फायरवॉल की नई पीढ़ी अधिक सुविधाजनक है और नए इंजन वास्तुकला और नेटवर्क प्रवाह के प्रबंधन की नई विचारधारा के लिए धन्यवाद।

यह लेख क्यों दिखाई दिया?

बार-बार साथी सुरक्षाकर्मियों के पास आया जो नई पीढ़ी के फायरवॉल का इस्तेमाल करते हैं और उन्होंने देखा कि वे पोर्ट नंबर पर नियम लिखना जारी रखते हैं। अनुप्रयोगों के नाम से लिखने के मेरे सुझाव पर, मैंने सुना "क्या होगा अगर यह उस तरह से काम नहीं करता है?"। यदि आप भी "डरे हुए" हैं या यह स्पष्ट नहीं है कि अनुप्रयोगों के लिए नियम क्यों लिखें, तो यह लेख आपके लिए है।

भाग 1. फ़ायरवॉल मूल बातें

सामग्री

परिचय
परिभाषित
फ़ायरवॉल
L3 फ़ायरवॉल
L4 फ़ायरवॉल
L7 फ़ायरवॉल
UTM
NGFW
उदाहरण
प्रॉक्सी सर्वर
USER-ID क्या है
स्टेटफुल इंस्पेक्शन के बारे में गलत धारणा: स्टेट एल 4 बनाम एल 7
स्टेटफुल इंस्पेक्शन के बारे में गलतफहमी: सत्र L4 बनाम L7 की संख्या
स्टेटफुल इंस्पेक्शन के बारे में गलत धारणा: L4 क्लस्टर बनाम L7
भाग 2. L7 फ़ायरवॉल का सुरक्षा प्रभाव

परिचय

Skype, TOR, Ultrasurf, TCP-over-DNS, और कई सौ से अधिक एप्लिकेशन और टनल चुपचाप राज्यीय निरीक्षण फ़ायरवॉल और HTTP प्रॉक्सी के माध्यम से गुजरते हैं। कई सुरक्षा कनेक्शन खोलते हैं, लेकिन उनके अंदर क्या जाता है, इसकी जांच नहीं करते हैं। मैं यह जानने का प्रस्ताव करता हूं कि नई पीढ़ी के फ़ायरवॉल में एप्लिकेशन कनेक्शन को नियंत्रित तरीके से कैसे नियंत्रित किया जाए, जहां नियमों को एप्लिकेशन नामों से लिखा जाता है, जो ओएसआई आईएसओ मॉडल के स्तर 7 से मेल खाती है। इस तरह के फायरवॉल को नेक्स्ट जनरेशन फायरवॉल कहा जाता है, जो नई पीढ़ी का फायरवॉल या एनजीएफडब्ल्यू है।

फ़ायरवॉल व्यवस्थापक को न केवल कनेक्शन की अनुमति देने की आवश्यकता है, बल्कि यह भी सुनिश्चित करना है कि आप जो चाहते हैं वह स्थानांतरित किए गए फ़ाइलों की जांच सहित अनुमत कनेक्शन के अंदर जाता है। इसे सुरक्षित एप्लिकेशन अनुमति कहा जाता है।

ट्रैफ़िक के साथ काम करने में कई महत्वपूर्ण अंतर हैं, जिन्हें आप केवल तभी समझते हैं जब आप नियमों के वास्तविक उपयोग पर स्विच करते हैं, जहां मानदंड आईएसओ OSI मॉडल के स्तर 7 का अनुप्रयोग है:

• IT व्यवस्थापक देखता है कि NGFW नेटवर्क ट्रैफ़िक की कल्पना करता है, अर्थात यह पैकेट डेटा फ़ील्ड की सामग्री, उपयोगकर्ता नाम और कौन सा एप्लिकेशन चल रहा है और कौन सी फाइल इसे प्रसारित करता है, यह दिखाता है।
  
• IT सुरक्षा यह देखती है कि NGFW सुरक्षित एप्लिकेशन रिज़ॉल्यूशन प्रदान करता है, क्योंकि पैकेज में डेटा का गहन विश्लेषण आपको वायरस देखने देता है, सैंडबॉक्स में अज्ञात फाइल भेजने में सक्षम बनाता है, फ़ाइल प्रकार, DLP के लिए कीवर्ड, URL श्रेणी की जाँच करें, एसएसएल और एसएसएच के अंदर क्या होता है, इसकी जाँच करें। दुनिया भर में पहले से ज्ञात समझौता के संकेतकों के साथ तुलना करें, डीएनएस फ़िल्टर और अन्य आधुनिक तकनीकों को सक्षम करें।
  

इसके कारणों को समझने के लिए, L4 और L7 फ़ायरवॉल लॉग की तुलना करें।

ए) एल 4 फ़ायरवॉल लॉग में प्रविष्टि की तुलना करें, जो केवल ओएसआई आईएसओ मॉडल के परिवहन (चौथे) स्तर के हेडर को पार्स करता है - इस मामले में टीसीपी:

हां, स्रोत और गंतव्य के बारे में जानकारी है, तो आप पोर्ट नंबर 443 से अनुमान लगा सकते हैं कि अंदर, संभावना की एक उच्च डिग्री (जैसा कि अंग्रेजी कहते हैं), एसएसएल कनेक्शन। मैं व्यक्तिगत रूप से इस प्रविष्टि में कोई घटना नहीं देख सकता। आपके बारे में क्या?

