Podręcznik profilaktyki i kontroli rozprzestrzeniania się ...
Pełna ochrona wewnątrz sieci€¦ · Widoczność i ochrona w czasie rzeczywistym jest kwestią...
Transcript of Pełna ochrona wewnątrz sieci€¦ · Widoczność i ochrona w czasie rzeczywistym jest kwestią...
WHITE PAPER
Pełna ochrona wewnątrz sieci Internal Network Firewall (INFW)
32 www.fortinet.com
WHITE PAPER: PEŁNA OCHRONA WEWNĄTRZ SIECI – INTERNAL NETWORK FIREWALL (INFW) WHITE PAPER: PEŁNA OCHRONA WEWNĄTRZ SIECI – INTERNAL NETWORK FIREWALL (INFW)
Główne wymagania
n PEŁNA OCHRONA – Ciągła ochrona przed zaawansowanymi zagrożeniami wewnątrz sieci przy pomocy jednego systemu bezpieczeństwa
n ŁATWE WDROŻENIE – Domyślny tryb transparentny pozwala uniknąć przebudowy sieci; umożliwia centralną konfigurację i zarządzanie
n WYSOKA WYDAJNOŚĆ – wydajność pozwala zachować ruch w sieci z szybkością łączy
Pełna ochrona wewnątrz sieci Internal Network Firewall (INFW)
Spis treści
Wprowadzenie 3
Zaawansowane zagrożenia wykorzystują niedoskonałości sieci o płaskiej strukturze 4
Odpowiedź: nowy rodzaj Firewalla – Internal Network Firewall (INFW) 5
Wymogi techniczne INFW 6
Podsumowanie 8
Wprowadzenie
Przez ostatnich 10 lat firmy starały się chronić swoje sieci poprzez stawianie zabezpieczeń na ich peryferiach. Działania te obejmowały zabezpieczenie styku z Internetem, ochronę punktów końcowych i centrów przetwarzania danych (w tym DMZ). Metoda ta, którą można nazwać zabezpieczaniem sieci od zewnątrz, opierała się na założeniu, iż kontrola ściśle określonych punktów dostępu do sieci wystarczy aby ochronić cenne dane. Strategia była następująca: zabezpieczyć brzeg sieci w najwyższym możliwym stopniu i wierzyć, że nic nie przedostanie się przez zaporę.
Obecnie, w miarę jak firmy rozwijają się i zaczynają korzystać z najnowszych trendów w IT, takich jak mobilność czy cloud computing, coraz trudniejsza staje się kontrola i ochrona tradycyjnych granic sieci. Można się teraz do niej dostać na wiele sposobów.
Jeszcze nie tak dawno dostawcy firewalli oznaczali porty swoich urządzeń jako „Zewnętrzne” (Niezaufane) i „Wewnętrzne” (Zaufane). Twórcy zaawansowanych zagrożeń wykorzystują to przeciwko nim: po przedostaniu się do sieci jest ona bowiem całkowicie otwarta i dostępna. Sieć wewnętrzna z reguły składa się z niezabezpieczonych urządzeń takich jak switche, routery czy nawet mosty. Zatem jeśli haker, kontrahent czy nawet niesubordynowany pracownik przedostanie się do środka, ma pełen dostęp do całej sieci firmowej i do wszystkich cennych aktywów.
Rozwiązaniem jest firewall nowej klasy: Internal Network Firewall (wewnętrzny firewall sieciowy – INFW), który kontroluje strategiczne punkty sieci lokalnej. Może on chronić konkretny serwer zawierający cenną własność intelektualną, grupę urządzeń użytkowników lub aplikację webową zlokalizowaną w chmurze.
