Опишите, что такое "фаервол" (firewall).

Какие типы фаерволов вам известны?

Можно ли фильтровать трафик по имени DNS через файрвол? (НЕТ)

Подсказки:

• Где могут быть файрволы? (На уровне операционной системы, на уровне сетевой топологии)
• Какие типы файрволов вам известны? (network, application, NGFW)
• Какие файрволы для Linux вам известен? (iptables или ufw (Uncomplicated Firewall) как распространенные инструменты)

Выше ожиданий:

• Знает о WEB Application Firewall и NGFW
• Понимание разницы между WAP и сетевым
• Понимает зачем организовывать security zones и DMZ для архитектуры бэкенда
• Опыт настройки правил iptables или ufw для конкретных требований к бэкенд-сервису

Файрвол — это система безопасности, которая отслеживает и контролирует сетевой трафик на основе предопределенных правил. Он действует как барьер между доверенной внутренней сетью и недоверенными внешними сетями, такими как Интернет.

Расположение файрволов

Файрволы могут работать на разных уровнях:

1. Уровень хоста (файрволы ОС):

   • Работают на отдельных устройствах
   • Примеры: Windows Defender Firewall, встроенный файрвол macOS (необязательно)
   • Для Linux: iptables и ufw (Uncomplicated Firewall)

2. Файрволы сетевого уровня:

   • Реализуются как отдельные сетевые устройства
   • Аппаратные устройства или программные решения
   • Примеры: Cisco ASA, Palo Alto Networks, Fortinet (необязательно)

Типы файрволов

1. Сетевые файрволы (уровень 4 OSI):

   • Исследуют каждый пакет
   • Фильтруют на основе IP-адресов, портов, протоколов

2. Application файрволы (уровень 7 OSI):

   • Понимают протоколы приложений (HTTP, SMTP и т. д.)
   • Могут блокировать определенные функции приложений, например доступа по маске URL из указанных сегментов сети
   • Примеры: Web Application Firewalls (WAF)

3. Next-Generation Firewalls (NGFW):

   • Объединяют возможности традиционных файрволов с:
     • Глубоким анализом пакетов
     • Предупреждением о вторжениях
     • Осведомленностью об используемых приложениях
     • Отслеживанием идентификации пользователей
     • Интеллектуальной информацией о угрозах

Функции фильтрации

Файрволы фильтруют трафик на основе:

• Исходных/целевых IP-адресов
• Исходных/целевых портов
• Протоколов (TCP, UDP, ICMP)
• Состояния пакета для stateful файрволов
• Данных приложения для Application (L7) фаерволов

Важно: Классические файрволы не могут фильтровать по имени DNS напрямую, так как резолв DNS происходит отдельно от фильтрации пакетов. Они работают с IP-адресами после получения IP адреса по DNS имени.

Пример файрвола Linux (iptables)

# Разрешить входящие подключения SSH
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Разрешить установленные соединения
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Заблокировать всё остальное
iptables -A INPUT -j DROP

Архитектура сетевой безопасности с помощью фаерволов

DMZ (демилитаризованная зона) - сетевой сегмент между внутренней и внешней сетями. Содержит общедоступные сервисы (веб-серверы, почтовые шлюзы) и ограничивает влияние злоумышленника если он взломает публично доступное приложение.

Сетевые зоны безопасности - разделение сетей на основе требований безопасности. Трафик между зонами контролируется фаерволами и правилами сетевых взаимодействий, которые находятся под аудитом команды безопасности. Пример: разделение серверов базы данных с хранилищами данных и серверов приложений.