Dale je strucne zhodnocen soucasny stav a mozne zpusoby
minimalizace nebezpeci, ktere hrozi uzivatelum site
Internet. Informace, uvedene pro sit Internet, vsak plati
i pro vsechny ostatni site s protokolem TCP/IP.
Zminene site s jinymi protokoly nez TCP/IP maji i urcite
vyhody (z bezpecnostniho pohledu):
utocnik muze vyuzit sve technicke a odborne zazemi.
Zajisteni ochrany pocitacovych siti a dat
Existujici ochranne prostredky lze zhruba rozdelit do tri
hlavnich skupin, ktere se samozrejme castecne prekryvaji:
- Autorizace uzivatelu.
- Firewall.
- Sifrovani dat.
Dale se budeme zabyvat prostredky z prvnich dvou skupin.
Autorizace uzivatelu
Mnoho bezpecnostnich incidentu v siti Internet, ale nejenom
v ni, je zpusobeno nedostatky pri tradicni autorizaci
heslem. Casto se stava, ze systemovi administratori
nekonfiguruji system tak, aby:
- vyzadoval pravidelnou zmenu hesla uzivatele,
- heslo muselo obsahovat kombinaci pismen, cislic
a alfanumerickych znaku,
- heslo nebylo mozne opakovane pouzit.
Dalsi oblasti, kde jsou nedostatky, je kazen uzivatelu,
kteri si musi zvyknout na pravidla pri praci s prihlasovacim
heslem. To znamena, ze by nemeli volit snadno uhodnutelna
hesla, nemeli by sdelovat sve heslo dalsim osobam, nechavat
je zapsane na svem pracovisti a v zadnem pripade nesmeji
opustit sve pracoviste, pokud jsou prihlaseni do site.
I v pripade, ze systemovy administrator a uzivatele budou
dodrzovat pravidla pro spravu a uzivani hesel, je zde
nebezpeci ziskani hesla odposlechem site, protoze napriklad
v prostredi siti s protokolem TCP/IP (ale i X.25, Frame
Relay) se hesla prenaseji v otevrene podobe. Tomuto
nebezpeci je mozne se branit v zasade dvema zpusoby: pouzit
pro kazde prihlaseni vzdy nove heslo, nebo sifrovat vsechna
prenasena data vcetne hesel.
Pouziti hesla vzdy pouze pro jedno prihlaseni
Tento zpusob autorizace je mozne zajistit pomoci cipove
karty, autentizacniho kalkulatoru (tento kalkulator je
synchronizovan s prislusnym serverem a generuje kazdou
minutu nove - nahodne heslo ).
Pouziti sifrovani pri prenosu vsech dat
Tohoto je mozne dosahnout s vyuzitim prostredku jak
hardwarovych (servery), tak i softwarovych (uzivatelske
stanice). Sifrovani vsech dat zajisti bezpecny prenos
prihlasovacich hesel, ale soucasne i vsech dalsich
informaci, ktere se prenaseji mezi serverem a prislusnou
stanici.
Firewall
Pri budovani a nasledne i pri kazdodenni udrzbe musi vzdy
platit: Co neni dovoleno, je zakazano!!
Pri napojeni k celosvetove siti Internet nebo pri reseni
rozsahlych siti typu WAN je prvoradym pozadavkem zachovani
bezpecnosti informaci, dat, ale i struktury lokalni site,
ktera je k siti WAN pripojovana. V teto souvislosti se dnes
casto uvadi pojem firewall. Je tedy vhodne nejprve uvest, co
je a co neni firewall.
Firewall neni pouze nakonfigurovany smerovac. Neni to ani
stanice nebo server, dokonce ani skupina systemu
zajistujicich bezpecnost. Firewall je predevsim metodika,
ktera pomaha implementovat moderni prvky pro zajisteni
bezpecnostni politiky pri propojeni lokalni site se siti WAN
(napriklad Internetem).
