Firewall: что это такое, как он работает и зачем нужен

Когда речь заходит о сетевой безопасности, первое, что приходит в голову, — это термин Firewall (межсетевой экран). Это средство защиты уже стало фундаментальным и эксплуатируется как обычными пользователями интернета, так и компаниями разного масштаба. Решения данного класса применяются в виде отдельных инструментов, встраиваются в маршрутизаторы и роутеры, присутствуют в качестве функционального элемента операционных систем. Такие системы появились почти одновременно с первыми сетями и наравне с антивирусами являются одним из старейших средств защиты. За годы существования решения долго эволюционировали от простейших до многофункциональных. В этой статье мы расскажем о задачах и возможностях современных продуктов данного класса. Разберемся, что они из себя представляют и почему занимают столь важное место в системе информационной безопасности.

Что такое Firewall

Firewall — название класса решений, предназначенных для защиты от сетевых угроз путем фильтрации трафика на основе наборов заданных правил.

Более привычные названия инструментов для фильтрации потоков трафика — межсетевые экраны (МЭ) или брандмауэры.

По формату поставки МЭ могут быть двух видов:

Аппаратные — отдельные физические устройства, присутствующие во внутренних сетях в качестве защитного барьера. По производительности они бывают высокопроизводительными, средними и базовыми. Также есть классификация по сферам применения. Например, существуют МЭ для промышленных предприятий, филиалов бизнеса и т.д.
Программные — межсетевые экраны виртуальной поставки. Они выполняют те же функции, что и аппаратные, но представлены в виде специализированного софта, без физического оборудования.

Как аппаратные, так и программные решения могут защищать сети на границах или отделять сегменты, где обрабатывается критически важная для организации информация. Существуют разные схемы подключения межсетевых экранов, выбор которых зависит от специфики и текущих задач компании, особенностей топологии сети.

По классификации ФСТЭК России межсетевые экраны подразделяются на типы: А, Б, В, Г, Д. Первые используются для защиты сетей на границах, вторые — для обеспечения безопасности отдельных сегментов, третьи — для предупреждения угроз на рабочих станциях. МЭ класса Г анализируют трафик веб-приложений и веб-ресурсов, Д — предназначены для работы с протоколами промышленного типа.

Еще одна классификация МЭ по ФСТЭК России — по классам защиты, которых всего шесть. Первые три предназначены для защиты государственной тайны — информации под грифами «секретно» и «совершенно секретно». Три оставшиеся могут быть использованы для защиты сведений под грифом «для служебного пользования», персональных данных, различной финансовой и бухгалтерской информации, описаний технологий, процессов и прочей коммерческой тайны.

Кратко об истории Firewall

Решения, подобные современным межсетевым экранам, появились в 1980-х годах. Продукты тогда не выполняли всесторонней фильтрации — они скорее служили в качестве сетевых маршрутизаторов.

О фильтрах трафика впервые услышали в 1985 году. Тогда Cisco выпустила все те же маршрутизаторы, но уже с усовершенствованными функциями. Однако широкого распространения решения не получили по причине отсутствия подробных инструкций по использованию.

Ситуация изменилась в 1990 году, когда появились межсетевые экраны, которые работали на пятом уровне модели OSI — сеансовом.

Тогда же начались тестирования первого брандмауэра, работающего на седьмом — прикладном уровне модели OSI. Но в этот период продукт еще не поступил в эксплуатацию — его доработали для использования на коммерческой основе только в 1991 году.

В 1991 году также разработали брандмауэр с функцией динамической фильтрации трафика. Чтобы принять решение, пропустить пакеты или нет, такой МЭ мог использовать данные о предыдущих подключениях. В 1992 году начались его активные испытания, но продукты с подобной архитектурой для массовой эксплуатации представили только в 1994 году. Примерно в этот же период стартовал выпуск межсетевых экранов с цветным графическим интерфейсом для более удобного использования.

В 1997 году появился программный продукт, который умел не только фильтровать пакеты данных, но и хранить в памяти атрибуты соединений.

В 2008 году появились Next-Generation Firewall (сокращенно — NGFW), которые состояли из нескольких параллельно работающих механизмов защиты. Помимо анализа трафика, такие межсетевые экраны умели анализировать действия пользователей внутренних сетей.

