A Tûzfal:
hálózatok közötti biztonsági rendszer

Az eredeti, agyagtéglákból épített tûzfal szerepe, hogy elhelyezkedésével, megfelelõ kialakításával megakadályozza az egyik oldalán tomboló tûz továbbterjedését. Az Internet tûzfal telepítésének célja ugyanez.

Védi egyik hálózatot a másiktól

A védelem mikéntjét a védelmi politika szabja meg. Ebben rögzítik pl. azt is, hogy kik, mely gépekrõl, mely protokollal, mely külsõ gépekkel léphetnek kapcsolatba, a külvilággal cserélt információk milyen szûrõk, ellenõrzések után - kinek a felelõsségére!! - juthatnak a belsõ hálózatra, és így tovább. (DOS programok vírusellenõrzése ... )

Naplózza az Internet forgalommal kapcsolatos eseményeket

A befelé irányuló forgalomban észlelhetünk, naplózhatunk minden kapcsolatot, akciót. A tûzfal nélküli nyitott rendszerekben (ez itt nem pozitív jelzõ!) a betörési kísérletek többségérõl nem is szerzünk tudomást.

A kifelé irányuló kapcsolatok figyelésével pontos képet nyerhetünk arról, kik és milyen forgalmat bonyolítanak. Nagy vállalatoknál a költségek eloszthatók a belsõ szervezetek között.

Egyetlen kapu a világra

Itt minden megfigyelhetõ, ellenõrizhetõ. Egyetlen pont, ahol hálózatunkat támadhatják - ez viszont megerõsített, folyamatosan és szakértõ által felügyelt gép.

Már-már anekdota szerû, de valóban megtörtént az alábbi eset. Egy ICON dolgozó intenzív magánlevelezést folytatott egy " nagy nemzetközi számítógépes cégnél " dolgozó barátjával. Másnap a cég számítógépesei bekopogtak a baráthoz és barátságosan érdeklõdtek, ugyan mi lehet a magyarázata a konkurrenciával folytatott intenzív levélváltásnak.

Szerintem nem lehet õket paranoiával vádolni, egyszerûen ilyen világban élünk. Egy e-mail-ben bármit ki lehet juttatni ... Ha nem tetszik, hogy a Nagy Testvér figyel, használjuk a PGP-t, de ne lepõdjünk meg, ha megint jönnek, kopogtatnak. Minden cégnek vannak olyan érdekei, információi, melyeket kötelessége minden legális eszközzel védeni. Ne feledjük a korábban említett adatot : a betörések 70-90% százalékában belsõ közremûködõ is van.

A tûzfalak típusai

Az alkalmazott védelmi technikák szerint:

 

Csomagszûrõk (Packet Filters)
A routerek és számítógépek a szûrési szabályok alapján egyes csomagokat továbbítanak, másokat eldobnak. Megadható, hogy bizonyos események/csomagok elõfordulását naplózzák, e-mail-t küldjenek az adminisztrátornak, vagy egyéb dolog (hangjelzés, program indítás) történjék. A csomagszûrõk fizikai és protokoll szinten (IP, UDP, TCP) mûködnek. Alkalmazói programok szintjén (pl. ftp parancsok, file mûveletek) már nem képesek védelmet nyújtani.

Kettõs csatlakozású számítógép és közvetítõ programok
" Dual Homed " számítógéppel (nincs routing) összekapcsolt hálózatok között csak az egyes alkalmazói program szintû protokollok közvetítésére írt programok (a proxy-k) segítségével lehet - szigorúan ellenõrzött körülmények között - kapcsolatot létrehozni, információt átvinni. A gép és a programok speciális kialakítása minimális lehetõséget kínál a támadóknak.

A rendszer kialakítása szerint:

 

Szûrt hozzáférésû bástya (Screened Host, Bastion Host)
A külvilág védett hálózaton egyetlen gép felé kezdeményezhet kapcsolatot. Ez a bástya. A többi gép csak ennek közvetítésével érhetõ el. Kifelé teljesen átlátszó a védelem, amit egy megfelelõen kialakított csomagszûrõ biztosít.

Szûrt hozzáférésû hálózat - Demilitarizált Zóna
A külvilág egy szabad elérésû hálózatot lát - ez az u.n. Demilitarizált Zóna -, amire a nyilvános szolgáltatásokat (www, ftp ...) biztosító gépek csatlakoznak. A védett hálózatot egy proxy elvû tûzfal gép kapcsolja erre a DMZ hálózatra.