Napredna konfiguracija požarnega zidu na strežnikih

Informatec Digital » Viri » Napredna konfiguracija požarnega zidu na strežnikih

Obvladovanje napredne konfiguracije strežniškega požarnega zidu ni več samo za velika podjetja. Vsako podjetje, ki jemlje kibernetsko varnost resno, mora razumeti, kako segmentirati omrežje, definirati cone, ustvariti podrobna pravila in kar najbolje izkoristiti tako požarni zid perimetra kot sam požarni zid sistema Windows na vsakem računalniku in strežniku.

V tem priročniku boste podrobno videli, kako delujejo požarni zidovi naslednje generacije (NGFW) , kako oblikovati cone (LAN, WAN, DMZ, VLAN), katere vrste pravil uporabiti (program, vrata, protokol, IP ...), kako izkoristiti požarni zid Windows z napredno varnostjo , kakšno vlogo imajo orodja, kot je SimpleWall, in katere najboljše prakse upoštevati, da celoten sistem ne postane neobvladljiva zmešnjava.

Požarni zidovi naslednje generacije na strežnikih: veliko več kot le filtriranje vrat

Požarni zidovi naslednje generacije, kot je FortiGate NGFW , združujejo napredne omrežne funkcije in poglobljeno varnost v eni sami napravi. Ne odpirajo ali zapirajo le vrat, temveč analizirajo promet na ravni aplikacije, pregledujejo šifrirano vsebino in se integrirajo s kompleksnimi arhitekturami oblaka, lokalnih omrežij, brezžičnih omrežij in oddaljenega dostopa.

V primeru FortiGate je srce sistema FortiOS , specifičen operacijski sistem, ki združuje varnostne politike in omrežne funkcije: integriran SD-WAN, univerzalni ZTNA, nadzor prometa v brezžičnih in žičnih omrežjih ter centralizirano upravljanje zahvaljujoč FortiManagerju.

Poleg tega se te naprave zanašajo na lastniško arhitekturo ASIC (namenske čipe) za pospešitev pregleda in dešifriranja paketov, ne da bi pri tem zmanjšale zmogljivost ali povečale porabo energije, tudi ko je omrežje pod polno obremenitvijo in poteka na stotine ali tisoče hkratnih sej.

Zaščito pred grožnjami krepijo storitve FortiGuard , ki dodajajo umetno inteligenco za zaznavanje zlonamerne programske opreme, sumljivega prometa, izkoriščanja in ciljno usmerjenih napadov, s čimer se vse skupaj uvršča v koncept Fortinet Security Fabric: varnostne strukture, ki pokriva omrežje, končne točke in oblak za usklajen odziv na incidente.

Zasnova con požarnega zidu in segmentacija omrežja na strežnikih

Preden ustvarite pravila, kot da jutri ni, morate pravilno zasnovati arhitekturo coniranja in segmentacijo omrežja . Bolj kot je omrežje bolj ravno, lažje se bo napadalec premikal bočno, ko bo vstopil.

Prvi korak je opredeliti ključna sredstva in storitve : spletne strežnike, baze podatkov, interne aplikacije, prodajne naprave, VoIP PBX-e, omrežja za goste itd. Glede na njihovo kritičnost in izpostavljenost so združeni v različne logične cone.

Standardna praksa je ustvariti DMZ (demilitarizirano območje) za strežnike, ki zagotavljajo storitve neposredno internetu (e-pošta, VPN, spletne aplikacije, javni portali itd.). Ti strežniki morajo biti izolirani tako od zunanjega omrežja kot od občutljivejšega notranjega omrežja, s čimer se čim bolj omeji pretok prometa med območji.

Strežniki, do katerih je mogoče dostopati samo znotraj organizacije, se nahajajo v notranjih strežniških conah , ločeno od uporabniškega omrežja, upravljalnega omrežja in morebitnih laboratorijskih ali testnih okolij. Da bi to bilo praktično, se za ohranjanje ločitve na 2. plasti običajno uporabljajo stikala s podporo za VLAN.