Jde vlastne o soubor opatreni, ktera zajisti implementaci
bezpecnostni politiky pomoci konfigurace jedne nebo nekolika
stanic, routeru, pripadne i dalsich zarizeni. Hlavnim
poslanim firewallu je zajistit, aby soucasne:
- byly z vnejsi site pristupne pouze ty informacni zdroje,
ktere maji byt prislusnemu uzivateli pristupne podle
pravidel urcenych bezpecnostni politikou organizace,
- uzivatele lokalni site mohli bezpecne vyuzivat vsechny
zdroje vnejsich siti, ktere jim maji nebo mohou byt
pristupne.
Firewall by mel byt koncipovan tak, aby ochranil sebe
i celou interni sit proti neautorizovanym operacim. Budovany
firewall by mel umet odhalit a znemoznit pouziti chyb a der
v implementaci nekterych programu (napriklad Sendmail),
pokusy o odhaleni hesla zkusmo s pouzitim "crack" programu.
Podle financnich moznosti uzivatelu, velikosti jejich site
a citlivosti dat ulozenych na lokalni siti se nabizi nekolik
moznosti, jak resit zacleneni firewallu do komunikacniho
systemu spolecnosti. Zakladni moznosti reseni budou popsany
dale.
K cemu slouzi a co muze firewall zajistit:
- Ochranu zranitelnych sluzeb protokolu TCP/IP.
- Rizeny pristup ke stanicim v lokalni siti.
- Soustredeni rizeni bezpecnosti do jednoho mista.
- Audit vsech legalnich i nelegalnich aktivit.
Vyhody firewallu a jejich prinos
pro organizaci
- Zajisti obousmernou komunikaci opravnenych uzivatelu
vnitrni a vnejsi siti.
Je mozne pri dodrzeni vsech bezpecnostnich pravidel nastavit
opravneni pro prislusne uzivatele tak, ze mohou
i z prostredi vnejsi site pristupovat az na server uvnitr
lokalni site (napriklad obchodni cestujici se spoji se svoji
centralou pres Internet a pracuje v obchodnim systemu
organizace). Samozrejme je mozne nastavit i restrikce
(uzivatel lokalni site nemusi mit pristup k zadnym sluzbam
vnejsi site).
- Umoznuje nastaveni pristupovych prav pro uzivatele nebo
skupiny uzivatelu.
Je mozne nastavit pristupova prava z vnitrni do vnejsi site
a opacne pro urcitou skupinu uzivatelu, ale i pro kazdeho
uzivatele jednotlive.
Vyhody firewallu a jejich prinos
pro organizaci
- Zajisti ochranu zranitelnych sluzeb.
Firewall umozni vyrazne zvysit bezpecnost systemu tim, ze
odfiltruje sluzby, ktere nejsou bezpecne nebo je velmi
obtizne zajistit jejich bezpecnost. Pro realizaci tohoto
ukolu vyuziva firewall tzv. Proxy servery.
- Soustredi bezpecnost komunikacniho uzlu do jednoho mista.
Tim, ze jsou vsechny prostredky nutne pro zajisteni
bezpecnostni politiky soustredeny do jednoho mista, je
dosazeno lepsich podminek pro kvalitni spravu systemu
a soucasne je dosazeno nizsich nakladu, nez kdyby byly
bezpecnostni prostredky na vsech serverech.
- Blokuje nepratelske mapovani vnitrni site.
Pri dodrzeni vsech bezpecnostnich pravidel firewall odstini
vnitrni sit od moznosti ziskat z vnejsi site jeji strukturu,
pripadne adresy serveru a stanic.
- Umoznuje provadet audit legalnich a nelegalnich operaci.
Pokud je veskery provoz mezi vnitrni a vnejsi siti
(napriklad Internetem) kontrolovan firewallem, muze firewall
provadet protokolovani vsech aktivit mezi temito sitemi.
