پیش‌نویس:فایروال توزیع‌شده

فایروال توزیع‌شده یک برنامهٔ امنیتی است که روی میزبان‌های یک شبکه اجرا می‌شود و از سرورها و رایانه‌های کاربران در شبکه‌های یک سازمان در برابر نفوذهای ناخواسته محافظت می‌کند. فایروال سامانه‌ای، یا مجموعه‌ای از سامانه‌ها مانند روتر، پراکسی یا دروازه است که با اجرای مجموعه‌ای از قواعد امنیتی، کنترل دسترسی میان دو شبکه را برقرار می‌کند تا شبکهٔ «داخلی» را در برابر شبکهٔ «خارجی» محافظت کند. فایروال‌های توزیع‌شده همهٔ ترافیک را بدون توجه به منشأ آن، چه از اینترنت باشد و چه از شبکهٔ داخلی، بررسی و فیلتر می‌کنند. این فایروال‌ها معمولاً پشت فایروال‌های سنتی قرار می‌گیرند و یک لایهٔ دفاعی دوم ایجاد می‌کنند. مزیت فایروال توزیع‌شده این است که قواعد امنیتی یا سیاست‌ها می‌توانند به‌صورت مرکزی تعریف شوند و در سطح کل سازمان روی میزبان‌ها اعمال شوند؛ موضوعی که برای سازمان‌های بزرگ ضروری است.
 شیوهٔ کار 

فایروال‌های توزیع‌شده معمولاً برنامه‌هایی در حالت هسته هستند که در پایین‌ترین بخش پشتهٔ OSI در سیستم‌عامل قرار می‌گیرند. این فایروال‌ها همهٔ ترافیک را، بدون توجه به اینکه منشأ آن اینترنت باشد یا شبکهٔ داخلی، فیلتر می‌کنند. در این روش، هم اینترنت و هم شبکهٔ داخلی به‌عنوان محیط‌هایی «غیرقابل اعتماد» در نظر گرفته می‌شوند. فایروال توزیع‌شده از هر رایانه به‌صورت جداگانه محافظت می‌کند؛ همان‌طور که یک فایروال پیرامونی از کل شبکه محافظت می‌کند. عملکرد فایروال توزیع‌شده بر سه مفهوم اصلی استوار است:

 یک زبان سیاست‌گذاری که مشخص می‌کند چه نوع اتصال‌هایی مجاز یا ممنوع هستند؛
 ابزارهای مدیریت سامانه، مانند SMS مایکروسافت یا ASD؛
 IPsec، که سازوکار رمزنگاری در سطح شبکه برای پروتکل اینترنت مانند TCP و UDP است.

ایدهٔ اصلی ساده است. یک کامپایلر، زبان سیاست‌گذاری را به یک قالب داخلی تبدیل می‌کند. سپس نرم‌افزار مدیریت سامانه، این فایل سیاست‌گذاری را میان همهٔ میزبان‌هایی که توسط فایروال محافظت می‌شوند توزیع می‌کند. پس از آن، بسته‌های ورودی توسط هر میزبان «داخلی» بر اساس سیاست‌های تعیین‌شده و هویت رمزنگاری‌شده و تأییدشدهٔ فرستنده، پذیرفته یا رد می‌شوند.
 ویژگی‌ها 

فایروال‌های توزیع‌شده معمولاً از چند بخش اصلی تشکیل می‌شوند:

 یک سامانهٔ مدیریت مرکزی برای طراحی سیاست‌ها؛
 یک سامانهٔ انتقال برای فرستادن این سیاست‌ها؛
 پیاده‌سازی سیاست‌های طراحی‌شده در سمت کاربر یا میزبان.

 سامانهٔ مدیریت مرکزی 

در فایروال‌های توزیع‌شده، سیاست‌های امنیتی به‌صورت مرکزی تعریف می‌شوند، اما اجرای این سیاست‌ها در هر نقطهٔ پایانی شبکه، مانند میزبان‌ها، روترها و دیگر تجهیزات، انجام می‌گیرد. مدیریت مرکزی این امکان را فراهم می‌کند که سرورها و رایانه‌های کاربران نهایی پیکربندی شوند و سیاست‌های امنیتی یکسان و هماهنگ در سراسر شبکه اعمال شوند. این کار به استفادهٔ بهتر از منابع محدود کمک می‌کند.

