stringtranslate.com

Брандмауэр (вычисления)

В вычислительной технике брандмауэр — это система сетевой безопасности , которая отслеживает и контролирует входящий и исходящий сетевой трафик на основе заранее определенных правил безопасности. [1] [2] Брандмауэр обычно устанавливает барьер между доверенной сетью и ненадежной сетью, такой как Интернет . [3]

История

Термин «брандмауэр» первоначально относился к стене, предназначенной для ограничения огня в пределах линии соседних зданий. [4] Более поздние значения относятся к аналогичным конструкциям, таким как металлический лист , отделяющий моторный отсек транспортного средства или самолета от пассажирского салона. Этот термин был применен в конце 1980-х годов к сетевым технологиям [5] , которые появились, когда Интернет был достаточно новым с точки зрения его глобального использования и возможности подключения. [6] Предшественниками межсетевых экранов для сетевой безопасности были маршрутизаторы, использовавшиеся в конце 1980-х годов. Поскольку сети уже разделены, маршрутизаторы могут применять фильтрацию к проходящим через них пакетам. [7]

Прежде чем он был использован в реальных вычислениях, этот термин появился в фильме 1983 года о компьютерном взломе «Военные игры» и, возможно, вдохновил его на дальнейшее использование. [8]

Типы брандмауэров

Межсетевые экраны подразделяются на сетевые и хостовые системы. Сетевые межсетевые экраны располагаются между двумя или более сетями, обычно между локальной сетью (LAN) и глобальной сетью (WAN) , [9] их основная функция заключается в контроле потока данных между подключенными сетями. Это либо программное устройство , работающее на оборудовании общего назначения, либо аппаратное устройство, работающее на оборудовании специального назначения, либо виртуальное устройство, работающее на виртуальном хосте, управляемом гипервизором . Устройства брандмауэра также могут предлагать функции, не связанные с брандмауэром, например службы DHCP [10] [11] или VPN [12] . Межсетевые экраны на базе хоста развертываются непосредственно на самом хосте для контроля сетевого трафика или других вычислительных ресурсов. [13] [14] Это может быть демон или служба как часть операционной системы или приложение-агент для защиты.

Иллюстрация сетевого брандмауэра внутри сети.

Фильтр пакетов

Первый зарегистрированный тип сетевого брандмауэра называется фильтром пакетов , который проверяет пакеты, передаваемые между компьютерами. Брандмауэр поддерживает список контроля доступа , который определяет, какие пакеты будут проверяться и какое действие следует применять, если таковое имеется, при этом действие по умолчанию установлено на автоматическое отбрасывание. Три основных действия в отношении пакета включают автоматическое отбрасывание, отбрасывание с помощью протокола управляющих сообщений Интернета или ответ сброса TCP отправителю и пересылку на следующий переход. [15] Пакеты могут фильтроваться по IP-адресам источника и назначения , протоколу или портам источника и назначения . Большая часть интернет-коммуникаций в 20-м и начале 21-го века использовала либо протокол управления передачей (TCP), либо протокол пользовательских дейтаграмм (UDP) в сочетании с хорошо известными портами , что позволяло брандмауэрам той эпохи различать определенные типы трафика, такие как просмотр веб-страниц. , удаленная печать, передача электронной почты и передача файлов. [16] [17]

Первая статья, посвященная технологии брандмауэров, была опубликована в 1987 году, когда инженеры Digital Equipment Corporation (DEC) разработали системы фильтрации, известные как межсетевые экраны с фильтрами пакетов. В AT&T Bell Labs Билл Чесвик и Стив Белловин продолжили исследования в области фильтрации пакетов и разработали рабочую модель для своей компании на основе своей оригинальной архитектуры первого поколения. [18] В 1992 году Стивен Макканн и Ван Джейкобсон опубликовали статью о пакетном фильтре BSD (BPF), находясь в лаборатории Лоуренса в Беркли . [19] [20]

Отслеживание соединения

Поток сетевых пакетов через Netfilter , модуль ядра Linux.