Co firewall neresi
- Utoky zevnitr (vetsina bezpecnostnich incidentu je uvnitr
site!!). Firewall nema prostredky a tedy nezamezi naruseni
bezpecnosti uzivatelem vnitrni site.
- Otevreni obchozi cesty kolaborujicim uzivatelem uvnitr
site, napriklad:
- modemove spojeni z vnitrni site ven,
- tunel pres legalni sluzbu.
- Nedostatky v autorizaci uzivatelu.
Firewall nevyresi nedostatky pri sprave, uzivani a prenosu
hesel po siti.
- Odposlechnuti, modifikaci nebo zniceni dat pri prenosu.
Firewall nema prostredky, kterymi by zabranil odposlechnuti,
modifikaci nebo zniceni prenasenych dat po siti.
Filtrovani paketu
Jak vlastne firewally pracuji? Jednim z nejcasteji
pouzivanych opatreni, ktera zajistuji bezpecnost, je
filtrovani paketu. Firewall, jehoz soucasti je filtrovani
paketu, provadi spojovani provozu mezi sitemi na urovni
aplikaci - tedy sluzeb a protokolu Telnet, FTP, DNS, Finger,
SMTP, NFS, WWW atd.; pakety jsou filtrovany podle
nakonfigurovane databaze uzivatelu na zaklade autentizace
a autorizace uzivatelu. Firewall, ktery pouziva filtrovani
paketu, tak zcela odstini provoz na interni siti a utaji
strukturu vnitrni site pred externimi uzivateli, kteri
nemaji podle databaze opravneni k pristupu. Firewall
nezatezuje uzivatele dalsimi hesly, nemeni zpusob pouzivani
sitovych sluzeb.
Smerovac, ktery obvykle zajistuje pro firewall filtrovani
paketu, se ridi nasledujicimi udaji: zdrojova IP adresa,
cilova IP adresa, TCP/ UDP zdrojovy port, TCP/ UDP cilovy
port.
Filtrovani adres se pouziva predevsim pro uplne zablokovani
pristupu ke konkretnim sitim a stanicim, pripadne pro
zablokovani spojeni na konkretni porty.
Preklad privatnich adres
Pro zajisteni ochrany proti odposlechu vnitrni struktury
site a sitovych adres se zavadi preklad adres uzivanych
v lokalni siti na oficialni adresy pouzivane pro komunikaci
s vnejsi siti.
Aplikacni brany - Proxy servery
Jelikoz zavedeni filtrovani paketu s sebou prinasi nektere
nevyhody (neni mozne pouzivat nektere sluzby), zavadeji se
do firewallu aplikace, ktere zprostredkuji bezpecne uzivani
prislusne sluzby (napriklad Telnet, FTP). Vyhodou Proxy
serveru je, ze umoznuji filtrovat samotny protokol.
Napriklad nektere firewally umoznuji zakazat v protokolu FTP
pouziti prikazu put. Nevyhodou soucasnych Proxy serveru jsou
jejich ruzne standardy a chybejici normalizace rozhrani mezi
klientem a Proxy serverem, a mezi Proxy serverem
a aplikacnim serverem.
Hardwarove konfigurace
Jaka reseni se pouzivaji pro budovani firewallu? Zastavme se
nejdrive u hardwarovych konfiguraci.
Samostatne routery
Pouziti samostatnych routeru pro ochranu lokalnich siti je
pri stavu soucasnych komunikacnich prostredku nedostacujici.
Routery totiz filtruji pakety pouze na linkove a sitove
urovni a je tedy mozne pouze globalne povolit nebo globalne
zakazat nektere sluzby ci pristupy. Spravce lokalni site
a komunikacniho uzlu nemuze individualne pridelovat
jednotlivym uzivatelum pristupova prava k vybranym sluzbam
vnitrni nebo vnejsi site. Rovnez moznosti monitorovat
komunikace mezi vnitrni a vnejsi siti jsou omezene. Routery
umoznuji pristup z vnejsi do vnitrni site pouze zakazat nebo
povolit, pripadne povolit pouze pro nektere adresy vnejsi
site spojeni s nekterymi adresami vnitrni site.
