Межсетевой экран (firewall)¶
Межсетевой экран (англ. firewall, дословно — «противопожарная стена») — это аппаратное или программное средство информационной безопасности, которое контролирует сетевой трафик между двумя или более сетями на основе заданных правил и фильтрует пакеты данных, не соответствующие этим правилам. Межсетевые экраны являются базовым компонентом защиты компьютерных сетей и применяются как в корпоративных инфраструктурах, так и в домашних сетях.
¶История
Появление межсетевых экранов связано с развитием компьютерных сетей в конце 1980-х годов. Первые решения этого класса — пакетные фильтры — работали на уровне сетевого протокола IP и проверяли заголовки пакетов (адреса отправителя и получателя, номера портов). Стандартом де-факто стал пакетный фильтр, реализованный в операционной системе BSD Unix (так называемый ipfw, разработанный Джеффом Могулом и Биллом Биллингсом в 1988 году).
В 1990-е годы появились межсетевые экраны с состоянием соединений (stateful inspection), разработанные компанией Check Point Software Technologies. Позднее развилась концепция «глубокой инспекции пакетов» (DPI), а затем — межсетевые экраны нового поколения (NGFW), объединяющие традиционную фильтрацию с инспекцией приложений, предотвращением вторжений и контролем пользователей.
¶Принцип работы
Межсетевой экран размещается на стыке сетей (например, между локальной сетью и интернетом) и обрабатывает трафик согласно правилам (политике безопасности). Каждое правило описывает, какой трафик разрешён, какой запрещён, а какой подлежит журналированию. Правила могут основываться на:
- IP-адресах источника и назначения;
- номерах транспортных портов (TCP, UDP);
- протоколах;
- состоянии соединения (создание, подтверждение, завершение);
- содержимом полезной нагрузки (в DPI-файрволах);
- учётных данных пользователя.
По умолчанию действует политика «всё запрещено, разрешено явно» (default deny) — трафик, не подпадающий ни под одно разрешающее правило, отклоняется.
¶Классификация
¶По способу реализации
| Тип | Описание |
|---|---|
| Аппаратный | Отдельное устройство (апpliance) в сетевой инфраструктуре, часто с выделенным процессором для фильтрации |
| Программный | Программа, работающая на обычном сервере или рабочей станции (например, iptables, nftables, Windows Firewall, pfSense) |
| Виртуальный | Программный экран, встроенный в гипервизор или облачную платформу (например, для защиты виртуальных машин) |
¶По уровню работы
- Пакетные фильтры — проверяют заголовки отдельных пакетов, не анализируя состояние соединений. Просты, но уязвимы к подделке пакетов.
- Экраны с проверкой состояния (stateful) — отслеживают состояние TCP-сессий и пропускают только пакеты, принадлежащие активным соединениям.
- Межсетевые экраны прикладного уровня (proxy) — работают на уровне приложений, могут анализировать и модифицировать трафик (например, HTTP-прокси с фильтрацией содержимого).
- Межсетевые экраны нового поколения (NGFW) — объединяют проверку состояния, инспекцию приложений (App-ID), систему предотвращения вторжений (IPS), контроль пользователей и шлюз для защиты от вредоносного ПО.
¶Основные функции
- Фильтрация входящего и исходящего трафика по заданным правилам.
- Предотвращение несанкционизированного доступа к защищаемой сети.
- Журналирование событий для последующего анализа и расследования инцидентов.
- Реализация сетевой сегментации — разделение сети на зоны с разным уровнем доверия (DMZ, внутренняя сеть, гостевая сеть).
- Поддержка VPN-туннелей для защищённого удалённого доступа.
- Балансировка нагрузки и трансляция сетевых адресов (NAT).
¶Применение
Межсетевые экраны используются практически везде, где есть компьютерная сеть: в корпоративных дата-центрах, у провайдеров связи, в государственных структурах, в домашних роутерах. В России межсетевые экраны входят в число обязательных средств защиты информации по требованиям регуляторов (например, при аттестации информационных систем по требованиям ФСТЭК России и 152-ФЗ «О персональных данных»).
¶Ограничения
Межсетевой экран не обеспечивает полную защиту: он не предотвращает атаки, использующие разрешённые каналы (например, фишинг через HTTP), и не заменяет средства обнаружения вторжений, антивирусы и обучение персонала. Правильно настроенный экран снижает поверхность атаки, но не является единственным элементом защиты.
¶Источники
- RFC 4949 — Internet Security Glossary
- Четвериков В. Н. Защита информации в компьютерных сетях
- Stallings W. Network Security Essentials: Applications and Standards
- Документация проектов iptables, nftables, pfSense