پیش‌نویس:دیوار آتش توزیع‌شده

این مقاله در حال ترجمه از ویکی انگلیسی است
لطفا حذف نشود.

دیوار آتش توزیع‌شده یک برنامهٔ امنیتی روی میزبانِ یک شبکه است که از سرورها و رایانه‌های کاربران در شبکه‌های یک سازمان در برابر نفوذهای ناخواسته محافظت می‌کند. دیوار آتش سامانه‌ای منفرد یا مجموعه‌ای از سامانه‌ها، مانند مسیریاب، پراکسی یا دروازه، است که با اجرای مجموعه‌ای از قواعد امنیتی، کنترل دسترسی میان دو شبکه را برقرار می‌کند تا از شبکهٔ داخلی در برابر شبکهٔ خارجی محافظت شود. دیوارهای آتش همهٔ ترافیک را، بدون توجه به منشأ آن، چه اینترنت باشد و چه شبکهٔ داخلی، فیلتر می‌کنند. دیوار آتش توزیع‌شده معمولاً پشت دیوار آتش سنتی به کار گرفته می‌شود و یک لایهٔ دفاعی دوم فراهم می‌کند. مزیت دیوار آتش توزیع‌شده این است که امکان تعریف قواعد امنیتی یا سیاست‌ها و اعمال آن‌ها در سطح کل سازمان را فراهم می‌کند؛ قابلیتی که برای سازمان‌های بزرگ ضروری است.
 سازوکار پایه 

دیوارهای آتش توزیع‌شده اغلب برنامه‌هایی در حالت هسته هستند که در پایین‌ترین بخش پشتهٔ OSI در سیستم‌عامل قرار می‌گیرند. آن‌ها همهٔ ترافیک را، بدون توجه به منشأ آن، چه از اینترنت باشد و چه از شبکهٔ داخلی، فیلتر می‌کنند. این دیوارهای آتش هم اینترنت و هم شبکهٔ داخلی را غیرقابل اعتماد در نظر می‌گیرند. همان‌طور که دیوار آتش پیرامونی از کل شبکه محافظت می‌کند، دیوار آتش توزیع‌شده از هر میزبان به‌صورت جداگانه محافظت می‌کند. عملکرد دیوار آتش توزیع‌شده بر سه مفهوم استوار است:

 زبان سیاست‌گذاری که مشخص می‌کند چه نوع اتصال‌هایی مجاز یا ممنوع هستند؛
 ابزارهای گوناگون مدیریت سامانه، مانند SMS مایکروسافت یا ASD؛
 IPsec، سازوکار رمزنگاری در سطح شبکه برای پروتکل اینترنت، مانند TCP و UDP.

ایدهٔ اصلی ساده است. یک کامپایلر، زبان سیاست‌گذاری را به قالبی داخلی تبدیل می‌کند. سپس نرم‌افزار مدیریت سامانه، این پروندهٔ سیاست‌گذاری را میان همهٔ میزبان‌هایی که توسط دیوار آتش محافظت می‌شوند توزیع می‌کند. در نهایت، بسته‌های ورودی توسط هر میزبان داخلی پذیرفته یا رد می‌شوند؛ این تصمیم هم بر پایهٔ سیاست تعیین‌شده و هم بر اساس هویت هر فرستنده که به‌صورت رمزنگاری‌شده تأیید شده است، انجام می‌گیرد.
 ویژگی‌ها 

 سامانهٔ مدیریت مرکزی برای طراحی سیاست‌ها؛
 سامانهٔ انتقال برای ارسال این سیاست‌ها؛
 اجرای سیاست‌های طراحی‌شده در سمت کاربر.

 سامانهٔ مدیریت مرکزی 

سیاست‌های امنیتی در دیوارهای آتش توزیع‌شده به‌صورت مرکزی تعریف می‌شوند، اما اجرای این سیاست‌ها در هر نقطهٔ پایانی، مانند میزبان‌ها، مسیریاب‌ها و مانند آن‌ها، انجام می‌گیرد. مدیریت متمرکز به معنای توانایی پیکربندی سرورها و رایانه‌های کاربران نهایی و ارسال سیاست‌های امنیتی یکپارچه به آن‌ها است؛ کاری که به استفادهٔ بهتر از منابع محدود کمک می‌کند. امکان گردآوری گزارش‌ها و نگهداری به‌روزرسانی‌ها به‌صورت مرکزی، امنیت توزیع‌شده را عملی‌تر می‌سازد.

