Брандмауэр (вычисления) - Firewall (computing)

Часть серии по
Информационной безопасности
Связанные категории безопасности
Угрозы
Защиты

В вычисление, а брандмауэр это сетевая безопасность система, которая мониторы и контролирует входящие и исходящие сетевой трафик на основе заранее определенных правил безопасности.[1] Брандмауэр обычно устанавливает барьер между надежной и ненадежной сетью, например Интернет.[2]

История

Период, термин брандмауэр первоначально означало стену, предназначенную для ограничения огня в пределах ряда соседних зданий.[3] Более позднее использование относится к аналогичным структурам, таким как лист металла разделение двигатель купе автомобиля или самолет из салона. Этот термин применялся в конце 1980-х годов к сетевым технологиям.[4] это появилось, когда Интернет был относительно новым с точки зрения его глобального использования и возможности подключения.[5] Предшественниками межсетевых экранов для сетевой безопасности были маршрутизаторы, которые использовались в конце 1980-х годов. Поскольку они уже разделили сети, маршрутизаторы могут применять фильтрацию к пакетам, пересекающим их.[6]

Прежде чем его начали использовать в реальных вычислениях, этот термин появился в фильме 1983 года о взломе компьютеров. Игры в войну, и, возможно, вдохновил его более позднее использование.[нужна цитата ]

Типы

Смотрите также: Компьютерная безопасность
Смотрите также: Сравнение межсетевых экранов

Межсетевые экраны делятся на сетевые и хост-системы. Сетевые брандмауэры можно разместить в любом месте LAN или WAN.[7]Они либо программное обеспечение работает на универсальном оборудовании, аппаратное устройство работает на специализированном оборудовании или виртуальное устройство работает на виртуальном хосте, управляемом гипервизор. Устройства брандмауэра могут также предлагать функции, не связанные с брандмауэром, например: DHCP[8][9] или VPN[10] Сервисы. Межсетевые экраны на основе хоста развертываются непосредственно на хозяин сам для управления сетевым трафиком или другими вычислительными ресурсами.[11][12] Это может быть демон или служба как часть Операционная система или приложение агента для защиты.

Иллюстрация сетевого брандмауэра в сети

Пакетный фильтр

Первый зарегистрированный тип сетевого брандмауэра называется фильтром пакетов, который проверяет пакеты, передаваемые между компьютерами. Брандмауэр поддерживает список контроля доступа который определяет, какие пакеты будут просматриваться и какое действие следует применить, если оно есть, с действием по умолчанию, установленным на тихую отмену. Три основных действия, касающихся пакета: молчаливый сброс, сброс с помощью Протокол управляющих сообщений Интернета или Сброс TCP ответ отправителю и переход к следующему переходу.[13] Пакеты могут быть отфильтрованы по источнику и месту назначения IP-адреса, протокол, источник и место назначения порты. Основная часть интернет-коммуникаций в 20-м и начале 21-го века использовалась либо Протокол управления передачей (TCP) или Протокол пользовательских датаграмм (UDP) в сочетании с известные порты, позволяя межсетевым экранам той эпохи различать определенные типы трафика, такие как просмотр веб-страниц, удаленная печать, передача электронной почты, передача файлов.[14][15]

Первая статья о технологии межсетевых экранов была опубликована в 1987 году, когда инженеры из Корпорация цифрового оборудования (DEC) разработала системы фильтрации, известные как межсетевые экраны с фильтрами пакетов. В AT&T Bell Labs, Билл Чесвик и Стив Белловин продолжили исследования в области фильтрации пакетов и разработали рабочую модель для своей компании, основанную на оригинальной архитектуре первого поколения.[16]

Отслеживание подключений

Поток сетевые пакеты через Netfilter, а Ядро Linux модуль
Основная статья: Межсетевой экран с отслеживанием состояния

С 1989–1990 гг. Трое коллег из AT&T Bell Laboratories, Дэйв Пресотто, Джанардан Шарма и Кшитидж Нигам разработали второе поколение межсетевых экранов, назвав их межсетевые шлюзы.[17]

Межсетевые экраны второго поколения выполняют работу своих предшественников первого поколения, но также поддерживают информацию о конкретных разговорах между конечными точками, запоминая номер порта у этих двух IP-адреса используются на слое 4 (транспортный уровень ) из Модель OSI для их разговора, что позволяет изучить общий обмен между узлами.[18]

Приложение / уровень 7

Основная статья: Брандмауэр приложений

Маркус Ранум, Вэй Сюй и Питер Черчьярд в октябре 1993 года выпустили брандмауэр приложений, известный как Firewall Toolkit (FWTK).[19] Это стало основой для межсетевого экрана Gauntlet в Надежные информационные системы.[20][21]

Ключевое преимущество прикладной уровень фильтрация заключается в том, что она может понимать определенные приложения и протоколы, такие как протокол передачи файлов (FTP), система доменных имен (DNS) или Протокол передачи гипертекста (HTTP). Это позволяет ему идентифицировать нежелательные приложения или службы, использующие нестандартный порт, или обнаруживать злоупотребления разрешенным протоколом.[22]