همچنین امکان گردآوری گزارش‌ها و نگهداری به‌روزرسانی‌ها به‌صورت مرکزی، استفاده از امنیت توزیع‌شده را عملی‌تر می‌کند. این ویژگی فایروال‌های توزیع‌شده از دو جهت مفید است. نخست اینکه رایانه‌های کاربران راه دور را می‌توان ایمن کرد. دوم اینکه سرورهای مهم شبکه در برابر نفوذ کدهای مخرب محافظت می‌شوند و از تبدیل شدن سرور محافظت‌شده به نقطهٔ شروعی برای حملات گسترده‌تر جلوگیری می‌شود.
 سامانهٔ انتقال سیاست‌ها 

نحوهٔ توزیع سیاست‌ها یا قواعد امنیتی می‌تواند بسته به نوع پیاده‌سازی متفاوت باشد. این سیاست‌ها ممکن است به‌صورت مستقیم به سامانه‌های نهایی فرستاده شوند، یا در زمان نیاز توسط آن سامانه‌ها دریافت شوند.

 روش کششی 

در روش کششی، میزبان‌ها هنگام راه‌اندازی به سرور مدیریت مرکزی اطلاع می‌دهند تا بررسی شود که آیا این سرور فعال و در دسترس است یا نه. سپس میزبان در سرور مدیریت مرکزی ثبت می‌شود و سیاست‌هایی را که باید اجرا کند درخواست می‌کند. پس از آن، سرور مدیریت مرکزی سیاست‌های امنیتی مربوط به آن میزبان را در اختیارش قرار می‌دهد.

 روش فشاری 

روش فشاری زمانی استفاده می‌شود که مدیر شبکه سیاست‌ها را در بخش مدیریت مرکزی به‌روزرسانی کرده باشد و لازم باشد میزبان‌ها بلافاصله به‌روزرسانی شوند. این روش باعث می‌شود میزبان‌ها همیشه جدیدترین سیاست‌های امنیتی را در اختیار داشته باشند. زبان سیاست‌گذاری مشخص می‌کند که کدام اتصال‌های ورودی و خروجی در هر بخش از دامنهٔ سیاست‌گذاری شبکه مجاز هستند. این زبان می‌تواند بر تصمیم‌گیری‌های امنیتی در هر لایه‌ای از شبکه اثر بگذارد؛ چه تصمیم مربوط به رد یا عبور دادن برخی بسته‌ها باشد و چه مربوط به اعمال سیاست‌ها در لایهٔ کاربرد پشتهٔ OSI.
 پیاده‌سازی در سمت میزبان 

فایروال‌های سنتی برای عملکرد خود به کنترل نقاط ورودی شبکه متکی هستند؛ به بیان دقیق‌تر، آن‌ها بر این فرض استوارند که هر کسی در یک سوی نقطهٔ ورودی، یعنی فایروال، قابل اعتماد است و هر کسی در سوی دیگر، دست‌کم به‌طور بالقوه، دشمن محسوب می‌شود. فایروال‌های توزیع‌شده با این روش کار می‌کنند که تنها ترافیک ضروری را به رایانه‌ای که از آن محافظت می‌کنند راه می‌دهند و سایر انواع ترافیک را برای جلوگیری از نفوذهای ناخواسته مسدود می‌کنند.

سیاست‌های امنیتی که از سرور مدیریت مرکزی ارسال می‌شوند، باید توسط خود میزبان نیز اجرا شوند. بخش سمت میزبان در فایروال توزیع‌شده، امکان کنترل مدیریتی مستقیمی در اختیار مدیر شبکه قرار نمی‌دهد تا نحوهٔ اجرای سیاست‌ها را کنترل کند. در این حالت، میزبان بر اساس قواعد امنیتی‌ای که روی آن پیاده‌سازی شده‌اند، اجازهٔ عبور ترافیک را صادر می‌کند.
 رمزنگاری سرتاسری 

رمزنگاری سرتاسری برای فایروال‌های سنتی یک چالش محسوب می‌شود، زیرا فایروال معمولاً کلیدهای لازم برای مشاهدهٔ محتوای رمزنگاری‌شده را در اختیار ندارد. فایروال‌های توزیع‌شده برای حل این مسئله از روش پیاده‌سازی IPsec به‌صورت سرتاسری استفاده می‌کنند. IPsec مجموعه‌ای از پروتکل‌هاست که توسط IETF استانداردسازی شده و خدمات امنیتی در لایهٔ شبکه، مانند محرمانگی بسته‌ها، احراز هویت، یکپارچگی داده‌ها، محافظت در برابر بازپخش و مدیریت خودکار کلیدها را فراهم می‌کند.

این مسئله از پیامدهای شیوهٔ استقرار فایروال‌هاست؛ ترافیک داخلی‌ای که از مسیر فایروال عبور نمی‌کند، توسط فایروال دیده و فیلتر نمی‌شود. در نتیجه، کاربران داخلی می‌توانند بدون دخالت فایروال به کاربران یا شبکه‌های دیگر حمله کنند. شبکه‌های بزرگ امروزی معمولاً نقاط ورودی زیادی دارند. همچنین بسیاری از سازمان‌ها برای جداسازی بخش‌های مختلف شبکه از فایروال‌های داخلی استفاده می‌کنند. این وضعیت مدیریت شبکه را هم از نظر عملی و هم از نظر یکسان نگه داشتن سیاست‌های امنیتی دشوار می‌کند، زیرا سازوکار مدیریتی واحد و کاملی برای همهٔ بخش‌ها وجود ندارد.

در IPsec سرتاسری، هر بستهٔ ورودی با یک گواهی مرتبط می‌شود و میزان دسترسی آن بسته بر اساس حقوقی تعیین می‌شود که به آن گواهی داده شده است. اگر نام گواهی متفاوت باشد یا بسته از محافظت IPsec برخوردار نباشد، آن بسته به‌عنوان بستهٔ غیرمجاز کنار گذاشته می‌شود. از آنجا که در یک فایروال توزیع‌شدهٔ قوی، حقوق دسترسی به گواهی‌ها وابسته است، می‌توان با تغییر مجموعهٔ گواهی‌های پذیرفته‌شده، سطح دسترسی را محدود کرد. در این حالت، تنها میزبان‌هایی که گواهی‌های جدیدتر دارند «داخلی» در نظر گرفته می‌شوند و اگر این تغییر روی یک ماشین نصب نشده باشد، آن ماشین امتیازهای دسترسی کمتری خواهد داشت.
 توپولوژی شبکه 

فایروال‌های توزیع‌شده می‌توانند از میزبان‌هایی محافظت کنند که درون یک مرز توپولوژیکی مشخص قرار ندارند. برای مدیریت رایانه‌های جداگانه از بسته‌های مدیریت سامانه استفاده می‌شود؛ بنابراین مدیران امنیتی می‌توانند سیاست‌های امنیتی را بر اساس شناسه‌های میزبان تعریف کنند و این سیاست‌ها توسط هر میزبان به‌صورت جداگانه اجرا شود.

فایروال‌های سنتی فقط می‌توانند سیاست‌ها را روی ترافیکی اعمال کنند که از خود فایروال عبور می‌کند. در نتیجه، ترافیکی که میان گره‌های داخل شبکهٔ محافظت‌شده رد و بدل می‌شود، قابل کنترل نیست. این موضوع به مهاجمی که از قبل درون شبکه حضور دارد، یا به هر شکل بتواند فایروال را دور بزند، امکان می‌دهد بدون آگاهی و اجازهٔ مدیر شبکه، یک نقطهٔ ورود تازه و غیرمجاز به شبکه ایجاد کند.

در فایروال‌های سنتی، پردازش برخی پروتکل‌ها مانند RealAudio دشوار است، زیرا این فایروال‌ها به برخی اطلاعاتی که در نقاط پایانی به‌سادگی در دسترس است، دسترسی ندارند. همچنین با افزایش سرعت خطوط ارتباطی و پیچیده‌تر شدن پروتکل‌هایی که فایروال باید پشتیبانی کند، فایروال‌های سنتی معمولاً به نقاط گلوگاه و عامل کندی شبکه تبدیل می‌شوند. احتمالاً فاصله میان سرعت پردازش و سرعت شبکه بیشتر خواهد شد؛ زیرا هرچند رایانه‌ها و در نتیجه فایروال‌ها سریع‌تر می‌شوند، ترکیب پروتکل‌های پیچیده‌تر و افزایش بسیار زیاد حجم داده‌هایی که باید از فایروال عبور کنند، از رشد پیش‌بینی‌شده در قانون مور پیشی گرفته و احتمالاً همچنان پیشی خواهد گرفت.
 اثربخشی 

 نمایش سرویس و پویش درگاه 

فایروال‌های توزیع‌شده در رد کردن درخواست‌های اتصال به سرویس‌های نامناسب بسیار کارآمد هستند. این فایروال‌ها معمولاً چنین درخواست‌هایی را در همان میزبان حذف می‌کنند. با این حال، در برخی موارد ممکن است به‌جای حذف مستقیم درخواست، پاسخی ارسال کنند و از طرف مقابل بخواهند اتصال را احراز هویت کند؛ این کار می‌تواند وجود میزبان را نیز آشکار کند.

برخلاف فایروال‌های سنتی که تنها بر پایهٔ فیلتر کردن بسته‌ها کار می‌کنند و در برابر برخی «پویش‌های پنهانی» عملکرد چندان خوبی ندارند، فایروال‌های توزیع‌شده می‌توانند بسته‌های دریافتی از یک پویشگر درگاه را دوباره کنار هم قرار دهند و سپس آن‌ها را رد کنند.

 جعل نشانی آی‌پی 

این نوع حملات را می‌توان در سطح میزبان و با استفاده از قواعد مناسب در فایروال‌های توزیع‌شده مدیریت کرد؛ به‌گونه‌ای که بسته‌های مشکوک یا نامعتبر از داخل دامنهٔ سیاست‌گذاری شبکه کنار گذاشته شوند. فایروال‌های توزیع‌شده همچنین می‌توانند با استفاده از سازوکارهای رمزنگاری، از حملاتی که بر پایهٔ نشانی‌های مبدأ جعلی انجام می‌شوند جلوگیری کنند؛ البته به این شرط که مخزن مورد اعتمادِ شامل همهٔ گواهی‌ها و اطلاعات لازم، خود دچار نفوذ یا دستکاری نشده باشد.
 نرم‌افزارهای مخرب 

چارچوب فایروال توزیع‌شده و زبان سیاست‌گذاری آن، که امکان تصمیم‌گیری دربارهٔ سیاست‌ها را در سطح کاربرد فراهم می‌کند، می‌تواند با طیف گسترده‌ای از تهدیدها در سطح کاربرد و لایه‌های میانی ترافیک ارتباطی مقابله کند. در شرایط پیچیده و پرمصرف از نظر منابع، که لازم است دربارهٔ کدهایی مانند جاوا تصمیم‌گیری شود، فایروال‌های توزیع‌شده می‌توانند تهدیدها را کنترل کنند؛ البته به این شرط که محتوای بسته‌های ارتباطی از نظر معنایی توسط سازوکارهای بررسی سیاست‌ها قابل تفسیر باشد.

بازرسی حالت‌مند بسته‌ها به‌راحتی با این نیازها سازگار می‌شود و امکان تصمیم‌گیری دقیق‌تر و جزئی‌تر را فراهم می‌کند. برخلاف فایروال‌های سنتی، اجرای سیاست‌ها در فایروال‌های توزیع‌شده حتی زمانی که محتوای کدهای مخرب با استفاده از شبکه‌های خصوصی مجازی و ترافیک ارتباطی رمزگذاری‌شده تا واحد بررسی در مرز شبکه کاملاً پنهان شده باشد، دچار اختلال نمی‌شود.
 تشخیص نفوذ 

فایروال‌های توزیع‌شده می‌توانند تلاش‌ها برای نفوذ را شناسایی کنند، اما ممکن است در گردآوری و تجمیع داده‌های مربوط به بررسی‌ها و کاوش‌های مشکوک با دشواری روبه‌رو شوند. در این روش، هر میزبان جداگانه در شبکه باید این تلاش‌ها را تشخیص دهد و آن‌ها را برای پردازش و تطبیق به یک محل مرکزی ارسال کند.

بخش نخست این کار چندان دشوار نیست، زیرا بسیاری از میزبان‌ها از پیش چنین تلاش‌هایی را در گزارش‌های خود ثبت می‌کنند. مشکل اصلی در گردآوری این داده‌هاست، به‌ویژه زمانی که ارتباط با محل مرکزی ضعیف یا ناپایدار باشد. همچنین خطر حملات هماهنگ نیز وجود دارد؛ حملاتی که می‌توانند در عمل باعث ایجاد حملهٔ محروم‌سازی از سرویس علیه ماشین مرکزی شوند.
 حملات داخلی 

استقلال فایروال توزیع‌شده از محدودیت‌های توپولوژیکی شبکه، اجرای سیاست‌های امنیتی را پشتیبانی می‌کند؛ چه میزبان‌ها عضو دامنهٔ کلی سیاست‌گذاری باشند و چه بیرون از آن قرار داشته باشند. این فایروال‌ها تصمیم‌های خود را بر پایهٔ سازوکارهای احراز هویت می‌گیرند، نه بر اساس ویژگی‌های ذاتیِ چیدمان شبکه.

