Firewall – filtrowanie pakietów

Firewall to filtr ruchu sieciowego. Sprawdza pakiety wchodzące i wychodzące, porównuje je z listą reguł i decyduje: przepuścić czy odrzucić. Reguły opierają się zwykle na adresie źródłowym i docelowym, numerze portu i protokole.

Podstawowa zasada bezpiecznej konfiguracji brzmi: domyślnie blokuj, wyjątki dodawaj świadomie. Odwrotne podejście – wszystko wolno poza tym, co zakazane – zawodzi, bo nie da się wypisać wszystkich zagrożeń z góry.

Zapora może być programem w systemie operacyjnym albo osobnym urządzeniem chroniącym całą sieć. W routerze domowym działa zwykle w tle i to ona sprawia, że komputery z sieci lokalnej nie są bezpośrednio dostępne z internetu.

Cztery zasady wystarczą, żeby przewidzieć zachowanie każdej zapory:

• Zapora ogląda kopertę, nie list. Patrzy, skąd pakiet przyszedł, dokąd zmierza, na który port puka i jakiego protokołu używa. Co jest w środku, zwykle jej nie interesuje i często nie może tego zobaczyć.
• Decyduje pierwsza pasująca reguła. Lista jest czytana od góry. Gdy pakiet pasuje do reguły numer 3, zapora wykonuje jej akcję i dalej nie czyta – reguły niżej nic już nie zmienią. Kolejność jest więc częścią konfiguracji, a nie porządkiem na ekranie.
• Na końcu listy stoi polityka domyślna. Reguła, która pasuje do wszystkiego i rozstrzyga los pakietu, który nie trafił nigdzie wcześniej. W bezpiecznej konfiguracji brzmi „blokuj".
• Kierunek jest częścią reguły. „Port 80 otwarty" nic nie znaczy, dopóki nie wiadomo, czy chodzi o pakiety przychodzące, czy wychodzące. Ta sama usługa bywa dozwolona w jedną stronę i zakazana w drugą.

Numery portów i nazwy protokołów, do których odwołują się reguły, opisuje hasło o protokołach TCP/IP; sam router, brama i mechanizm NAT mają własne hasło o urządzeniach sieciowych.

Typowa reguła zawiera kilka elementów:

• kierunek – ruch przychodzący czy wychodzący
• adres źródłowy i docelowy
• port i protokół, na przykład TCP na porcie 443
• akcja – zezwól albo odrzuć

Reguły tworzą uporządkowaną listę. Zapora przykłada pakiet do reguły pierwszej, potem drugiej i tak dalej, aż któraś zgodzi się z nim wszystkimi warunkami naraz: kierunkiem, portem i adresem. Wtedy wykonuje jej akcję i kończy pracę nad tym pakietem. Jeśli nie pasuje żadna, decyduje ostatnia pozycja listy – polityka domyślna. Stąd praktyczny wniosek: reguła szczegółowa musi stać wyżej niż ogólna, bo dopisana pod nią nigdy się nie wykona.

Akcje bywają trzy, choć na maturze wystarczą dwie pierwsze. Zezwól przepuszcza pakiet. Odrzuć zatrzymuje go i odsyła nadawcy informację, że połączenia nie będzie. Porzuć po cichu też go zatrzymuje, ale nie odsyła niczego – z zewnątrz wygląda to, jakby pod tym adresem nic nie stało.

Ruch wychodzący jest zwykle dozwolony, bo inicjuje go użytkownik. Ruch przychodzący blokuje się domyślnie, bo to nim przychodzą próby włamania. Ta niesymetryczność nie jest lenistwem: pakiet wychodzący jest skutkiem czyjejś świadomej decyzji, a niezapowiedziany pakiet przychodzący – cudzej inicjatywy. Filtrowanie wyjścia też jednak ma sens i to ono każe systemowi pytać, czy zezwolić nowemu programowi na dostęp do sieci.

Zapora bywa programowa albo sprzętowa. Programowa działa w systemie i chroni jeden komputer, ale wie, który program wysłał pakiet. Sprzętowa stoi na wejściu do sieci, najczęściej w routerze, i chroni wszystkie urządzenia za nim naraz, choć o programach nie wie nic. Osobnym pojęciem jest przekierowanie portów – reguła wpuszczająca ruch z internetu na wskazany port i kierująca go do jednego urządzenia w sieci lokalnej.

