Брандмауэр приложений - Application firewall


Эта статья о подтипе сетевого брандмауэра. Для основной темы брандмауэров см. Брандмауэр (вычисления).
Часть серии по
Информационная безопасность
Связанные категории безопасности
Угрозы
Защиты

An брандмауэр приложений это форма брандмауэр это контролирует ввод, вывод или же системные вызовы приложения или услуги. Он работает, отслеживая и блокируя обмен данными на основе настроенной политики, обычно с заранее определенными наборами правил на выбор. Брандмауэр приложений может контролировать обмен данными до прикладной уровень из Модель OSI, который является наивысшим операционным уровнем и получил свое название. Две основные категории межсетевых экранов приложений: сетевой и на основе хоста.

История

Джин Спаффорд из Университет Пердью, Билл Чесвик в AT&T лаборатории, и Маркус Ранум описал межсетевой экран третьего поколения, известный как межсетевой экран прикладного уровня. Работа Маркуса Ранума, основанная на брандмауэре, созданном Полом Викси, Брайаном Ридом и Джеффом Моголом, возглавила создание первого коммерческого продукта. Продукт был выпущен DEC, назван DEC SEAL Джефф Маллиган - Безопасная ссылка для внешнего доступа. Первая крупная продажа DEC состоялась 13 июня 1991 года компании Dupont.

По более широкому контракту DARPA с TIS, Маркус Ранум, Вей Сю и Питер Черчьярд разработали Firewall Toolkit (FWTK) и сделали его свободно доступным по лицензии в октябре 1993 года.[1] Цели выпуска свободно доступного, а не коммерческого использования, FWTK заключались в следующем: продемонстрировать с помощью программного обеспечения, документации и используемых методов, как компания с (в то время) 11-летним опытом применения формальных методов безопасности и лица с опыт работы с межсетевым экраном, разработанное программное обеспечение межсетевого экрана; создать общую базу очень хороших программных брандмауэров, на которые можно будет опираться другим (чтобы людям не приходилось продолжать «катить свое собственное» с нуля); и «поднять планку» используемого программного обеспечения межсетевого экрана. Однако FWTK был основным прокси приложения, требующим взаимодействия с пользователем.

В 1994 году Вэй Сюй расширил FWTK, добавив в ядро ​​улучшения IP-фильтра с отслеживанием состояния и прозрачности сокетов. Это был первый прозрачный брандмауэр, известный как зарождение межсетевой экран третьего поколения, помимо традиционного прокси приложения (брандмауэр второго поколения ), выпущенный как коммерческий продукт, известный как брандмауэр Gauntlet. Межсетевой экран Gauntlet был признан одним из лучших межсетевых экранов приложений с 1995 по 1998 год, когда он был приобретен Network Associates Inc (NAI). Network Associates продолжала утверждать, что Gauntlet был "самым безопасным межсетевым экраном в мире", но в мае 2000 г. исследователь безопасности Джим Стикли обнаружил большую уязвимость в брандмауэре, позволяющую удаленный доступ к операционной системе и обходя меры безопасности.[2] Стикли обнаружил вторую уязвимость год спустя, положив конец доминирующему положению брандмауэров Gauntlet в области безопасности.[3]

Описание

Уровень приложения фильтрация работает на более высоком уровне, чем традиционные средства безопасности. Это позволяет принимать решения о пакетах, основываясь не только на IP-адресе источника / получателя или портах, а также может использовать информацию, охватываемую несколькими соединениями для любого данного хоста.

Брандмауэры сетевых приложений

Смотрите также: Брандмауэр веб-приложений

Брандмауэры сетевых приложений работают на прикладном уровне Стек TCP / IP[4] и может понимать определенные приложения и протоколы, такие как протокол передачи файлов (FTP), система доменных имен (DNS) или Протокол передачи гипертекста (HTTP). Это позволяет ему идентифицировать нежелательные приложения или службы, использующие нестандартный порт, или обнаруживать злоупотребления разрешенным протоколом.[5]

Современные версии брандмауэров сетевых приложений могут включать в себя следующие технологии:

Брандмауэры веб-приложений (WAF) - это специализированная версия сетевого устройства, которое действует как обратный прокси, проверяя трафик перед его перенаправлением на связанный сервер.

Брандмауэры приложений на основе хоста

Брандмауэр приложения на основе хоста контролирует приложение системные вызовы или другое общесистемное общение. Это дает больше детализации и контроля, но ограничивается только защитой хоста, на котором он работает. Контроль осуществляется путем фильтрации для каждого процесса. Как правило, приглашения используются для определения правил для процессов, которые еще не получили соединение. Дальнейшую фильтрацию можно выполнить, изучив идентификатор процесса владельца пакетов данных. Многие брандмауэры приложений на базе хоста объединены или используются вместе с фильтром пакетов.[6]

Из-за технологических ограничений современные решения, такие как песочница используются в качестве замены брандмауэров хост-приложений для защиты системных процессов.[7]

Реализации

Доступны различные брандмауэры приложений, включая бесплатное программное обеспечение и программное обеспечение с открытым исходным кодом, а также коммерческие продукты.

Mac OS X

Начиная с Mac OS X Leopard, была включена реализация MAC-инфраструктуры TrustedBSD (взятой из FreeBSD).[8] Инфраструктура MAC TrustedBSD используется для «песочницы» служб и обеспечивает уровень межсетевого экрана с учетом конфигурации служб совместного использования в Mac OS X Leopard и Snow Leopard. Сторонние приложения могут предоставлять расширенные функции, включая фильтрацию исходящих соединений по приложению.

Linux

Это список пакетов программного обеспечения безопасности для Linux, позволяющих фильтровать взаимодействие приложений с ОС, возможно, для каждого пользователя:

Windows

Сетевые устройства

Эти устройства могут продаваться как оборудование, программное обеспечение или виртуализированные сетевые устройства.


Межсетевые экраны следующего поколения:


Брандмауэры веб-приложений / LoadBalancers:


Другие:

Смотрите также

Рекомендации

  1. ^ «Выпуск набора средств межсетевого экрана V1.0». Получено 2018-12-28.
  2. ^ Кевин Пульсен (22 мая 2000 г.). «В брандмауэре NAI обнаружена дыра в безопасности». securityfocus.com. Получено 2018-08-14.
  3. ^ Кевин Пульсен (5 сентября 2001 г.). «Зияющая дыра в брандмауэре NAI's Gauntlet». theregister.co.uk. Получено 2018-08-14.
  4. ^ Луис Ф. Медина (2003). Серия самых слабых звеньев безопасности (1-е изд.). IUniverse. п. 54. ISBN  978-0-595-26494-0.
  5. ^ «Что такое уровень 7? Как работает уровень 7 Интернета». Cloudflare. Получено 29 августа, 2020.
  6. ^ «Программные брандмауэры: сделано из соломы? Часть 1 из 2». Symantec.com. Сообщество Symantec Connect. 2010-06-29. Получено 2013-09-05.
  7. ^ «Что такое песочница (тестирование программного обеспечения и безопасность)? - Определение с сайта WhatIs.com». ПоискБезопасность. Получено 2020-11-15.
  8. ^ «Структура обязательного контроля доступа (MAC)». TrustedBSD. Получено 2013-09-05.

внешняя ссылка