V okoljih IPv4 morajo vsa notranja omrežja uporabljati zasebna območja naslovov (RFC1918) in se za dostop do interneta zanašati na mehanizme NAT. To prevajanje se običajno izvaja na požarnem zidu oboda, ki za vsako posamezno cono uveljavlja tudi vhodne in odhodne pravilnike.

Seznami za nadzor dostopa (ACL) in pravila med območji

Ko so cone definirane in dodeljene vmesnikom ali podvmesnikom požarnega zidu, je čas za ACL-je (sezname za nadzor dostopa) , ki so pravila, ki določajo, kateri promet je dovoljen in kateri zavrnjen med temi conami.

Ideja je, da se za vsak vmesnik ali podvmesnik definira niz pravil, ki so čim bolj specifična in podrobna : izvorni IP ali podomrežje, ciljni IP ali podomrežje, protokol (TCP, UDP, ICMP itd.), vključena vrata in dejanje (dovoli ali zavrni). Manj ko so pravila splošna, manj varnostnih vrzeli bo.

Dobra praksa je, da se vsak ACL zaključi z implicitnim pravilom »zavrne vse« , ki deluje kot varnostna mreža: če paket ne ustreza nobenemu prejšnjemu pravilu za dovoljenje, je blokiran. Nato se za tokove, ki so dejansko potrebni, ustvarijo zelo specifične izjeme.

Priporočljivo je tudi onemogočiti javni dostop do upravljalnih vmesnikov požarnega zidu (HTTP, HTTPS, SSH itd.) in omogočiti upravljanje le iz zelo specifičnih notranjih omrežij ali prek varnega upravljalnega VPN-ja.

Sodobni NGFW-ji ponujajo več kot le nadzor vrat in IP-naslovov, temveč izkoriščajo tudi nadzor aplikacij , spletne kategorije, IPS in napredno analizo datotek (sandboxing). Če ste za te funkcije že plačali, jih je smiselno omogočiti in konfigurirati za kritične prometne tokove, zlasti tiste, ki prečkajo obod.

Permisivni požarni zid v primerjavi z omejevalnim požarnim zidom na strežnikih

Ključna točka pri oblikovanju politike požarnega zidu (ne glede na to, ali gre za perimeter ali operacijski sistem) je odločitev, ali začeti z dovoljenjem ali omejitvijo.

V permisivnem požarnem zidu je končno implicitno pravilo »dovoli vse«. Blokirano je le tisto, kar je izrecno določeno s pravili zavrnitve. Ta pristop se običajno uporablja v zaupanja vrednih notranjih omrežjih (LAN) ali v računalnikih, ki so v sistemu Windows konfigurirani kot »zasebno omrežje«.

V restriktivnem požarnem zidu velja ravno nasprotno: končno pravilo je »zavrne vse«. Dovoljen je le promet, ki ustreza eksplicitnim pravilom za dovoljenja. Ta filozofija je značilna za vmesnik prostranega omrežja (WAN), požarne zidove, kot sta pfSense ali korporativni NGFW, in naprave, konfigurirane kot »javno omrežje«.

Windows na primer privzeto uporablja omejevalni pravilnik za dohodne povezave (blokiranje vsega, kar ni izrecno dovoljeno) in permisiven pravilnik za odhodne povezave (dovoljenje vsega, razen tistega, kar ste blokirali). To je mogoče prilagoditi v naprednih nastavitvah požarnega zidu.

Kaj lahko požarni zid Windows dejansko ponudi na strežnikih?

Požarni zid Windows z napredno varnostjo je veliko zmogljivejši, kot si mnogi mislijo. Nadzoruje lahko dohodni in odhodni promet, filtrira ga po naslovu IP, vratih, protokolu, storitvi, omrežnem vmesniku, vrsti profila (domena, zasebni, javni) in v nekaterih primerih celo po uporabniku ali skupini.

Med njegovimi zmogljivostmi so filtriranje paketov na nizki ravni , ustvarjanje podrobnih dnevnikov (ki jih je nato mogoče analizirati s pregledovalnikom dogodkov ali poslati v SIEM), zaznavanje javnih omrežij za samodejno uporabo strožjega profila in integracija z drugimi varnostnimi plastmi, kot je Windows Defender.

