फायरवॉल की नई पीढ़ी अधिक सुविधाजनक है और नए इंजन वास्तुकला और नेटवर्क प्रवाह के प्रबंधन की नई विचारधारा के लिए धन्यवाद।

यह लेख क्यों दिखाई दिया?

बार-बार साथी सुरक्षाकर्मियों के पास आया जो नई पीढ़ी के फायरवॉल का इस्तेमाल करते हैं और उन्होंने देखा कि वे पोर्ट नंबर पर नियम लिखना जारी रखते हैं। अनुप्रयोगों के नाम से लिखने के लिए जाने के मेरे सुझाव पर, मैंने सुना "क्या होगा अगर यह उस तरह से काम नहीं करता है?" यदि आप भी "डरे हुए" हैं या यह स्पष्ट नहीं है कि अनुप्रयोगों के लिए नियम क्यों लिखें, तो यह लेख आपके लिए है।

संदर्भ भाग 1 से लेख की शुरुआत। 1. फ़ायरवॉलिंग की मूल बातें

भाग 2. L7 FIREWALL का सुरक्षा प्रभाव

सामग्री

L7 फ़ायरवॉल डेटा फ़ील्ड की सामग्री की जाँच करता है, L4 फ़ायरवॉल नं
एप्लिकेशन बदल गए हैं - क्या आपका फ़ायरवॉल बदल गया है
ट्रैफिक डिटेक्शन कैसे काम करता है
L7 फ़ायरवॉल अधिक सुविधाजनक है
L7 फ़ायरवॉल सुरक्षित है
क्या नई समस्याएं L7 के लिए नियम लिखने के लिए एक नया दृष्टिकोण बनाती हैं
स्तर 7 विश्लेषण प्रौद्योगिकी की सीमाएं
निष्कर्ष
वोट

L7 फ़ायरवॉल डेटा फ़ील्ड की सामग्री की जाँच करता है, L4 फ़ायरवॉल नं

हम जिस मुख्य समस्या से जूझ रहे हैं वह यह है कि अब कार्यक्रमों को तुरंत लिखा जाता है ताकि वे L4 फ़ायरवॉल सुरक्षा को बायपास करें।

यदि कोई व्यक्ति स्काइप डालता है, तो वह सिस्टम प्रशासक को कॉल नहीं करना चाहता है और फ़ायरवॉल पर उसकी ज़रूरत के पोर्ट को खोलने के लिए भीख मांगता है - वह स्काइप को तुरंत "हरा" करना चाहता है। प्रोग्रामर जानते हैं कि अक्सर नेटवर्क पर एक HTTP प्रॉक्सी होती है या HTTP के लिए पोर्ट 80 ओपन होता है, पोर्ट 53 DNS के लिए होता है, पोर्ट 123 NTP के लिए होता है, और कभी-कभी अंदर से इंटरनेट के कर्मचारियों के लिए, सब कुछ खुला होता है और आप इन अनुमत कनेक्शन का उपयोग अपने अनुसार कर सकते हैं।



डेवलपर्स के पास उपयोगकर्ता अनुभव शब्द है - स्थापना के बाद, ग्राहक ने हरी स्काइप में आग पकड़ ली = ग्राहक खुश है। और यह तथ्य कि स्काइप कंपनी के परिधि के माध्यम से अवैध रूप से एक कनेक्शन के माध्यम से चला गया जो केवल टीसीपी / 80 और 443 बंदरगाहों पर ब्राउज़र ऑपरेशन के लिए खुला था - एल 4 फ़ायरवॉल को अनदेखा करता है, क्योंकि पैकेट की सामग्री को देखना उसका काम नहीं है - केवल हेडर उसके लिए महत्वपूर्ण हैं।

L4 फ़ायरवॉल समस्या: पोर्ट-होपिंग (टनलिंग)

अनुमत कनेक्शन के भीतर अनधिकृत अनुप्रयोगों को टनल करना आधुनिक नेटवर्क में एक मानक चित्र है। स्वाभाविक रूप से, हैकर्स एक ही चाल का उपयोग करते हैं: वे अनुमत कनेक्शन में सुरंग बनाते हैं। और सुरक्षा गार्डों को पता भी नहीं चलता।

