Firewall

Firewall (w wolnym tłumaczeniu z angielskiego - ściana ogniowa) lub jak to jest przetłumaczone na język polski Zapora sieciowa - ogólnie mówiąc jest to komponent oprogramowania, który ogranicza nieautoryzowany dostęp do sieci wewnętrznej. Zdaniem A. Lockharta "Zapora sieciowa może zapobiec nieautoryzowanemu dostępowi do usług na poziomie sieci, zanim osoba atakująca będzie miała szansę wykorzystania ich do swoich celów" (A.Lockhart 2007, s127). Zapora sieciowa całkowicie izoluje komputer od Internetu za pomocą "ściany kodu", która sprawdza każdy pakiet danych po dotarciu do obu stronach zapory - przychodzącej lub wychodzącej z komputera - w celu ustalenia, czy powinno być dozwolone przejść lub zostać zablokowanym. Prawidłowo działające zapory powinny bronić naszych zasobów na komputerze, zatwierdzać dostęp, działać jako pośrednik w wielu wykonywanych czynnościach, zarządzać i kontrolować ruchem sieciowym oraz raportować każdą możliwą próbę obejścia firewalla.

TL;DR

Zapora sieciowa (firewall) to komponent oprogramowania, który chroni sieć przed nieautoryzowanym dostępem. Istnieją trzy generacje zapór: filtrowanie pakietów, bramki na poziomie obwodu i filtrowanie warstw aplikacji. W zależności od danych używanych do filtrowania ruchu sieciowego, wyróżnia się różne rodzaje zapór, takie jak zapora filtrująca, translacja adresów sieciowych i zapora pośrednicząca.

Historia zapory sieciowej

Idea muru, który powstrzymuje intruzów, pochodzi sprzed tysięcy lat. Przykładem może być fakt, że tysiące lat temu Chińczycy zbudowali Wielki Mur jako ochronę przed sąsiadującymi plemionami północnymi lub to że wiele europejskich królów budowało zamki z wysokimi murami i fosami w celu chronienia siebie i swoich poddanych od niepożądanych najazdów. Więc nie dziwi nas fakt, że ludzie chcieli się odgrodzić od zagrożeń w sieci komputerowej. Przed powstaniem zapory sieciowej rolę tę pełniły routery używane w późnych latach osiemdziesiątych (A History... 2002).

Pierwsza generacja: packet filters

Filtr pakietów, czyli pierwszy zgłoszony typ zapory sieciowej. Firewall filtruje pakiety, na podstawie zawartych danych w o opisie pakietów sieciowych kontroluje ruch sieciowy. Dzięki czemu pozwala na filtrowanie pakietów pochodzących z określonych sieci, podsieci, adresów IP czy portów UDP lub TCP.(Przegląd mechanizmów... 2007). Poprzez takie dokładne sprawdzanie, filtry pakietów decydują czy dana sieć musi być odrzucana czy przyznawana. W 1988 roku został opublikowany pierwszy artykuł, którego tematem była technologia firewall. Artykuł powstał ponieważ dzięki inżynierom z Digital Equipmet Corporation powstał system filtrowania, znany jako firewall filtrów pakietów. Jest on uznawany za pierwszą generację, podstawowego systemu który w późniejszych czasach pełnił ważną rolę bezpieczeństwa w sieci.(A History... 2002).

Druga generacja: "stateful" filters

Trzej koledzy z AT & T Bell Laboratories, Janardan Sharma, Kshitij Nigam i Dave Presotto opracowali koncepcję drugiej generacji zapory sieciowej, którą nazwali bramki na poziomie obwodu.(Afzalpulkar N. i in. 2009, s. 513). Zapory sieciowe nowej generacji bazują na pracy poprzedniej generacji, lecz działają do czwartej warstwy modelu OSI czyli warstwy transportowej. Jest to możliwe ponieważ pakiety są zatrzymywane do momentu w którym zbierzemy wystarczającą ilość informacji dzięki którym będziemy mogli ocenić ich stan. Firewall poprzez restart wszystkich połączeń, które przez niego przechodzą określa czy pakiet jest częścią istniejącego połączenia, czy jest początkiem nowego połączenia lub czy nie jest żadną częścią połączenia. Niektóre ataki takie jak "odmowa usługi" napierają na firewalla tysiącami pakietów połączeń, które są fałszywe w celu wypełnienia pamięci.