В 1989–1990 годах трое коллег из AT&T Bell Laboratories , Дэйв Пресотто, Джанардан Шарма и Кшитидж Нигам, разработали второе поколение межсетевых экранов, назвав их шлюзами уровня цепи . [21]

Брандмауэры второго поколения выполняют работу своих предшественников первого поколения, но также сохраняют информацию о конкретных диалогах между конечными точками, запоминая, какой номер порта используют два IP-адреса на уровне 4 ( транспортный уровень ) модели OSI для своего диалога, что позволяет проводить проверку. общего обмена между узлами. [22]

Прикладной уровень

Маркус Ранум , Вэй Сюй и Питер Черчард выпустили прикладной межсетевой экран, известный как Firewall Toolkit (FWTK) в октябре 1993 года. [23] Он стал основой межсетевого экрана Gauntlet в компании Trusted Information Systems . [24] [25]

Ключевым преимуществом фильтрации на уровне приложений является то, что она может понимать определенные приложения и протоколы, такие как протокол передачи файлов (FTP), система доменных имен (DNS) или протокол передачи гипертекста (HTTP). Это позволяет ему идентифицировать нежелательные приложения или службы, использующие нестандартный порт, или обнаружить злоупотребление разрешенным протоколом. [26] Он также может обеспечить унифицированное управление безопасностью, включая принудительное шифрование DNS и виртуальную частную сеть . [27] [28] [29]

Начиная с 2012 года, брандмауэр следующего поколения обеспечивает более широкий спектр проверок на уровне приложений, расширяя возможности глубокой проверки пакетов , включая, помимо прочего:

Конечная точка зависит от

Брандмауэры приложений на основе конечных точек определяют, должен ли процесс принимать то или иное соединение. Брандмауэры приложений фильтруют соединения, проверяя идентификатор процесса пакетов данных на соответствие набору правил для локального процесса, участвующего в передаче данных. Брандмауэры приложений выполняют свою функцию, подключаясь к вызовам сокетов для фильтрации соединений между уровнем приложения и нижними уровнями. Брандмауэры приложений, которые перехватывают вызовы сокетов, также называются фильтрами сокетов. [ нужна цитата ]

Наиболее распространенные типы журналов брандмауэра

Журналы трафика:

Журналы предотвращения угроз:

Журналы аудита:

Журналы событий:

Журналы сеансов:

Журналы предотвращения DDoS-атак:

Журналы геолокации:

Журналы фильтрации URL-адресов:

Журналы активности пользователей:

Журналы VPN:

Системные журналы:

Журналы соответствия:

Конфигурация

Настройка брандмауэра — сложная задача, подверженная ошибкам. Сеть может столкнуться с проблемами безопасности из-за ошибок конфигурации. [31]

Конфигурация политики брандмауэра зависит от конкретного типа сети (например, общедоступной или частной) и может быть настроена с использованием правил брандмауэра, которые либо блокируют, либо разрешают доступ для предотвращения потенциальных атак со стороны хакеров или вредоносных программ. [32]

Смотрите также

Рекомендации

  1. ^ Будрига, Нуреддин (2010). Безопасность мобильной связи . Бока-Ратон: CRC Press. стр. 32–33. ISBN 978-0849379420.
  2. ^ Макфарлейн, Ричард; Бьюкенен, Уильям; Эконому, Элиас; Усмани, Омаир; Фан, Лу; Ло, Оуэн (2012). «Формальная реализация политики безопасности в сетевых брандмауэрах». Компьютеры и безопасность . 31 (2): 253–270. дои : 10.1016/j.cose.2011.10.003.
  3. ^ Опплигер, Рольф (май 1997 г.). «Интернет-безопасность: брандмауэры и за их пределами». Коммуникации АКМ . 40 (5): 94. дои : 10.1145/253769.253802 . S2CID  15271915.
  4. ^ Канаван, Джон Э. (2001). Основы сетевой безопасности (1-е изд.). Бостон, Массачусетс: Artech House. п. 212. ИСБН 9781580531764.
  5. ^ Чесвик, Уильям Р .; Белловин, Стивен М. (1994). Брандмауэры и интернет-безопасность : отпор коварному хакеру . Аддисон-Уэсли. ISBN 978-0201633573.
  6. ↑ Лиска, Аллан (10 декабря 2014 г.). Создание программы безопасности на основе разведки . Сингресс. п. 3. ISBN 978-0128023709.
  7. ^ Ингхэм, Кеннет; Форрест, Стефани (2002). «История и обзор сетевых брандмауэров» (PDF) . Проверено 25 ноября 2011 г.
  8. ^ Борен, Джейкоб (24 ноября 2019 г.). «10 раз научно-фантастические фильмы 80-х предсказывали будущее». ЭкранРант . Проверено 4 марта 2021 г.
  9. ^ Навин, Шаранья. "Брандмауэр" . Проверено 7 июня 2016 г.
  10. ^ «Брандмауэр как DHCP-сервер и клиент». Пало-Альто Сети . Проверено 8 февраля 2016 г.
  11. Ссылки _ www.shorewall.net . Проверено 8 февраля 2016 г.
  12. ^ «Что такое брандмауэр VPN? - Определение из Techopedia» . Techopedia.com . Проверено 8 февраля 2016 г.
  13. ^ Вакка, Джон Р. (2009). Справочник по компьютерной и информационной безопасности . Амстердам: Эльзевир. п. 355. ИСБН 9780080921945.
  14. ^ "Что такое брандмауэр?" . Проверено 12 февраля 2015 г.
  15. ^ Пельтье, Джастин; Пельтье, Томас Р. (2007). Полное руководство по сертификации CISM . Хобокен: CRC Press. п. 210. ИСБН 9781420013252.
  16. ^ «TCP против UDP: разница между ними». www.skullbox.net . Проверено 9 апреля 2018 г.
  17. ^ Чесвик, Уильям Р.; Белловин, Стивен М.; Рубин, Авиэль Д. (2003). Межсетевые экраны и интернет-безопасность отпугивают коварного хакера (2-е изд.). Аддисон-Уэсли Профессионал. ISBN 9780201634662.
  18. ^ Ингхэм, Кеннет; Форрест, Стефани (2002). «История и обзор сетевых брандмауэров» (PDF) . п. 4 . Проверено 25 ноября 2011 г.
  19. ^ Макканн, Стивен; Джейкобсон, Ван (19 декабря 1992 г.). «Фильтр пакетов BSD: новая архитектура для захвата пакетов на уровне пользователя» (PDF) .
  20. ^ Макканн, Стивен; Джейкобсон, Ван (январь 1993 г.). «Фильтр пакетов BSD: новая архитектура для захвата пакетов на уровне пользователя». УСЕНИКС .
  21. ^ М. Афшар Алам; Таманна Сиддики; КР Сия (2013). Последние разработки в области вычислительной техники и ее приложений. ИК Интернэшнл Пвт Лтд. 513. ИСБН 978-93-80026-78-7.
  22. ^ «Брандмауэры». МемБридж . Проверено 13 июня 2014 г.
  23. ^ «Выпуск набора инструментов брандмауэра V1.0» . Проверено 28 декабря 2018 г.
  24. ↑ Джон Пескаторе (2 октября 2008 г.). «Эта неделя в истории сетевой безопасности: набор инструментов брандмауэра». Архивировано из оригинала 29 апреля 2016 года . Проверено 28 декабря 2018 г.
  25. ^ Маркус Дж. Ранум; Фредерик Аволио. «История ФВТК».
  26. ^ «Что такое уровень 7? Как работает уровень 7 Интернета» . Облачная вспышка . Проверено 29 августа 2020 г.
  27. ^ «5 функций брандмауэра, которые вам необходимы» . Программное обеспечение Check Point . Проверено 8 ноября 2021 г.
  28. ^ Стэнфилд, Натан (4 декабря 2019 г.). «11 функций брандмауэра, без которых вы не можете жить». Стэнфилд ИТ . Проверено 8 ноября 2021 г.
  29. ^ "Спасение портмастера". safing.io . Проверено 8 ноября 2021 г.
  30. ^ «Эволюция брандмауэров: на пути к более безопасной сети с использованием брандмауэра следующего поколения | Публикация конференции IEEE | ​​IEEE Xplore» . ieeexplore.ieee.org . Проверено 2 февраля 2024 г.
  31. ^ Воронков, Артем; Ивая, Леонардо Хорн; Мартуччи, Леонардо А.; Линдског, Стефан (12 января 2018 г.). «Систематический обзор литературы по удобству использования конфигурации брандмауэра». Обзоры вычислительной техники ACM . 50 (6): 1–35. дои : 10.1145/3130876. ISSN  0360-0300. S2CID  6570517.
  32. ^ «Что такое конфигурация брандмауэра и почему это важно?». Фортинет .
Будрига, Нуреддин (2010). Безопасность мобильной связи. Бока-Ратон: CRC Press. стр. 32–33. ISBN 978-0849379420.

Внешние ссылки

В Руководстве Wikibook по Unix есть страница на тему: Брандмауэр OpenBSD PF.
Викискладе есть медиафайлы, связанные с брандмауэром .