टीसीपी-ओवर-डीएनएस सुरंग उदाहरण

तस्वीर में एकत्रित ट्रैफ़िक पैकेट से, यह स्पष्ट है कि 53 वें टीसीपी पोर्ट पर कनेक्शन हैं, जिसे आमतौर पर डीएनएस प्रोटोकॉल के संचालन के रूप में माना जाता है। हालाँकि, यदि आप बारीकी से देखते हैं, तो आप देख सकते हैं कि DNS प्रोटोकॉल के पाठ क्षेत्र में किसी प्रकार का एन्क्रिप्टेड पाठ है। यह टीसीपी-ओवर-डीएनएस सुरंग का कार्यान्वयन है, जिसे मैं अक्सर कॉर्पोरेट नेटवर्क में देखता हूं। बाईं ओर अन्य सुरंगों की एक सूची है जो आपके उपयोगकर्ता या हैकर्स उपयोग कर सकते हैं। क्या L4 फ़ायरवॉल ऐसी जानकारी देता है? नहीं। इसलिए, यदि आपको कंपनी को अनधिकृत सुरंगों से बचाने की आवश्यकता है, तो आपको प्रेषित डेटा की सामग्री का विश्लेषण करने और विश्लेषण करने के लिए इसका उपयोग करने की आवश्यकता है जो वर्तमान में इस टीसीपी कनेक्शन का उपयोग कर रहा है।

एप्लिकेशन बदल गए हैं - क्या आपका फ़ायरवॉल बदल गया है

दुनिया बदल गई है और आज पोर्ट नंबर द्वारा आवेदन का निर्धारण करना पर्याप्त नहीं है। हां, 20 साल पहले हम सहमत थे कि यदि पोर्ट फ़ील्ड में 80 लिखा है, तो यह HTTP है, यदि 53 है, तो यह DNS है, लेकिन अब ऐसा नहीं है!

प्रेषित डेटा की सामग्री का विश्लेषण करना आवश्यक है और यह उनके लिए विश्लेषण करना है कि वर्तमान में कौन सा एप्लिकेशन इस टीसीपी कनेक्शन का उपयोग कर रहा है।

Applipedia.paloaltonetworks.com एप्लिकेशन डेटाबेस पर जाएं । देखें कि कितने अनुप्रयोग पोर्ट 80 और 443 का उपयोग करते हैं।

एक उदाहरण है।

पोर्ट 80 का उपयोग करते हुए अनुप्रयोग

कई सुरक्षा विशेषताओं के साथ समस्या यह है कि गैर-मानक बंदरगाहों पर अनुप्रयोगों को अनदेखा किया जाए।

एक मानक एप्लिकेशन को गैर-मानक पोर्ट पर ले जाने से एक हमलावर भी नियंत्रण से बाहर हो सकता है। यह नियंत्रण केवल उस डिवाइस को पुनर्स्थापित करता है जो सभी ट्रैफ़िक की सामग्री का विश्लेषण करता है, न कि केवल हेडर।

ट्रैफिक डिटेक्शन कैसे काम करता है

एप्लिकेशन विश्लेषण का एक कार्य उन अनुप्रयोगों के ट्रैफ़िक का पता लगाना है जो विशेष रूप से बनाए गए हैं ताकि उनके कनेक्शन दिखाई न दें। उदाहरण के लिए Skype लें। जिन लोगों ने Skype एन्क्रिप्टेड UDP पैकेटों को अन्य एन्क्रिप्टेड UDP पैकेटों से अलग करना सीखा है, वे बहुत अच्छे फॉलोवर्स हैं।

उपकरणों का एक वर्ग भी है जो यह कर सकता है: दीप पैकेट निरीक्षण (इसके बाद DPI)। ऐसे उपकरण अब बड़े प्रदाताओं के पास हैं और आपको एप्लिकेशन ट्रैफ़िक में हेरफेर करने की अनुमति देते हैं: QoS लागू करें या सही दिशा में पुनर्निर्देशित करें। कभी-कभी NGFW और DPI की तुलना की जाती है। अंतर: DPI को ट्रैफ़िक की गुणवत्ता और NGFW सुरक्षा को नियंत्रित करने के लिए डिज़ाइन किया गया है, हालाँकि NGFW में QoS विशेषताएँ भी हैं।

ट्रैफ़िक में एप्लिकेशन का पता लगाने के तरीके अलग-अलग हैं।

• यदि आपको कोई ऐसा एप्लिकेशन ढूंढना है जो ट्रैफ़िक में, जैसे कि HTTP में नहीं छिपा है, तो यह संबंधित पैटर्नों या हस्ताक्षरों के लिए सामान्य खोजों का उपयोग करने के लिए पर्याप्त है। और यह सक्रिय रूप से निर्माताओं द्वारा उपयोग किया जाता है। यह सबसे आसान है।
  