Za mala podjetja in številna strežniška okolja je lahko dobro konfiguriran NGFW več kot zadosten , še posebej v kombinaciji z robustno protivirusno programsko opremo in dobrimi skrbniškimi praksami. Vendar se je pomembno zavedati njegovih omejitev: ni nadomestilo za perimetrski NGFW ali namenski IPS.

Slabosti vključujejo dejstvo, da požarni zid sistema Windows privzeto ne ponuja poglobljenega pregleda paketov z naprednimi podpisi, da izvorno ne blokira sistemske telemetrije, da so njegova obvestila diskretna (komaj vas opozorijo na nove povezave) in da način ogledovanja dnevnikov ni uporabniku prijazen za netehnične uporabnike.

Dostop do požarnega zidu sistema Windows z napredno varnostjo

Za upravljanje naprednih nastavitev požarnega zidu v okolju domene Active Directory je najboljši pristop delo s predmeti skupinskih pravilnikov (GPO) . Zahteva se članstvo v skupini Skrbniki domene ali dodeljena dovoljenja za GPO.

V konzoli za upravljanje pravilnikov se pomaknite do Pravilniki > Konfiguracija računalnika > Nastavitve sistema Windows > Varnostne nastavitve > Požarni zid sistema Windows z napredno varnostjo . Tam lahko določite skupna pravila za odjemalske računalnike in strežnike, povezane z domeno.

Če gre za en sam strežnik ali lokalni računalnik , potrebujete le skrbniške pravice na tej napravi. Najhitrejši način za odpiranje konzole je, da pritisnete START, vnesete wf.msc in pritisnete Enter. S tem boste odprli konzolo požarnega zidu Windows z napredno varnostjo za ta računalnik.

Na glavnem zaslonu so prikazana dohodna pravila, odhodna pravila, pravila varnosti povezave in konfiguracija različnih profilov (domena, zasebni, javni), skupaj z območjem za spremljanje, kjer so vidna samo aktivna pravila.

Profili, globalni pravilniki in privzeto vedenje

Plošča z lastnostmi požarnega zidu nadzoruje globalne možnosti za vsak omrežni profil (domena, zasebno, javno). Te možnosti določajo, kako se požarni zid obnaša, ko je omrežna kartica povezana z določeno vrsto omrežja.

Za vsak profil lahko določite, ali je požarni zid omogočen ali onemogočen , ali so dohodne povezave, ki ne ustrezajo nobenemu pravilu, blokirane ali dovoljene, in enako velja za odhodne povezave.

Prilagodite lahko tudi parametre, kot so obvestila ob blokiranju programa , mesto shranjevanja dnevnikov požarnega zidu , največja velikost teh dnevnikov in posebna obravnava prometa, zaščitenega s tuneli IPsec VPN, ki na splošno veljajo za bolj zanesljive.

V razdelku Spremljanje so prikazana vsa trenutno aktivna pravila, vključno s pravili iz objektov skupinskih pravilnikov (GPO) in tistimi, ki so definirana lokalno. Tukaj si lahko ogledate, katera pravila so dejansko aktivna in s kakšnimi parametri, od tam pa lahko odprete in spremenite njihove lastnosti.

Pravila vstopa in izstopa: smer prometa

Pri delu s pravili v požarnem zidu sistema Windows je ena najpogostejših napak zmeda smeri prometa . Pravila za dohodni promet veljajo za pakete, ki prispejo v računalnik; pravila za odhodni promet pa za pakete, ki zapuščajo računalnik in gredo v drug računalnik.

Če je cilj preprečiti povezave iz interneta s strežnikom, je treba ustvariti ali spremeniti vhodna pravila . Če pa je cilj preprečiti strežniški storitvi ali programu povezavo z zunanjim strežnikom, je treba spremeniti odhodna pravila.

Vsak vnos na seznamu označuje, ali je pravilo omogočeno (ikona zelene kljukice) ali onemogočeno. Onemogočena pravila ne vplivajo na promet, čeprav so še vedno definirana. Pogosto je mogoče najti veliko vnaprej določenih pravil sistema Windows, ki so prisotna, vendar niso aktivna, dokler niso potrebna.

Razumevanje pretoka izvor/cilj ter lokalnih/oddaljenih vrat je bistveno za preprečevanje ustvarjanja pravil, ki se nikoli ne uporabijo ali se odprejo pogosteje, kot je resnično potrebno, kar je zelo pogosto pri konfiguriranju kompleksnih storitev.

Vrste pravil v požarnem zidu sistema Windows

Čarovnik za nova pravila požarnega zidu sistema Windows ponuja štiri glavne kategorije: Program, Vrata, Predhodno določeno in Po meri . Vsaka je zasnovana za drugačen scenarij in pri izbiri morate biti previdni glede na želeni rezultat.

Pravila programa se osredotočajo na določeno izvedljivo datoteko; pravila vrat filtrirajo po številki vrat TCP ali UDP; vnaprej določena pravila poenostavljajo upravljanje znanih storitev sistema Windows; pravila po meri pa omogočajo zelo natančno nastavitev z združevanjem več meril hkrati.

V vseh primerih čarovnik zaključi z vprašanjem, katero dejanje želimo uporabiti (dovoli, dovoli samo, če je varno z IPsec ali blokiraj) in za katere omrežne profile bo to pravilo veljalo (domena, zasebno, javno). Na koncu se dodelita ime in opis , da ga je mogoče pozneje enostavno prepoznati.

Na kritičnih strežnikih si je vredno vzeti čas za ustrezno dokumentiranje pravil, pri čemer je treba navesti, katero storitev ščitijo in zakaj obstajajo , da pri prihodnjih revizijah ali spremembah ne bo dvomov o njihovi uporabnosti.

Pravila po programih: natančen nadzor nad določenimi storitvami

Pravila tipa program so priročen način za nadzor prometa aplikacije, ne da bi si morali zapomniti vsa vrata, ki jih uporablja. Uporabljajo se lahko tako za dohodni kot odhodni promet.

V čarovniku izberite možnost »Pot do tega programa« in določite pot do izvedljive datoteke . Z uporabo okoljskih spremenljivk lahko zagotovite pravilno uporabo pravila, tudi če je program nameščen na različnih mestih v različnih računalnikih.

Na strežnikih, ki gostijo storitve znotraj datoteke svchost.exe ali drugih večstoritvenih vsebnikov, lahko pravilo prilagodite tako, da velja samo za določene storitve, tako da storitev izberete po njenem kratkem imenu. To vam omogoča, da na primer razlikujete promet določene storitve RPC znotraj istega procesa.

Zelo priporočljivo je, da na zavihku Protokoli in vrata združite pravilo programa z omejitvami , pri čemer izrecno določite, na katerih vratih lahko aplikacija posluša ali jih uporablja. Če poskuša odpreti druga vrata, jih bo požarni zid blokiral.

Pravila vrat: klasično filtriranje TCP/UDP

Pravila tipa vrata vam omogočajo, da dovolite ali blokirate promet na podlagi lokalne ali oddaljene številke vrat in protokola (predvsem TCP ali UDP). Uporabljajo se lahko tako za vhodna kot za odhodna pravila.

V tipičnem vhodnem pravilu za odpiranje, na primer, vrat TCP 21 , izberete TCP, določite »določena lokalna vrata« in vnesete 21. Določite lahko več vrat, ločenih z vejicami (npr. 21, 20, 22) ali obsege, kot je 5000–5100, lahko pa v istem pravilu celo mešate posamezna vrata in obsege.

Nato se odločite za dejanje (dovoli, dovoli, če je varno, blokiraj) in profile, kjer bo uporabljeno. To je preprost način za odpiranje določenih standardnih storitev (HTTP, HTTPS, RDP itd.), ne da bi se spuščali v podrobnosti o posameznih programih.

V primeru pravil za odhodno pošto se najpogosteje določijo oddaljena vrata, saj je to cilj, s katerim se strežnik poskuša povezati. Tipičen primer uporabe bi bil blokiranje vsega odhodnega prometa na sumljiva vrata ali omejitev komunikacije določenih aplikacij le na zelo specifičnih vratih.

