Ochrání nás "ohnivé stěny" ?
V současné době se stále více firem i jednotlivců připojuje k Internetu. Důvody, které je k tomu vedou, jsou zřejmé - od možnosti použití elektronické pošty, přes snadnější přístup k informacím z nejrůznějších oblastí, on-line služby až po publikaci či propagaci vlastních produktů a služeb prostřednictvím Webu. Internet se stal téměř nepostradatelným pracovním nástrojem. Po prvotní euforii z širokého spektra možností, které se po připojení k Internetu otevře, se však oprávněně dostaví i otázky o nebezpečích, které z takového připojení vyplynou pro vaši počítačovou síť. Už sám fakt, že dnes mají k Internetu přístup miliony prakticky anonymních uživatelů, je dostatečně silným důvodem k obavám o bezpečnost vašich dat. Vždyť jen ve Spojených státech se odhaduje počet aktivních hackerů na desítky tisíc a argument, že naše "malá zemička" unikne pozornosti "zlých chlapců" na celém světě, už dnes asi nikoho příliš neuklidní. Rizik vyplývajících z připojení k Internetu je hned několik. Za zmínku rozhodně stojí možnost prozrazení vašich důvěrných informací, které mohou být velmi zajímavé pro konkurenci, nebo jejich poškození, případně úplné zničení. Ať už je důvodem promyšlená sabotáž, nebo jen klukovský žertík provedený ze sportu, ztráta dat může znamenat těžký otřes pro provoz celé firmy dokonce i v případě, že data máte odkud obnovit. Dalším objektem nežádoucího zájmu může být také nějaká vámi poskytovaná služba, kterou útočník začne využívat takovým způsobem, že nikdo další už nemá šanci. Služba je zablokována a nikdo se například nedostane na vaše www stránky, nebo je zahlcen a ochromen váš poštovní systém. Technik používaných pro narušení cizích systémů je mnoho a popsat je všechny přesahuje možnosti tohoto článku. Mezi oblíbené metody patří například odposlech a následná analýza cizích datových paketů za účelem získání důležitých hesel, nebo vydávání se za někoho jiného prostřednictvím falšování vlastní IP adresy (tzv. IP spoofing). Často jsou k útoku využívána slabá místa komunikačních protokolů běžných internetových služeb jako HTTP, NFS, Sendmail apod. Tyto služby nebyly navrhovány s ohledem na bezpečnost a jsou tedy poměrně zranitelné. Cílem útoku bývá nejčastěji hostitelský počítač, který tyto služby poskytuje. Je možné využít i slabin samotného operačního systému. Téměř každý, komu jen trochu záleží na soukromí a bezpečí vlastních informací, si klade otázku, jak chránit svá data před vnějším světem při maximálním možném zachování efektivity provozu. Naneštěstí bezpečnosti nelze dosáhnout bez obětování jistého stupně svobod. Úspěšná bezpečnostní politika vždy balancuje na rozhraní mezi pracovními a bezpečnostními požadavky. Měla by chránit vaši síť nejen proti přímému vnějšímu napadení, ale i proti vlastním nezodpovědným uživatelům. Firewall bývá součástí takové bezpečnostní politiky. Je to obvykle počítač se dvěma nebo více síťovými rozhraními vybavený příslušným softwarem. Tvoří jakousi bránu mezi vaší interní sítí a venkovním světem. Jeho chování je řízeno soustavou bezpečnostních pravidel, která určují odkud, kam a za jakých okolností je či není komunikace možná. Kromě toho monitoruje veškerý procházející provoz, detekuje a zaznamenává podezřelé události. Z hlediska principu, na jehož základě pracují, lze firewally rozdělit do několika skupin. Paketové filtry -- pracují na úrovni síťové vrstvy ISO/OSI modelu. Představují asi nejjednodušší metodu ochrany, která spočívá v podrobení všech procházejících paketů testování sadou filtračních pravidel. Pokud paket vyhoví některému z nich, je propuštěn dál, v opačném případě je zahozen. Pakety jsou zkoumány na základě zdrojové či cílové IP adresy, zdrojového nebo cílového portu (služby), podle síťového rozhraní, na které přišly, a podle dalších kritérií. Funkci paketového filtru mohou zastat i některé routery (Cisco, BayNetworks). Hůře se však spravují a většinou neumožňují sledovat a zaznamenávat procházející provoz. Co víc, lze říci, že kromě filtrace paketů neumožňují vůbec nic. Paketový filtr může být také implementován