По состоянию на 2012 г. межсетевой экран нового поколения обеспечивает более широкий диапазон проверки на прикладном уровне, расширяя глубокая проверка пакетов функциональные возможности, которые необходимо включить, но не ограничиваются:

Конечная точка

Брандмауэры приложений на основе конечных точек работают, определяя, должен ли процесс принимать какое-либо конкретное соединение. Брандмауэры приложений фильтруют соединения, проверяя идентификатор процесса пакетов данных в соответствии с набором правил для локального процесса, участвующего в передаче данных. Брандмауэры приложений выполняют свою функцию, подключаясь к вызовам сокетов для фильтрации соединений между уровнем приложения и нижними уровнями. Брандмауэры приложений, которые перехватывают вызовы сокетов, также называются фильтрами сокетов.[нужна цитата ]

Важность

Настройка брандмауэра - сложная задача, подверженная ошибкам. Сеть может столкнуться с проблемами безопасности из-за ошибок конфигурации.[23]

Смотрите также

использованная литература

  1. ^ Будрига, Нуреддин (2010). Безопасность мобильной связи. Бока-Ратон: CRC Press. стр.32 –33. ISBN  978-0849379420.
  2. ^ Опплигер, Рольф (май 1997 г.). «Интернет-безопасность: брандмауэры и не только». Коммуникации ACM. 40 (5): 94. Дои:10.1145/253769.253802. S2CID  15271915.
  3. ^ Канаван, Джон Э. (2001). Основы сетевой безопасности (1-е изд.). Бостон, Массачусетс: Artech House. п. 212. ISBN  9781580531764.
  4. ^ Чесвик, Уильям Р.; Белловин, Стивен М. (1994). Брандмауэры и безопасность в Интернете: Отражение коварного хакера. ISBN  978-0201633573.
  5. ^ Лиска, Аллан (10 декабря, 2014). Создание программы безопасности, управляемой разведкой. Syngress. п. 3. ISBN  978-0128023709.
  6. ^ Ингхэм, Кеннет; Форрест, Стефани (2002). «История и обзор сетевых брандмауэров» (PDF). Получено 2011-11-25.
  7. ^ Навин, Шаранья. "Брандмауэр". Получено 7 июн 2016.
  8. ^ «Межсетевой экран как DHCP-сервер и клиент». Palo Alto Networks. Получено 2016-02-08.
  9. ^ "DHCP". www.shorewall.net. Получено 2016-02-08.
  10. ^ «Что такое брандмауэр VPN? - Определение из Техопедии». Techopedia.com. Получено 2016-02-08.
  11. ^ Вакка, Джон Р. (2009). Справочник по компьютерной и информационной безопасности. Амстердам: Эльзевир. п. 355. ISBN  9780080921945.
  12. ^ "Что такое брандмауэр?". Получено 2015-02-12.
  13. ^ Пельтье, Джастин; Пельтье, Томас Р. (2007). Полное руководство по сертификации CISM. Хобокен: CRC Press. п. 210. ISBN  9781420013252.
  14. ^ «TCP против UDP: разница между ними». www.skullbox.net. Получено 2018-04-09.
  15. ^ Чесвик, Уильям Р .; Белловин, Стивен М .; Рубин, Авиель Д. (2003). Брандмауэры и безопасность в Интернете отпугивание коварного хакера (2-е изд.). ISBN  9780201634662.
  16. ^ Ингхэм, Кеннет; Форрест, Стефани (2002). «История и обзор сетевых брандмауэров» (PDF). п. 4. Получено 2011-11-25.
  17. ^ М. Афшар Алам; Таманна Сиддики; К. Р. Сея (2013). Последние разработки в области вычислений и их приложений. I. K. International Pvt Ltd. стр. 513. ISBN  978-93-80026-78-7.
  18. ^ «Межсетевые экраны». MemeBridge. Получено 13 июн 2014.
  19. ^ «Выпуск набора средств межсетевого экрана V1.0». Получено 2018-12-28.
  20. ^ Джон Пескаторе (2 октября 2008 г.). «На этой неделе в истории сетевой безопасности: инструментарий брандмауэра». Получено 2018-12-28.
  21. ^ Маркус Дж. Ранум; Фредерик Аволио. "История FWTK".
  22. ^ «Что такое уровень 7? Как работает уровень 7 Интернета». Cloudflare. Получено 29 августа, 2020.
  23. ^ Воронков, Артем; Ивая, Леонардо Хорн; Мартуччи, Леонардо А .; Линдског, Стефан (12.01.2018). «Систематический обзор литературы по удобству использования конфигурации межсетевого экрана». Опросы ACM Computing. 50 (6): 1–35. Дои:10.1145/3130876. ISSN  0360-0300.

внешние ссылки