Фаерволл — межсетевой экран¶
Фаерволл (англ. firewall, буквально «противопожарная стена») — это аппаратное или программное средство сетевой безопасности, которое контролирует входящий и исходящий сетевой трафик между доверенной сетью (например, локальной сетью организации) и недоверенной сетью (как правило, интернетом) на основе заданных правил. Фаерволл фильтрует пакеты данных, пропуская разрешённые соединения и блокируя все остальные, тем самым защищая внутреннюю сеть от несанкционированного доступа, сетевых атак и утечек информации.
¶История
Термин «firewall» изначально использовался в строительстве: так называли противопожарные перегородки, разделяющие здание на отсеки для предотвращения распространения огня. В вычислительной технике понятие приобрело новое значение в конце 1980-х годов, когда с развитием интернета возникла необходимость в защите локальных сетей организаций от внешних угроз.
Первые межсетевые экраны появились в 1988 году после так называемого «червя Морриса» — одного из первых массовых сетевых атак, который затронул тысячи компьютеров в интернете. В ответ на это Агентство по перспективным оборонным исследовательским проектам США (DARPA) финансировало создание систем фильтрации трафика.
Развитие фаерволлов прошло несколько этапов, соответствующих эволюции сетевых технологий:
- Поколение 1 (пакетные фильтры) — простейшие устройства, анализирующие заголовки IP-пакетов (адреса отправителя и получателя, номера портов) и решающие, пропустить пакет или нет. Такие фильтры работали на уровне сетевого (третьего) и транспортного (четвёртого) уровней модели OSI.
- Поколение 2 (stateful-фильтры) — отслеживают состояние соединений (так называемый stateful packet inspection), что позволяет анализировать не отдельные пакеты, а целые потоки трафика.
- Поколение 3 (прокси-серверы и межсетевые экраны уровня приложений) — работают на уровне приложений, могут анализировать содержимое передаваемых данных, проверять протоколы, блокировать вредоносный код.
- Поколение 4 (下一代 — NGFW) — следующее поколение межсетевых экранов (Next-Generation Firewall), объединяющее классическую фильтрацию с глубокой инспекцией пакетов (DPI), предотвращением вторжений (IPS), контролем приложений и пользователей, интеграцией с системами анализа угроз.
¶Принцип работы
Фаерволл размещается на стыке двух сетей и анализирует каждый проходящий через него пакет данных. На основе предварительно настроенных правил (правил доступа) устройство принимает решение: разрешить соединение, запретить его или отклонить (drop) без ответа. Правила, как правило, описывают комбинации параметров:
- исходный и целевой IP-адреса или подсети;
- номера портов (например, 80 для HTTP, 443 для HTTPS, 22 для SSH);
- используемый протокол (TCP, UDP, ICMP и др.);
- направление трафика (входящий, исходящий, транзитный);
- состояние соединения (новое, установленное);
- в более продвинутых системах — идентификатор пользователя, приложение, содержимое трафика.
Правила обрабатываются последовательно, обычно сверху вниз: первое подошедшее правило определяет судьбу пакета. По умолчанию действует принцип «всё запрещено, кроме разрешённого» (default deny), что повышает безопасность.
¶Виды фаерволлов
По способу реализации различают:
| Тип | Описание |
|---|---|
| Аппаратный | Отдельное физическое устройство (аппаратный межсетевой экран), устанавливаемое в сеть. Обладает высокой производительностью, применяется в корпоративных сетях. |
| Программный | Программа, работающая на обычном компьютере или сервере (например, iptables/nftables в Linux, Windows Firewall, pfSense). Дешевле и гибче, но требует ресурсов хоста. |
| Облачный (SaaS) | Сервис фильтрации трафика, предоставляемый облачным провайдером; защищает пользователей и устройства независимо от их местоположения. |
| Виртуальный | Программный межсетевой экран, работающий внутри виртуальных машин и гипервизоров, защищающий виртуальные сети в облаках. |
По уровню анализа трафика выделяют фильтры пакетов, stateful-фильтры, прокси-фаерволлы и межсетевые экраны глубокой инспекции (DPI).
¶Применение
Фаерволлы используются повсеместно — от домашних роутеров до глобальных корпоративных сетей. В домашних условиях программный или аппаратный межсетевой экран обычно встроен в роутер и защищает локальную сеть от внешних атак. В организациях применяются продвинутые NGFW, способные фильтровать трафик по приложениям и пользователям, блокировать вредоносные сайты и предотвращать утечки данных.
Фаерволл является обязательным компонентом любой стратегии сетевой безопасности, но сам по себе не гарантирует полной защиты: он дополняется системами обнаружения и предотвращения вторжений (IDS/IPS), антивирусами, средствами шифрования и политиками доступа.
¶Ограничения
Межсетевой экран не защищает от атак, идущих «изнутри» — например, от компрометации учётных записей или вредоносного кода, запущенного на уже заражённом устройстве. Кроме того, некоторые виды трафика (например, HTTPS с шифрованием) трудно анализировать без дополнительных средств, а неправильно настроенные правила могут как блокировать легитимный трафик, так и открывать дыры в защите.
Источники:
- RFC 4949 — Internet Security Glossary
- Четвёртая редакция книги Уильяма Столлинга «Компьютерные сети»
- Документация по nftables и iptables (netfilter.org)
- Отчёты NIST SP 800-41 «Guidelines on Firewalls and Firewall Policy»