• यदि आपको एक आवेदन खोजने की आवश्यकता है जो जानबूझकर खुद को छुपाता है , उदाहरण के लिए, टीओआर, तो आपको पैकेज के आंकड़ों और पैकेज व्यवहार का विश्लेषण करने के लिए तरीकों का एक सेट चाहिए। यह मुश्किल है, इसके लिए एक अनुसंधान प्रयोगशाला की आवश्यकता होती है, जिसे समय में प्रोटोकॉल में परिवर्तन पर नज़र रखने और नए खोज एल्गोरिदम को लागू करने की भी आवश्यकता होती है। मेरा प्रयास कम से कम एक डेवलपर को यह बताने का है कि ये एल्गोरिदम कैसे काम करते हैं, इस जवाब पर ठोकर खाते हैं कि यह सभी बौद्धिक संपदा है।
  

ऐसा होता है कि एप्लिकेशन ने पहले ही ऑपरेशन एल्गोरिदम को बदल दिया है, और डीपीआई या एनजीएफडब्ल्यू इंजन अभी तक बदलने में कामयाब नहीं हुआ है। उदाहरण के लिए, टेलीग्राम कभी-कभी बदल जाता है क्योंकि इसका शिकार किया जा रहा है। झूठी सकारात्मकता होती है। यह सत्यापित करना महत्वपूर्ण है। तदनुसार, डिवाइस और एनजीएफडब्ल्यू और डीपीआई मुख्य रूप से एप्लिकेशन डिटेक्शन की संख्या और गुणवत्ता में भिन्न होते हैं। यहाँ एकमात्र तरीका है: NGFW को अपने ट्रैफ़िक पर रखें और देखें। यदि हम परिधि के बारे में बात करते हैं, तो सबसे जटिल यातायात जिसे मैंने देखा है प्रति माह 715 विभिन्न अनुप्रयोग। औसतन, विभिन्न प्रकार के 200-300 आवेदन परिधि से गुजरते हैं। अनुप्रयोग ट्रैफ़िक के इस दृश्य में, आप इसे देख सकते हैं: प्रत्येक सर्कल पर माउस:

http://researchcenter.paloaltonetworks.com/app-usage-risk-report-visualization/


एप्लिकेशन डेटाबेस में हजारों एप्लिकेशन हैं, इसलिए अनिवार्य रूप से प्रत्येक एप्लिकेशन के प्रारूपों और एल्गोरिदम का विश्लेषण विश्लेषकों का एक लंबा और श्रमसाध्य काम है। एक बार जब हम समझ जाते हैं कि एप्लिकेशन कैसे काम करता है, प्रोग्रामर काम करना शुरू करते हैं, जो ट्रैफ़िक द्वारा एप्लिकेशन खोज को लागू करते हैं। और ये कुछ हजार एप्लीकेशन लगातार बदल रहे हैं। तदनुसार, उत्पाद को लगातार समर्थित होना चाहिए, नए एप्लिकेशन सीखना और पुराने वाले परिवर्तनों की निगरानी करना और डेटाबेस में संशोधित डिटेक्टर जोड़ना होगा। यातायात उत्पन्न करने वाले सभी संभावित अनुप्रयोगों का डेटाबेस यहाँ पाया जा सकता है ।

कभी-कभी L7 फ़ायरवॉल विक्रेता डेटाबेस में उनके पास मौजूद अनुप्रयोगों की संख्या को मापने की कोशिश करते हैं, लेकिन यह अधिक अपवित्रता की तरह है। महत्वपूर्ण सोच को सक्षम करने से, आप समझते हैं कि वास्तव में आपको केवल आंतरिक (आईसीए / एससीएडीए नेटवर्क (2-3 एप्लिकेशन) आईसीएस / SCADA नेटवर्क में डेटा सेंटर (10-15 टुकड़े) में, परिधि पर अनुप्रयोगों का पता लगाने की आवश्यकता है (औसतन, 300 विभिन्न अनुप्रयोगों के क्षेत्र में)। खंड (शायद यह केवल कुछ दर्जन है)। और अगर आपको हजारों एप्लिकेशन का पता लगाने की पेशकश की जाती है - यह सिर्फ मार्केटिंग है और कुछ अज्ञात एप्लिकेशन का पता लगाना है, जिसका कोई उपयोग नहीं करता है।

