Брандмауэры как привратники трафика

Межсетевой экран — это устройство или программа, которая управляет тем, какой трафик разрешён при входе в сеть и выходе из неё, выступая в роли защитного фильтра. Он проверяет пакеты по набору правил и соответственно разрешает или блокирует их. Межсетевые экраны — основа защиты сети. Их размещают на границах, например между внутренней сетью и интернетом, чтобы не пропускать нежелательный трафик.

Межсетевой экран применяет набор правил (также называемый списком управления доступом). Каждое правило указывает, следует ли разрешить или запретить трафик на основании таких критериев, как IP-адрес источника и назначения, номер порта и протокол. Межсетевой экран проверяет трафик по правилам по порядку и выполняет действие согласно первому совпадению. Это позволяет администраторам точно определить, какой обмен данными разрешён.

Основной принцип работы межсетевого экрана — неявный запрет: всё, что явно не разрешено, по умолчанию блокируется. Поэтому, если ни одно правило не разрешает определённый вид трафика, межсетевой экран его запрещает. Такой подход с запретом по умолчанию гораздо безопаснее, чем разрешение всего трафика с последующей блокировкой исключений: если правило забыто, соединение завершается безопасно, а не остаётся открытым.

Самые простые межсетевые экраны выполняют фильтрацию пакетов без отслеживания состояния: они оценивают каждый пакет отдельно по полям заголовка, таким как IP-адрес и порт, не сохраняя сведений о предыдущем трафике. Такая фильтрация работает быстро, но имеет ограничения: она не может определить, является ли пакет частью существующего легитимного обмена данными или представляет собой незапрошенную попытку проникновения.

Более совершенные межсетевые экраны используют проверку состояния, отслеживая состояние активных соединений в таблице. Когда компьютер начинает обмен данными, межсетевой экран запоминает это соединение и автоматически разрешает соответствующие ответы, одновременно блокируя незапрошенный входящий трафик, не относящийся к известному сеансу. Сегодня межсетевые экраны с отслеживанием состояния являются стандартом, поскольку они умнее и безопаснее устройств без отслеживания состояния.

Межсетевой экран нового поколения (NGFW) идёт дальше и проверяет трафик на уровне приложений. Он может распознавать конкретные приложения, фильтровать трафик по пользователям, блокировать вредоносные программы и включать функции предотвращения вторжений. NGFW видит не только порты и IP-адреса, но и фактическое содержимое трафика, благодаря чему обеспечивает детальный контроль: например, разрешает просмотр веб-страниц и одновременно блокирует опасное приложение, использующее тот же порт.

Межсетевые экраны размещают в двух вариантах:

• Сетевой межсетевой экран — защищает всю сеть на её границе, часто представляя собой отдельное устройство.
• Межсетевой экран узла — программа на одном устройстве, например встроенный в Windows или Linux межсетевой экран.

Совместное использование обоих вариантов обеспечивает многоуровневую защиту: сетевой межсетевой экран охраняет периметр, а межсетевые экраны узлов защищают каждое устройство отдельно.

Межсетевые экраны размещают на границах доверия — прежде всего между внутренней сетью и интернетом. Часто используют DMZ (демилитаризованную зону) — буферную сеть для общедоступных серверов, например веб-серверов или почтовых серверов, отделённую правилами межсетевого экрана от внутренней LAN. Поэтому даже при взломе общедоступного сервера внутренняя сеть остаётся защищённой ещё одним уровнем.

Межсетевые экраны выполняют множество задач безопасности:

• Блокируют незапрошенные входящие соединения из интернета.
• Ограничивают исходящий трафик разрешёнными службами.
• Сегментируют внутренние зоны, отделяя их друг от друга.
• Регистрируют трафик для мониторинга и реагирования на инциденты.

В совокупности эти функции делают межсетевой экран центральным средством реализации политики безопасности организации.

Межсетевые экраны часто используют вместе с системами обнаружения. IDS (система обнаружения вторжений) отслеживает трафик и предупреждает о подозрительной активности, но не блокирует её. IPS (система предотвращения вторжений) работает непосредственно в канале передачи и может активно блокировать обнаруженные угрозы. Межсетевой экран применяет правила разрешения и запрета, а IDS/IPS ищут признаки атак внутри разрешённого трафика. Современные NGFW часто включают функции IPS, объединяя фильтрацию доступа с блокировкой угроз.

Для экзамена нужно знать, что межсетевой экран разрешает или запрещает трафик по правилам, основанным на IP-адресе, порте и протоколе, применяет принцип неявного запрета и может работать без отслеживания состояния или с его отслеживанием, а NGFW добавляет анализ приложений. Разберитесь в различиях между сетевыми и узловыми межсетевыми экранами и в назначении DMZ для общедоступных серверов. Межсетевой экран — это фильтр, который определяет, какой трафик может пересекать границу сети.

Проверьте свои знания о межсетевых экранах.

Вы узнали, что межсетевой экран разрешает или запрещает трафик с помощью набора правил, основанных на IP-адресе, порте и протоколе, а неявный запрет блокирует всё, что не разрешено. Фильтры без отслеживания состояния оценивают каждый пакет отдельно; межсетевые экраны с отслеживанием состояния отслеживают соединения и разрешают легитимные ответы, поэтому именно они стали стандартом. NGFW добавляют анализ на уровне приложений и предотвращение вторжений. Межсетевые экраны бывают сетевыми устройствами или узловыми программами, размещаются на границах доверия и используют DMZ для изоляции общедоступных серверов.