همچنین اگر یک نقطهٔ پایانی، چه توسط یک کاربر مجاز و چه توسط یک نفوذگر، به خطر بیفتد، کل شبکه به‌گونه‌ای تضعیف نمی‌شود که مستقیماً باعث نفوذ به دیگر ماشین‌ها شود. دلیل آن این است که به‌کارگیری شبکه‌های خصوصی مجازی از شنود ترافیک ارتباطی‌ای که ماشینِ مورد حمله در آن نقشی ندارد جلوگیری می‌کند.

با این حال، دربارهٔ خود نقطهٔ پایانی باید فرض کرد که اگر یک ماشین در اختیار مهاجم قرار گرفته باشد، ممکن است سازوکارهای اجرای سیاست روی همان ماشین نیز از کار افتاده یا دستکاری شده باشند. در چنین شرایطی، نصب درهای پشتی روی آن ماشین می‌تواند به‌سادگی انجام شود. همچنین در نبود فایروال پیرامونی، موجودیت قابل اعتمادی وجود ندارد که بتواند از ورود یا خروج دلخواه ترافیک از میزبان آلوده جلوگیری کند.

افزون بر این، ممکن است از ابزارهایی استفاده شود که ارتباطات یک برنامهٔ دیگر را از راه تونل‌سازی منتقل می‌کنند. جلوگیری از چنین کاری بدون داشتن اطلاعات درست دربارهٔ اعتبارنامه‌های رمزگشایی ممکن نیست. از سوی دیگر، از آنجا که حمله با موفقیت انجام شده است، دیگر نمی‌توان به سازوکارهای تأیید و بررسی همان ماشین اعتماد کامل داشت.
 همکاری کاربران 

در نگاه نخست، بزرگ‌ترین ضعف فایروال‌های توزیع‌شده این است که بیش از فایروال‌های سنتی به همکاری کاربران وابسته‌اند و در برابر نبود همکاری از سوی کاربران آسیب‌پذیرتر هستند. با این حال، فایروال‌های توزیع‌شده می‌توانند با ساده‌تر کردن ایجاد گروه‌های کوچک‌تر از کاربران، تهدید حملات واقعی از سوی افراد داخلی را کاهش دهند.

برای نمونه، می‌توان دسترسی به یک سرور فایل را فقط به کاربرانی محدود کرد که واقعاً به آن نیاز دارند، نه اینکه همهٔ افراد داخل سازمان به آن دسترسی داشته باشند. همچنین ارزش دارد برای جلوگیری از دور زدن یا تضعیف غیررسمی سیاست‌ها نیز اقداماتی انجام شود. سیاست‌ها می‌توانند به‌صورت دیجیتالی امضا شوند و با کلیدی که مرتب تغییر می‌کند و در محلی دشوار برای جایگزینی قرار دارد، بررسی و تأیید شوند. برای حفاظت‌های سخت‌گیرانه‌تر، اجرای سیاست‌ها می‌تواند درون یک کارت شبکهٔ مقاوم در برابر دستکاری قرار داده شود.
 منابع 

 Bellovin, M. Steven. «Distributed Firewalls». login، نوامبر ۱۹۹۹، صص. ۳۹–۴۷. https://www.cs.columbia.edu/~smb/papers/distfw.pdf

 کتاب‌ها 

 Sonnenreich, Wes, and Tom Yates. Building Linux and OpenBSD Firewalls. Singapore: Addison-Wiley.
 Zwicky, D. Elizabeth, Simon Cooper, and Brent D. Chapman. Building Internet Firewalls. O'Reilly Publications.
 Strebe. Firewalls 24 Seven. BPB Publishers.

 مقاله‌ها و گزارش‌ها 

 Hancock, Bill. «Host-Resident Firewalls: Defending Windows NT/2000 Servers and Desktops from Network Attacks».
 Bellovin, S. M. and W. R. Cheswick. Firewalls and Internet Security: Repelling the Wily Hacker. Addison-Wesley، ۱۹۹۴.
 Ioannidis, S., A. D. Keromytis, S. M. Bellovin, and J. M. Smith. «Implementing a Distributed Firewall». Proceedings of Computer and Communications Security (CCS)، صص. ۱۹۰–۱۹۹، نوامبر ۲۰۰۰، آتن، یونان.