कंपनी के नेटवर्क पर उदाहरण एप्लिकेशन:



कंपनी के भीतर आंतरिक विभाजन सूचना सुरक्षा मानकों की निरंतर आवश्यकता है जो लगभग कोई भी पूरा नहीं करता है। उन क्षेत्रों के बीच जहां प्रोग्रामर, फाइनेंसर, एचआर और अकाउंटिंग सिट, एप्लिकेशन भी चलते हैं। कम से कम, आपको विंडोज नेटवर्क (एसएमबी प्रोटोकॉल) को नियंत्रित करने की आवश्यकता है, यह WannaCry क्रिप्टोकरंसी महामारी के बाद विशेष रूप से स्पष्ट हो गया, जिसे एसएमबी के माध्यम से वितरित किया गया था। यही है, आंतरिक नेटवर्क को सैंडबॉक्स और आईपीएस में दुर्भावनापूर्ण कोड की खोज के लिए स्तर 7 अनुप्रयोगों और संबंधित तरीकों के विश्लेषण की भी आवश्यकता है, और कम से कम स्थानांतरित फ़ाइल प्रकारों को नियंत्रित करना चाहिए।

सबसे आम समस्या जो नेटवर्क में ध्यान देने योग्य है: फ़ायरवॉल माना जाता है कि स्तर 7 है, लेकिन वास्तव में यह पोर्ट द्वारा अनुप्रयोगों का पता लगाता है। इसकी जांच कैसे करें?

1. परीक्षण के लिए, पोर्ट 25 पर FTP सर्वर को लटकाएं। यदि डिवाइस गलत है और कहता है कि यह SMTP प्रोटोकॉल है, तो यह निश्चित रूप से L7 फ़ायरवॉल नहीं है।
2. या बस दो अलग-अलग अनुप्रयोगों के लिए नियम लिखने का प्रयास करें जो समान पोर्ट का उपयोग करते हैं। उनके लिए अलग नियम बनाएं: एक ब्लॉक एक्साई फाइलों में, दूसरे में, उन्हें अनुमति दें। यदि यह पता चला है, तो इसका मतलब है कि सच्चाई पहले आवेदन का विश्लेषण है (पोर्ट नंबर नहीं), और फिर इसकी सामग्री के साथ काम करें: फ़ाइलों को अवरुद्ध करना, वायरस के हस्ताक्षर की जांच करना, आईपीएस हस्ताक्षर की जांच करना, और इसी तरह।
3. एनजीएफडब्ल्यू के लिए एक और दिलचस्प परीक्षण यह है जब आपको एक ही आईपी पते पर विभिन्न संपत्तियों के साथ दो कस्टम एल 7 एप्लिकेशन बनाने की आवश्यकता होती है। यह L4 फ़ायरवॉल नहीं कर सकता, लेकिन L7 फ़ायरवॉल कर सकता है। पूर्ण विवरण और स्वयं यहां परीक्षण करें: http://basic.ngfw-test.com/

रूस में, यह अभी भी महत्वपूर्ण है कि फ़ायरवॉल रूसी अनुप्रयोगों के ट्रैफ़िक को जानते हैं: 1 सी, ओडनोक्लास्निक, यैंडेक्स.डिस्क, mail.ru, कैसपर्सकी एंटी-वायरस अपडेट कैसे दिखते हैं, और इसी तरह। यह भी एक महत्वपूर्ण अनुप्रयोग खोज घटक है जिसे आपको अपने कर्मचारियों को इन अनुप्रयोगों को सुरक्षित रूप से अनुमति देने की आवश्यकता है।

L7 फ़ायरवॉल अधिक सुविधाजनक है

यदि आप नेटवर्क इंजीनियरों को प्रशिक्षित करने की प्रक्रिया को देखते हैं, तो ज्यादातर लोग नेटवर्क उपकरण के एक प्रसिद्ध निर्माता से पाठ्यक्रम लेते हैं और इससे नेटवर्किंग प्रौद्योगिकियों का अच्छा ज्ञान प्राप्त होता है।



