Межсетевой экран

Внешний межсетевой экран располагается между разными компьютерными сетями. В данном примере он ограничивает сетевой доступ из Интернета (внешняя сеть; WAN) к частной (локальной, замкнутой) сети (внутренняя сеть; LAN). Он, например, пропускает (ответные) пакеты, инициированные из внутренней сети, и блокирует все остальные сетевые пакеты.

Программный межсетевой экран работает на защищаемом компьютере и ограничивает доступ к его сетевым службам. В зависимости от продукта может также, в определённых пределах, ограничивать несанкционированный доступ приложений к сети.

Межсетевой экран (англ. firewall, буквально «противопожарная стена», «преграда») — это система защиты, предназначенная для предотвращения несанкционированного доступа к компьютерной сети или отдельному компьютеру через сеть. В более широком смысле межсетевой экран рассматривается как часть общей концепции информационной безопасности.

Любой тип межсетевого экрана основывается на программном компоненте. Программное обеспечение межсетевого экрана ограничивает сетевой доступ на основании источника, назначения и используемых служб. Оно анализирует проходящий через экран трафик и по заранее заданным правилам определяет, какие пакеты могут быть пропущены. Таким образом реализуется попытка заблокировать нежелательные соединения.

В зависимости от места установки программного обеспечения различают персональный межсетевой экран (другой вариант — desktop firewall) и внешний межсетевой экран (он же сетевой или аппаратный межсетевой экран). В отличие от персонального межсетевого экрана, программное обеспечение внешнего межсетевого экрана работает на отдельном устройстве, связывающем сегменты сети и одновременно ограничивающем их взаимный доступ. В этом случае термин «межсетевой экран» может означать всё устройство целиком. С точки зрения архитектуры между этими двумя видами существенные различия.

Межсетевой экран не предназначен для обнаружения атак — его задача только реализация правил коммуникации на уровне сети. Для обнаружения атак применяются модули IDS, которые могут быть интегрированы в отдельный продукт, но не входят в основной функционал экрана.

Общие положения

Принцип работы удалённого доступа к компьютеру

Доступ к сетевой службе

Сетевая служба — это программа, предоставляющая доступ к ресурсам компьютера (например, файлам или принтеру) через сеть. Например, веб-страницы размещены как файлы на сервере, но доступ к ним из Интернета возможен только благодаря сетевой службе (web server), работающей на сервере. Для обеспечения связи службы используют определённый порт сетевого интерфейса («открывают порт»). Соответственно, открытый порт всегда связан с программой, способной принимать сетевые запросы.

Уязвимость в сетевой службе может быть использована для выполнения нежелательных действий на компьютере, выходящих за пределы разрешённых возможностей.

Примечание: «Служба» (в Microsoft Windows — Service; в Unix — Daemon) — это программа, стартующая при каждом запуске системы и работающая вне зависимости от входа пользователя. Существуют также программы, аналогичные службам по функциональности (открывают порт), но запускающиеся только после входа пользователя. В данной статье такие программы для простоты тоже считаются сетевыми службами.

Ответ от сетевой службы к клиенту

Обратный путь от удалённой службы к клиенту можно также использовать для несанкционированного доступа. Например, пользователь запускает браузер, чтобы просматривать сайты в Интернете. Если в браузере есть уязвимость, то сервер Интернета может получить доступ к компьютеру пользователя, в том числе инициировать выполнение нежелательных действий. Иногда достаточно посещения вредоносной страницы — так можно скрытно установить вредоносное ПО на компьютер. Вредоносная программа может работать как сетевая служба и предоставлять удалённый доступ к ПК.

Кроме того, вредоносное ПО может само устанавливать соединения с Интернетом и подключаться к управляющим серверам. Примером работы по такой схеме является ботнет — для него обратный канал обеспечивает постоянный доступ к машине.