softwarově. Oproti routerům jsou některé firewally fungující na principu paketových filtrů navíc vylepšeny o schopnost skrývání a překlad IP adres, tj. vnitřní adresy nejsou pro vnější síť vůbec viditelné, a dále o možnost detekce falešných IP adres (viz IP spoofing). Podobně pracuje např. GNAT Box fy GTA (článek I4U č.8-9/97), který je typickým příkladem takto vylepšeného paketového filtru. Hlavními výhodami paketových filtrů (kromě nízkých pořizovacích nákladů) jsou vysoká propustnost (čas na aplikaci filtračních pravidel je zanedbatelný) a prakticky 100% transparentnost. Problém je, že paketový filtr nezajímá vlastní obsah paketu ani jeho smysl. Pokud se tedy rozhodnete, že nějakou službu (např. FTP) zvenčí zakážete, bude nepřístupná pro všechny stanice nacházející se ve vaší síti. Pokud ji povolíte, bude dostupná pro všechny. Nelze službu vyhradit jen pro určité privilegované uživatele. Proxy neboli aplikační brány -- pracují na aplikační vrstvě ISO/OSI modelu. V tomto případě je vnitřní síť skutečně oddělena od vnější a vzájemně se "nevidí". Žádná komunikace neprobíhá přímo. Počítač, který chce komunikovat s jiným uzlem na druhé straně firewallu, naváže spojení s proxy pro žádanou službu (proces běžící na firewallu), ta rozhodne, zda na to žadatel má právo a pak sama naváže spojení s cílovým uzlem. Data, která od něj přijdou v odpověď, zase proxy předává počítači, který si komunikaci původně vyžádal. Takto je docíleno mnohem přísnější kontroly nad probíhající komunikací. Anti-spoofing je samozřejmostí. Navíc vzhledem k tomu, že komunikaci zprostředkovávají specializované aplikační brány, je možno práva ke komunikaci posuzovat v globálnějším pohledu, a nikoliv jen podle jednotlivých paketů vytržených z kontextu, takže je možno například vyžadovat autentikaci pro přístup k určité službě zvenčí. Cenou za to je trochu vyšší režie vlastní proxy, takže komunikace může být poněkud zdržena, obzvláště pokud běží více proxy na pomalejším počítači. Navíc pro každou službu (HTTP, FTP...) musí na firewallu běžet extra proxy, která ji zajišťuje. Firewally jsou běžně vybaveny proxy pro standardní služby jako HTTP, FTP, Telnet, Rlogin, SMTP, POP3, NNTP, Gopher, Finger apod. Pokud potřebujete, aby firewall přenášel i nějakou speciální službu, je možno obvykle nadefinovat jakousi obecnou tzv. plug-in proxy pro tuto službu. Plug-in proxy však většinou nejsou vybaveny takovým stupněm zabezpečení jako standardní proxy a sami výrobci firewallů před jejich použitím varují. Někdy však není zbytí. Je potřeba mít na paměti, že s každou takto přidanou proxy přibývá proces na firewallu, a tím i jeho zátěž. Další nevýhoda vyplývá z již zmíněného faktu, že proxy pracují na aplikační úrovni a nechrání samotný počítač, na kterém proxy běží. Typickými představiteli proxy firewallů jsou např. Gauntlet firewall od firmy Trusted Information Systems (u nás v zastoupení SkyNet, a. s., Brno) nebo Eagle Firewall společnosti Raptor Systems (distribuovaný v ČR firmou Datrontech Westwood). SOCKS proxy jsou často používány jako tzv. Circuit level firewally. Takovýto firewall se z hlediska klienta chová transparentně. Pokud stanice z vnitřní sítě vyžaduje spojení s nějakým uzlem mimo síť, zasílá jakousi "zapouzdřenou" žádost na SOCKS port (obvykle port 1080) firewallu. Žádost v sobě obsahuje popis spojení, které je požadováno, tj. cílovou adresu, port atd. Pokud firewall shledá žádost jako oprávněnou, sám navazuje a udržuje spojení s cílovým uzlem prostřednictvím proxy klienta. Odpovědi vrací klientovi, který o spojení požádal. Toto řešení však vyžaduje zásah u klientů vnitřní sítě (obvykle rekompilaci jejich softwaru, aby byly schopny komunikovat se SOCKS). Často bývá SOCK proxy implementována jako doplněk běžného proxy firewallu, neboť umožňuje vesměs bezpečný přenos nespojovaných služeb. Vedle těchto poměrně rozšířených technologií se objevují různé kombinované přístupy. FireWall-1 izraelské firmy CheckPoint Software (v ČR dodává firma Pragodata) používá technologii nazvanou Stateful Multilayer Inspection. CheckPoint kontroluje