इन पंक्तियों के लेखक ने 2003 में सिस्को पाठ्यक्रमों की एक सभ्य संख्या को समाप्त किया और इसलिए विशेष रूप से प्रशिक्षण नेटवर्क इंजीनियरों की बारीकियों को प्रस्तुत करता है: एक नियम के रूप में, सात-स्तरीय ओएसआई आईएसओ मॉडल का अध्ययन करने के बाद, केवल पहले 4 स्तरों का विस्तार से अध्ययन किया जाता है। अर्थात्, सूचना सुरक्षा नेटवर्क इंजीनियरों की सभी सूक्ष्मताएँ केवल टीसीपी / यूडीपी / आईसीएमपी के स्तर तक ही जानी जाती हैं। HTTP, DNS, SSH, टेलनेट, NTP, FTP: केवल कुछ बुनियादी लोगों को आवेदन स्तर से माना जाता है। परिणाम क्या है? और नेटवर्क प्रशासक को लगता है कि ट्रांसपोर्ट लेयर से एप्लीकेशन लेयर को मैनेज करना आसान है!

यह एक ताजा बेक्ड नेटवर्क विशेषज्ञ को लग सकता है कि सब कुछ परिवहन स्तर पर नियमों के साथ किया जा सकता है, जहां आपको केवल आवश्यक प्रोटोकॉल और पोर्ट की अनुमति देने की आवश्यकता है। इंटरनेट पर एक ब्राउज़र की अनुमति देने की आवश्यकता है? हम टीसीपी / 80 खोलते हैं। DNS खोलने की आवश्यकता है? टीसीपी / 53 या यूडीपी / 53 खोलें। RDP खोलने की आवश्यकता है? टीसीपी / 3389 खोलें। और L4 फ़ायरवॉल पर नियम लिखना कंपनी में मानक बन रहा है।

मुझे यह कहना चाहिए कि कई आईटी विशेषज्ञ राज्य के निरीक्षण की अवधारणा से अवगत हैं। लेकिन एक ही समय में, कई के लिए, यह एक रहस्योद्घाटन है कि विभिन्न फ़ायरवॉल अनुप्रयोगों के एक अलग सेट के लिए satefull निरीक्षण का समर्थन करते हैं। मेरे पास कुछ आंकड़े हैं क्योंकि मैंने कंपनी के ट्रेनिंग सेंटर में फायरवाल पाठ्यक्रमों के एक शिक्षक के रूप में काम किया। मैं क्या देख रहा हूँ? किसी को लगता है कि राज्य-निरीक्षण निरीक्षण टीसीपी / यूडीपी / आईसीएमपी प्रोटोकॉल प्रतिक्रियाओं को वापस लेने की अनुमति के बारे में है। लेकिन अधिक जटिल अनुप्रयोगों के बारे में क्या? उदाहरण के लिए, दो प्रोटोकॉल जो 21 और 20 पर FTP प्रोटोकॉल बनाते हैं, उन दो टीसीपी कनेक्शन को कैसे ट्रैक किया जाए - क्या वे एक-दूसरे पर निर्भर हैं? वहां आपको केवल उत्तर को स्वीकार करने की आवश्यकता नहीं है, बल्कि पोर्ट 21 पर नियंत्रण कनेक्शन के अंदर पोर्ट कमांड के आधार पर दूसरे कनेक्शन की भी अनुमति है। और कितने और अनुप्रयोग अपने भीतर नए कनेक्शन खोलने के लिए आवेदन देते हैं? सारांश में, नेटवर्क अब सामान्य पहुंच सूची का उपयोग करते हैं, जो एफ़टीपी प्रोटोकॉल के अंदर पोर्ट कमांड को नहीं समझते हैं, और एल 4 फ़ायरवॉल है, जो पोर्ट कमांड को इकट्ठा करता है और स्वचालित रूप से वांछित पोर्ट को खोलता है, कोई है जो आगे गया है और अधिक जटिल एमएस आरपीसी या आईसीएस प्रोटोकॉल कमांड को देखता है। / स्काडा प्रोटोकॉल। लेकिन L4 फ़ायरवॉल के सभी संभावित अनुप्रयोग नहीं दिखते हैं, और ये फ़ायरवॉल आम तौर पर अनुप्रयोग लेयर गेटवे (ALG) के अंदर लागू किए गए अनुप्रयोगों की संख्या में भिन्न होते हैं।

मुझे क्या मिल रहा है? केवल मुख्य टीसीपी / यूडीपी बंदरगाहों को याद करने का विश्वास काम नहीं करता है।
दुनिया में पहले से ही कई हजार एप्लिकेशन हैं और उनमें से सभी कंप्यूटर नेटवर्क का उपयोग करते हैं। और कोई भी नेटवर्क इंजीनियर इन सभी पोर्ट को याद नहीं रख सकता है।