Реализация сетевых функций в ОС

Для сетевой связи компьютеры используют базовые протоколы адресации и передачи данных. Ошибки в реализации сетевого стека операционной системы (или драйверов устройств) могут позволить осуществить доступ, не предусмотренный производителем. Пример такой эксплуатации — атака Ping of Death, вызывающая сбой ОС, или другие уязвимости, позволяющие внедрять и выполнять код на целевом устройстве.

Функции и ограничения межсетевого экрана

Межсетевой экран предназначен для блокировки несанкционированного доступа к сетевым службам. При этом решения принимаются на основе адресов участников (кто имеет право на какой доступ). Обычно межсетевой экран не может предотвратить эксплуатацию уязвимости, если официальный доступ разрешён.

Аналогично, межсетевой экран не защищает от использования уязвимостей браузера, если обмен инициирован с разрешённого адреса. Поэтому рекомендуется обновлять программы для работы в сети, чтобы своевременно устранять известные уязвимости. Некоторые межсетевые экраны предоставляют дополнительные функции — например, фильтрацию опасных ActiveX-объектов внутри веб-страниц. Браузер, в этом случае, не сможет обращаться к заблокированным объектам, что исключает связанные с ними угрозы. Подобного можно достичь и средствами настроек самого браузера.

Разные типы экранов в оптимальном случае могут обратить внимание пользователя на попытку нежелательного сетевого доступа, либо даже заблокировать его — однако такие успехи зависят от методов вредоносного ПО и особенностей реализации средств защиты.

Ошибки сетевой реализации ОС межсетевой экран в лучшем случае может также заблокировать.

Пределы эффективности межсетевого экрана сравнимы с ремнём безопасности в автомобиле: бывают ситуации, когда он не защищает, но польза от него очевидна, если также учитывать его ограничения.

Межсетевой экран как часть концепции безопасности

Только определив, от каких угроз требуется защитить данные, можно определить способы реализации такой защиты, в том числе с помощью разработки концепции безопасности. В организациях для этого, как правило, принимаются отдельные политики информационной безопасности.

Межсетевой экран — лишь часть такой концепции Аналогично тому, как «пожарная безопасность» — это ряд мер, а не только сигнализация, роль межсетевого экрана может включать разные компоненты (например, поддержку DMZ), мониторинг, анализ журналов и т. д.

Фильтрация пакетов

Простейшая фильтрация сетевых пакетов по адресам — базовая функция любого межсетевого экрана (в TCP/IP — по портам и IP-адресам источника и назначения).

Stateful Packet Inspection

Т. н. «инспекция с отслеживанием состояния» — более продвинутая форма фильтрации, позволяющая точнее ограничивать доступ к уже установленным соединениям и лучше защищать внутреннюю сеть от внешних атак.

Прокси-фильтр

Прокси-фильтр сам устанавливает соединение с целевой системой от имени клиента и пересылает ответы последнему. Будучи полноценным участником коммуникации, может анализировать и модифицировать данные, реализовать фильтрацию для конкретных протоколов (например, HTTP, FTP) и даже кэшировать запросы.

Контент-фильтр

Контент-фильтр (содержательный фильтр) анализирует полезную нагрузку сетевых соединений и, например, блокирует ActiveX или JavaScript в веб-страницах, либо обнаруживает и блокирует известные вредоносные программы при загрузке файлов.

Deep Packet Inspection (глубокий анализ пакетов)

Глубокий анализ пакетов позволяет анализировать специфичную информацию протоколов, в том числе URL, имена файлов, содержимое, выявлять и блокировать угрозы (антивирусный анализ, предотвращение утечек). Для анализа зашифрованных данных используется SSL Deep Packet Inspection, что технически реализует Man-in-the-middle; на клиенте при этом должен быть установлен особый корневой сертификат.

Внешние проявления для пользователя

Межсетевой экран должен располагаться между коммуникационными партнёрами для эффективной фильтрации. Он может принимать разные режимы, в зависимости от архитектуры.