54 www.fortinet.com
WHITE PAPER: PEŁNA OCHRONA WEWNĄTRZ SIECI – INTERNAL NETWORK FIREWALL (INFW) WHITE PAPER: PEŁNA OCHRONA WEWNĄTRZ SIECI – INTERNAL NETWORK FIREWALL (INFW)
Po instalacji wewnętrzny firewall ma zapewnić stałą widoczność ruchu płynącego przez konkretne urządzenie sieciowe. Co ważne, powinno to nastąpić natychmiast, bez potrzeby wielomiesięcznego planowania i wdrażania. Oczywiście oprócz zapewnienia widoczności Internal Firewall musi realizować także ochronę sieci, ponieważ wykrywanie zagrożeń to tylko jedna z funkcji tego rozwiązania. Analiza logów i alertów zajmuje tygodnie, a nawet miesiące, tymczasem wewnętrzny firewall ma zapewnić ochronę w czasie rzeczywistym opierając się na najnowszych aktualizacjach. Ponadto firewall INFW musi być na tyle elastyczny, by można go było zainstalować w każdym punkcie sieci lokalnej i zintegrować z innymi elementami infrastruktury zarządzając centralnie całym systemem bezpieczeństwa.Dodatkową widoczność i ochronę sieci mogą wzmocnić pozostałe rozwiązania bezpieczeństwa IT, takie jak brama poczty elektronicznej, brama dostępu do Internetu, firewalle brzegowe, firewalle w chmurze oraz rozwiązania ochrony punktów końcowych. Prócz tego Internal Network Firewall musi skalować się od niskich do dużych przepustowości, aby można było zastosować go w każdym punkcie sieci.
RYS 1. “CYKL ŻYCIA” ZAGROŻEŃ ZAAWANSOWANYCH
Zaawansowane zagrożenia wykorzystują niedoskonałości sieci lokalnych o płaskiej strukturze
Cyberprzestępcy stosują zaawansowane ataki ukierunkowane (ang. Advanced Persistent Threats, APT), których celem jest ominięcie tradycyjnych zabezpieczeń, a po przedostaniu się do sieci, uniknięcie wykrycia oraz umożliwienie wycieku cennych danych. Niewiele systemów jest w stanie wykrywać takie ataki i skutecznie przed nimi chronić.
Jak widać na rysunku 1 przedstawiającym cykl życia zagrożeń, po przełamaniu zabezpieczeń styku sieci z Internetem większość działań hakerów odbywa się w obrębie sieci lokalnej. Obejmują one dezaktywowanie oprogramowania antywirusowego opartego na agentach, pobranie instrukcji z serwera command and control botnetu, dalsze infekowanie systemów i wciąganie ich w sieć botnetu oraz wreszcie kradzież danych będących celem ataku.
Odpowiedź: nowy rodzaj firewalla – Internal Network Firewall (INFW) Rozwój zapór sieciowych w ostatniej dekadzie był skupiony głównie na obrzeżach sieci i jej styku z Internetem, zabezpieczeniu hosta, punktów końcowych, centrów przetwarzania danych (DMZ) lub chmury. Wszystko zaczęło się od urządzenia typu Stateful Firewall i ewoluowało do koncepcji systemów zintegrowanego zarządzania zagrożeniami (Unifed Threat Management, UTM) dla sieci rozproszonych, obejmujących nie tylko firewall, ale również moduł wykrywania włamań (IPS) oraz system antywirusowy. Kolejnym etapem był Next Generation Firewall (NGFW), który dodatkowo uzupełniono o system ochrony przed włamaniami (IDS) oraz kontrolę aplikacji na styku z Internetem. Obecnie, głównie z powodu zwiększenia prędkości przepływu danych, pojawiły się firewalle dedykowane do ochrony centów danych (Data Center Firewall – DCFW), które zapewniają przepustowość powyżej 100Gb/s. Wszystkie te firewalle mają jedną wspólną cechę: kontrolują ruch płynący do sieci z zewnątrz.
By zapewnić szybkie wdrożenie wewnątrz sieci oraz natychmiastową ochronę powstał firewall nowej klasy – Internal Network Firewall (INFW). Posiada on nieco inne właściwości niż firewall brzegowy. Różniceprzedstawione są na rys. 2.
RYS. 2 – RÓŻNICE POMIĘDZY POSZCZEGÓLNYMI TYPAMI FIREWALLI
Rolą INFW jest zapewnienie kompleksowej ochronyPodstawowym filarem ochrony sieci jest jej dobra widoczność. Zależy ona od poziomu wiedzy o pakietach danych przesyłanych w obrębie sieci. Jak wygląda strumień pakietów z konkretnej aplikacji, skąd pochodzi, dokąd jest przesyłany, a także jakie działania są podejmowane przez użytkowników (ściąganie danych, wysyłanie na serwer)?.