W sekcji „Tabela" jest przykładowa lista dziesięciu reguł. Zwróć uwagę na parę 6 i 7: w odwrotnej kolejności zdalny pulpit przestałby działać także w sieci lokalnej, bo pakiet z sieci lokalnej pasuje do obu, a wykonuje się ta wyżej. Adresy w przykładach są umowne, a ich zapis tłumaczy hasło o adresowaniu IP. Poniżej cztery pakiety przechodzą przez tę listę; najciekawszy jest pakiet D. Reguła 9 dotyczy dokładnie jego portu, a i tak nie zadziałała, bo zgadzać się musi każdy warunek reguły naraz – tu nie zgodził się adres źródłowy.

Zapora wzięta za antywirus. To najczęstsza pomyłka w tym haśle i wprost sprawdza ją klucz z 2010 roku: programem kontrolującym pakiety sieciowe jest firewall, a nie keylogger ani filtr antyspamowy. Zapora pracuje na poziomie ruchu, antywirus na poziomie plików i procesów. Zapora przepuści pakiety, z których poskłada się zainfekowany plik, bo z jej punktu widzenia to zwykłe pobieranie z portu 443. Rodziny zagrożeń, których zapora nie usuwa, opisuje hasło o złośliwym oprogramowaniu.

Przekonanie, że zapora pilnuje wyłącznie ruchu przychodzącego. Blokowanie wejścia jest domyślne i najbardziej widoczne, ale reguły dotyczą obu kierunków. To filtr ruchu wychodzącego zatrzymuje program już obecny w systemie przed wysłaniem czegokolwiek na zewnątrz. Odpowiedź „zapora chroni przed tym, co przychodzi z internetu" jest w połowie prawdziwa, a w zadaniu z opisem konfiguracji po prostu za wąska.

Blokowanie pomylone z odrzucaniem. To nie są synonimy. Przy odrzuceniu zapora odsyła komunikat, że połączenie zostało odmówione, więc program po drugiej stronie od razu wie, że ma przestać próbować. Przy cichym porzuceniu nie odsyła nic i nadawca czeka, aż upłynie limit czasu. Skutek dla użytkownika bywa ten sam, ale dla kogoś, kto skanuje sieć w poszukiwaniu otwartych portów, różnica jest zasadnicza: milczenie nie zdradza, czy pod adresem cokolwiek stoi.

Oczekiwanie, że zapora obroni przed programem, który użytkownik sam uruchomił. Jeśli ktoś pobierze plik i kliknie go dwa razy, żadna reguła sieciowa tego nie cofnie – kod działa już wewnątrz komputera, za zaporą. Zapora zareaguje dopiero wtedy, gdy program spróbuje nawiązać połączenie, i tylko przy filtrowaniu ruchu wychodzącego. Podobnie jest z treścią połączeń szyfrowanych: zapora widzi adres i port, ale nie to, co w środku, o czym mówi hasło o HTTPS i certyfikatach.

Zapora pomylona z routerem. Router jest urządzeniem przekazującym pakiety między sieciami, a zapora funkcją, która przy okazji tego przekazywania sprawdza reguły. W domowym pudełku siedzą w jednej obudowie, więc łatwo je utożsamić, ale zapora działa też w komputerze, w którym żadnego routera nie ma. W zadaniu z listą urządzeń sieciowych zapora nie jest odpowiedzią – tam pytają o sprzęt.

• Firewall filtruje ruch na podstawie kierunku, adresów, portów i protokołów – ogląda kopertę pakietu, nie jego zawartość.
• Reguły są sprawdzane po kolei i decyduje pierwsza pasująca; reguły stojące niżej już się nie wykonają.
• Reguła szczegółowa musi stać wyżej niż ogólna, inaczej nigdy nie zadziała.
• Na końcu listy stoi polityka domyślna – w bezpiecznej konfiguracji „blokuj wszystko, co nie zostało wprost dozwolone".
• Ruch przychodzący blokuje się domyślnie, wychodzący zwykle przepuszcza, ale reguły dotyczą obu kierunków.
• Odrzucenie odsyła nadawcy komunikat, ciche porzucenie nie odsyła nic – dla skanującego sieć to duża różnica.
• Firewall pilnuje sieci, antywirus plików – nie zastępują się nawzajem, a zapora nie usuwa wirusa z pobranego pliku.

Zagadnienia z tego samego obszaru matury – warto je powtórzyć razem: