A mai digitális világban a hálózatbiztonság kulcsfontosságú az adatok védelme és a zavartalan működés biztosítása érdekében. Ez a cikk részletesen foglalkozik az alapvető védelmi mechanizmusokkal: a tűzfalakkal, proxykkal és átjárókkal, amelyek pótolhatatlan szerepet játszanak annak eldöntésében, hogy mely hálózati forgalmat engedélyezzék, és melyet blokkoljanak. Megvizsgáljuk elveiket, gyakorlati alkalmazásukat és különbségeiket, hogy jobban megértsék, hogyan védik hálózatukat a külső fenyegetésekkel szemben.
Mi a szűrés a hálózatbiztonság kontextusában?
A szűrés a hálózatbiztonság alapköve. Ez az aktív hálózati elemen áthaladó adatok ellenőrzését jelenti, amely féligáteresztő szűrőként működik – bizonyos kommunikációt engedélyez, másokat blokkol. Fontos, hogy a szűrés nem módosítja az adatokat, csupán arról dönt, hogy áthaladhatnak-e, vagy elvetésre kerülnek.
A szűrési kritériumok sokfélék lehetnek. A szűrő ellenőrizheti a protokoll fejléc információit, mint például az IP-címeket, portokat vagy flag-eket (SYN/ACK). A fejlettebb szűrés az alkalmazási protokoll adataira is fókuszál, ami azonban megköveteli, hogy a szűrő „értse” a protokollt és képes legyen azt értelmezni (parsolni). A fejlécek alapján történő szűrés gyors és olcsó, míg a tartalom alapú szűrés (Deep Packet Inspection – DPI) erőforrásigényesebb, és titkosított forgalom (HTTPS) esetén SSL vizsgálatot igényel.
A szűrési politikák két alapvető stratégiára oszthatók:
- Feketelista (Blacklisting): „Ami nincs tiltva, az engedélyezett.” Csak specifikus, problémás elemeket blokkol. Gyakran használják végpontokon, ahol alapértelmezetten minden engedélyezett.
- Fehérlista (Whitelisting): „Ami nincs engedélyezve, az tiltva van.” Ez a megközelítés biztonságosabb, mert csak azt engedélyezi, ami feltétlenül szükséges, de kezelése bonyolultabb. Manapság a tűzfalakon hibrid megközelítést alkalmaznak: alapértelmezett tiltás fehérlistával az ismert és szükséges szolgáltatások számára.
A szűrés a hálózat számos pontján történik: menedzselhető switcheken (L2), routereken (L3 és L4), speciális hardveres tűzfalakon, valamint kliens gépeken futó szoftveres tűzfalakon (pl. Windows Tűzfal). A mélységi védelem (Defense in depth) elve azt jelenti, hogy a szűrés több szinten zajlik egyszerre, hogy az egyik réteg hibáját a következő réteg elkapja.
Szűrés az IP protokoll szintjén
Az IP protokoll szintjén engedélyezhető vagy tiltható a számítógépek közötti kommunikáció a csomagfejléc adatai alapján. Ez magában foglalja a küldő/fogadó IP-címét, a magasabb rétegbeli protokollt (TCP, UDP, ICMP) vagy a flag-eket. Fontos az ICMP üzenetek szűrése is, amelyekkel vissza lehet élni.
Az önmagában vett IP-szűrés azonban meglehetősen hatástalan a TCP/UDP szűrővel való kombináció nélkül. Nem tudja például megkülönböztetni a HTTP és az SSH forgalmat – ehhez portokra van szükség.
Az állapotfüggő szűrő (stateful filter) kulcsfontosságú a modern tűzfalak számára. Figyeli a magasabb protokollok kapcsolatainak állapotát, ami lehetővé teszi számára, hogy engedélyezze a munkamenet létesítését a hálózat belsejéből, és csak a kapcsolódó válaszokat engedje befelé. A mai tűzfalak többsége állapotfüggő, ami egyszerűsíti a szabályok kezelését.