Równie ważnym elementem jest ochrona. Czy aplikacja, jej zawartość lub działanie są szkodliwe? Choć trudno to ustalić w odniesieniu do różnych rodzajów zawartości i typów aplikacji, stanowi to istotę działania wewnętrznego firewalla. Zdolność do wykrywania złośliwych plików, aplikacji czy czynności daje przedsiębiorstwu czas na reakcję i powstrzymanie ataku. Te elementy ochrony, by były skuteczne, muszą być realizowane przez jedno urządzenie.
Zarówno widoczność, jak i ochrona są mocno zależne od centralnego systemu wykrywania zagrożeń w czasie rzeczywistym. Należy zawsze zadać sobie pytanie: jak dobra jest widoczność i jak skuteczna ochrona? Czy system bezpieczeństwa radzi sobie z najnowszymi zagrożeniami? Dlatego wszystkie usługi w zakresie bezpieczeństwa powinny być stale testowane i oceniane przez niezależne organizacjecertyfikujące.
1 2
34
Sprzedaż
Tworzenie zagrożeńi rozpoznanie
Przemycenie zagrożenia Infekcja
Wyciekdanych Komunikacja
Poszukiwanie podatnościTworzenie e-maili wyłudzających informacjePersonalizacja złośliwego oprogramowania
WewnątrzNa zewnątrzInżynieria społecznaExploity typu Zero DayZłośliwe URLeZłośliwe aplikacje i inne
Ukrywanie się i rozprzestrzenianieRozbrojenie, uzyskanie dostępuKontakt z serwerem command & controlAktualizacja
Etap pakowania i szyfrowania
APP URL
Tryb rozmieszczania INFW NGFW DCFW UTM CCFW
Cel Widoczność i ochro-na dla segmentów wewnętrznych
Widoczność i ochrona przed zagrożeniami z zewnątrz oraz działa-niami w Internecie
Wysoka wydajność, ochrona sieci o niskiej latencji
Widoczność i ochrona przed zagrożeniami z zewnątrz oraz działa-niami użytkownika
Bezpieczeństwo sieci dla dostawców usług
Lokalizacja Warstwa dostępowa Brama internetowa Warstwa centralna/Bra-ma DC
Brama internetowa Różne
Tryb działania sieci Tryb Transparent Tryb NAT/Route Tryb NAT/Route Tryb NAT/Route Tryb NAT/Route
Wymagania sprzętowe Wyższa gęstość portów – ochrona większej liczby danych
Porty GbE i 10GbE Duża prędkość (GbE/10 GbE/40 GbE/100) i wysoka gęstość portu, przyspieszanie sprzę-towe
Wysoka gęstość por-tuGbE, zintegrowane połączenie bezprzewo-dowe oraz POE
Duża prędkość (GbE/10 GbE/40 GbE) i wysoka gę-stość portu, przyspie-szanie sprzętowe
Elementy zabezpiecza-jące
Firewall, IPS, ATP, Kontrola aplikacji
(oparte na użytkowni-ku) Firewall, VPN, IPS, Kontrola aplikacji
Firewall, ochrona DDoS Kompleksowa, z możliwością roz-szerzania; integracja klientów i urządzeń
Firewall, CGN, LTE i ochrona urządzeń mobilnych
Inne cechy Szybkie rozmieszcze-nie, praktycznie bez konfiguracji
Integracja z Advan-ced ThreatProtec-tion(ochroną przed zaawansowanymi zagrożeniami) (San-dbox)
Wysoka dostępność Różne opcje połączeń WAN, np. 3G4G
Wysoka dostępność
76 www.fortinet.com
WHITE PAPER: PEŁNA OCHRONA WEWNĄTRZ SIECI – INTERNAL NETWORK FIREWALL (INFW) WHITE PAPER: PEŁNA OCHRONA WEWNĄTRZ SIECI – INTERNAL NETWORK FIREWALL (INFW)
INFW ma za zadanie zapewnić łatwe wdrożenieWdrożenie i zarządzanie firewalla wewnętrznego powinno być łatwe. W IT oznacza to możliwość instalacji przy minimalnej konfiguracji oraz bez konieczności przebudowania istniejącej sieci.
