Applied Firewall Design: From Theory to Enforcement

Tường lửa thường được xem như một yêu cầu: triển khai một cái, viết một số quy tắc, rồi tiếp tục. Nhưng thiết kế tường lửa ứng dụng là một kỷ luật riêng—một kỷ luật quyết định liệu phân đoạn mạng của bạn có thực sự chứa được kẻ tấn công hay chỉ cho bạn một cảm giác bảo mật giả tạo. Bài viết này hướng dẫn qua các quyết định thực tế phân biệt một triển khai tường lửa được kiến trúc tốt với một tập hợp các quy tắc tạm thời.

Bắt Đầu Với Các Zone, Không Phải Các Quy Tắc

Trước khi viết một ACL duy nhất, hãy xác định các zone tin cậy của bạn. Một bố cục doanh nghiệp điển hình tách các máy chủ DMZ hướng vào internet, các mạng người dùng nội bộ, các tầng máy chủ/dữ liệu, và các mạng quản lý/OOB. Mỗi zone nên đại diện cho một mức độ tin cậy riêng biệt, và lưu thông giữa các zone nên là ngoại lệ yêu cầu biện minh, không phải mặc định.

Lập bản đồ những gì thực sự cần giao tiếp với những gì. Kho tàng lưu thông này rất tẻ nhạt nhưng nó là nền tảng mà mọi thứ khác dựa vào. Bỏ qua nó dẫn đến các quy tắc "cho phép any-any giữa các subnet" quá cho phép, làm hỏng hoàn toàn mục đích của phân đoạn.

Default-Deny Là Không Thể Thương Lượng

Mỗi giao diện, mỗi cặp zone, nên kết thúc bằng một deny ẩn hoặc rõ ràng. Các quy tắc nên là những ngoại lệ cộng gộp cho một tư thế đóng, không phải những ngoại lệ trừ đi cho một tư thế mở. Điều này nghe có vẻ hiển nhiên, nhưng các cuộc kiểm toán thường xuyên phát hiện các tường lửa có các quy tắc catch-all quá cho phép tồn sót từ một triển khai vội vàng hoặc một thay đổi "tạm thời" để khắc phục sự cố mà không bao giờ bị loại bỏ.

Khi default-deny phá vỡ điều gì đó, đó thực sự là tín hiệu có giá trị—nó có nghĩa là bạn đã tìm thấy một phụ thuộc không được ghi chép phải được mô hình hóa rõ ràng, không phải được im lặng cho phép.

Thứ Tự Quy Tắc và Tính Cụ Thể

Hầu hết các engine tường lửa đánh giá các quy tắc từ trên xuống dưới và dừng lại khi khớp đầu tiên. Điều này làm cho thứ tự trở thành quyết định thiết kế, không phải suy nghĩ sau. Các quy tắc cụ thể (máy chủ duy nhất, cổng duy nhất) thường nên đi trước các quy tắc rộng (phạm vi subnet, phạm vi cổng). Một chế độ lỗi phổ biến là đặt một quy tắc cho phép rộng sớm trong danh sách, im lặng che phủ các quy tắc hạn chế hơn dưới nó—những quy tắc này tồn tại trên giấy nhưng không bao giờ thực sự kích hoạt.

Thực hiện kiểm toán định kỳ cho các quy tắc bị che phủ và dự phòng. Các công cụ trực quan hóa số lượt hit của quy tắc là vô giá ở đây: một quy tắc không có lượt hit nào trong một cửa sổ đáng kể là hoặc là thừa hay, tệ hơn, bằng chứng rằng lưu thông đang chảy qua một con đường bạn không dự tính.

Kiểm Tra Trạng Thái và Những Hạn Chế Của Nó

Các tường lửa hiện đại theo dõi trạng thái kết nối, cho phép bạn viết các quy tắc cho hướng bắt đầu duy nhất và tin tưởng engine để cho phép lưu thông trả về. Đây là một sự đơn giản hóa lớn so với lọc gói không trạng thái, nhưng nó không phải là một thay thế cho nhận thức tầng ứng dụng. Một tường lửa trạng thái cho phép TCP/443 đi ra không biết và không quan tâm liệu lưu thông đó là HTTPS hợp pháp hay một kênh C2 được đường hầm qua cùng một cổng. Khi có thể, ghép enforcement tường lửa với khả năng hiển thị tầng ứng dụng—proxy, kiểm tra TLS nếu chính sách cho phép, hoặc nhận dạng ứng dụng NGFW—thay vì dựa vào số cổng như một proxy cho ý định.

Lọc Egress Xứng Đáng Được Chú Ý Bằng Nhau

Các tổ chức quan tâm đến các quy tắc vào và bỏ qua lọc đi. Điều này là ngược lại từ một quan điểm ứng phó sự cố: khi kẻ tấn công đã có chân để bước, các điều khiển egress là những gì xác định liệu họ có thể đánh cắp dữ liệu hay gọi về cơ sở hạ tầng. Xác định các chính sách egress rõ ràng cho mỗi zone—các máy chủ hiếm khi cần quyền truy cập internet đi ra không hạn chế, và các trạm làm việc hiếm khi cần bắt đầu các kết nối với các IP bên ngoài tùy ý trên các cổng tùy ý. Lọc egress hạn chế sẽ không dừng mọi thứ, nhưng nó tăng chi phí hoạt động sau khai thác và tăng cơ hội lưu thông bất thường bị gắn cờ.

Quản Lý Thay Đổi và Drift

Các bộ quy tắc tường lửa tích lũy những phế phẩm theo thời gian: các quy tắc được thêm vào cho một dự án kết thúc cách đây nhiều năm, những ngoại lệ tạm thời trở thành vĩnh viễn, và các quy tắc mà không ai nhớ mục đích của chúng. Xem cấu hình tường lửa như mã—có kiểm soát phiên bản, được xem xét ngang hàng, và được liên kết với một biện minh kinh doanh được ghi chép cho mỗi quy tắc. Lên lịch để xem xét định kỳ nhằm xóa bỏ các mục cũ. Một tường lửa có một nghìn quy tắc không được ghi chép cung cấp ít bảo mật thực tế hơn một bộ quy tắc nhỏ hơn, được hiểu rõ, vì không ai có thể suy luận về những gì nó thực sự cho phép.

Ghi Nhật Ký và Tương Quan

Một tường lửa chặn lưu thông im lặng chỉ là nửa hữu ích. Đảm bảo lưu thông bị từ chối và được cho phép theo quan tâm được ghi nhật ký và gửi đến SIEM hoặc đường ống nhật ký của bạn, với đủ ngữ cảnh (zone, ID quy tắc, nguồn/đích, giao thức) để hỗ trợ điều tra sau. Trong một sự cố, nhật ký tường lửa thường là cách nhanh nhất để thiết lập một dòng thời gian của chuyển động ngang hàng hoặc nỗ lực đánh cắp—nhưng chỉ khi lưu giữ và độ trung thực được cấu hình trước.

Suy Nghĩ Cuối Cùng

Thiết kế tường lửa ứng dụng không phải về việc chọn đúng nhà cung cấp hoặc bộ tính năng NGFW mới nhất—nó là về mô hình hóa zone kỷ luật, enforcement default-deny, vệ sinh quy tắc cẩn thận, và xem xét egress với sự nghiêm túc như ingress. Làm đúng những điều cơ bản và các tính năng nâng cao trở thành các bộ nhân lực thay vì thay thế kiến trúc.

Để biết thêm về phân đoạn mạng, tương quan nhật ký, và những điều cơ bản của blue team, hãy khám phá các phần liên quan trong thư viện DEFENSE_GRID của Korra Studio.