बी) उसी टीसीपी कनेक्शन के लिए एल 7 फ़ायरवॉल लॉग में प्रविष्टि की तुलना करें, जहां सामग्री स्वयं टीसीपी / डेटा डेटा क्षेत्र में भी स्थानांतरित हो जाती है:

यहाँ आप देख रहे हैं कि विपणन विभाग के इवानोव ने स्लाइडशेयर के लिए "वितरण के लिए नहीं" चिह्नित एक फाइल अपलोड की थी। यह एक वास्तविक घटना का उदाहरण है जहां एक कर्मचारी ने इंटरनेट पर एक वर्ष के लिए गोपनीय कंपनी विकास योजनाएं पोस्ट कीं। यह जानकारी L7 फ़ायरवॉल में L4 फ़ायरवॉल के लिए ऊपर के कनेक्शन के विश्लेषण के आधार पर प्राप्त की गई थी और तुरंत जानकारी यह समझने के लिए पर्याप्त हो जाती है कि कोई घटना थी। और यह यातायात विश्लेषण के लिए एक पूरी तरह से अलग दृष्टिकोण है। लेकिन, मैं आपको तुरंत चेतावनी देता हूं कि इस तरह के गहन विश्लेषण से डिवाइस के प्रोसेसर और रैम पर गंभीर भार पड़ता है।

कभी-कभी यह महसूस किया जाता है कि NGFW में पत्रिकाओं के विस्तार का स्तर, CRM सिस्टम में विस्तार के स्तर के समान है जो विभिन्न स्रोतों से बिट द्वारा सूचना बिट एकत्र करते हैं। यही कारण है कि एनजीएफडब्ल्यू, सिएम के लिए जानकारी के सबसे अच्छे स्रोतों में से एक है।

परिभाषित

उन शर्तों को उजागर करना आवश्यक है जिनके साथ हम काम करना जारी रखेंगे। सभी परिभाषाओं को विस्तार से बताने का मेरा कोई उद्देश्य नहीं है।



सात-स्तरीय OSI ISO मॉडल नेटवर्क उपकरणों के बीच पारस्परिक क्रिया का एक मॉडल है, जिसमें कहा गया है कि इंटरैक्शन अमूर्तता के लगातार 7 स्तर हैं: पहला भौतिक है, अगला चैनल है, नेटवर्क है, चौथा परिवहन है, फिर सत्र, प्रस्तुति और सातवें स्तर के अनुप्रयोग हैं (ऊपर चित्र देखें) )।

प्रत्येक नेटवर्क डिवाइस अपने स्वयं के अमूर्त स्तर पर संचालित होता है: वेब सर्वर और ब्राउज़र - एप्लिकेशन स्तर (स्तर 7 या संक्षेप में L7) पर, राउटर - चैनल (2) और नेटवर्क स्तर (3) पर एक-दूसरे के साथ संवाद करते हैं जब वे फ्रेम और पैकेट एक दूसरे को संचारित करते हैं। ।

फ़ायरवॉल भी नेटवर्क डिवाइस हैं और, उनके प्रकार के आधार पर, स्विच और राउटर भी हो सकते हैं और यहां तक ​​कि नेटवर्क टोपोलॉजी के दृष्टिकोण से "वर्चुअल केबल" भी हो सकते हैं, लेकिन इन नेटवर्क डिवाइसों पर एक अतिरिक्त भार है: उन्हें पैकेट की सामग्री का विश्लेषण करना चाहिए।

और नेटवर्क पैकेट के विश्लेषण की गहराई भिन्न हो सकती है। चाहे वे स्तर 4 या 7 का विश्लेषण करें, एक महत्वपूर्ण अंतर है।

फ़ायरवॉल

फ़ायरवॉल (ITU), नेटवर्क फ़ायरवॉल एक नेटवर्क डिवाइस है जो नेटवर्क को विभिन्न सुरक्षा नीतियों के साथ खंडों में विभाजित करता है और इन नीतियों को नियंत्रित करता है। उदाहरण के लिए, इंटरनेट सेगमेंट - वहां कुछ भी किया जा सकता है। और आपके डेटा सेंटर का सेगमेंट - वहां आप केवल अनुमत अनुप्रयोगों के लिए कर्मचारियों की एक समर्पित सूची काम कर सकते हैं। एक वीएमवेयर होस्ट के भीतर, वर्चुअल मशीन और उनके लिए अलग-अलग एक्सेस पॉलिसी के साथ कई वर्चुअल नेटवर्क हो सकते हैं।

फ़ायरवॉल सुरक्षा नीति में नियम हैं जो प्रत्येक फ्रेम और पैकेट का विश्लेषण करके डिवाइस प्रोग्राम कोड को लागू करते हैं जो फ़ायरवॉल से आया और जाता है। फ़ायरवॉल नियमों में, निरीक्षण मानदंड (क्वालिफायर) परिभाषित किए गए हैं, जिसके अनुसार यातायात को अनुमति देने या अवरुद्ध करने का निर्णय लिया जाता है। नियमों में क्वालिफायर के उदाहरण हैं: पता, पोर्ट, एप्लिकेशन, उपयोगकर्ता, ज़ोन। क्रमिक रूप से फ़ायरवॉल, नियम से नियम, सूची के ऊपर से नीचे तक मानदंड को स्कैन करता है और यदि आने वाला ट्रैफ़िक नियम के सभी मानदंड (मापदंड के बीच तार्किक संचालन "और" से मिलता है) तो संकेतित कार्रवाई को लागू किया जाता है: ब्लॉक या छोड़ें। क्रिया को पहले पैकेट और बाद के सभी पैकेटों के लिए समान टीसीपी / आईपी कनेक्शन के लिए किया जाता है।

फ़ायरवॉल के विभिन्न प्रकार और कार्यान्वयन हैं। हम उपयोग किए गए ट्रैफ़िक विश्लेषण गहराई की डिग्री के अनुसार वर्गीकरण पर विचार करेंगे: एल 3, एल 4 और एल 7।