Явно видимый

Видимая как прокси-прокладка между отправителем и получателем, когда клиент явно обращается к прокси-фильтру за установлением соединения.

Прозрачный для одной стороны

Для одного из участников соединение осуществляется как будто напрямую, а маршрутизация трафика через межсетевой экран происходит незаметно, чаще всего это используется в домашних маршрутизаторах.

Полностью прозрачный

Здесь межсетевой экран вставлен как «невидимое» устройство между сетями (режим bridge), пропуская трафик напрямую, но с возможностью фильтрации на нижних уровнях.

Локальный

Локальная (персональная) версия фильтрует трафик непосредственно на компьютере пользователя, оставаясь незаметной на уровне адресации.

Правила межсетевого экрана

Каждое правило определяет операцию с пакетом: DROP (отбрасывание), REJECT (явный отказ), ACCEPT/ALLOW/PASS/FORWARD (разрешение, в некоторых случаях — переадресация).

Проверяемость исходного кода

Возможность проверки исходного кода (open source) — важный аспект безопасности: среди проприетарных персональных межсетевых экранов известны примеры скрытой передачи информации производителю.. Открытое ПО позволяет сообществу быстрее обнаруживать и устранять уязвимости. При этом открытость кода не равно бесплатности — open source и свободное ПО включают в том числе и коммерческие продукты.

Сравнение видов межсетевых экранов

Различают два основных типа: персональные (устанавливаются непосредственно на защищаемый компьютер) и внешние (физически отделённые, защищающие сегмент сети).

Различия между персональными и внешними межсетевыми экранами

Оба типа дополняют друг друга и не являются взаимозаменяемыми:

• Внешний межсетевой экран обычно разделяет два сегмента, например, локальную сеть и Интернет. Персональный экран может фильтровать соединения и внутри локальной сети.
• Персональный экран на мобильных устройствах может автоматически менять правила в зависимости от используемой сети (домашняя сеть, общественный Wi-Fi и т. д.).
• Внешний экран, если подключён между ПК и Интернетом, всегда закрывает доступ ко внутренним службам снаружи, защита не требует ручной настройки правил.
• Однако внешние экраны зачастую неспособны выявлять попытки исходящих соединений вредоносных программ — для этого чаще используются персональные экраны. Исключением служат прокси-экраны или так называемые next-generation firewall.

Персональный межсетевой экран не является ни лучше, ни хуже внешнего, но отличается по принципу функционирования и надёжности. В тех аспектах, где задачи совпадают, внешний экран надёжнее, поскольку реализован на отдельном устройстве и труднее подвержен компрометации.

Персональный межсетевой экран (также локальный межсетевой экран)

Персональный межсетевой экран ограничивает доступ ПК к Интернету и локальной сети.

Персональным межсетевым экраном называют программное обеспечение, устанавливаемое на самом компьютере. Его задача — ограничение несанкционированного доступа снаружи к его сетевым службам. Некоторые реализации также пытаются блокировать исходящий несанкционированный доступ приложений в сеть.

Преимущества

Компьютерные черви, использующие уязвимости служб, не способны заразить ПК, если служба недоступна. Персональный экран может усложнить или полностью предотвратить такой доступ.

Фильтрация требуется, когда сетевые службы нужны для работы, но их доступ из сети должен быть ограничен. Доступ к ненужным службам можно вовсе закрыть посредством отключения служб.

Кроме того, правила персонального экрана могут блокировать реанимированные вредоносным ПО службы. Эффекта можно добиться в случае, если тревога межсетевого экрана приводит к удалению данной службы с ПК.

Ограничения

Персональный экран может защитить только от ряда сетевых червей, но не от иных видов вредоносного ПО. Иногда он спрашивает пользователя о неизвестных программах и предоставлении им доступа Защита эффективна только при надёжной и устойчивой работе экрана, что технически может быть сложно реализовать. Также необходима осознанность со стороны пользователя.