INFW musi także być w stanie chronić różne rodzaje aktywów wewnętrznych znajdujących się w różnychczęściach sieci. Może to być zbiór serwerów zawierających cenne dane klientów lub grupa urządzeń końcowych, na których nie zainstalowano najnowszych rozwiązań ochrony.
Ponadto Internal Firewall musi być w stanie integrować się z innymi elementami systemu bezpieczeństwa w przedsiębiorstwie, które zapewniają dodatkową widoczność i ochronę. Może to być brama poczty elektronicznej, brama dostępu do Internetu, firewall brzegowy, firewall w chmurze czy też system ochrony punktów końcowych. Powinna istnieć możliwość centralnego zarządzania całością. Dzięki temu polityka bezpieczeństwa będzie spójna na brzegu i wewnątrz sieci, a nawet na zewnątrz – w chmurze.
Tradycyjne firewalle na ogół wdraża się w trybie routingu. Ich porty są skojarzone z adresami IP. Planowanie i wdrażanie zajmuje często całe miesiące. To cenny czas w dzisiejszym świecie błyskawicznych ataków cybernetycznych. Firewall wewnętrzny powinno dać się wdrożyć szybko i przy minimalnych przerwach w pracy. Proces ten musi być równie prosty jak włączenie urządzenia i połączenie go z siecią. Nie powinien zakłócać pracy sieci i działających w niej aplikacji.
INFW musi działać z prędkością łączaPonieważ wewnętrzne firewalle sieciowe wdraża się liniowo celem segmentacji sieci, muszą one wykazywać wysoką wydajność, by sprostać wymaganiom przepływu wewnętrznego i nie stać się wąskim gardłem w kluczowych punktach sieci. W przeciwieństwie do połączeń w sieci WAN lub Internecie o prędkości niższej niż 1 gigabit na sekundę, wewnętrzne sieci działają o wiele szybciej, z prędkością wielu gigabitów. INFW muszą więc działać z równie dużą prędkością, realizując przy tym głęboką inspekcję pakietów (Deep Packet Inspection – DPI) oraz połączeń bez spowalniania pracy sieci.
Wymagania techniczne INFW Elastyczność trybów pracyNiemal wszystkie tryby wdrożenia firewalla wymagają przydzielenia adresów IP i rekonfiguracji sieci. Pierwszy z nich, tak zwany Network Routing Mode, zapewnia widoczność przepływu danych oraz możliwość wykrywania i zapobiegania zagrożeniom. Tryb pasywnego nasłuchu (sniffer), łatwiejszy do konfiguracji, zapewnia widoczność, ale nie daje ochrony.
Tryb transparentny łączy zalety trybu routingu oraz trybu pasywnego nasłuchu – zapewnia łatwe wdrożenie i widoczność, a co ważniejsze, także ochronę. Różnice przedstawione są na rys. 3.
RYS. 3 –RÓŻNICE POMIĘDZY POSZCZEGÓLNYMI TYPAMI FIREWALLA
Skalowalna architektura sprzętowaPonieważ sieci wewnętrzne działają z dużo większą prędkością niż połączenia w Internecie, wewnętrzny firewall musi kontrolować ruch z wielogigabitową przepustowością. Mimo iż architektury oparte wyłącznie na procesorze głównym (CPU) są elastyczne, stają się wąskim gardłem gdy niezbędna jest duża przepustowość. Nadrzędna architektura sprzętowa firewalli INFW wciąż korzysta z procesorów CPU ze względu na ich elastyczność, ale łączy to z pracą dedykowanych procesorów ASIC przyspieszających przepływ danych w sieci oraz inspekcję zawartości.
Ponieważ INFW wdraża się w pobliżu danych i urządzeń, może zajść konieczność pracy w trudnych warunkach. Dostępność bardziej odpornego na wpływ otoczenia modelu jest zatem wskazana w przypadku tego rozwiązania.
Segmentacja sieci – zintegrowane przełączanie z dużą prędkościąJednym z aspektów trybu transparentnego, który wciąż ewoluuje, jest zdolność do fizycznego rozdzielania podsieci i serwerów za pomocą funkcji switcha. Na rynku pojawiają się firewalle z w pełni funkcjonalnymi, wbudowanymi w urządzenie przełącznikami. Nowe firewalle, z licznymi interfejsami 10GbE, stały się idealnym rozwiązaniem w centrach przetwarzania danych, dzięki którym serwery są fizycznie i wirtualnie zabezpieczone. Ponadto podobne firewalle z wbudowanymi switchami wyposażone w dużą ilość interfejsów 1GbE – są idealne do rozdzielania podsegmentów sieci LAN. Firewalle wewnętrzne powinny być w stanie pełnić obie te role, a zatem idealnie byłoby, gdyby posiadały w pełni funkcjonalne, zintegrowane możliwości przełączania.