Az Address-spoofing attack egy olyan támadás, amely során a támadó meghamisítja a forrás IP-címet egy belső hálózati címre. A tűzfal ekkor azt hiheti, hogy a csomag belülről érkezett, és továbbengedi. Az e támadás elleni védekezés az ingress filteringben rejlik, amikor a határ-router eldobja azokat a csomagokat, amelyek belső forrás IP-címmel érkeznek kívülről (lásd BCP 38 / RFC 2827).
Szűrés TCP/UDP protokollokon
A TCP és UDP protokollok szintjén történő szűrés lehetővé teszi bizonyos alkalmazások kommunikációjának engedélyezését vagy tiltását. Ez kombinálódik az IP szűrővel, és ellenőrzi a portokat, valamint a SYN/ACK flag-eket a TCP/UDP fejlécben.
A csomagok fragmentálásának problémája bonyolíthatja a szűrést. Ha egy csomag fragmentálódik, a TCP fejléc csak az első fragmentumban található meg. A szűrő így csak az első csomagot állíthatja meg, míg a többi fragmentum eljut a célhoz. A robusztusabb tűzfalak megvárják a teljes TCP szegmenst, és elutasítják az összes fragmentumot.
Az ICMP szűrés fontos, mert az ICMP üzenetek visszaélésre használhatók támadásokhoz (pl. átirányítás spoofinghoz) vagy a hálózat szkennelését jelezhetik.
A TCP bejövő kapcsolatok szűrése jellemzően állapotfüggő. Elsődlegesen a SYN csomagokat (kapcsolatlétesítési kéréseket) szűrik. A kapcsolat létesítése után ideiglenesen engedélyezik a kétirányú forgalmat a SYN nélküli (de ACK/RST-vel rendelkező) csomagok számára, a csomagszámok, IP-címek és portok ellenőrzésével (sorszámkövetés – sequence number tracking).
Néhány alkalmazás, mint például az FTP aktív módban, speciális kezelést igényel, mivel adatcsatornát hoznak létre a másik irányból. A tűzfalnak képesnek kell lennie dinamikusan megnyitni ezt a második portot. Hasonlóképpen, UDP és DNS esetén csak a lekérdezés utáni válaszokat engedik át.
Tűzfal: Hálózatának Védelmezője
A tűzfal egy alkalmazás vagy hardveres eszköz, amely hálózati forgalom szűrését és egyidejűleg eseménynaplózást végez. Ma gyakran speciális, nagy teljesítményű hardverről van szó, amely több száz vagy ezer szűrési szabály feldolgozására képes. A modern tűzfalak minőségi hálózati kártyákkal, redundanciával és a magasabb rétegbeli protokollok megértésével (Deep Packet Inspection – DPI) rendelkeznek. Némelyek támogatják az SSL vizsgálatot (MITM) is, amikor a tűzfal visszafejti a TLS forgalmat, ellenőrzi a tartalmat, majd újra titkosítja azt, ami lehetővé teszi a malware észlelését HTTPS-ben, de megköveteli a kliens bizalmát.
Tűzfal gyakorlati szabályai: Példák az UPOL-ról
A tűzfal helyes konfigurációja kulcsfontosságú. Az alábbiakban bevált gyakorlatok és szabálypéldák láthatók az UPOL valós konfigurációjából:
- Elnevezett címtartományok: Nagyobb hálózattal való munka során célszerű logikusan felosztani és elnevezni az IP-címtartományokat a szabályok jobb áttekinthetősége érdekében. Példa:
ip firewall address-list add address=158.194.92.201-158.194.92.218 list=Ucebna-5002 - Megjegyzések a szabályokhoz: Mindig adjon hozzá megjegyzéseket a szabályokhoz. Egy idő után elfelejti, miért van ott a szabály, és megjegyzések nélkül a tűzfal „busz faktor” értéke 1 (ha az egyetlen adminisztrátor távozik, az katasztrófa). Példa:
comment=