L3 फ़ायरवॉल

L3 फ़ायरवॉल एक फ़ायरवॉल है जो ट्रैफ़िक को स्वयं से गुजरता है और केवल IP प्रोटोकॉल हेडर का विश्लेषण करता है, अर्थात, ट्रैफ़िक कहाँ से कहाँ जाता है। ऐसे फायरवॉल को पैकेट फ़िल्टरिंग कहा जाता है। नियमों को "एक्सेस लिस्ट" या एक्सेस-लिस्ट (ACL) कहा जाता है और यह कार्यक्षमता आज लगभग किसी भी राउटर और ऑपरेटिंग सिस्टम में काम करती है। इस तरह के विश्लेषण को प्रोसेसर और फ़ायरवॉल मेमोरी पर एक गंभीर भार की आवश्यकता नहीं होती है।

L4 फ़ायरवॉल

L4 फ़ायरवॉल एक फ़ायरवॉल है जो ट्रैफ़िक को अपने आप से गुजरता है और 4 स्तरीय प्रोटोकॉल के हेडर की जाँच करता है: TCP, UDP, ICMP, यानी ट्रैफ़िक पास करने के लिए मुख्य सत्यापन मानदंड IP पते और TCP / UDP पोर्ट या ICMP सेवाएं हैं।

स्टेटफुल इंस्पेक्शन की अवधारणा L4 फ़ायरवॉल में भी दिखाई देती है, जहाँ प्रत्येक पासिंग अनुरोध को संग्रहीत किया जाता है और आवश्यक प्रतिक्रिया कनेक्शन की अनुमति देने के लिए अनुरोध की स्थिति संग्रहीत की जाती है। यही है, एक कनेक्शन सर्जक की अवधारणा दिखाई देती है, जो क्लाइंट-सर्वर तकनीक पर निर्मित नेटवर्क में तार्किक है। ऐसा फ़ायरवॉल प्रत्येक कनेक्शन के बारे में डेटा संग्रहीत करने पर मेमोरी खर्च करता है, अर्थात, मेमोरी में संग्रहीत एक साथ सत्र की अधिकतम संख्या पर सीमा होती है। L4 फ़ायरवॉल में, आपको रिवर्स कनेक्शन के लिए प्रतिक्रिया नियम लिखने की आवश्यकता नहीं है, जैसा कि L3 फ़ायरवॉल में आवश्यक है, क्योंकि कनेक्शन स्थिति के आधार पर, फ़ायरवॉल स्वचालित रूप से रिवर्स कनेक्शन की अनुमति देता है। यही है, एल 4 फ़ायरवॉल पैकेट फ़िल्टर की तुलना में अधिक सुविधाजनक है।

आधुनिक एल 4 फ़ायरवॉल न केवल टीसीपी, यूडीपी और आईसीएमपी की स्थिति को स्टोर करते हैं, बल्कि कुछ एल 7 अनुप्रयोगों की बातचीत को भी ट्रैक करते हैं। उदाहरण के लिए, एफ़टीपी, एचटीटीपी, एसआईपी और अन्य अनुप्रयोगों की स्थिति, जो पहले से ही फ़ायरवॉल के विशिष्ट कार्यान्वयन पर निर्भर करती है। हमें L4 फ़ायरवॉल निर्माता से प्रश्न पूछने की आवश्यकता है: क्या विशिष्ट अनुप्रयोग उनके स्टेटफुल निरीक्षण फ़ायरवॉल इंजन का समर्थन करते हैं?

L7 फ़ायरवॉल

L7 फ़ायरवॉल एक फ़ायरवॉल है जो IP नेटवर्क ट्रैफ़िक को स्वयं से गुजरता है और दोनों स्तर 4 हेडर और प्रत्येक IP पैकेट के डेटा सेगमेंट की जाँच करता है, अर्थात यह L7 एप्लिकेशन-लेवल ट्रैफ़िक को समझता है, जिस तक फाइलें स्थानांतरित की जाती हैं और किस दिशा में जाती हैं। चूंकि अधिक डेटा का विश्लेषण किया जाता है, इसलिए L7 फ़ायरवॉल नियमों में अधिक सत्यापन मानदंड हैं: उपयोगकर्ता का नाम, एप्लिकेशन, URL श्रेणी, उपयोगकर्ता के कंप्यूटर पर सॉफ़्टवेयर की स्थिति।

L7 फ़ायरवॉल पर लोड बहुत अधिक है, क्योंकि इसके प्रोसेसर को एप्लिकेशन द्वारा प्रेषित डेटा फ़ील्ड की मेगाबाइट का लगातार विश्लेषण करना चाहिए, जबकि L4 फ़ायरवॉल स्रोत और गंतव्य पते और बंदरगाहों के साथ आईपी पैकेट हेडर के केवल कुछ बाइट्स की जांच करता है। प्रत्येक L7 अनुप्रयोग की स्थिति को संग्रहीत करने के लिए बफ़र आकार को बहुत अधिक की आवश्यकता होती है, क्योंकि अधिक डेटा केवल TCP / IP शीर्षलेख की तुलना में L7 में स्थानांतरित किया जाता है। अनुप्रयोग विश्लेषण का उपयोग करते समय बढ़े हुए बफर आकार के कारण, L7 फ़ायरवॉल की स्मृति में एक साथ संग्रहीत सत्रों की संख्या L4 फ़ायरवॉल से स्मृति की समान मात्रा से कम होती है। चूंकि L7 फ़ायरवॉल सामग्री द्वारा देखता है कि नेटवर्क पर किस तरह का एप्लिकेशन जाता है, पोर्ट नंबर का कोई मतलब नहीं है और नियमों को L7 एप्लिकेशन के नाम से लिखा जा सकता है। इसके अलावा, आधुनिक एप्लिकेशन कई कनेक्शन उत्पन्न करते हैं और ये सभी कनेक्शन एक ही एप्लिकेशन का हिस्सा हैं। इस प्रकार की फ़ायरवॉल आपको किसी भी पोर्ट पर चल रहे आधुनिक गतिशील अनुप्रयोगों के नियंत्रण को पुनः प्राप्त करने की अनुमति देती है, उदाहरण के लिए, टीमव्यूअर, बिटोरेंट, टोर, जिसके बारे में L4 फ़ायरवॉल को कुछ भी नहीं पता है। यही है, अगर नेटवर्क को सुरक्षा की आवश्यकता है, तो आधुनिक वास्तविकताओं में L7 फ़ायरवॉल की आवश्यकता है।

