bezstanowa lub stanowa, a zapory NGFW dodają rozpoznawanie aplikacji. Należy rozumieć różnicę między zaporami sieciowymi a zaporami hostów oraz rolę DMZ w ochronie serwerów publicznych. Zapora jest strażnikiem egzekwującym zasady określające, jaki ruch może przekraczać granicę sieci.

Sprawdź swoją wiedzę na temat zapór sieciowych.

Dowiedzieli się Państwo, że zapora sieciowa zezwala na ruch lub go odrzuca na podstawie zestawu reguł dotyczących adresu IP, portu i protokołu, a zasada domyślnego odrzucania blokuje wszystko, co nie zostało dozwolone. Filtry bezstanowe oceniają każdy pakiet niezależnie, natomiast zapory stanowe śledzą połączenia i zezwalają na prawidłowe odpowiedzi, dzięki czemu są obecnie standardem. Zapory NGFW dodają rozpoznawanie na warstwie aplikacji i zapobieganie włamaniom. Zapory występują jako urządzenia sieciowe lub oprogramowanie hosta, znajdują się na granicach zaufania i wykorzystują DMZ do izolowania publicznie dostępnych serwerów.