Некоторые реализации пытаются препятствовать несанкционированному исходящему трафику от программ, включая вредоносные — но успех зависит от способов обхода защиты вредоносным ПО. Это сравнимо с невысоким забором: помеха есть, но не преграда. На взломанном ПК защита такого рода может полностью отключиться.

Для устранения угроз достаточно удаления вредоносной программы с компьютера, тогда как только использование межсетевого экрана оказывается бесполезным при его отключении.

Недостатки

Преимущества и ограничения персонального межсетевого экрана

Программы, работающие в одной ОС, могут воздействовать на работу программного межсетевого экрана, вплоть до его отключения или деактивации (ошибкой или вредоносным воздействием), после чего доступ к сетям становится полностью незащищённым. Также возможна неумелая настройка.

Сама концепция подразумевает введение дополнительного слоя между ОС и сетью, что может привести к усложнению и увеличению уязвимостей. Практика показывает, что сложные программы чаще имеют ошибки. Более того, уязвимости межсетевого экрана могут сами становиться точкой для удалённого доступа.

Персональные экраны часто содержат компоненты с расширенными правами, включая модули ядра, влияющие на работу ОС, производительность и стабильность. Возможна также скрытая передача данных производителю.

Использование персонального экрана становится сомнительно, если ради нормальной работы пользователя приходится его взламывать или отключать (например, во время игр), что нивелирует весь эффект и даже создаёт ложное ощущение защищённости.

Параллельное использование нескольких экранов может вызывать конфликты и сомнительно с точки зрения выигрыша в безопасности.

Альтернативы для ограничения внешнего доступа

Отключение ненужных сетевых служб надёжно предотвращает несанкционированный удалённый доступ (ни одна отключённая служба недоступна). Это также экономит ресурсы и ускоряет загрузку системы. Для большинства ОС есть инструменты, позволяющие просто отключать лишние службы (в том числе простые интерфейсы и скрипты).

Для полного закрытия доступа могут использоваться и отдельные маршрутизаторы, обеспечивающие изоляцию домашних сетей от Интернета.

Внешний межсетевой экран (также сетевой или аппаратный межсетевой экран)

Межсетевой экран между локальной сетью и Интернетом (WAN)

Внешний межсетевой экран (он же сетевой или аппаратный) защищает соединение между двумя сетями, например между домашней сетью и Интернетом.

Внешний экран защищает внутреннее пространство (LAN) от несанкционированных внешних подключений (WAN). В отличие от персонального экрана внешний может защищать и комплекс компьютеров (всю внутреннюю сеть).

Аппаратный межсетевой экран

Не существуют purely hardware-only экранов: все реализуют свои функции с помощью программного обеспечения. Термин hardware firewall означает отдельное устройство с установленным специальным ПО, иногда оптимизированное на уровне аппаратуры (ускорение криптографии и др.).

Преимущества

Прямое подключение ПК к Интернету открывает все порты для внешнего доступа. Для изоляции внешних подключений используется отдельное устройство (например, DSL-маршрутизатор с функциями межсетевого экрана). Через него проходят все подключения, он анализирует и фильтрует пакеты до передачи конечным адресатам.

Схема подключения внешнего межсетевого экрана

В таком случае внутренние ПК обращаются в Интернет через это устройство, а внешним адресатам виден только адрес самого устройства.

Вредоносные программы, устанавливающие домашние серверы внутри внутренней сети, также блокируются для входящих внешних соединений, поскольку установить службу на экран вредонос не может.

Важно правильная настройка: внутренние узлы не должны быть назначены как «Экспонированный хост» (Exposed Host) или помещены в DMZ.

Ограничения

Ограничения: внешний экран не контролирует трафик внутри внутренней сети, позволяет выходящие соединения, блокирует входящие извне.

В ряде домашних маршрутизаторов используется пакетная фильтрация, которая по умолчанию пропускает все соединения, инициированные изнутри, то есть препятствовать утечкам вредоносного ПО наружу аппаратный экран не может.