این ویژگی دیوارهای آتش توزیع‌شده از دو جهت مفید است. نخست، رایانه‌های کاربران نهاییِ راه‌دور می‌توانند ایمن شوند. دوم، این دیوارهای آتش از سرورهای حیاتی شبکه محافظت می‌کنند؛ به این صورت که از نفوذ کدهای مخرب جلوگیری کرده و با محدود کردن چنین کدهایی، اجازه نمی‌دهند سرور محافظت‌شده به سکویی برای اجرای حملات گسترده‌تر تبدیل شود.
 سامانهٔ انتقال سیاست‌ها 

توزیع سیاست‌ها یا قواعد امنیتی می‌تواند بسته به نوع پیاده‌سازی متفاوت باشد. این سیاست‌ها ممکن است به‌طور مستقیم به سامانه‌های پایانی ارسال شوند، یا در صورت نیاز توسط آن سامانه‌ها دریافت شوند.
 روش کششی 

در روش کششی، میزبان‌ها هنگام راه‌اندازی، به سرور مدیریت مرکزی اطلاع می‌دهند تا بررسی شود که آیا سرور مدیریت مرکزی فعال و در دسترس است یا نه. سپس میزبان در سرور مدیریت مرکزی ثبت می‌شود و سیاست‌هایی را که باید اجرا کند درخواست می‌کند. پس از آن، سرور مدیریت مرکزی سیاست‌های امنیتی مربوط به آن میزبان را در اختیارش قرار می‌دهد.
 روش فشاری 

روش فشاری زمانی به کار می‌رود که سیاست‌ها از سمت مدیریت مرکزی و توسط مدیر شبکه به‌روزرسانی شده‌اند و میزبان‌ها باید بلافاصله به‌روزرسانی شوند. این روش تضمین می‌کند که میزبان‌ها همواره در هر زمان، سیاست‌های به‌روز را در اختیار داشته باشند. زبان سیاست‌گذاری مشخص می‌کند که کدام اتصال‌های ورودی و خروجی روی هر جزء از دامنهٔ سیاست شبکه مجاز هستند. همچنین این زبان می‌تواند بر تصمیم‌های مربوط به سیاست‌ها در هر لایه‌ای از شبکه اثر بگذارد؛ چه این تصمیم‌ها مربوط به رد یا عبور دادن بسته‌های خاص باشند و چه مربوط به اجرای سیاست‌ها در لایهٔ کاربرد پشتهٔ OSI.
 پیاده‌سازی در سمت میزبان 

دیوارهای آتش سنتی برای عملکرد خود به کنترل نقاط ورود متکی هستند؛ یا دقیق‌تر، بر این فرض تکیه دارند که همهٔ افراد و سامانه‌های یک سوی نقطهٔ ورود، یعنی دیوار آتش، قابل اعتماد هستند و هر کسی در سوی دیگر، دست‌کم به‌طور بالقوه، دشمن محسوب می‌شود. دیوارهای آتش توزیع‌شده با مجاز کردن تنها ترافیک ضروری به میزبانی که از آن محافظت می‌کنند کار می‌کنند و برای جلوگیری از نفوذهای ناخواسته، دیگر انواع ترافیک را ممنوع می‌سازند.

سیاست‌های امنیتی‌ای که از سرور مدیریت مرکزی ارسال می‌شوند نیز باید توسط میزبان اجرا شوند. بخش سمت میزبان در دیوار آتش توزیع‌شده، کنترل مدیریتی مستقیمی برای مدیر شبکه جهت کنترل اجرای سیاست‌ها فراهم نمی‌کند. میزبان، ترافیک را بر اساس قواعد امنیتی‌ای که پیاده‌سازی کرده است مجاز می‌داند.
 رمزنگاری سرتاسری 

رمزنگاری سرتاسری برای دیوارهای آتش سنتی یک چالش به شمار می‌آید، زیرا دیوار آتش معمولاً کلیدهای لازم برای مشاهدهٔ محتوای رمزنگاری‌شده را در اختیار ندارد. دیوارهای آتش توزیع‌شده از روش پیاده‌سازی IPsec سرتاسری استفاده می‌کنند.Bellovin, M. Steven. "Distributed Firewalls". login, November 1999, pp. 39–47. https://www.cs.columbia.edu/~smb/papers/distfw.pdf IPsec مجموعه‌ای از پروتکل‌ها است که به‌تازگی توسط IETF استاندارد شده و خدمات امنیتی در لایهٔ شبکه، مانند محرمانگی بسته‌ها، احراز هویت، یکپارچگی داده‌ها، محافظت در برابر بازپخش و مدیریت خودکار کلیدها را فراهم می‌کند.

