Междумрежова защитна стена е разновидност на защитна стена, която осигурява безопасност на връзката между две мрежи. Корпоративна защитна стена е по същество същото, но по-маркетингово – показва, че с нея дадено предприятие може да си обезопаси връзката между вътрешнофирмената мрежа и Интернет или други мрежи.
Общи положения За междумрежовата защитна стена са валидни общите положения за защитни стени, описани в защитна стена.
Архитектури на междумрежовите защитни стени. Разположения Вариантите за изпълнение на междумрежова защитна стена са много. Различават се по цена, изпълнение, капацитет, интерфейса и репутацията на стената. Изборът се прави според нуждите на мрежата, чувствителността на информацията и параноята на мрежовия администратор.
Сигурността се реализира в следните две парадигми: Защита в дълбочина – серия от последователни еднотипни механизми за защита; и Защита в широчина – основана на разнообразието на методите и продуктите за мрежова защита, покриващи различните възможни атаки.
Защитните стени могат да се класифицират в зависимост от природата им – софтуер или хардуер.
Софтуерно-базирани защитни стени Този тип защитни стени обикновено са специално написани за целта приложения, които работят на специализирани UNIX (Линукс, Free BSD) или Windows NT. Тези решения се оскъпяват от разноските за софтуер и сървърна операционна система при Windows NT, сървърен хардуер, и непрекъсната поддръжка.
Тези защитни стени наследяват бъговете и уязвимостите на операционната система.
Поради тази причина преди инсталирането им, самата операционна система трябва да бъде подготвена за целта, като бъдат спрени всички излишни или опасни услуги и „закърпени“ известните дупки.
Администрирането на такава стена налага постоянно да се следи за нови версии на операционната система и новите пачове към нея, свързани със сигурността на защитната стена и самата ОС, и да ги инсталира веднага при тяхното появяване. Без тези пачове, които да закърпват новооткритите дупки в съответната ОС, защитната стена се компрометира.
Маршрутизатори Маршрутизаторът е отправната точка за всички връзки на локалната мрежа с външния свят, което го прави особено уязвимо място в мрежата, ако не е снабдено с допълнителни средства за защита.
По-старите маршрутизатори демонстрират ограничени способности на защитни стени. Те могат да бъдат надграждани с допълнителни софтуерни и фирмуерни възможности.
Пресяващият маршрутизатор (screening router) е най-евтиното, но и най-ненадеждно средство за мрежова защита. Способностите му се простират до мониторинг на достъпа до един или повече вътрешни сървъра и филтриране на входящите и изходящите пакети данни.
Предимствата на маршрутизатора с пакетно филтриране в общи линии се изчерпват с неговата достъпност, лекота и ниска цена. Недостатъците са значително повече. Маршрутизаторът не позволява обстойни правила за филтриране, и следователно е предразположен към грешки и атаки. Още повече, че не дава възможност за удостоверяване на пакетите. Почти е невъзможно да се скрие вътрешната структура и реалното адресиране на хостовете в мрежата.
Съвременните маршрутизатори на CISCO са и мощни защитни стени. Необходимо е да се купи и инсталира съответният софтуер, т.нар. „Cisco IOS“ и защитните функции почват да работят.
Специализирани устройства от тип „защитна стена“ Продават се специализирани (dedicated) хардуерно-базирани системи за сигурност. Те работят под вградени операционни системи, специално пригодени за нуждите на защитните стени, затова те са доста по-„безчувствени“ към много от слабостите със сигурността, присъщи на Windows NT и UNIX. Наличието на слабости в техния софтуер (firmware) обаче е потенциална опасност и поради тази причина трябва да бъдат специално проучвани преди инсталиране и софтуерът им своевременно обновяван.
Разположения
Защитната стена не само че няма да е от полза, но може и да е във вреда, ако не е разположена на правилното място. Следните фактори определят разположението на защитната стена: Броят на компютрите в локалната мрежа и нейната топология определят дали на всеки компютър ще се постави защитна стена или няколко компютъра могат да бъдат скрити зад една обща защитна стена. Освен това тези параметри определят дали не е по-подходящо за защитна стена да се постави обикновен маршрутизатор или дори цял компютър, който да изпълнява защитни функции. Степента на необходимата защита и положението със защитата на съседните мрежи определят колко и какви защитни механизми едновременно ще работят за сигурността на локалната мрежа. Ако локалната мрежа съхранява критична по отношение на сигурността информация (например ако мрежата обслужва военна или финансова институция), то защитните механизми трябва да се прилагат както за цялата мрежа, така и за всеки хост поотделно. Характерът на информацията и услугите в локалната мрежа е фактор, който определя необходимостта и разположението на демилитаризирани зони в мрежата. Обемът и видът на трафика, генериран от защитаваната мрежа, определя начина, по който ще бъде конфигурирана защитната стена. Колкото е по-голям и разнообразен трафикът, толкова по-сложни ще са правилата, които стената ще съблюдава.
От значение е разположението на публичните сървъри, които не биха работили правилно, ако заради защитната стена хостовете от глобалната мрежа не могат да се свързват с тях. Ако e-mail сървърът, например, е разположен зад защитната стена на корпоративната локална мрежа, тогава в нея трябва да се „пробиват дупки“, за да се разреши електронната поща. Тези дупки обаче може да се използват от хакери. Ако e-mail сървъра е пред защитната стена и просто се наложат правила за електронна поща, то хем хостовете в локалната мрежа ще могат да използват тази услуга, хем ще бъде осигурена защита за мрежата. Защото, ако хакер все пак пробие защитата на e-mail сървъра, той все още няма да може да достигне до локалната мрежа, заради стоящата отзад защитна стена.