Ochrona w czasie rzeczywistymWewnętrzne firewalle sieciowe muszą być w stanie zapewnić pełen zakres zaawansowanych usług bezpieczeństwa, w tym IPS, widoczność aplikacji, moduł antywirusowy, filtr antyspamowy oraz integrację z sandboxem opartym na chmurze, pozwalając na egzekwowanie polityk uzupełniających wobec standardowych firewalli brzegowych. Widoczność i ochrona w czasie rzeczywistym jest kwestią kluczową dla ograniczania rozprzestrzeniania się złośliwego oprogramowania w obrębie sieci.
Przykład rozmieszczenia firewalli INFW w całej sieciWiększość firm chroni peryferia sieci przy pomocy tradycyjnych firewalli, firewalli nowej generacji oraz rozwiązań UTM. Stanowi to wciąż kluczowy element ochrony sieci. By jednak wzmocnić ochronę, można wewnętrznie rozmieścić firewalle INFW w miejscach strategicznych. Może to
oznaczać konkretną grupę punktów końcowych, dla których aktualizacja zabezpieczeń jest kłopotliwa lub serwerów, na których przechowywana jest własność intelektualna.
Przykład rozmieszczenia segmentowego firewalli INFWFirewall wewnętrzny z reguły umieszcza się w warstwie dostępowej; jego zadaniem jest ochrona konkretnego zbioru aktywów. Początkowo wdraża się go w trybie transparentnym pomiędzy przełącznikami warstwy dystrybucyjnej i dostępowej. W dłuższym horyzoncie czasowym zintegrowane przełączanie może zastąpić oba rodzaje przełączników, a także zapewnić dodatkową fizyczną ochronę.
RYS. 5 – WDROŻENIE INTERNAL NETWORK FIREWALL (INFW)
WEWNĄTRZ CHMURA
WEWNĄTRZ
Centrum
P
rzetwarzania
Danych
WEWNĄTRZ
Pun
kty
końc
ow
eC
amp
us
INFW
INFW
FirewallBrzegowy(NGFW)
Data CenterFirewall(DCFW)
UnifiedThreatManagement(UTM)
INFW
INFW
Od
dzi
ał
INTERNET
WirtualnyNGFW
Aplikacje
RYS. 4 – WDROŻENIE INTERNAL NETWORK FIREWALL (INFW)
punkt styku z InternetemWARSTWA DYSTRYBUCYJNARDZENIA
WARSTWA DOSTĘPOWA
SERWERY LOKALNE URZĄDZENIA UŻYTKOWNIKÓW
Przełącznik dostępowy /VLAN
przełącznik rdzeniowy /dystrybucyjny
FortiGate wpięty w łącze za pomoca transparentnej pary portów Porty o dużej szybkośc IPS, ATP i kontrola aplikacji
Tryb wdrożenia
Trudność wdrożenia
Funkcje sieciowe
Wysoka dostęp-ność
Widocz-ność ruchu
Ochrona przed zagroże-niami
Routingu Wysoka Router L3 ü ü ü
Transparentny Niska Most L2 ü ü ü
Sniffer Niska û û ü û
WHITE PAPER: PEŁNA OCHRONA WEWNĄTRZ SIECI – INTERNAL NETWORK FIREWALL (INFW)
Zwiększanie ochrony przed zaawansowanymi zagrożeniami dzięki widoczności wewnątrz sieciWłaściwe podejście do neutralizowania zaawansowanych zagrożeń powinno obejmować nieprzerwany cyklZapobiegania, Wykrywania i Neutralizacji. Zasadniczo firewall nowej generacji stanowić będzie podstawę etapu Zapobiegania: realizuje funkcje firewalla warstw 2 i 3, zapobieganie włamaniom (IPS), kontrolę aplikacji i inne funkcje blokujące znane zagrożenia, a jednocześnie przekazywać będzie nieznane, podejrzane elementy do sandboxa na potrzeby etapu Wykrywania. Jeśli jednak NGFW zostanie tradycyjnie umieszczony na granicy sieci, zapewni to jedynie częściowy wgląd w „cykl życia” ataku, głównie poprzez obserwację działań wchodzących i wychodzących.