यदि इस लेख को पढ़ने के बाद आप L4 फ़ायरवॉल का उपयोग करना जारी रखते हैं तो इसका मतलब है कि आप सुरक्षा के बारे में कोई ध्यान नहीं देते हैं।

UTM

यूटीएम एक नेटवर्क डिवाइस है जिसके अंदर कई अलग-अलग सुरक्षा घटक स्थापित होते हैं जो क्रमिक रूप से डिवाइस से गुजरने वाले ट्रैफ़िक का विश्लेषण करते हैं। UTM का मुख्य भाग L4 फ़ायरवॉल, अटैक प्रिवेंशन सिस्टम (IPS), एंटीवायरस और HTTP और HTTPS में URL श्रेणियों का विश्लेषण है। अक्सर, UTM अभी भी वीपीएन गेटवे फ़ंक्शन प्रदान करते हैं। ये सभी घटक आमतौर पर कई अलग-अलग नियंत्रण प्रणालियों से प्रबंधित होते हैं। UTM के अंदर का ट्रैफ़िक फ़िल्टरिंग मॉड्यूल के माध्यम से क्रमिक रूप से गुजरता है और आउटपुट शुद्ध ट्रैफ़िक है, जिसे प्रत्येक मॉड्यूल की सुरक्षा नीतियों द्वारा अनुमति दी जाती है। UTM का उपयोग अन्य कार्यों के लिए एक मंच के रूप में किया जा सकता है: वायरस सुरक्षा, IPS, DDoS, QoS, DLP, DNS फ़िल्टर, थ्रेट इंटेलिजेंस इंडिकेटर डेटाबेस, फ़िशिंग सुरक्षा, और इसी तरह (निर्माता पर निर्भर करता है)।

एक त्वचा से सात टोपियां ऑर्डर करने वाले व्यक्ति के बारे में दृष्टांत यूटीएम ग्राहकों के लिए भी लिखा गया था: खरीद के बाद आप जितने अधिक कार्य करना चाहते हैं, उतने ही अधिक ट्रैफिक का विश्लेषण करने के लिए यूटीएम प्रोसेसर पर लोड अधिक होगा। अधिक सुविधाएँ - कम उपकरण गति।

UTM का विचार - एक प्रोसेसर को यथासंभव अधिक कार्यों के साथ लोड करना एक विकासवादी मृत अंत बन गया, क्योंकि कार्यों की संख्या बढ़ गई और प्रोसेसर इस सभी भार का सामना नहीं कर सके। आज, घोषित अच्छी विशेषताओं के बावजूद, ट्रैफ़िक विलंब को समाप्त करने के लिए UTM में सभी कार्यक्षमता शामिल नहीं है।

UTM का लक्ष्य: उपयोगकर्ता के लिए डिवाइस की लागत को कम करने के लिए एक सर्वर पर अधिक से अधिक कार्यों को लागू करना।

अब UTM निर्माताओं ने यह कहने के लिए स्तर 7 एप्लिकेशन विश्लेषण इंजन स्थापित करना शुरू कर दिया है कि वे NGFW हैं, जो उपभोक्ता को भ्रमित करता है। हालांकि, यह पहचानना आसान है कि आप सुरक्षा नीति को देखते हैं: नियम अभी भी एल 4 क्षेत्रों की जांच के मानदंडों पर आधारित हैं। और L7 अनुप्रयोगों को फ़िल्टर करने के लिए, एक अलग सेटिंग अनुभाग का उपयोग किया जाता है, अर्थात, L7 अनुप्रयोग एक क्वालीफ़ायर नहीं है, क्योंकि यह L7 फ़ायरवॉल में होना चाहिए। L7 एप्लिकेशन को पहचानना और L7 एप्लिकेशन का उपयोग सुरक्षा नीति की कसौटी के रूप में करना "दो बड़े अंतर हैं।"

NGFW

NGFW एक नेटवर्क डिवाइस है जिसके भीतर L7 फ़ायरवॉल लागू है। चूंकि मुख्य क्वालीफायर एल 7 आवेदन का नाम बन जाता है, इसलिए नियमों को नए मानदंडों के अनुसार लिखा जाता है। NGFW में, नेटवर्क उपयोगकर्ताओं के लिए आईपी पतों की डायनेमिक मैपिंग हमेशा काम करती है, इसलिए उपयोगकर्ता नाम भी क्वालिफायर (मानदंड) बन जाता है। NGFW में SSL / TLS और SSH डिक्रिप्शन फ़ंक्शंस शामिल हैं जो उनके भीतर अनुप्रयोगों और हमलों को पहचानने के लिए IPS, एंटीवायरस और URL फ़िल्टरिंग करते हैं।