این مسئله نتیجهٔ شیوهٔ به‌کارگیری دیوار آتش است: ترافیک داخلی‌ای که توسط دیوار آتش دیده نمی‌شود، قابل فیلتر شدن نیست؛ در نتیجه، کاربران داخلی می‌توانند بدون آنکه دیوار آتش قادر به مداخله باشد، به دیگر کاربران و شبکه‌ها حمله کنند. شبکه‌های بزرگ امروزی معمولاً دارای تعداد زیادی نقطهٔ ورود هستند. علاوه بر این، بسیاری از سایت‌ها برای ایجاد نوعی جداسازی داخلی، از دیوارهای آتش داخلی استفاده می‌کنند. این وضعیت مدیریت را، هم از نظر عملی و هم از نظر حفظ یکپارچگی سیاست‌ها، دشوار می‌سازد؛ زیرا سازوکار مدیریتی یکپارچه و جامعی وجود ندارد.

در IPsec سرتاسری، هر بستهٔ ورودی با یک گواهی مرتبط می‌شود و سطح دسترسی اعطاشده به آن بسته، بر اساس حقوقی تعیین می‌شود که به آن گواهی داده شده است. اگر نام گواهی متفاوت باشد، یا اگر بسته تحت حفاظت IPsec نباشد، آن بسته به‌عنوان بستهٔ غیرمجاز کنار گذاشته می‌شود. از آنجا که در یک دیوار آتش توزیع‌شدهٔ قوی، حقوق دسترسی به گواهی‌ها وابسته است، می‌توان با تغییر مجموعهٔ گواهی‌های پذیرفته‌شده، حقوق دسترسی را محدود کرد. در این حالت، تنها میزبان‌هایی که گواهی‌های جدیدتر دارند داخلی در نظر گرفته می‌شوند؛ اگر این تغییر نصب نشده باشد، آن میزبان امتیازهای کمتری خواهد داشت.
 توپولوژی شبکه 

دیوارهای آتش توزیع‌شده می‌توانند از میزبان‌هایی محافظت کنند که درون یک مرز توپولوژیکی مشخص قرار ندارند. بسته‌های مدیریت سامانه برای ادارهٔ میزبان‌های جداگانه به کار می‌روند؛ بنابراین مدیران امنیتی می‌توانند سیاست‌های امنیتی را بر اساس شناسه‌های میزبان تعریف کنند و هر میزبان به‌صورت جداگانه آن سیاست‌ها را اجرا کند.

دیوار آتش سنتی تنها می‌تواند سیاست‌ها را روی ترافیکی اعمال کند که از آن عبور می‌کند؛ بنابراین ترافیکی که میان گره‌های داخل شبکهٔ محافظت‌شده رد و بدل می‌شود، قابل کنترل نیست. این وضعیت به مهاجمی که از پیش درون شبکه قرار دارد، یا به هر شکلی بتواند دیوار آتش را دور بزند، امکان می‌دهد بدون آگاهی و رضایت مدیر شبکه، نقطهٔ ورود تازه و غیرمجازی به شبکه ایجاد کند.

در دیوارهای آتش سنتی، پردازش پروتکل‌هایی مانند RealAudio دشوار است؛ زیرا این دیوارهای آتش به برخی اطلاعاتی که به‌راحتی در نقاط پایانی در دسترس است، دسترسی ندارند. با افزایش سرعت خطوط ارتباطی و همچنین پیچیده‌تر شدن پروتکل‌هایی که دیوار آتش باید از آن‌ها پشتیبانی کند، دیوارهای آتش سنتی معمولاً به نقاط ازدحام تبدیل می‌شوند. این شکاف میان سرعت پردازش و سرعت شبکه احتمالاً افزایش خواهد یافت؛ زیرا با وجود سریع‌تر شدن رایانه‌ها و در نتیجه دیوارهای آتش، ترکیب پروتکل‌های پیچیده‌تر و افزایش بسیار زیاد حجم داده‌هایی که باید از دیوار آتش عبور کنند، از قانون مور پیشی گرفته و احتمالاً همچنان پیشی خواهد گرفت.
 اثربخشی 

 آشکارسازی خدمات و پویش درگاه‌ها 

دیوارهای آتش توزیع‌شده در رد کردن درخواست‌های اتصال به خدمات نامناسب بسیار کارآمد هستند. آن‌ها معمولاً چنین درخواست‌هایی را در همان میزبان کنار می‌گذارند؛ اما در روشی دیگر، ممکن است پاسخی ارسال کنند و بخواهند که اتصال احراز هویت شود. این کار در عین حال می‌تواند وجود میزبان را نیز آشکار کند.