RYS. 5 – ETAPY OCHRONY PRZED ZAAWANSOWANYMI ZAGROŻENIAMI (ATP)
Wprowadzenie firewalla INFW może zapewnić większy wgląd w działalność hakerów wewnątrz sieci. W ruchu poziomym mogą ukrywać się podejrzane działania, gdyż hakerzy będą próbowali zidentyfikować cenne aktywa i pobrać dane. Dlatego też pełen wgląd w działania wewnętrzne oraz działania na peryferiach sieci zwiększa zasięg ochrony przed wszystkimi fazami ataków ATP. Ponieważ ruch w sieci wewnętrznej często jest kilkakrotnie intensywniejszy niż na styku z Internetem, INFW ma więcej okazji do ograniczenia rozprzestrzeniania się zagrożenia niż standardowe techniki; umożliwia też przekazanie większej liczby podejrzanych elementów do sandboxa celem dokładniejszej analizy.
Podsumowanie Zaawansowane zagrożenia wykorzystują niedoskonałości sieci lokalnej. Po przedostaniu się przez zabezpieczenia na styku z Internetem niewiele można zrobić, by powstrzymać rozprzestrzenianie się zagrożenia, które ostatecznie prowadzi do wycieku cennych danych. Ponieważ tradycyjne firewalle zostały zaprojektowane na potrzeby niższych prędkości, trudno jest rozmieścić te urządzenia zabezpieczające wewnątrz sieci. Ponadto konfiguracja sieciowa firewalla (przypisanie adresow IP) trwa bardzo długo.
Wewnętrzne firewalle sieciowe to nowa klasa zapór, które można wdrożyć szybko, przy minimalnych przerwach w pracy, dotrzymując kroku wielogigabitowym prędkościom sieci wewnętrznych. Natychmiastowa widoczność i ochrona może być stosowana dla konkretnych fragmentów sieci lokalnej.
April 16, 2015
Wynik: przekazanie podejrzanych elementów
Wynik: raporty
i statystyki
Wynik: zapewnienie
stałej ochrony i aktualizacji
Copyright © 2015 Fortinet, Inc. All rights reserved. Fortinet®, FortiGate®, FortiCare® and FortiGuard®, and certain other marks are registered trademarks of Fortinet, Inc., and other Fortinet names herein may also be registered and/or common law trademarks of Fortinet. All other product or company names may be trademarks of their respective owners. Performance and other metrics contained herein were attained in internal lab tests under ideal conditions, and actual performance and other resultsmay vary. Network variables, different network environments and other conditions may affect performance results. Nothing herein represents any binding commitment by Fortinet, and Fortinet disclaims all warranties, whether express or implied, except to the extent Fortinet enters a binding written contract, signed by Fortinet’s General Counsel, with a purchaser that expressly warrants that the identified product will perform according to certain expressly-identified performance metrics and, in such event, only the specific performance metrics expressly identified in such binding written contract shall be binding on Fortinet. For absolute clarity, any such warranty will be limited to performance in the same ideal conditions as in Fortinet’s internal lab tests. Fortinet disclaims in full any covenants, representations,and guarantees pursuant hereto, whether express or implied. Fortinet reserves the right to change, modify, transfer, or otherwise revise this publication without notice, and the most current version of the publication shall be applicable.
GLOBAL HEADQUARTERSFortinet Inc.899 Kifer RoadSunnyvale, CA 94086United StatesTel: +1.408.235.7700www.fortinet.com/sales
EMEA SALES OFFICE120 rue Albert Caquot06560, Sophia Antipolis, FranceTel: +33.4.8987.0510
APAC SALES OFFICE300 Beach Road 20-01The ConcourseSingapore 199555Tel: +65.6513.3730
LATIN AMERICA SALES OFFICEProl. Paseo de la Reforma 115 Int. 702Col. Lomas de Santa Fe,C.P. 01219 Del. Alvaro ObregónMéxico D.F.Tel: 011-52-(55) 5524-8480