नेटवर्क इंजीनियरों के लिए रहस्योद्घाटन एक अधिक जटिल अनुप्रयोग के लिए पोर्ट खोलने का कार्य है, उदाहरण के लिए, वीएनसी। कोई भी याद नहीं करता है कि वहां कौन से पोर्ट हैं और उन्हें Google का उपयोग करना है।

पहले भाग को प्रकाशित करते समय, मैंने एक सर्वेक्षण किया और मैं देखता हूं कि लोग अभी भी पोर्ट नंबरों को याद करने के लिए तैयार हैं - राय 50 से 50 से विभाजित थी: किसी ने उत्तर दिया कि वह वीएनसी एप्लिकेशन के सभी 4 बंदरगाहों को याद करने के लिए तैयार था।

शायद बंदरगाहों की संख्या में चैंपियन Lync (व्यवसाय के लिए उर्फ ​​स्काइप) है। लगभग 40 बंदरगाह। क्या उन्हें याद रखना यथार्थवादी है?

यदि आप Microsoft TechNet को देखते हैं, जो बताता है कि आपको किन पोर्ट्स को खोलने की आवश्यकता है, तो मैं किसी भी नियम को परमिट लिखना चाहता हूं, क्योंकि लगभग 40 पोर्ट हैं और उनमें से कुछ को गतिशील रूप से खोलना होगा। और L4 फ़ायरवॉल में पंजीकरण करना विनाशकारी रूप से असुविधाजनक है।

यह पता चला है कि L7 एप्लिकेशन के नियमों में नेटवर्क इंजीनियर के लिए लिखना अधिक सुविधाजनक है और यह आवश्यक है कि फ़ायरवॉल अपने आप ही आवश्यक पोर्ट्स को खोल दे।

VNC खोलने की आवश्यकता है? आप नियम में वीएनसी शब्द लिखते हैं और फ़ायरवॉल पहले से ही समझता है कि आपको कौन से अंतर्निहित प्रोटोकॉल खोलने की आवश्यकता है। यह सुविधाजनक है।

एक उदाहरण है। चयनित ट्रैफ़िक श्रेणियों पर NGFW की रिपोर्ट।



औसतन, 200-300 एप्लिकेशन कॉर्पोरेट नेटवर्क से इंटरनेट एक्सेस का उपयोग करते हैं। अनुप्रयोग स्तर फ़ायरवॉल दिखाता है कि यह कौन सा अनुप्रयोग है और इन अनुप्रयोगों को सभी या विशिष्ट उपयोगकर्ताओं के लिए फ़िल्टर कर सकता है और प्रकार या सामग्री द्वारा फ़ाइलों को फ़िल्टर कर सकता है जो कॉर्पोरेट नेटवर्क पर सभी उपयोगकर्ताओं के लिए अनुमत अनुप्रयोगों में जाते हैं। यह भी मत भूलिए कि NGFW में, सुरक्षा कार्य समानांतर में काम करते हैं: IPS, एंटीवायरस, एंटी-स्पाइवेयर, URL फ़िल्टर, DNS फ़िल्टर, थ्रेट इंटेलिजेंस और इतने पर। यही है, हम केवल अनुप्रयोगों की अनुमति नहीं देते हैं, लेकिन इसे सुरक्षित रूप से करते हैं।

L7 फ़ायरवॉल सुरक्षित है

मेरे पास पालो ऑल्टो नेटवर्क्स NGFW है। मैंने इस पर तीन अलग-अलग नियम लिखे। आइए देखें कि वे कैसे भिन्न हैं।



यदि आपने कभी फ़ायरवॉल कॉन्फ़िगर किया है, तो आप देखते हैं कि विभिन्न उपयोगकर्ता समूहों के लिए: वीआईपी, मार्केटिंग और प्रोग्रामर, मैंने एसएसएल को तीन अलग-अलग तरीकों से सक्षम किया है।