Для блокировки исходящих соединений некоторых приложений иногда используется встроенная персональная версия межсетевого экрана, но это, по сути, тот же принцип персонального ПО.

Конфигурирование запретов по портам (например, доступ только к портам HTTP/80 и DNS) ограниченно: вредонос может использовать разрешённые порты, как, например, порт 80, что широко используется.

Использование аутентификационного прокси для ограничения доступа к Интернету в корпоративной сети

В большей степени эти методы актуальны для корпоративных сетей.

Кроме фильтрации возможно применение специальных сигнатурных фильтров для поиска признаков вредоносной активности.

Кроме того, внешний экран не защищает от атак из внутренней сети. Известны случаи проникновения компьютерных червей через носители информации даже при полностью изолированных внешних сетях.

Не защищают простые внешние устройства и от скрытых закладок (бэкдоров), во многих случаях внедряемых спецслужбами.

Недостатки

Если на интерфейсе к Интернету не работает ни одна служба, то внешний экран добавляет мало пользы, но способен замедлять работу из-за дополнительной обработки пакетов (хотя современные устройства обычно работают без ощутимых задержек).

Использование экрана может также создать у пользователей ложное чувство безопасности и стать причиной неосторожности.

Применение в корпоративных сетях

В компаниях межсетевые экраны часто используются не только на границе сети, но и для сегментирования структур (например, изолируя бухгалтерию или отдел кадров).

Технологии межсетевых экранов

Межсетевой экран может использовать разные методы для различения «разрешённого» и «запрещённого» трафика.

Пакетный фильтр

Пакетный фильтр анализирует адреса в заголовках каждого пакета, работает по статическим (независимым от состояния) правилам.

Сетевые адреса как основа фильтрации

Фильтрация может вестись по MAC-адресу (уникальный идентификатор сетевой карты), IP-адресу (адрес узла/подсети) и порту (идентификатор сетевой службы/программы).

Наиболее часто фильтрация начинается с 3 уровня OSI (IP), далее по портам (4 уровень).

Маршрутизатор с межсетевым экраном (firewall router)

Прототип — маршрутизатор (router) со встроенным пакетным фильтром, может работать как в NAT-режиме, так и как bridge.

Аппаратные маршрутизаторы обычно реализуют простейшую, но очень быструю фильтрацию.

OSI-модель

Пакетный фильтр реализует фильтрацию на уровнях 3 (IP) и 4 (порт).

Пример правила

• Из Интернета на почтовый сервер в DMZ разрешены SMTP (25 TCP), POP3 (110 TCP) и IMAP (143 TCP).
• Почтовый сервер может отправлять почту и выполнять DNS-запросы вовне.
• Из локальной сети разрешены администрирование (SSH, Remote Desktop, Backup) к почтовому серверу.
• Все остальные пакеты в DMZ логируются и отклоняются.

Stateful Inspection

Stateful Inspection использует таблицу состояний для сопоставления исходящих и входящих пакетов

Эта технология позволяет динамически анализировать соединения и теснее связывать встречные потоки данных между клиентом и сервером. В состоянии соединения разрешается только обмен с инициализированным адресатом, что препятствует атакам через обратные соединения.

Дополнительно многие фильтры могут анализировать полезную нагрузку — например, для разрешения сопутствующих соединений (активный FTP) — но не способны изменять передаваемые данные.

Этот вид фильтрации также может блокировать неинициированные (не запрошенные клиентом) входящие пакеты даже после установления соединения.

OSI-модель

Доступ к уровням 3, 4 и (частично) 7 OSI.

Возможные функции

• Защита от SYN-Flood (например, син-куки)
• Блокировка ошибочных пакетов (нелегальные комбинации флагов TCP)
• Противодействие атакам типа Ping of Death, Smurf, Teardrop, Land и др.