NGFW शब्द पहली बार विपणन कंपनी पालो ऑल्टो नेटवर्क द्वारा गढ़ा गया था। लेकिन धीरे-धीरे बाजार में जड़ें जमा लीं और UTM के सभी निर्माता अब खुद को NGFW भी कहते हैं। दरअसल, NGFW एक साथ कई कार्य करता है, फिर NGFW UTM क्यों नहीं है? अंतर जानना महत्वपूर्ण है। यह है कि एनजीएफडब्ल्यू में एप्लिकेशन सुरक्षा कार्यों (आईपीएस, एंटीवायरस, यूआरएल फ़िल्टरिंग) को हार्डवेयर द्वारा त्वरित किया जाता है। विशेष हार्डवेयर चिप्स हैं: आईपीएस अपने चिप पर हमलों, अपने आप पर हस्ताक्षर एंटीवायरस, अपने आप पर एसएसएल डिक्रिप्शन और इतने पर चेक की जांच करता है। अलग-अलग प्रोसेसर के बीच कार्यों का पृथक्करण, समानांतर में सुरक्षात्मक कार्यों को चलाना संभव बनाता है और काम खत्म करने के लिए पिछले फ़ंक्शन की प्रतीक्षा नहीं करता है, जैसा कि यूटीएम में है। उदाहरण के लिए, पालो अल्टो नेटवर्क हार्डवेयर फायरवॉल में 60 तक स्थापित हैं
कैवियम विशेष प्रोसेसर जो सुरक्षा, नेटवर्क और प्रबंधन कार्यों में तेजी लाते हैं। यह महत्वपूर्ण है कि NGFW में एक ही समय में सभी कार्यों के प्रबंधन के लिए एक एकल सॉफ्टवेयर इंटरफ़ेस हो।

यूजीएम के विपरीत, एनजीएफडब्ल्यू का विचार प्रत्येक फ़ंक्शन को एक अलग प्रोसेसर पर लागू करना है, जो आवश्यक कार्यक्षमता के लिए विशिष्ट है।

कंप्यूटर निर्माता एक ही पैटर्न का पालन करते थे, और वे गणित और ग्राफिक्स के कार्यों को अलग-अलग गणितीय और ग्राफिक कॉप्रोसेस में लेते थे। इसलिए, एनजीएफडब्ल्यू के पास एल 7 अनुप्रयोगों को पहचानने के लिए अलग-अलग प्रोसेसर हैं, एसएसएल / एसएसएच को डिक्रिप्ट करने के लिए, एंटी-वायरस हस्ताक्षर की जांच के लिए, आईपीएस हस्ताक्षर की जांच करने के लिए, और इसी तरह। यह आपको स्कैन के दौरान डिवाइस में यातायात में देरी और देरी के बिना, एक ही समय में सभी कार्यों को सक्षम करने की अनुमति देता है। कोई भी कंप्यूटर ग्राफिक एक्सेलेरेटर के बिना क्यों नहीं खरीद रहा है और बिना त्वरण के फायरवॉल खरीद रहा है? क्योंकि कम गति पर त्वरण आवश्यक नहीं है, लेकिन जब यातायात विश्लेषण की गति 1-5 गीगाबिट से परे हो जाती है, तो त्वरण के बिना सभी सुरक्षा कार्यों को लागू करना पहले से ही असंभव है।

NGFW डिवाइस का उद्देश्य ट्रैफिक को धीमा किए बिना कंपनियों को सुरक्षित रूप से काम करने में सक्षम बनाना है। यह आपको लगातार जांचने की अनुमति देता है कि आपके द्वारा आवश्यक कंपनी के लिए सुरक्षित सामग्री के लिए एप्लिकेशन संचारित करते हैं, और एक ट्रैफ़िक स्ट्रीम के साथ सुरक्षा इंजनों का समानांतर संचालन उन सभी सुरक्षा सुविधाओं के साथ निर्दिष्ट प्रदर्शन की गारंटी देता है और ट्रैफ़िक विलंब को भी कम करता है।

उदाहरण

पालो ऑल्टो नेटवर्क एनजीएफडब्ल्यू में एल 7 नीति उदाहरण

क्वालीफ़ायर के रूप में आपको URL श्रेणी की आवश्यकता क्यों हो सकती है? उदाहरण के लिए, आप कुछ कर्मचारियों को अभी भी एक ब्राउज़र के साथ दुर्भावनापूर्ण साइटों पर जाने की अनुमति दे सकते हैं, लेकिन उनके लिए फ़ाइल डाउनलोड ब्लॉक करें।

मेजबान सूचना प्रोफ़ाइल जाँच और श्रेणी यूआरएल का उपयोग कर एक उदाहरण पालो अल्टो नेटवर्क नीति।

इस नीति में HIP प्रोफ़ाइल कॉलम में TRAPS होस्ट सुरक्षा के लिए जाँच शामिल है, जो उपयोगकर्ताओं को कंप्यूटर पर सुरक्षा के बिना साइट पर दुर्भावनापूर्ण कोड और कारनामे दर्ज करने से रोकेगी। TRAPS एक एंटी-मैलवेयर और शोषण सुरक्षा एजेंट है।

फाइल डाउनलोडिंग को प्रोफाइल कॉलम की सेटिंग में ब्लॉक किया जाता है, जहां किसी भी एप्लिकेशन के लिए सभी फाइलों के ट्रांसफर को रोकने के लिए प्रोफाइल को लगाया जाता है। इसका सेटअप कैसा दिखता है:

प्रॉक्सी सर्वर

प्रॉक्सी सर्वर एक ऐसा उपकरण है जो किसी एप्लिकेशन के ट्रैफ़िक को स्वयं समाप्त कर देता है, विभिन्न तरीकों का उपयोग करके इस ट्रैफ़िक की जाँच करता है और इस ट्रैफ़िक को आगे भेजता है। अक्सर HTTP और HTTPS के लिए प्रॉक्सी नेटवर्क में उपयोग किया जाता है। चूंकि UTM और NGFW HTTP और HTTPS स्ट्रीम का पारदर्शी तरीके से विश्लेषण करते हैं, क्लाइंट से स्पष्ट प्रॉक्सी सर्वर सेटिंग्स की आवश्यकता के बिना, HTTP प्रॉक्सी धीरे-धीरे कंपनियों से गायब हो रहे हैं।

USER-ID क्या है

NGFW ने उपयोगकर्ताओं की पहचान करने के लिए एक तंत्र का आविष्कार किया। एल्गोरिथ्म या तो आंतरिक रूप से काम करता है या बाहरी एजेंट पर चलता है। मैं इसे USER-ID तंत्र कहूंगा। USER-ID उपयोगकर्ता नाम और उसके वर्तमान IP पते के लिए एक मानचित्रण तालिका बनाता है और उसका रखरखाव करता है। यह भी होता है कि तालिका में किसी दिए गए उपयोगकर्ता के लिए एक मान और एक पोर्ट होता है यदि उपयोगकर्ता VDI के माध्यम से काम करते हैं (अर्थात, उपयोगकर्ता एक ही पते से आते हैं और केवल पोर्ट द्वारा अलग किए जा सकते हैं)।

मैं पालो अल्टो नेटवर्क्स में USER-ID मैकेनिज्म को सूचीबद्ध करूंगा

1. सर्वर मॉनिटरिंग : उपयोगकर्ता-आईडी एजेंट एक्सचेंज सर्वर, डोमेन नियंत्रक, या नोवेल ईडायरेक्टरी सर्वर से घटनाओं को पढ़ता है
2. क्लाइंट प्रोबिंग : यूजर-आईडी एजेंट WMI के माध्यम से विंडोज क्लाइंट का चुनाव करते हैं
3. टर्मिनल सेवा एजेंट : टीएस एजेंट विंडोज / सिट्रिक्स टर्मिनल सर्वर के साथ काम करने के लिए अलग-अलग उपयोगकर्ताओं को टीसीपी / यूडीपी बंदरगाहों की विभिन्न श्रेणियों में वितरित करता है
4. Syslog संदेश पार्सिंग: उपयोगकर्ता-आईडी एजेंट विभिन्न प्रणालियों, वायरलेस नियंत्रकों, 802.1x उपकरणों, Apple ओपन निर्देशिका सर्वर, प्रॉक्सी सर्वर, वीपीएन गेटवे, सिस्को ISE से syslog प्रमाणीकरण संदेश पढ़ता है
5. GlobalProtect Client के माध्यम से प्रमाणीकरण: VPN + उपयोगकर्ता नाम और पासवर्ड को MFA में जोड़ा जा सकता है
6. कैप्टिव पोर्टल के माध्यम से प्रमाणीकरण: वेब ट्रैफिक NTLM या AAA वेब फॉर्म द्वारा प्रमाणित होता है (मॉस्को मेट्रो और कैफ़े में कैप्टिव पोर्टल का उपयोग किया जाता है। NTLM आपको प्रमाणीकरण को पारदर्शी बनाने की अनुमति देता है।
7. XML API : प्रवेश और निकास के बारे में जानकारी REST API फ़ायरवॉल के माध्यम से उपयोगकर्ता-आईडी एजेंट द्वारा विशेष आदेशों के साथ प्रेषित की जाती है
8. एक्स-फ़ॉर्वर्ड-फॉर : प्रॉक्सी इस फ़ील्ड को HTTP अनुरोध में भरते हैं ताकि यह स्पष्ट हो जाए कि प्रॉक्सी के पीछे कौन छिपा है

सक्रिय निर्देशिका नियंत्रकों से लॉग पढ़ना, USER-ID में सबसे अधिक उपयोग की जाने वाली विशेषता है।USER-ID एजेंट समय-समय पर AD लॉग से संदेश पढ़ता है, जहाँ यह दर्ज किया जाता है कि किस उपयोगकर्ता ने किस IP पते से लॉग इन किया है, यह उन्हीं में से है कि USER-ID यह पता लगाता है कि उपयोगकर्ता किस पते का उपयोग कर रहा है और NGFW के अंदर इसे संग्रहीत करता है, उदाहरण के लिए, Windows 2008/2012 के लिए ये संदेश हैं:
- 4768 - ऑथेंटिकेशन टिकट ग्रांटेड
- 4769 - सर्विस टिकट ग्रांटेड
- 4770 - टिकट ग्रांटेड रिन्यूवेड
- 4264 - लॉगऑन सक्सेस
USER-ID एजेंट को लॉग्स पढ़ने के लिए यहां तक ​​कि लॉग रीडर विशेषाधिकारों के साथ पहुंच की आवश्यकता होती है।

स्टेटफुल इंस्पेक्शन के बारे में गलत धारणा

मुझे इस पवित्र अवधारणा को हर नेटवर्क इंजीनियर और सुरक्षा इंजीनियर को एक अलग अध्याय समर्पित करना चाहिए। फायरवॉल पर पाठ्यक्रमों में अक्सर याद की जाने वाली महत्वपूर्ण चीजों पर जोर देना और पूरक करना आवश्यक है। यदि आप पहले से ही राज्य के निरीक्षण की मूल बातें सीख चुके हैं, तो आप सबसे अधिक कुछ गलत धारणाएं हैं।

एक गलत धारणा है जिसे मैं कभी-कभी सहयोगियों के बीच देखता हूं। चेतावनी!राज्य निरीक्षण केवल टीसीपी, यूडीपी या आईसीएमपी कनेक्शन स्थिति के बारे में नहीं है! यह अन्य अधिक जटिल प्रोटोकॉल और अनुप्रयोगों की स्थिति के बारे में भी है: एफ़टीपी, एसआईपी, आरपीसी, एसएमटीपी, एसएमबी और इतने पर!