1. vip उपयोगकर्ता पोर्ट 443 पर जा सकेंगे और SSL के अंदर इसका उपयोग कर पाएंगे , क्योंकि यह SSL के लिए डिफ़ॉल्ट पोर्ट है। यदि वे 443 पोर्ट पर जाने की कोशिश करते हैं, उदाहरण के लिए, नियमित टेलनेट, तो वे सफल नहीं होंगे - फ़ायरवॉल यह सत्यापित करेगा कि यह एसएसएल नहीं है और इसे ब्लॉक कर देगा। और यह वही है जो आपको चाहिए!
2. एसएसएल का उपयोग करके विपणन किसी भी बंदरगाह पर जा सकता है, क्योंकि सेवा क्षेत्र में, जहां बंदरगाहों को इंगित किया जाता है, किसी भी बंदरगाह की अनुमति है। सवाल यह है कि, क्या मैं एसएसएल का उपयोग गैर-मानक बंदरगाहों पर करने के लिए विपणन करना चाहता हूं? नहीं। यह एक सामान्य कॉन्फ़िगरेशन त्रुटि है। किसी पोर्ट को निर्दिष्ट करना तर्कसंगत है यदि नियम निषेधात्मक है - अर्थात, यदि हम किसी भी पोर्ट पर SSL को प्रतिबंधित करना चाहते हैं।
3. प्रोग्रामर किसी भी एप्लिकेशन के साथ पोर्ट 443 पर चल सकते हैं, जो वास्तव में एक छेद है, क्योंकि मैं मूल रूप से केवल एसएसएल खोलना चाहता था। और यह ठीक है कि L4 फ़ायरवॉल कैसे काम करता है - यह पोर्ट को खोलता है और फिर यह उसके लिए मायने नहीं रखता कि वहाँ क्या है और कौन से अनुप्रयोग इस पोर्ट का उपयोग करते हैं। प्रोग्रामर समूह में कोई भी प्रोग्रामर किसी भी सुरंग का उपयोग कर सकता है।

एप्लिकेशन-डिफ़ॉल्ट सेट करना बहुत महत्वपूर्ण है और आपको नियमों की संख्या को कम करने की अनुमति देता है: आप एक नियम में एप्लिकेशन कॉलम में आवश्यक एप्लिकेशन निर्दिष्ट कर सकते हैं और फ़ायरवॉल स्वयं आवश्यक अनुप्रयोगों के लिए आवश्यक पोर्ट खोल देगा और केवल उन अनुप्रयोगों को जो इन पोर्टों से गुजरना होगा। तदनुसार, आपको कई एप्लिकेशन खोलने के लिए एक नियम की आवश्यकता है।

उदाहरण के लिए, नीचे दिए गए नियम के लिए, जहां सभी कर्मचारियों को केवल डिफ़ॉल्ट रूप से इंटरनेट का उपयोग करने की अनुमति है, एनजीएफडब्ल्यू लगातार जांच करेगा कि वे केवल 53 वें पोर्ट पर DNS क्लाइंट चाहते हैं और टीसीपी-ओवर-डीएनएस नहीं। और निश्चित रूप से, यह सुरक्षा को बढ़ाता है, क्योंकि आप केवल अनुप्रयोगों की अनुमति नहीं देते हैं, लेकिन केवल उन अनुप्रयोगों को नियंत्रित करते हैं जो आप खुले चैनलों के माध्यम से जाने देते हैं।

क्या नई समस्याएं L7 के लिए नियम लिखने के लिए एक नया दृष्टिकोण बनाती हैं

आपको यह समझने की आवश्यकता है कि पैकेज सामग्री द्वारा एप्लिकेशन का निर्धारण L7 फ़ायरवॉल प्रोसेसर के लिए बहुत तनावपूर्ण है। यदि सामान्य L4 फ़ायरवॉल ने टीसीपी पैकेट हैडर के केवल कुछ बाइट्स की जाँच की और फिर फ़्लैश क्लिप के शेष मेगाबाइट को बिना जाँच किए पास कर दिया, तो L7 फ़ायरवॉल को टीसीपी / आईपी डेटा फ़ील्ड में संग्रहित सब कुछ पढ़ना चाहिए और लगातार जांचना चाहिए कि यह सामग्री टीसीपी / आईपी कनेक्शन के अंदर है। कंपनी के लिए एक खतरा बन गया है या बदल गया है। इसलिए, जब एक कार्यात्मक जैसे कि सामग्री विश्लेषण दिखाई दिया, तो सभी उपकरण धीमा होने लगे। इसलिए, सामग्री विश्लेषण के लिए अधिक शक्तिशाली उपकरणों की आवश्यकता होती है।