Packet Filter
Firewall server slouzi zaroven jako gateway mezi vnejsi
a vnitrni siti. Jde napriklad o unixovy server vybaveny
komunikacnim rozhranim, kterym je tento server soucasne
pripojen k vnitrni i vnejsi siti. V tomto pripade neni
potrebny zadny dalsi hardware (napriklad router), nebot
smerovani mezi vnitrni a vnejsi siti provadi firewall
server.
Dual- Homed Gateway
Router (tzv. "Screening Router" nebo "Choke") zajistuje
pripojeni lokalni site do Internetu nebo jine site WAN
prostrednictvim firewallu. Screening Router je
nakonfigurovan tak, aby dovolil spojeni z vnejsi site pouze
na firewall server, ktery provadi autentizaci a autorizaci
veskere prichozi komunikace.
Screened SubNet
Mezi Internetem nebo jinou externi siti a lokalni siti je
umisten "Screened SubNet" lokalni site. Tento SubNet je
propojen k Internetu i k lokalni siti pres Screening
routery. Firewall server je zapojen jako soucast chraneneho
SubNetu. Veskera spojeni mezi vnitrni a vnejsi siti mohou
prochazet pouze pres firewall. Screening router, pouzity pro
spojeni s Internetem nebo jinou externi siti, smeruje pakety
pouze mezi externi siti a firewall serverem. Router do
interni site smeruje pakety pouze mezi firewallem a vnitrni
siti. Veskera komunikace tedy prochazi vzdy pres firewall
server.
Screened SubNet predstavuje nejbezpecnejsi zpusob pripojeni
lokalni site k siti Internet nebo jine externi siti. Svou
funkci je toto reseni castecne shodne s "Dual - Homed
Gateway", pouze misto jednoho serveru je mezi externi
a interni sit vlozen cely SubNet (napriklad jeden segment
Ethernetu), oddeleny od lokalni i externi site routery.
Krome firewallu se do chraneneho segmentu vkladaji i servery
zajistujici dalsi sluzby, napriklad FTP, WWW, Gopher, mail.
Softwarove konfigurace
Pohled na firewally je treba doplnit jeste o softwarove
konfigurace.
Network Level - Firewall pracujici na sitove vrstve
Firewally patrici do teto skupiny kontroluji pro kazdy IP
paket zdrojovou adresu, cilovou adresu a cislo portu. Router
lze povazovat za nejjednodussi Network Level Firewall.
Moderni systemy teto kategorie jsou schopny zajistit
i informace o stavu prave provadene komunikace nebo obsahu
nekterych paketu. Administrator Network Level Firewallu
definuje skupinu IP adres, ze kterych je provoz povolen,
a skupinu IP adres, na ktere je IP provoz povolen. Network
Level Firewall pak primo propousti takovou komunikaci, kde
zdrojova IP adresa je obsazena v jedne a cilova IP adresa ve
druhe definicni tabulce. Pro spravnou funkci je tedy nutne
zajistit spravne prideleni a kontrolu vyuzivani IP adres
uvnitr chranene site.
Application Level - Firewall pracujici na aplikacni vrstve
Firewall teto kategorie nepripousti zadny primy provoz mezi
vnejsi a vnitrni siti. Komunikaci mezi sitemi
zprostredkovavaji Proxy servery - softwarove moduly
firewallu, ktere "rozumeji" pouzitemu aplikacnimu protokolu.
Pri pouziti tohoto zpusobu pristupu do lokalni site je mozne
definovat opravneni mnohem podrobneji nez v pripade Network
Level Firewallu. Proxy servery umoznuji definovat
komunikacni podminky jednotlivych uzivatelu i pro jednotlive
prikazy a sluzby pouziteho protokolu (napriklad FTP Proxy
server lze nakonfigurovat tak, ze umozni FTP prenos do
interni site, a zaroven je mozne zakazat FTP prenos
z interni site "ven").