Predhodno določena in prilagojena pravila

Preddefinirana pravila združujejo že pripravljene konfiguracije za običajne storitve sistema Windows (skupna raba datotek in tiskalnikov, oddaljeno namizje itd.). Preprosto izberite storitev, navedite, ali jo želite dovoliti ali blokirati, izberite profile in končali ste.

Ta možnost je priročna, kadar želite hitro omogočiti ali omejiti notranjo storitev, ne da bi morali v vsakem primeru preučiti, katera vrata in protokole uporablja. Sistem v ozadju ustvari več posebnih pravil, ki pokrivajo to storitev.

Pravila po meri so najbolj celovita in ponujajo največji nadzor. Omogočajo vam, da določite vse parametre: program (ali vse programe), vrsto storitve, protokol IP (s seznamom TCP, UDP, ICMPv4, ICMPv6, GRE, IPv6-Route itd.), kombinacijo lokalnih in oddaljenih vrat, izvorne in ciljne naslove IP (vključno z obsegi in podomrežji) ter dodatne pogoje.

V protokolih, kot sta ICMPv4 ali ICMPv6, lahko izberete, ali želite dovoliti vse vrste sporočil ICMP ali le določene (zahteva za odmev, odgovor na odmev, prekoračen čas itd.). Določite lahko celo posebne vrste in kode, ki se ne prikažejo na splošnem seznamu.

Pri določanju naslovov IP v razdelku obsega vam čarovnik omogoča tudi dodajanje celotnih obsegov ali podomrežij (na primer 192.168.10.0/24), da dodatno omejite, katere naprave lahko uporabljajo to pravilo, tako lokalno kot oddaljeno.

Vhodna pravila ICMP na strežnikih

Odločitev o tem, ali naj se strežniku dovoli promet ICMP ali ne, je strateška. Pravilo dohodnega ICMP strežniku omogoča odzivanje na pinge in določena diagnostična sporočila omrežja, kar je zelo koristno za administracijo, lahko pa tudi posreduje informacije napadalcu.

Če želite v požarnem zidu sistema Windows ustvariti pravilo za dohodno ICMP, odprite napredno konzolo, pojdite na Pravila za dohodno povezavo in ustvarite novo pravilo po meri. V razdelku Programi običajno izberete »Vsi programi«.

Na zaslonu protokola izberite ICMPv4 ali ICMPv6 , odvisno od uporabljenega omrežnega sklada. Če delate z IPv4 in IPv6, boste morali za vsakega ustvariti pravilo. Možnost prilagajanja vam omogoča, da izberete določene vrste ICMP, ki jih želite dovoliti (samo echo request/echo reply ali širši nabor).

Nato se določi obseg (katere IP-je je mogoče pingati), dejanje (običajno dovoljenje povezave) in omrežni profili, kjer bo pravilo začelo veljati. Nazadnje se pravilu dodeli opisno ime za lažjo identifikacijo.

Pravila dohodnih in odhodnih storitev ali programa

V nekaterih primerih želite določeni storitvi omogočiti poslušanje dohodnega prometa na katerih koli vratih, ki jih potrebuje, ali obratno: preprečiti programu komunikacijo z zunanjim svetom prek katerih koli vrat.

Za dohodni del se ustvari pravilo po meri, izbere se »Pot do tega programa« in določi se izvedljiva datoteka storitve. To je nato mogoče prilagoditi tako, da pravilo velja samo za storitve, ki gostujejo znotraj te izvedljive datoteke, tako da storitev izberete po njenem kratkem imenu.

Obstaja celo možnost prilagoditve vrste SID storitve z ukazom `sc sidtype <ServiceName> <UNRESTRICTED|RESTRICTED>`. To določa, kako se lahko storitev uporablja znotraj pravil požarnega zidu. Če jo spremenite v RESTRICTED, se lahko storitev ne bo zagnala, zato to storite previdno in le, če je ta vrsta zaščite potrebna.

Za odhodni promet je postopek podoben, vendar vključuje ustvarjanje pravila za odhodni promet . Če želite temu programu popolnoma preprečiti dostop do interneta, določite pot izvedljive datoteke, nastavite dejanje na »Blokiraj povezavo« in izberite profile, ki jih želite omejiti.