स्तर 7 विश्लेषण प्रौद्योगिकी की सीमाएं

L7 फ़ायरवॉल को एक कनेक्शन की स्थिति को स्टोर करने के लिए अधिक मेमोरी की आवश्यकता होती है, इसलिए L7 फ़ायरवॉल का "एक साथ कनेक्शन का पैरामीटर" पैरामीटर हमेशा L4 फ़ायरवॉल से कम होता है, दोनों डिवाइस में समान मात्रा में RAM, और महत्वपूर्ण रूप से, प्रत्येक 10 बार। यह पहले ही Statefull section में ऊपर समझाया जा चुका है। निरीक्षण। और यह आपके अनुप्रयोगों की सुरक्षा के लिए मूल्य है। इसलिए, यदि आप एल 4 और एल 7 निरीक्षण की तुलना कर रहे हैं, तो निर्माता से पूछें कि उसने "एक साथ सत्रों की संख्या" पैरामीटर को कैसे मापा: 7 स्तर पर या अक्षम के साथ सुरक्षा के साथ।

प्रदर्शन के साथ भी यही बात है: L4 फ़ायरवॉल प्रोसेसर पैकेट हेडर के केवल कुछ बाइट्स की जाँच करता है और फिर बिना जाँच किए ही डेटा को रूटिंग गति पर स्थानांतरित करता है, और L7 फ़ायरवॉल दोनों हेडर और डेटा के उन सभी मेगाबाइट्स की जाँच करता है जो बाद के कनेक्शन पैकेट में समाहित थे। और यह पूरी तरह से अलग काम है। इसलिए, इस तरह के काम को विशेष हार्डवेयर प्लेटफॉर्म पर करने की आवश्यकता होती है, जहां एप्लिकेशन विश्लेषण त्वरित होता है, स्ट्रीमिंग एंटीवायरस त्वरित होता है, आईपीएस और अन्य सुरक्षा कार्यों में तेजी आती है। सबसे अच्छी बात यह है कि कैवियम सुरक्षा में तेजी लाने के लिए चिप्स बनाने में सफल रहा है, जिनके चिप्स, उदाहरण के लिए, पालो ऑल्टो नेटवर्क द्वारा उपयोग किए जाते हैं।इसके अलावा, विशेष FPGA चिप्स (FPGAs) का उपयोग आपको एंटीवायरस और IPS हस्ताक्षर को चिप में ही फ्लैश करने की अनुमति देता है और FPGA चिप की हार्डवेयर गति पर हस्ताक्षर सत्यापन किया जाता है। अब यहां तक ​​कि व्यक्तिगत कंप्यूटरों में भी समर्पित GPU पर ग्राफिक कार्यों का त्वरण है, इसलिए सुरक्षा को गति देने के लिए चिप्स का उपयोग प्रौद्योगिकी का तार्किक विकास है।

निष्कर्ष

सबसे पहले , L7 फ़ायरवॉल पर सुरक्षा प्रबंध आसान है। पहले, आपने लंबे समय तक एप्लिकेशन निर्माता के प्रलेखन को पढ़ा और वहां सूचीबद्ध बंदरगाहों को खोला। अब यह सरल है: एनजीएफडब्ल्यू नियम में आवेदन का नाम निर्दिष्ट करें और इस एप्लिकेशन के कनेक्शन की स्थिति के आधार पर आवश्यक पोर्ट स्वचालित रूप से हल हो जाएंगे।

दूसरे , आप टनलिंग का पता लगा सकते हैं और ब्लॉक कर सकते हैं, क्योंकि L7 फ़ायरवॉल सुरक्षित रूप से केवल एक स्पष्ट रूप से निर्दिष्ट एप्लिकेशन को अनुमति देता है, और यदि कोई किसी अन्य एप्लिकेशन को एक ओपन पोर्ट पर सुरंग करने की कोशिश करता है, तो उसे तुरंत पता चल जाएगा और अवरुद्ध हो जाएगा।

तीसरा, आप किसी भी वांछित बंदरगाह पर वांछित आवेदन की अनुमति दे सकते हैं और केवल वांछित आवेदन इस बंदरगाह पर जाएंगे, और सभी एक बार में नहीं। उदाहरण के लिए, केवल एक वेब ब्राउज़र पोर्ट 80 का उपयोग करेगा।

भाग 3. एनजीएफडब्ल्यू में एसएसएल डिक्रिप्शन। (जारी रखने के लिए)

ऑल द बेस्ट!

डेनिस बट्रानकोव डेनिस @
बट्रानकोव.ru