Все классы МЭ продолжали развиваться, и сейчас они выполняют ключевые функции по защите локальных сетей от внешних атак, контролю доступа внутренних пользователей в интернет. Наиболее часто компаниями разного масштаба используются NGFW, поскольку они способны закрывать широкий пул задач, отличаются высокой производительностью и скоростью работы.

Ключевые функции Firewall

Рассмотрим три ключевые функции межсетевых экранов.

Блокировка нежелательного трафика

Брандмауэр блокирует передачу сомнительного трафика, чтобы не допустить распространения угроз по локальным сетям. Какие факторы он может анализировать:

Сетевые адреса устройств, которые пытаются установить подключение к локальным сетям.
Адреса компьютеров, к которым обращаются внешние устройства.
Тип данных, передаваемых с подключаемых устройств.
Сетевые протоколы, задающие правила передачи пакетов.

По результатам анализа firewall может предотвращать передачу данных недоверенным адресатам. То есть инструмент видит активность в сторону источников, находящихся в черном списке, и запрещает передачу пакетов данных по этим направлениям.

Помимо этого, после анализа брандмауэр способен выявить подменный трафик и попытки перехвата данных. Он позволяет предотвращать несанкционированные проникновения во внутренние сети, блокируя подозрительные адреса и порты.

Управление потоками данных на основе заданных параметров

Межсетевые экраны умеют классифицировать трафик, распределять его объемы в кластере с целью предотвращения перегрузки, определять оптимальные маршруты движения трафика внутри корпоративных сетей, то есть осуществлять маршрутизацию.

Защита от вторжений во внутренние сети

Например, межсетевой экран эффективен против бэкдор-доступа. Это атаки, подразумевающие эксплуатацию различных уязвимостей в программном обеспечении, используемом на компьютерах пользователей: в приложениях, утилитах, операционных системах. Слабые места становятся точками входа, то есть открывают для хакеров возможность управлять устройствами, в частности, отправлять и принимать пакеты данных. Инструменты фильтрации замечают подобную активность и реагируют немедленной блокировкой.

Firewall позволяет предотвратить негативные последствия фишинга — атак с призывами посетить фейковые (замаскированные под настоящие) и сомнительные ресурсы. МЭ блокируют подобные подключения и тем самым препятствуют вероятной утечке данных или заражению устройств вредоносными компонентами.

Также межсетевые экраны показывают хорошую эффективность в случае взлома удаленного доступа, то есть атак, в рамках которых преступники дистанционно управляют компьютерами и пересылают с них данные. МЭ расценивают такие потоки как подозрительные и блокируют.

И еще один тип атак, с которыми могут справляться некоторые Firewall — DDoS. Они подразумевают реализацию большого количества запросов с целью создать чрезмерную нагрузку на систему и устройства и вывести их из строя. В рамках DDoS-атак хакеры часто используют пользовательские устройства в качестве атакующих. Firewall заметит непривычно большие объемы трафика и заблокирует движение потоков.

Сфера использования межсетевых экранов

Сценарии применения межсетевых экранов:

Защита корпоративных сетей от разноплановых угроз.
Защита филиалов и дочерних компаний.
Защита АСУ ТП или небольших автономных устройств.

Традиционные брандмауэры призваны контролировать пакеты данных и предотвращать атаки на внутренние сети. Однако сейчас компании предпочитают эксплуатировать многофункциональные решения класса NGFW. Это комплексные продукты, способные не только «отбраковывать» трафик, но и препятствовать сложным атакам, управлять доступом в интернет, анализировать сетевую активность пользователей. Пример решения — Solar NGFW. В нем реализованы такие механизмы защиты, как Firewall в режиме SPI (Stateful Packet Inspection, проверка пакетов с проверкой состояния), система предотвращения вторжений IPS, технология анализа трафика приложений DPI, контентная фильтрация, антивирус.

ЗАКЛЮЧЕНИЕ

Firewall — один из ключевых элементов в контуре информационной безопасности. Он защищает от различных сетевых атак, перехвата трафика, инцидентов с эксплуатацией уязвимостей. Важно правильно выбрать МЭ с учетом масштабов локальной сети, объема циркулирующего трафика, текущих задач. Крупным компаниям целесообразнее использовать комплексные решения — межсетевые экраны класса NGFW, например, решение от Solar. Его ключевые преимущества: высокая производительность, широкий модельный ряд программно-аппаратных платформ, сертификат ФСТЭК России, уникальные сигнатуры и фиды от Центра исследования киберугроз Solar 4RAYS.