Trzecia generacja: application layer

W 1993 został podjęty ważny krok naprzód zapór sieciowych ponieważ została wydana przez Trusted Information Systems pierwsza zapora typu open soruce - Firewall Toolkit (FWTK).(The history... 2018). w latach 1995-1998 zapora ta oceniona została jako najlepsza zapora sieciowa. Główną cechą tej generacji jest filtrowanie warstw aplikacji, dzięki czemu może "odczytać" dane protokoły i aplikacje (takie jak system nazw domen (DNS), protokół FTP lub protokół HTTP). Poprzez takie dokładne filtrowanie zapora może wykryć czy niechciana usługa lub aplikacja stara się ominąć firewalla na dozwolonym porcie, lub ustalić czy nadużywany jest dany protokół i jeśli tak, to czy działa to w jakiś szkodliwy sposób. W 2012 powstała zapora nowej generacji (NGFW), lecz jest to tylko dokładniejsza weryfikacja aplikacji.

Rodzaje zapór sieciowych

Jak podaje Kaczmarek J. "W zależności od danych używanych do filtrowania ruchu sieciowego, wyróżnia się kilka rodzajów zapór sieciowych. Każdy rodzaj wykorzystuje informacje zapisane w innej warstwie modelu ISO-OSI" ( Przegląd... 2007). Możemy wyszczególnić zaporę filtrującą, która monitoruje przetwarzane przez nie sieciowe pakiety i przesyłać dalej tylko te, które spełniają ustalone reguły, które są zamieszczone na zaporze. W niewielkich sieciach najczęściej możemy się spotkać z osobno wydzielonym komputerem na którym jest zainstalowany system Linux lub inną opcją jest zapora sprzętowa. Kolejnym typem zapory sieciowej jest translacja adresów sieciowych. Firewall często mają funkcję translacji adresów sieciowych (NAT), co pozwala na ukrycie prawdziwego adresu komputera, który jest aktualnie podłączony do sieci. Dzięki takiemu zabiegowi ograniczono liczbę rutowalnych adresów IPv4, które można było przypisać lub wykorzystać do osób i firm. Chociaż NAT nie jest uważany sam w sobie jako zabezpieczenie, ukrywanie adresów chronionych urządzeń stało się często używaną ochroną przez rozpoznaniem w sieci. Wyróżniamy też zapory pośredniczące (proxy), które mogą działać na dedykowanym sprzęcie bądź jako oprogramowanie na komputerze. Proxy jest bramą z jednej bramy do drugiej dla określonej aplikacji sieciowej. Utrudnia to manipulację systemem wewnętrznym z zewnętrzna siecią, tak by niewłaściwe użycie systemu wewnętrznego nie naruszało bezpieczeństwa z zewnątrz zapory sieciowej.

Firewall — artykuły polecane

SmallTalk (język programowania) — SQL — Litecoin — POP3 — ASP.NET — Automatyczna indeksacja — Licencja BSD — Ransomware — HTML

Bibliografia

• Afzalpulkar N. (red.) (2009), Proceedings of National Conference on Recent Developments in Computing and Its Applications, International Publishing House, New Delhi
• Ferguson M. (2018) The history of the next-generation firewall, computerweekly
• Ingham K. (2002), A History and Survey of Network Firewalls, Journal of the ACM vol. V, str 1-42
• Kaczmarek J. (2007), Przegląd mechanizmów zabezpieczania systemu operacyjnego, Oddział Gdański PTETiS, Zastosowanie komputerów w nauce i technice, Referat nr 12
• Lockhart A. (2007), 125 sposobów na bezpieczeństwo sieci, Helion, Gliwice

Autor: Jakub Zelek