Затова е по-добре публичните сървъри (като e-mail сървъра) да стоят пред защитната стена на локалната мрежа. За да се обезопасят обаче и те, пред тях също се слага защитна стена. Това в крайна сметка е от полза за локалната мрежа, която така бива защитена двойно. Зоната между двете защитни стени обикновено се нарича демилитаризирана зона (demilitarized zone, DMZ).
Демилитаризираната зона представлява самостоятелен мрежови сегмент, в който информацията е под протекцията на защитни стени. Външните потребители имат достъп до DMZ, но не и до останалата част от корпоративната мрежа. Достъпът до данните и услугите от DMZ-сегмента се осъществява само през защитна стена. Комуникацията между DMZ и вътрешната мрежа също се осъществява чрез защитна стени със свои правила. DMZ е ефективен механизъм за онези компании, които очакват клиентите им да се свързват с техните мрежи по Интернет от външен за компанията източник, например при осъществяването на електронна търговия.
Технологии на защитните стени Концепцията за защитна стена може да бъде реализирана по различни начини и в различна степен. Тези различни реализации в литературата се наричат технологии. Международната асоциация за компютърна сигурност (International Computer Security Association, ICSA, ) класифицира защитните стени в три категории в зависимост от използваната технология: пакетно филтриращи защитни стени (packet filter firewalls), защитни стени с пакетно филтриране и състояние (stateful packet inspection firewalls), Deep Packet Inspection (DPI) прокси сървъри на приложно ниво (application-level proxy servers).
В литературатаБрайян Комър, „TCP/IP – Мрежи и администриране“, Издателство „Инфодар“, София, 1999 се среща още една възможна технология: кръгови защитни стени (circuit-level firewalls).
Пакетно филтриращи защитни стени Това е най-лесният и евтин за реализация тип защитна стена.
Базираната на пакетно филтриране стена проверява адреса на входящия трафик и отклонява всичко, което не съответства на списъка ѝ с доверени адреси. Този тип защитна стена използва правила за отказване на достъп по отношение на информация, която се съдържа във всеки пакет: обекти на анализ са номерът на TCP/IP порта, IP адресите на източника и дестинацията, протоколът и типът на данните.
Предимства Недостатъци относително малък брой необходими изчислителни операции, поради което този тип защитна стена има най-висока производителност, не е необходимо клиентът да бъде специално конфигуриран. функционира само на базата на информацията от транспортното ниво и не различава команди от приложното ниво. Това прави невъзможно прилагането на по-прецизни правила, регламентрищи достъпа. трудност при дефинирането на филтрите: колкото повече правила се включват, толкова повече се забавя обработката на пакета и оттам пада и производителността.
Защитни стени с пакетно филтриране и състояние Защитните стени от този тип надграждат технологията на пакетно филтриращите защитни стени, като пазят информация за сесиите и връзките във „таблици на състоянието“. Проследяват се и се запомнят заявките за информация, които излизат от вътрешната мрежа. След това стената проверява входящата към мрежата информация, за да установи заявена ли е или не, и пропуска само заявената информация. Критериите, по които се определя дали даден пакет принадлежи към вече отворена връзка са следните: IP адресите на източника и получателя (source/destination IP addresses); номерата на порта на източника и получателя (source/destination ports); поредният номер на пакета (sequence number). Допускат се само пакети принадлежащи към вече отворена отвътре връзка (connection) или към услуги, разрешени от администратора. Тази технология се счита за най-съвременната и сигурната, понеже при нея се сканират всички компоненти на пакета и неговия полезен товар (payload), преди се определи дали да бъде приета или отхвърлена заявената информация.
Прокси сървъри на приложно ниво Този тип защитна стена още се нарича „шлюз на приложенията“ или „прокси-базирана защитна стена“. Прокси сървърът представлява програма, която действа едновременно и като сървър, и като клиент. Прокси сървърите изискват реконфигурация на мрежовите настройки и приложения (като уеб-браузъри), които да поддържат проксито, а това може да се окаже доста трудоемко.
Прокси-базираната защитна стена работи на приложното ниво от OSI модела. За разлика от защитната стена с пакетно филтриране и състояние, прокси-стената инспектира трафика на приложния слой в допълнение на по-долните слоеве. Когато при този тип защитна стена пристигне пакет, той бива предаден на специфично за приложението прокси, което проверява валидността на пакета и на самата заявка на приложния слой. В зависимост от типа на заявката – например, HTTP, FTP, Telnet – пакетът се предава на HTTP-прокси процес, FTP-прокси процес или Telnet-прокси процес. Това означава, че щом прокси-базирана защитна стена разпознава протокола на заявката, при нея могат да бъдат конфигурирани много по-прецизни правила за разрешаване и отхвърляне на данните. Освен това, както и при защитните стени с пакетно филтриране и състояние, работните сесии също могат да бъдат документирани и запазени в подробни дневници на информационния обмен. Новото тук е възможността за кеширане на ресурсите, ползвани от прокси клиентите. Когато към прокси сървъра бъде изпратена заявка, той първо проверява в кеша си за съхранено копие на заявения ресурс. Така освен че клиентът бива бързо обслужен (кеш паметта е най-бързата памет), но и трафикът между вътрешната мрежа и проксито не се натоварва излишно. Това преимущество е от критично значение за този вид защитни стени, понеже тяхната технология е доста по-бавна от технологията на пакетното филтриране със състояние.
Кръгови защитни стени