Zapory sieciowe: filtrowanie pakietów a rozwiązania nowej generacji

Zapora sieciowa to urządzenie zabezpieczające sieć — sprzętowe lub programowe — które monitoruje i kontroluje ruch przychodzący oraz wychodzący na podstawie wstępnie zdefiniowanych reguł. Zapory znajdują się między zaufanymi sieciami wewnętrznymi a niezaufanymi sieciami zewnętrznymi i pełnią funkcję strażnika. Są podstawowym mechanizmem ochrony na obrzeżu sieci, jednak współczesne ataki wykorzystujące szyfrowane kanały lub przemieszczanie się lateralne w zaufanych strefach pokazują, dlaczego same zapory nie wystarczają i należy łączyć je z innymi warstwami ochrony.

Zapory filtrujące pakiety (nazywane również zaporami bezstanowymi) analizują każdy pakiet niezależnie na podstawie pól nagłówka: źródłowego adresu IP, docelowego adresu IP, portu źródłowego, portu docelowego i protokołu. Stosują proste reguły zezwalania lub odrzucania nazywane ACL (Access Control Lists). Ponieważ analizują każdy pakiet niezależnie, nie potrafią śledzić, czy pakiet należy do ustanowionej sesji, przez co są podatne na ataki polegające na fałszowaniu oczekiwanych wartości nagłówków lub wykorzystywaniu podatności obejmujących wiele pakietów.

Zapory z kontrolą stanu utrzymują tablicę stanów, w której śledzą aktywne połączenia. Gdy nadejdzie pakiet, zapora sprawdza, czy należy on do już ustanowionej sesji. Dzięki temu ruch powrotny może być przepuszczany automatycznie, bez konieczności definiowania osobnych reguł. Zapory stanowe są znacznie bezpieczniejsze niż filtry pakietów, ponieważ potrafią wykrywać pakiety nienależące do prawidłowej sesji — na przykład niezamówione pakiety ACK używane podczas skanowania ukrytego — oraz egzekwować zasady na poziomie połączeń.

Zapory nowej generacji (NGFW) zapewniają, oprócz śledzenia stanu, głęboką inspekcję pakietów i rozpoznawanie aplikacji. NGFW może identyfikować aplikację generującą ruch — a nie tylko port — dzięki analizie protokołów i uczeniu maszynowemu. Najważniejsze funkcje NGFW obejmują kontrolę aplikacji (blokowanie Dropbox niezależnie od portu), integrację z tożsamością użytkownika (reguły powiązane z grupami AD), zintegrowany IPS oraz inspekcję SSL/TLS. Dostawcami takich rozwiązań są między innymi Palo Alto Networks, Fortinet, Check Point i Cisco Firepower.

Reguły zapory są sprawdzane od góry do dołu — wygrywa pierwsza pasująca reguła. Oznacza to, że reguły bardziej szczegółowe muszą znajdować się przed regułami bardziej ogólnymi. Niejawna reguła deny all na końcu blokuje cały ruch, na który nie zezwolono wprost. Do częstych błędów należą umieszczenie ogólnej reguły zezwalającej przed szczegółową regułą odrzucającą, przesłonięcie reguły (sytuacja, w której reguła nigdy nie zostaje dopasowana, ponieważ wcześniejsza reguła zawsze pasuje jako pierwsza) oraz zapomnienie o zezwoleniu na ruch powrotny lub komunikaty błędów ICMP, od których zależą aplikacje.

WAF (Web Application Firewall) działa w warstwie 7 i jest przeznaczony konkretnie do ochrony aplikacji internetowych przed atakami takimi jak SQL injection, XSS i CSRF. W przeciwieństwie do NGFW, które zapewniają ogólną ochronę ruchu sieciowego, WAF rozumie semantykę HTTP i HTTPS — analizuje adresy URL, nagłówki, pliki cookie i treść żądań. WAF może działać w trybie wykrywania (rejestrować zdarzenia, ale nie blokować) lub w trybie zapobiegania (blokować złośliwe żądania). AWS WAF, Cloudflare i Imperva to popularne komercyjne rozwiązania.

