Назначение и принцип функционирования межсетевого экрана

Правила фильтрации трафика

Весь проходящий через межсетевые экраны трафик фильтруется по определенным заранее правилам. Каждое такое правило указывает брандмауэру действия, которые тот должен совершить для пакета из каждого IP-адреса и порта. Действий всего три, но они полностью справляются с задачей фильтрации на базовом уровне:

1. Accept (разрешить) – пакет пропускается в сеть.
2. Reject (отклонить) – пакет не пропускается с информированием пользователя о недоступности такой возможности.
3. Drop (отбросить) – пакет блокируется без дополнительных сообщений.

Лучше понять принцип создания правил поможет следующий пример. Отдел маркетинга компании имеет собственный набор IP-адресов, которые обмениваются информацией через 80-й порт. Для МЭ может существовать следующий набор правил:

1. Разрешить всем адресам отдела маркетинга доступ через 80-й порт.  
2. Разрешить всем адресам ИТ-отдела компании доступ к адресам отдела маркетинга.
3. Запретить доступ для всех остальных адресов.

Сотрудник другого отдела при попытке подключения получит извещение о неудавшемся соединении, согласно последнему правилу. Сотрудник маркетингового отдела также получит отчет об ошибке, если попытается соединиться через SSH (22-й) порт, согласно разрешениям из первого правила.  

Какими бывают МЭ

Существующие брандмауэры делятся на аппаратные и программные, которые между собой отличаются набором используемого программного обеспечения и возможностями.

Аппаратные реализации

Это набор специализированных устройств, предназначенных исключительно для обработки трафика. Для его работы применяется специфическое ПО, созданное для оптимизации и повышения производительности конкретного оборудования.
Аппаратные комплексы значительно мощнее и производительнее программных, но стоят несравнимо дороже. Иногда цена подобных устройств в разы превышает стоимость программных вариантов.

Программные реализации

Это специализированный программный пакет, который инсталлируется на физическом или виртуальном устройстве. Через него осуществляется транзит всего внешнего трафика в локальную сеть организации.
Зачастую программные экраны дешевле аппаратных и могут применяться не только на периферийных участках сети, но и непосредственно на пользовательских ПК. Отрицательными сторонами подобных программ является ограниченная пропускная способность и достаточно сложная настройка в случае широко разветвленных сетей.

МЭ с возможностью контроля сеансов

Задачей экранов со встроенным контролем состояния сеансов является анализ всей пользовательской активности в каждой из установленных сессий. После проведения анализа МЭ определяет типичность или нетипичность действий пользователя. В последнем случае трафик может быть заблокирован экраном самостоятельно.
Таким образом, решение о разрешении или запрете трафика пользователя МЭ принимает, основываясь не только на предварительно заданных правилах, но и на данных анализа предыдущих сессий. Подобные брандмауэры глубже анализируют пакеты, чем классические, не умеющие контролировать сессии.

Что представляет собой универсальный шлюз безопасности

Решения этого класса включают в себя целый набор программ, в который входят:

1. антивирус;
2. непосредственно МЭ;
3. фильтр спама;
4. система обнаружения и предотвращения вторжений IDS/IPS;
5. VPN;
6. контроль сеансов.

Главным плюсом такого решения является объединение всего набора оборудования и ПО в единое целое, что упрощает его администрирование и настройку. Удобство использования заключается в едином пользовательском интерфейсе для управления и контроля работы служб, политик, правил безопасности. Это позволяет точнее и тоньше настроить защиту.

Используемая архитектура  

В состав системы шлюза безопасности входит набор процессоров, отвечающих за свой определенный участок работы:

1. центральный;
2. обработчик данных;
3. сетевой;
4. обработчик политик безопасности.

Центральный процессор по своим возможностям напоминает CPU обычного компьютера. Его задачами являются выполнение основных операций межсетевого экрана. Все остальные сопроцессоры предназначены для снижения нагрузки на центральный.  
В обязанности процессора обработки данных входит обработка подозрительных пакетов данных и их сравнительный анализ с уже знакомыми угрозами. Он способствует более быстрым вычислениям на программном уровне, работает на предотвращение вторжений и выполняет функции антивирусной защиты.  
Высокоскоростное обслуживание потоковых данных возложено на сетевой процессор. Он анализирует входящие/исходящие блоки и пакеты, транслирует адреса, занимается шифрованием и перенаправлением трафика.
Соблюдение политик безопасности может возлагаться на отдельный процессор, который выполняет антивирусные функции и предотвращает вторжения. Забирая на себя сложные и ресурсоемкие задачи, он снижает нагрузку на центральный процессор.