Posebne konfiguracije za RPC in dinamična vrata

Storitve, ki uporabljajo oddaljene klice procedur (RPC), so lahko še posebej občutljive, ker uporabljajo dinamična vrata, ki jih sistem dodeli med izvajanjem. Če želite ta promet nadzorovano dovoliti skozi požarni zid sistema Windows, je običajno treba ustvariti dve posebni pravili.

Prvo pravilo cilja na storitev RPC Endpoint Mapper , ki se nahaja v datoteki %systemroot%\system32\svchost.exe. Pravilo je prilagojeno tako, da velja za storitev RpcSs, kot protokol je nastavljen TCP, za lokalna vrata pa je izbrana možnost »RPC Endpoint Mapper«.

Drugo pravilo je ustvarjeno za omrežno storitev, ki podpira RPC in jo želimo dovoliti, pri čemer določa pot do izvedljive datoteke, ki jo gosti, in jo povezuje s to določeno storitvijo. V tem primeru je za lokalna vrata izbrana možnost »RPC Dynamic Ports«.

V obeh pravilih se nato prilagodi obseg (dovoljeni naslovi IP), dejanje (dovoljenje povezave) in profili. Na ta način lahko prednosti posredovanja vrat RPC izkoristijo le naprave in storitve, ki izpolnjujejo te pogoje.

Beleženje, nadzor in odpravljanje težav s požarnimi zidovi sistema Windows

Ko nekaj ne deluje, kot bi moralo, sta dnevnik požarnega zidu in dogodki revizije prvi vir informacij . Priporočljivo je, da je zbiranje dnevnikov pravilno konfigurirano, preden ga potrebujete.

V lastnostih požarnega zidu lahko pod vsakim zavihkom profila prilagodite pot do datoteke dnevnika , največjo velikost v KB in ali naj se beležijo izgubljeni paketi, uspešne povezave ali oboje. V strežniških okoljih je običajno dobro beležiti oboje za jasen pregled.

Po drugi strani pa vam orodje ukazne vrstice auditpol.exe omogoča omogočanje določenih podkategorij revizije, kot so spremembe pravilnikov, tako da sistem ustvari podrobne dogodke, ko so spremenjeni pravilniki požarnega zidu ali IPsec.

Pri preiskovanju težave je koristno zajeti stanje omrežja z ukazom `netstat -ano > netstat.txt` in seznam procesov z ukazom `tasklist > tasklist.txt` . Z navzkrižnim sklicevanjem na ID-je procesov (PID-je) v ukazu `tasklist` z aktivnimi povezavami v ukazu `netstat` lahko ugotovite, kateri program uporablja določena vrata.

V zapletenih scenarijih Microsoft ponuja skripte, kot je TSS.ps1 , za zbiranje naprednih sledi mehanizma za filtriranje sistema Windows (WFP), ki se nato zapakirajo v datoteko ZIP in jih je mogoče analizirati ali poslati tehnični podpori.

Zunanja orodja: SimpleWall in požarni zidovi drugih proizvajalcev

Vgrajeni požarni zid sistema Windows deluje dobro, vendar pogosto manjka bolj intuitiven vmesnik in jasna obvestila, ko aplikacija prvič poskuša dostopati do interneta . Tukaj pridejo na vrsto rešitve drugih ponudnikov.

Ena od lahkih, odprtokodnih možnosti za Windows je SimpleWall , ki uporablja platformo za filtriranje sistema Windows (WFP), vendar ne spreminja neposredno požarnega zidu sistema Windows. Namesto tega prek WFP ustvari lastna pravila za nadzor, katere aplikacije imajo dostop.

Njegove funkcije vključujejo preprost urejevalnik pravil , notranje sezname za blokiranje telemetrije in vohunjenja sistema Windows, dnevnike blokiranih paketov, združljivost z IPv6 ter podporo za sistemske storitve in aplikacije iz trgovine Microsoft Store.

SimpleWall permite crear reglas permanentes o temporales (que desapare