برخلاف دیوارهای آتش سنتی که بر پایهٔ فیلترهای سادهٔ بسته ساخته شده‌اند و نمی‌توانند برخی از پویش‌های پنهانی را به‌خوبی رد کنند، دیوارهای آتش توزیع‌شده بسته‌های ارسال‌شده از سوی ابزار پویش درگاه را دوباره سرهم‌بندی می‌کنند و سپس آن را رد می‌کنند.

 جعل نشانی IP 

این حملات را می‌توان با استفاده از دیوارهای آتش توزیع‌شده و با تعریف قواعد مناسب در سطح میزبان مدیریت کرد؛ به‌گونه‌ای که بسته‌های نامعتبر از داخل دامنهٔ سیاست شبکه کنار گذاشته شوند. دیوارهای آتش توزیع‌شده می‌توانند از سازوکارهای رمزنگاری برای جلوگیری از حملاتی استفاده کنند که بر پایهٔ نشانی‌های مبدأ جعلی انجام می‌شوند؛ البته با این فرض که مخزن مورد اعتمادِ شامل همهٔ اعتبارنامه‌های لازم، خود دچار نفوذ یا دست‌کاری نشده باشد.
 نرم‌افزار مخرب 

چارچوب و زبان سیاست‌گذاری دیوار آتش توزیع‌شده، که امکان تصمیم‌گیری دربارهٔ سیاست‌ها را در سطح کاربرد فراهم می‌کند، می‌تواند با طیف گسترده‌ای از تهدیدهایی مقابله کند که در سطح کاربرد و سطوح میانی ترافیک ارتباطی قرار دارند. در وضعیت‌های پیچیده و پرمصرف از نظر منابع، که در آن‌ها باید دربارهٔ کدهایی مانند جاوا تصمیم‌گیری شود، دیوارهای آتش توزیع‌شده می‌توانند تهدیدها را مهار کنند؛ البته به شرطی که محتوای چنین بسته‌های ارتباطی توسط سازوکارهای بررسی سیاست‌ها از نظر معنایی قابل تفسیر باشد.

بازرسی حالت‌مند بسته‌ها نشان داده است که به‌راحتی می‌تواند با این نیازها سازگار شود و امکان تصمیم‌گیری دقیق‌تر و جزئی‌تر را فراهم کند. برخلاف دیوارهای آتش سنتی، اجرای سیاست‌ها در دیوارهای آتش توزیع‌شده حتی زمانی نیز دچار اختلال نمی‌شود که محتوای کد مخرب با استفاده از شبکه‌های خصوصی مجازی و ترافیک ارتباطی رمزگذاری‌شده تا واحد غربالگری در پیرامون شبکه کاملاً پنهان شده باشد.
 تشخیص نفوذ 

دیوارهای آتش توزیع‌شده می‌توانند تلاش برای نفوذ را شناسایی کنند، اما ممکن است در گردآوری داده‌های مربوط به پویش‌ها با دشواری روبه‌رو شوند. هر میزبان در شبکه باید پویش‌ها را تشخیص دهد و آن‌ها را برای پردازش و همبستگی به یک محل مرکزی ارسال کند. بخش نخست این مسئله دشوار نیست؛ زیرا بسیاری از میزبان‌ها از پیش چنین تلاش‌هایی را در گزارش‌های خود ثبت می‌کنند.

اما گردآوری این اطلاعات مسئله‌سازتر است، به‌ویژه زمانی که ارتباط با محل مرکزی ضعیف باشد. همچنین خطر حملات هماهنگ نیز وجود دارد؛ حملاتی که در عمل می‌توانند باعث ایجاد حملهٔ محروم‌سازی از سرویس علیه میزبان مرکزی شوند.
 حملات داخلی 

استقلال دیوار آتش توزیع‌شده از محدودیت‌های توپولوژیکی، اجرای سیاست‌ها را پشتیبانی می‌کند؛ چه میزبان‌ها عضو دامنهٔ کلی سیاست باشند و چه خارج از آن قرار داشته باشند. این دیوارهای آتش تصمیم‌های خود را بر پایهٔ سازوکارهای احراز هویت می‌گیرند، نه بر اساس ویژگی‌های ذاتی چیدمان شبکه.