Ponieważ większość ruchu jest obecnie szyfrowana za pomocą HTTPS, zagrożenia mogą ukrywać się w sesjach TLS. Inspekcja SSL/TLS (nazywana również przechwytywaniem SSL lub deszyfrowaniem) pozwala NGFW działać jako proxy man-in-the-middle: zapora kończy połączenie TLS klienta, analizuje tekst jawny, a następnie ponownie go szyfruje w kierunku miejsca docelowego. Umożliwia to skanowanie w poszukiwaniu złośliwego oprogramowania oraz kontrolę DLP w zaszyfrowanych tunelach. Certyfikat zapory musi być zaufany przez klientów i zwykle jest dystrybuowany na urządzenia firmowe za pomocą zasad grupy.

Zapory są najskuteczniejsze, gdy są umieszczone na granicach zaufania. Typowy projekt przewiduje zaporę brzegową między internetem a strefą DMZ oraz zaporę wewnętrzną między DMZ a siecią wewnętrzną. Tworzy to ekranowaną podsieć, w której serwery dostępne publicznie (WWW, pocztowe) są odizolowane, dzięki czemu w razie ich przejęcia atakujący nie może bezpośrednio dotrzeć do systemów wewnętrznych. Współczesne projekty umieszczają również zapory między segmentami wewnętrznymi, aby ograniczyć przemieszczanie się lateralne.

IDS (Intrusion Detection System) monitoruje ruch i generuje alerty po wykryciu podejrzanych wzorców, ale nie blokuje ruchu. IPS (Intrusion Prevention System) działa inline i może aktywnie odrzucać złośliwe pakiety lub resetować połączenia w czasie rzeczywistym. Większość współczesnych NGFW zawiera zintegrowany IPS. Metody wykrywania obejmują wykrywanie oparte na sygnaturach (dopasowywanie znanych wzorców ataków) oraz wykrywanie oparte na anomaliach (wykrywanie odchyleń od wyuczonej wartości bazowej).

Urządzenie UTM (Unified Threat Management) łączy wiele funkcji bezpieczeństwa w jednym urządzeniu: zaporę, IPS, program antywirusowy, VPN, filtrowanie sieci oraz czasami ochronę poczty elektronicznej. UTM-y są popularne w małych i średnich firmach, ponieważ upraszczają zarządzanie i obniżają koszty. Kompromisem jest to, że pojedyncze urządzenie stanowi pojedynczy punkt awarii i może nie zapewniać wydajności ani szczegółowości rozwiązań przeznaczonych do konkretnych zastosowań. W środowiskach korporacyjnych termin UTM został w dużej mierze wyparty przez NGFW.

Egzamin Security+ sprawdza umiejętność wyboru odpowiedniego typu zapory w danym scenariuszu. Filtrowanie pakietów jest szybkie, ale bezstanowe i łatwe do ominięcia. Kontrola stanu śledzi sesje i stanowi podstawę współczesnych sieci. NGFW dodaje rozpoznawanie aplikacji, tożsamość użytkownika i zintegrowany IPS — jest właściwym wyborem dla brzegów sieci korporacyjnych. WAF chroni konkretnie aplikacje internetowe w warstwie 7 protokołu HTTP. Zawsze należy dopasować mechanizm ochrony do zagrożenia: WAF nie zatrzyma skanowania portów, a filtr pakietów nie zatrzyma SQL injection.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: zapory filtrujące pakiety są bezstanowe i oceniają każdy pakiet wyłącznie na podstawie pól nagłówka; zapory stanowe śledzą stany połączeń, aby przepuszczać ruch powrotny i wykrywać anomalne pakiety; natomiast zapory nowej generacji dodają rozpoznawanie aplikacji, tożsamość użytkownika i zintegrowany IPS, zapewniając głębszą inspekcję. W następnej części omówimy segmentację sieci i sieci VLAN.