Классический межсетевой экран решает, пропустить пакет или нет, по адресам и портам. Пока один адрес означал один сервис, этого хватало. Сейчас за одним адресом могут работать соцсеть, музыка и видео, и по заголовку их не различить.
Как фильтрацию настраивают на практике, разбирают на курсе «Инженер по информационной безопасности», где средства защиты внедряют на собственном стенде. А здесь разберёмся, что изменила глубокая инспекция пакетов и чем UTM отличается от NGFW.
Что видит классический межсетевой экран
Данные по сети идут кусками, пакетами. Если открыть любой пакет в анализаторе трафика вроде Wireshark, в нём будет полезная нагрузка, то есть сами передаваемые данные, и служебные заголовки. В заголовках записано, откуда и куда идёт пакет: IP-адреса отправителя и получателя, номера портов.
Классический межсетевой экран работает с этими заголовками. По адресу и порту он разрешает передачу или блокирует её. Логика понятная и быстрая.
Современные экраны вдобавок запоминают сессии. Если пользователь изнутри обратился к сайту, ответ этого сайта пропускается автоматически, без отдельного правила. Такие экраны называют stateful. Ещё они делят сеть на зоны с разным уровнем доверия, и вместо сотен правил остаётся несколько.
Где заголовков перестаёт хватать
Возьмём большой портал вроде VK. На одном адресе там работают социальная сеть, музыка, видео и другие сервисы. Для экрана, который смотрит только в заголовки, это один и тот же трафик. Запретить сотруднику соцсеть и оставить остальное он не сможет.
С атаками то же самое. IP-адрес отправителя может выглядеть безобидно, а внутри пакета лежит вредоносная нагрузка. Чтобы её увидеть, нужно смотреть в содержимое.
Технология, которая это делает, называется Deep Packet Inspection, или DPI. Она разбирает, какие данные передаёт отправитель и какие получает получатель.
Что стало возможно благодаря DPI
С появлением DPI вырос целый класс средств защиты, которые работают с содержимым трафика:
- системы обнаружения и предотвращения вторжений (IDS/IPS) ищут в трафике сигнатуры атак;
- DLP-системы находят конфиденциальные данные, например изображение с печатью или образец паспорта, и могут остановить их передачу;
- веб-фильтры разрешают одни сервисы сайта и запрещают другие;
- WAF защищает веб-приложения: это межсетевой экран, который специализируется на веб-трафике.
Как быть с зашифрованным трафиком
Большая часть веба идёт по HTTPS, а заглянуть в шифрованный пакет без ключей нельзя. Поэтому в компаниях применяют инспекцию HTTPS. Средство защиты встаёт в разрыв между пользователем и сайтом и на лету выпускает для сайта свой сертификат, которому доверяет рабочая машина. Компьютер пользователя шифрует трафик до средства защиты, оно само соединяется с сайтом, а посередине трафик можно анализировать.
Заметить это несложно. Откройте с рабочего компьютера сертификат популярного сайта. Если его выпустил антивирус или корпоративный шлюз, а не публичный удостоверяющий центр, ваш трафик инспектируется.
На каких сертификатах и ключах держится HTTPS, разбирают в первом блоке курса «Инженер по ИБ», вместе с основами криптографии, PKI и моделями доступа.
UTM: всё в одной коробке
Раньше для защиты периметра ставили набор отдельных устройств: межсетевой экран, систему предотвращения вторжений, антивирус, DLP, веб-фильтр. Когда появился DPI, а производительности железа стало хватать на всё сразу, функции объединили в одном устройстве. Так появился класс UTM (Unified Threat Management), единое управление угрозами, или универсальный шлюз безопасности.
У UTM есть ограничение. Пакет проходит проверки по очереди: межсетевой экран, IPS, фильтрация, антиспам, антивирус. Последовательная проверка небыстрая, и большой объём трафика устройству пропускать тяжело. Поэтому UTM сегодня в основном решение для малого и среднего бизнеса: оно дешевле и с более простой аппаратной начинкой.
NGFW: тот же набор, но параллельно
Позже появился термин NGFW, Next Generation Firewall, межсетевой экран следующего поколения. Его появление связывают с вендором Palo Alto Networks, и маркетинга в нём тоже хватало. По сути это межсетевой экран с функциями DPI и похожим набором дополнительных проверок.
Отличие в аппаратной части. У NGFW столько процессоров на каждую функцию, что пакет проверяется несколькими системами одновременно. За счёт этого растёт производительность. Состав функций у разных вендоров отличается, поэтому при выборе смотрят описание конкретного продукта. В России NGFW выпускают многие вендоры ИБ, их решения входят в реестр отечественного ПО и имеют сертификаты.
Почему межсетевые экраны ставят парой
Через экран на периметре проходит весь трафик компании, поэтому его отказ отрезает сеть от интернета. Чтобы этого не случилось, экраны объединяют в стек из двух устройств. Пара может работать в режиме active/active, когда трафик обрабатывают оба, или active/standby, когда второе ждёт отказа первого. Какой режим доступен, зависит от вендора.
Дальше избыточность наращивают по бюджету: два подключения к одному провайдеру, два провайдера, наконец, подключение каждого устройства к обоим провайдерам. Последний вариант самый надёжный и самый дорогой, потому что каждое устройство и каждый порт стоят денег.
Шпаргалка
- Классический межсетевой экран фильтрует по заголовкам: адресам и портам.
- DPI смотрит в содержимое пакета, на нём работают IPS, DLP, веб-фильтры и WAF.
- Для шифрованного трафика нужна инспекция HTTPS с выпуском своего сертификата.
- UTM проверяет пакет последовательно и подходит для небольших сетей.
- NGFW проверяет параллельно и рассчитан на большие объёмы трафика.
Где это отработать
Чтобы настраивать межсетевые экраны и IPS, нужно понимать, что происходит с пакетом на каждом уровне сети.
На курсе «Инженер по информационной безопасности» студенты параллельно получают инженерную базу: сети, Windows и Linux, средства защиты — и учатся работать с нейросетями. С первых модулей они соберут команду из 7 AI-агентов и пройдёт с ней всю программу.
Старт 28 октября, 6 месяцев обучения, 12 проектов в портфолио и диплом о профессиональной переподготовке.