افزون بر این، در صورت به خطر افتادن یک نقطهٔ پایانی، چه توسط کاربر مجاز و چه توسط نفوذگر، کل شبکه به‌گونه‌ای تضعیف نمی‌شود که مستقیماً به نفوذ به میزبان‌های دیگر منجر شود؛ زیرا استفاده از شبکه‌های خصوصی مجازی از شنود ترافیک ارتباطی‌ای جلوگیری می‌کند که میزبان‌ مورد حمله در آن دخالتی ندارد.

با این حال، در خود نقطهٔ پایانی، اگر فرض شود که یک میزبان به دست مهاجم افتاده است، باید پذیرفت که سازوکارهای اجرای سیاست در همان میزبان‌ نیز ممکن است از کار افتاده باشند. در چنین حالتی، اگر سازوکارهای امنیتی دچار نقص شده باشند، نصب درِ پشتی روی آن میزبان‌ می‌تواند به‌سادگی انجام شود. همچنین در نبود دیوار آتش پیرامونی، موجودیت قابل اعتمادی وجود ندارد که بتواند از ورود یا خروج دلخواه ترافیک به میزبانِ آلوده جلوگیری کند.

علاوه بر این، ابزارهایی وجود دارند که امکان تونل‌سازی ارتباطات یک برنامهٔ دیگر را فراهم می‌کنند و جلوگیری از آن‌ها بدون آگاهی مناسب از اعتبارنامه‌های رمزگشایی ممکن نیست. همچنین از آنجا که حمله با موفقیت انجام شده است، دیگر نمی‌توان به سازوکارهای راستی‌آزمایی خود آن میزبان‌ نیز اعتماد کرد.
 همکاری کاربران 

در نگاه نخست، بزرگ‌ترین ضعف دیوارهای آتش توزیع‌شده، وابستگی بیشتر آن‌ها به همکاری کاربران است. دیوارهای آتش توزیع‌شده می‌توانند تهدید حملات واقعی از سوی افراد داخلی را کاهش دهند؛ زیرا ایجاد گروه‌های کوچک‌تر از کاربران را آسان‌تر می‌کنند. بنابراین، می‌توان دسترسی به یک سرور پرونده را فقط به کاربرانی محدود کرد که واقعاً به آن نیاز دارند، نه اینکه همهٔ افراد داخل شرکت به آن دسترسی داشته باشند.

همچنین ارزش دارد که برای جلوگیری از دور زدن ساده و غیررسمی سیاست‌ها تلاش شود. سیاست‌ها می‌توانند به‌صورت دیجیتالی امضا شوند و با کلیدی که مرتب تغییر می‌کند و در محلی دشوار برای جایگزینی قرار دارد، راستی‌آزمایی شوند. برای محافظت‌های سخت‌گیرانه‌تر، اجرای سیاست‌ها می‌تواند در یک کارت شبکهٔ مقاوم در برابر دست‌کاری گنجانده شود.

 منابع 

 کتاب‌ها 

 Sonnenreich, Wes, and Tom Yates, Building Linux and OpenBSD Firewalls, Singapore: Addison Wiley.
 Zwicky, D. Elizabeth, Simon Cooper, Brent D. Chapman, Building Internet Firewalls, O'Reilly Publications.
 Strebe, Firewalls 24 Seven, BPB Publishers.

 مقاله‌های سفید و گزارش‌ها 

 Hancock, Bill, Host-Resident Firewalls: Defending Windows NT/2000 Servers and Desktops from Network Attacks.
 Bellovin, S. M. and W. R. Cheswick, Firewalls and Internet Security: Repelling the Wily Hacker, Addison-Wesley, 1994.
 Ioannidis, S. and Keromytis, A. D., Bellovin, S. M. and J. M. Smith, Implementing a Distributed Firewall, Proceedings of Computer and Communications Security (CCS), pp. 190–199, November 2000, Athens, Greece.

:رده:امنیت شبکه‌های رایانه‌ای