МЭ нового поколения (NGFW)

Ключевой особенностью NGFW является возможность фильтрации обмена данными не только по портам, адресам и протоколам, но на работающих приложениях. Более широкая функциональность позволяет обеспечить более качественную защиту от атак и надежнее блокировать потенциальные угрозы.

В отличие от рассмотренных выше универсальных шлюзовых решений, NGFW позволяет более детально настраивать политики безопасности. Также предлагаются специальные пакеты для крупного бизнеса.

Базовые возможности NGFW

Среди множества функций безопасности, имеющихся в NGFW, стоит выделить:

1. Технология глубокого анализа пакетов (DPI). В противоположность классическим брандмауэрам, DPI анализирует пакеты информации на высших уровнях модели OSI. Также с ее помощью проводится поведенческий анализ сетевого обмена для распознавания приложений, не использующих традиционные методы создания заголовков и структуру данных.
2. Система обнаружения и предотвращения вторжений (IDS/ IPS) для защиты от атак на сетевую инфраструктуру и извещения администратора о попытках таковых. Если классические экраны просеивают и блокируют обмен, то IPS/IDS способна обнаружить непосредственный момент вторжения и предотвратить его в соответствии с заданными параметрами защиты.
3. Защита от вредоносных и шпионских программ в режиме реального времени, способная обнаруживать и обезвреживать вредоносное ПО на всех используемых платформах.
4. Веб-фильтр для фильтрации доступа по URL, позволяющий заблокировать посещение определенных сайтов и приложений по заданному ключевому слову в их адресе.   
5. Функция инспектирования SSL, которая позволяет NGFW установить защищенное SSL-соединение с сервером и клиентом. Это дает возможность контролировать зашифрованный обмен и применять к нему определенные правила и политики безопасности.
6. Антиспам-функция, которая защищает сотрудников организации от получения ненужных и фишинговых писем.
7. Функция контроля доступа к приложениям (Application Control). Может ограничить доступ к отдельным приложениям, их категориям или некоторым функциям. Отслеживает запущенные на ПК пользователя приложения в онлайн-режиме.
8. Брандмауэр веб-приложений (Web Application Firewall), предоставляет возможность создать набор политик и правил, защищающих от атак на веб-приложения.
9. Функция аутентификации пользователей, дает возможность назначить отдельные правила для каждого отдельного пользователя или определенной группы.
10. Песочница (Sandboxing). Автоматически помещает подозрительный исполнимый файл в изолированную среду для проверки. Это безопасный способ установить программу без риска нанести вред всей системе.

Песочница достаточно эффективна в борьбе с угрозами «нулевого дня», когда вирус уже написан, но в антивирусные базы он еще не внесен. Именно такие угрозы способны нанести максимальный вред, поскольку могут пропускаться традиционными инструментами защиты.   

Прокси в качестве МЭ

Используемый в качестве шлюза прокси способен контролировать обмен данными на уровне стека TCP/IP. Информация фильтруется на основе заголовков, их размера и содержимого. Может осуществляться по одному или нескольким протоколам соединений.

Используются для выполнения следующих задач:

1. безопасность (собственного сайта или запрет посещения выбранных);
2. увеличение сетевой производительности;
3. ускорение доступа к сетевым ресурсам.

Если классический брандмауэр фильтрует и отслеживает трафик на уровне сетевых и транспортных протоколов, то прокси-сервер фильтрует его на прикладном, устанавливая соединение между клиентом и сервером.

Обычно прокси используется в качестве дополнения к стандартному МЭ, но имеет более точные и глубокие инструменты управления, чем обычные правила брандмауэра. Существуют веб-прокси и решения, работающие по другим протоколам (FTP, DNS, SSL, SSH и другие).  

Заключение

Данный обзор рассказывает об основных видах межсетевых экранов, способах и причинах их использования. Рассмотрели преимущества и ограничения в работе различных типов брандмауэров, их слабые и сильные стороны. В настоящее время ЗАО «БФТ» подготавливает приемлемое для условий рынка Республики Беларусь техническое решение, которое ляжет в основу услуги предоставления межсетевого экрана. По интересующим вопросам можно обратиться к менеджеру, оставив контакты в любой форме на нашем сайте.