pakety na nejnižší možné úrovni, ale data týkající se zabezpečení extrahuje a analyzuje na úrovni aplikační vrstvy. Tak je schopen kontrolovat i nespojované služby jako UDP, RPC apod. Pro tyto protokoly si vytváří virtuální spojení a aktualizuje si je v závislosti na přenášených datech. Kombinuje dynamický i statický překlad adres a používá anti-spoofing. Kromě toho je schopen pro vybrané služby provádět i určitou kontrolu obsahu (např. odfiltrovat Java skripty, AxtiveX, provádět antivirovou kontrolu). Spojuje tak rychlost paketových filtrů a zabezpečení na prakticky stejné úrovni jako proxy, aniž by musel mít pro každou službu spuštěnu oddělenou proxy aplikaci. Jinak kombinovaného přístupu využívá CyberGuard, vyvinutý firmou Harris Computer Systems. Může fungovat jako brána aplikací nebo filtr paketů. Lze také použít kombinaci těchto dvou funkcí, např. filtr paketů propouští provoz směrem ven a proxy server řídí přístupy zvenku. Kromě ochrany vniřní sítě před okolním světem (nebo okolního světa před vašimi uživateli :-)), některé firewally poskytují i další služby, např. vybudování bezpečného mostu mezi dvěma (nebo více) pobočkami přes Internet. Mezi firewally, které chrání jednotlivé pobočky, se ustaví kryptované spojení pomocí PPTP (point to point tunneling protocol), po němž lze bezpečně přenášet data mezi pobočkami. Podobně lze zajistit pro mobilní uživatele bezpečný přístup z vnější sítě za pomoci autentikačních mechanismů, v některých případech ještě posílených šifrovanou komunikací mezi firewallem a vzdáleným klientem. Přestože firewall snižuje riziko průniku do vaší sítě, není všespasitelný. Žádná ochranná zeď není absolutně neproniknutelná. Proto instalací firewallu vaše práce nekončí, jeho provoz bude nutno stále sledovat a pružně reagovat na jeho chybová hlášení. Protože jsou stále vyvíjeny nové metody průniku do zabezpečených sítí, žádný komerční výrobek nebude nikdy stoprocentní zárukou bezpečí. Kromě toho je nutno na každý firewall pohlížet jen jako na součást bezpečnostní politiky. Ani sebelepší firewall na světě vás neochrání před slabou organizací, nedostatečnou bezpečnostní politikou nebo nedbalou údržbou vnitřního systému. Význam zkratek a pojmů: NFS -- Network file system, umožňuje sdílení souborů na vzdáleném počítači. Z uživatelského hlediska pak není rozdíl mezi soubory lokálními a vzdálenými. Proxy -- aplikační brána oddělující klienta od serveru. Klient všechny své požadavky směřuje na proxy a komunikuje s ní, jako by byla server. Proxy se druhé straně tváří vzhledem ke skutečnému serveru jako by byla klient. IP spoofing -- metoda průniku do cizí sítě, při níž vetřelec vydává svůj stroj za počítač, který se nachází "uvnitř" napadané sítě, tím, že falšuje svou IP adresu. Telnet -- protokol, který zprostředkuje možnost přihlásit se na vzdálený počítač a interaktivně s ním pracovat. Tato služba je transparentní, uživateli se jeví stejně jako by pracoval přímo na vzdáleném počítači. Rlogin -- Remote login, podobně jako telnet umožňuje připojení na vzdálený počítač, ale komfortněji, prostředí operačního systému vzdáleného počítače se nastavuje podle počítače, u kterého uživatel pracuje. SMTP -- Simple mail transfer protocol , protokol zajišťující doručování elektronické pošty. Sendmail -- poštovní agent, proces běžící obvykle na SMTP serveru, který zajišťuje doručení pošty na server adresáta. POP3 -- Post office protocol, služba umožňující vzdálené vybírání poštovních schránek. NNTP -- Network News Transfer protocol , přenos "news" zpráv. Gopher -- standardní internetová služba, systém založený na menu, jehož položky jsou odkazy na dokumenty nebo jiná menu, ať už na stejném nebo vzdáleném počítači. Předchůdce www. Finger -- služba, pomocí níž lze zjišťovat některé informace o právě pracujících uživatelích vzdálených systémů. ISO/OSI model -- standardní referenční model, podle kterého komunikace probíhá v jakýchsi vrstvách (fyzické, linkové, síťové, transportní, relační, prezentační a aplikační). Každá z těchto vrstev má svou funkci v komunikačním procesu.
Petr Sorád
|