Proxy servery jsou aplikacne zavisle. Existuji Proxy servery
pro Telnet, FTP, Rlogin, HTTP, Gopher a dalsi protokoly.
Soucasti Proxy serveru jsou i moduly pro autorizaci
vzdalenych uzivatelu, coz umoznuje nadefinovat pristupova
prava k jednotlivym protokolum a sluzbam konkretne pro
jednotlive uzivatele.
Application Level Firewall se casto pouziva take jako
prekladac IP adres (Address Translator). Protoze se
v pripade Proxy serveru jedna o propojeni dvou komunikaci
(uzivatel - Proxy server a Proxy server - server), pouziva
se tedy i dvou ruznych IP adres. Tato vlastnost je uzitecna
nejen v pripadech, kdy jiz interni sit pouziva IP adresy,
ktere nebyly oficialne prideleny (a kdy tedy neni mozne
prime propojeni lokalni site do celosvetove site Internet
bez organizacne narocneho precislovani vsech stanic uvnitr
lokalni site), ale predevsim preklad adres zabrani komukoliv
z vnejsi site monitorovat strukturu a velikost lokalni site.
Firewall teto kategorie je narocnejsi na vykon systemu, ale
administratorum poskytuje detailni informace o provozu mezi
sitemi az do urovne pouzitych protokolu a sluzeb. Umoznuje
take presne definovat prava uzivatelu vnitrni i vnejsi site.
Podle ceho vybirat
Pri vyberu firewallu musime na jedne strane zvazit vlastni
pozadavky a moznosti, a na druhe strane posoudit vyhody
a nevyhody jednotlivych nabidek. Uvedene schema
rozhodovaciho procesu je platne i pro vyber jinych
bezpecnostnich prostredku, napriklad sifrovacich systemu
(viz dale).
Vyber podle poptavky (podle vlastnich pozadavku a moznosti)
Vzdy je nutne vychazet z podrobne analyzy rizik, ktera hrozi
prislusnym datum a cele organizaci v pripade, ze budou data
poskozena nebo znepristupnena v dusledku neopravneneho
utoku. Dale je nutne pred realizaci firewallu zvazit
nebezpeci a rizika, ktera mohou vyplynout z odcizeni a ze
zneuziti dat ulozenych na lokalni siti.
Pri realizaci firewallu je nutne brat zretel i na moznosti
prislusne organizace, vcetne toho, zda ma napriklad
kvalifikovane pracovniky pro spravu a udrzbu firewallu
a vsech jeho casti.
Vyber podle nabidky
Pri srovnavani jednotlivych firewallu od ruznych vyrobcu je
nutne vzit do uvahy opet dve hlediska - za prve celkove
naklady spojene s koupi a provozem firewallu, a za druhe
vsechny prinosy, tj. vykon, spektrum poskytovanych sluzeb
a podobne. Uvedene faktory jsou obecne platne i pro vyber
jinych bezpecnostnich prostredku, napriklad sifrovacich
systemu.
Celkove naklady na zavedeni
bezpecnosti
Je nutne si uvedomit, ze samotna porizovaci cena jakehokoliv
bezpecnostniho prostredku byva jenom zlomkem celkovych
nakladu (to plati obecne pro vsechny soucasti informacnich
systemu).
Porizovaci cena se pohybuje ve velikem rozsahu v zavislosti
na typu firewallu, od zhruba 30 tisic Kc za nejjednodussi
softwarova reseni, az po nekolik milionu v pripade
nejslozitejsich reseni typu "Dual-homed gateway" nebo
"Screened subnet". Cena je casto zavisla take na poctu
klientu, pripadne na dokoupeni ruznych "doplnkovych"
vlastnosti.
Pri posuzovani ceny je predevsim nutne pozorne sledovat, zda
cena zahrnuje take nezbytny hardware (server apod.).