Прокси межсетевой экран (Proxy firewall, application layer firewall)

Прокси-фильтр анализирует не только адресацию пакетов, но и их содержимое (полезную нагрузку). В отличие от «stateful inspection», прокси разбивает соединение на два автономных (от клиента и к серверу), что позволяет полноценно анализировать и изменять передаваемые данные, реализовать фильтрацию на уровне протоколов и определённых функций (например, SMTP-команды типа BDAT и VRFY).

Особый вид — circuit level proxy (генерический/адресно-портовый), способен аутентифицировать клиентов, но не анализирует протокол обмена.

См. также: Web Application Firewall.

OSI-модель

Прокси-экраны работают на 7-м уровне OSI («уровень приложений»).

Замечание: задача «доверять или не доверять приложениям» не входит в базовую функциональность application layer firewall — термин происходит от уровня моделей OSI, а возможность аутентификации по программам реализуется только в отдельных прокси-фильтрах.

Обход межсетевых экранов: туннелирование

Любая служба может быть развёрнута на любом порту. Если разрешён только, например, 80-й порт HTTP, по нему может быть организовано скрытое (туннельное) соединение для произвольных целей (с обеих сторон программы должны поддерживать это). Для противодействия подобным схемам используются application layer firewall, сравнивающие содержимое трафика с протоколом. Однако полностью заблокировать такие техники нельзя, если данные специально искажаются под корректный формат, или используются готовые инструменты туннелирования через DNS, ICMP и т. д.

Особое значение это имеет для программ, подобных Skype, умеющих пробивать большинство экранов методом туннелирования. Защита — ограничение доступа по белым спискам IP-адресов; в организациях часто действует запрет на туннелирование согласно политике безопасности.

Методы обхождения межсетевых экранов обозначаются иногда как firewall piercing.

Дополнительные технологии

Системы обнаружения и предотвращения вторжений (IDS/IPS)

Системы IDS (Intrusion Detection System) анализируют паттерны трафика для выявления попыток вторжений и могут быть интегрированы в комплекс защиты совместно с межсетевыми экранами. IPS (Intrusion Prevention System) не только обнаруживает, но и пытается заблокировать атаку. Для сложных задач применяются отдельные аппаратные модули и высокопроизводительные процессоры — задержка обработки данных в современных системах может быть меньше 100 мкс.

Грамотная архитектура аналитики критически важна: атакующий может, используя подмену адресов, добиться блокировки нужных сервисов организации.

Прочие функции межсетевого экрана

Могут реализовываться:

• Завершение и установка VPN
• QoS (управление приоритетами трафика)
• EtherChannel/агрегация портов и каналов для повышения пропускной способности

См. также

• Great Cannon
• HTTP-туннель
• Промежуточное устройство
• Распределённый брандмауэр

Примечания

Литература

• Jacek Artymiak. Building Firewalls with OpenBSD and PF. 2-е изд. devGuide.net, Lublin, 2003. ISBN 83-916651-1-9.
• Вольфганг Барт. «Das Firewall-Buch. Grundlagen, Aufbau und Betrieb sicherer Netzwerke mit Linux». 3-е изд. Millin-Verlag, Poing, 2004. ISBN 3-89990-128-2.
• Bundesamt für Sicherheit in der Informationstechnik. «Konzeption von Sicherheitsgateways. Der richtige Aufbau und die passenden Module für ein sicheres Netz». Bundesanzeiger, Köln 2005, ISBN 3-89817-525-1.
• W. R. Cheswick, S. M. Bellovin, A. D. Rubin. Firewalls and Internet Security. 2-е изд. Addison-Wesley, Boston, 2007. ISBN 978-0-201-63466-2.
• Andreas Lessig. Linux Firewalls: Ein praktischer Einstieg. 2-е изд. O’Reilly, 2006. ISBN 3-89721-446-6. (Скачать исходники)
• Stefan Strobel. Firewalls und IT-Sicherheit. dpunkt-Verlag, Heidelberg, 2003. ISBN 3-89864-152-X.