एक उदाहरण है।

एफ़टीपी एक अनुप्रयोग परत प्रोटोकॉल है। और इसमें एक PORT कमांड है जो एक नया TCP कनेक्शन दे सकता है। कोई भी फ़ायरवॉल जो खुद को एक स्टेटफुल इंस्पेक्शन फ़ायरवॉल के रूप में रखता है, उसे एफ़टीपी कमांड्स की निगरानी करनी चाहिए और पोर्ट कमांड को देखना चाहिए और उस पोर्ट और एड्रेस के कनेक्शन की अनुमति देनी चाहिए जो वहाँ अनुरोध किया गया है। और यह सब नहीं है: फ़ायरवॉल को पोर्ट कमांड के मापदंडों को भी बदलना होगा और एनटीपी के लिए एफटीपी सर्वर काम करता है तो सही पता डालें।

यही है, किसी भी आधुनिक एल 4 फ़ायरवॉल में एक घटक है जो एल 7 स्तर पर जासूसी करता है। और इस तरह के एक से अधिक प्रोटोकॉल हैं: अभी भी HTTP, RPC और अन्य हैं ... और ऐसी परत 7 प्रोटोकॉल analyzers को एप्लीकेशन लेयर गेटवे (ALG) कहा जाता है।

एक उदाहरण है।

नेटवर्क और सुरक्षा लोगों के लिए एक ही समय में सबसे "पसंदीदा" एसआईपी के लिए एएलजी है, जिसके साथ एल 4 फ़ायरवॉल पर एसआईपी एएलजी को कॉन्फ़िगर करने वाले कई लोग समस्याओं से तंग आ चुके हैं, और अक्सर इसे समाप्त कर देते हैं।

यही है, पहले से ही एल 4 फ़ायरवॉल में स्तर 7 प्रोटोकॉल के विश्लेषण की शुरुआत है। एल 4 फायरवॉल लागू किए गए एएलजी की संख्या में एक दूसरे से भिन्न होते हैं। जब आप पारंपरिक L4 फायरवॉल की तुलना करते हैं, तो निर्माता के सिस्टम इंजीनियर के लिए एक उचित प्रश्न यह होगा: आपके स्टेटफुल निरीक्षण इंजन को कितने प्रोटोकॉल और एप्लिकेशन सपोर्ट करते हैं? एक नियम के रूप में, कोई भी जवाब नहीं देता है।

यह पता चला है कि L7 फ़ायरवॉल भी एक स्टेटफुल इंस्पेक्शन फ़ायरवॉल है, लेकिन जो L4 फ़ायरवॉल की तरह सभी अनुप्रयोगों की स्थिति का विश्लेषण करता है और संग्रहीत करता है, न कि केवल चुनिंदा।

दूसरी ग़लतफ़हमी फ़ायरवॉल निर्माताओं ने स्वयं की है। कोई भी डेटाशीट लें जहां निर्माता ऐसे पैरामीटर को "समवर्ती सत्रों की संख्या" के रूप में लिखता है। निर्माता के लिए सवाल निम्नलिखित है: कौन से प्रोटोकॉल और एप्लिकेशन सत्र को मापा गया था और कम से कम टीसीपी के लिए स्टेटफुल सक्षम था, इसका उल्लेख नहीं करने के लिए एल 7 स्तर के लिए कोई चेक थे?

हम जानते हैं कि हर प्रोटोकॉल या एप्लिकेशन में एक स्थिति होती है जिसे फ़ायरवॉल याद रखता है। और इस स्थिति को संग्रहीत करने के लिए, आपको डिवाइस की मेमोरी में एक बफर आवंटित करने की आवश्यकता है। वास्तव में, पैरामीटर "एक साथ सत्रों की संख्या" का मतलब है कि डिवाइस की मेमोरी में स्टोर करने वाले राज्यों के कितने बफ़र्स को समायोजित किया जा सकता है। आपको यह समझने की आवश्यकता है कि एल 4 फ़ायरवॉल के लिए, यह पैरामीटर सबसे अधिक बार नंगे टीसीपी या यूडीपी के लिए मापा जाता है। यानी, टीसीपी को एक बफर की आवश्यकता होती है जिसमें केवल आईपी और कनेक्शन पोर्ट फिट होते हैं। हालांकि, L7 अनुप्रयोगों के लिए परीक्षण में, उदाहरण के लिए, HTTP, यह बफर बहुत बड़ा होगा, क्योंकि उदाहरण के लिए, HTTP के अंदर GET अनुरोध मापदंडों को संग्रहीत करने के लिए अधिक मेमोरी की आवश्यकता होती है। और स्मृति रबर नहीं है। तदनुसार, यदि निर्माता ऐसे पैरामीटर को "एक साथ सत्रों की संख्या" के रूप में लिखता है, तो उसे लिखना चाहिए:

• /, c stateful inspection,
• L4, TCP/IP,
• - L7 .