Prodejci firewallu vetsinou cenu potrebneho hardware
z konkurencnich duvodu neuvadeji; kvalitni slozite firewally
vsak bezne vyzaduji vysoce vykonny (ale drahy) server.
Naklady na provoz a udrzbu opet vetsinou souvisi s typem
firewallu. Jde predevsim o mzdove naklady na praci
specialistu; napriklad typy pracujici na unixovem serveru
vyzaduji pritomnost prislusneho unixoveho specialisty. Velmi
dulezitym parametrem je moznost centralni spravy vsech
zarizeni. Predevsim ve vetsich organizacich, s mnozstvim
vzdalenych pobocek, nebo velkym mnozstvim jednotlivych
zabezpecenych uzlu, je velice podstatne, zda je nutne delat
caste zmeny, a zda je mozno tyto zmeny provadet na dalku,
z jednoho centralniho pracoviste. Tento parametr navic
souvisi nejen s naklady, ale take s kvalitou bezpecnosti
- system, kde neni mozne provest nejakou zmenu jednotne
a naraz, neposkytuje dostatecne zaruky.
Naklady na skoleni zamestnancu jsou dalsim velmi dulezitym
parametrem. Tyto naklady souvisi predevsim s tim, na jake
urovni je bezpecnost aplikovana. Napriklad bezpecnostni
systemy, ktere pracuji na aplikacni vrstve, casto vyzaduji
urcite zapojeni koncovych uzivatelu; v tom pripade je tedy
nutne provest jednotne vyskoleni vsech uzivatelu, a nasledne
provadet take permanentni kontrolu dodrzovani pravidel
a opakovana skoleni.
Dalsi vynucene naklady pri instalaci. Do teto polozky patri
predevsim naklady na porizeni ci upgrade nutneho hardware
(nejen samotne pocitace, ale i komunikacni infrastruktura)
a take naklady spojene s upravou vsech dotcenych aplikaci.
Budouci naklady spojene s rozvojem IT. Jiz pri nakupu je
vhodne premyslet o tom, zda vyrobce poskytuje zaruky
snadneho rozvoje vlastniho produktu (tj. zaruky
kompatibility) a take zaruky transparentnosti pro budouci
rozvoj ostatnich soucasti informacniho systemu. Jde
napriklad o vzajemne ovlivneni pri rozvoji stavajicich
aplikaci, pri zavadeni zcela novych aplikaci, ale take
o rozvoj komunikacni infrastruktury - napriklad o moznost
snadneho prechodu na jiny typ WAN, prechod na jine rychlosti
komunikaci a podobne. Je tedy vhodne se zajimat
o principialni transparentnost vuci aplikacim i vuci
komunikacim, o dodrzovani mezinarodnich standardu
a o modularnost cele stavby (pro moznost snadne vymeny
jednotlivych komponent).
Vyber podle kvality a vykonu
Tento typ srovnani je asi ze vseho nejslozitejsi, nebot zde
prichazi do uvahy rada parametru, casto vzajemne
protichudnych. Napriklad vykonnost (neboli propustnost,
pocet provedenych transakci za minutu, v zavislosti na poctu
klientu) je obecne nizsi u firewallu typu aplikacnich bran;
aplikacni brany vsak na druhou stranu poskytuji funkce,
ktere filtrace datagramu nikdy neposkytne.
Porovnani funkcnosti je jeste slozitejsi. U firewallu typu
aplikacni brany lze napriklad porovnat, kolik aplikacnich
bran (pro jednotlive sluzby) je implementovano. U vsech typu
lze porovnavat, jake poskytuji prostredky pro autentizaci
uzivatelu, jaka je kvalita monitoringu a auditu, jaka je
snadnost ci komplikovanost konfigurace a administrace
a podobne. Dalsim kriteriem muze byt take dostupnost
doplnkovych vlastnosti, jako je napriklad moznost sifrovani
dat.