सही ढंग से अलग-अलग लंबाई के पैकेट पर एक साथ HTTP सत्रों की संख्या पर L7 फ़ायरवॉल को मापें: 64Kb, 44Kb, 16Kb, 1.5Kb। यह स्पष्ट है कि अगर किसी निर्माता द्वारा यूडीपी 1518 बाइट्स पर सभी माप किए गए थे, तो सबसे अधिक संभावना है कि ऐसा उपकरण आपके नेटवर्क पर काम नहीं करेगा, क्योंकि यह आपके उपयोगकर्ताओं को केवल यूडीपी पैकेट 1518 बाइट्स लंबाई में भेजने के लिए मजबूर करने के लिए काम नहीं करेगा, और इससे भी अधिक उन्हें इस तरह के साथ प्रतिक्रिया करने के लिए मजबूर करेगा। HTTP सर्वर पैकेज ऐसे निर्माता को यह बताना आवश्यक है कि L7 फ़ायरवॉल के प्रदर्शन को कम से कम HTTP प्रोटोकॉल के साथ ट्रैफ़िक पर मापा जाना चाहिए। उन प्रसिद्ध कंपनियों में से जो सार्वजनिक रूप से ऐसे परीक्षण करते हैं: एनएसएस लैब्स।
फ़ायरवॉल निर्माता स्वयं अपनी प्रयोगशालाओं में कस्टम परीक्षण करते हैं, जो उनके ट्रैफ़िक प्रोफ़ाइल का आदेश दे सकते हैं, उदाहरण के लिए: HTTPS ट्रैफ़िक का 30%, एसएमबी ट्रैफ़िक का 10%, एफ़टीपी ट्रैफ़िक का 10% और इसी तरह।

एक उदाहरण है।

IXIA ट्रैफिक जनरेटर पर UTM निर्माताओं में से एक के उपकरण की जाँच करने के बाद:

• L4 फ़ायरवॉल मोड में - 4,000,000 एक साथ सत्र,
• L7 फ़ायरवॉल मोड में - 200,000 समवर्ती सत्र।

यह एक संकेत है कि बड़े आकार के कारण डिवाइस की मेमोरी में L7 सत्रों के लिए कम बफ़र्स हैं।

और, वैसे, यह डिवाइस के समग्र प्रदर्शन के साथ भी होगा: आवेदन सामग्री की जांच बंद होने के साथ, फ़ायरवॉल 10 गुना अधिक तेजी से काम करता है। डिवाइस को गति देने के लिए केवल स्तर 4 शीर्षक विश्लेषण का उपयोग करना संभव है, लेकिन अब कोई सुरक्षा नहीं है।

तीसरा महत्वपूर्ण बिंदु- एक क्लस्टर में काम करते हैं। सभी फायरवॉल को एक क्लस्टर में काम करना चाहिए, क्योंकि अगर कोई फ़ायरवॉल काम करना बंद कर देता है, तो उसका काम "लेट जाना" और सभी ट्रैफ़िक को अवरुद्ध करना है - यह फायरवॉल के आधार पर बिल्डिंग प्रोटेक्शन का सिद्धांत है। जबकि "टूटी हुई" फ़ायरवॉल ट्रैफ़िक को रोकती है, पड़ोसी फ़ायरवॉल को वैध ट्रैफ़िक पास करने के काम पर ले जाना चाहिए। लेकिन उन कनेक्शनों के बारे में क्या है जो पहले से गुजरे थे? सबसे अधिक संभावना है, पहले फ़ायरवॉल ने दूसरे को सभी कनेक्शनों की स्थिति को प्रेषित किया, लेकिन क्या यह केवल पड़ोसी के लिए आईपी हेडर की स्थिति या सभी एल 7 स्तर के अनुप्रयोगों की पूर्ण स्थिति से गुजरता था: आखिरकार, कुछ एसएसएल कनेक्शन थे जिन्हें डिक्रिप्ट किया गया था और आईपीएस और एंटीवायरस ने उन पर काम किया - उन्होंने एकत्र किया सामग्री की जांच करने के लिए बफर में पैकेट। और यहाँ यह पता चला है कि L4 और L7 फ़ायरवॉल भी अलग हैं:ट्रांसमिटिंग स्टेट L4, स्टेट एल 7 ट्रांसमिट करने जैसा नहीं है। यह भी समझना जरूरी है।

एक और गलतफहमी है कि L7 फ़ायरवॉल दो से अधिक उपकरणों के समूहों में काम कर सकता है - यह सच नहीं है, क्योंकि प्रेषित L7 डेटा की मात्रा क्लस्टर में प्रत्येक नए नोड के साथ तेजी से बढ़ती है और यहां तक ​​कि दो पड़ोसियों के डेटा प्रसंस्करण के लिए अपने स्वयं के डिवाइस के प्रसंस्करण की लागत बढ़ जाती है। यही कारण है कि दो से अधिक उपकरणों के क्लस्टर केवल L4 हेडर का आदान-प्रदान करके काम करते हैं, और जब क्लस्टर स्विच करते हैं, तो सभी एप्लिकेशन विश्लेषण और सुरक्षा कार्य फिर से शुरू हो जाते हैं।

इसलिए, आपको एल 4 और एल 7 फ़ायरवॉल की तुलना करने की आवश्यकता है, ठीक उसी तरह जब आप तुलना कर रहे हैं कि क्या कार और टैंक युद्ध में आपके लिए उपयुक्त हैं। अपने नेटवर्क की सुरक्षा बढ़ाने के लिए, L7 फ़ायरवॉल अधिक जटिल कार्य करता है, इसके प्रोसेसर पर बहुत अधिक काम किया जाता है और इसे आपके अनुप्रयोगों की स्थिति को स्टोर करने के लिए अधिक मेमोरी की आवश्यकता होती है! यह सब सुरक्षा के लिए किया जाना चाहिए।

भाग 2. L7 फ़ायरवॉल का सुरक्षा प्रभाव