Firewall wdraża się raz, a reguły rosną latami
Wdrożenie firewalla jest projektem. Ma początek, koniec, testy i dokumentację. Potem zaczyna się codzienność, w której reguły dopisuje się pojedynczo, zwykle w pośpiechu i zwykle po to, żeby coś w końcu zaczęło działać.
Po kilku latach powstaje zestaw, którego nikt nie czytał od początku do końca. Nie dlatego, że ktoś zawinił. Każda reguła osobno miała sens w dniu, w którym ją dodano. Problem jest w sumie, a nie w pojedynczych wpisach.
Objaw jest zawsze ten sam. Nikt nie chce niczego usunąć, bo nie wie, co przestanie działać. Konfiguracja rośnie tylko w jedną stronę i z każdym rokiem trudniej ją ruszyć.
Skąd się bierze bałagan w regułach
Powody powtarzają się w niemal każdej firmie:
- Reguły na chwilę. Ktoś potrzebował dostępu na jeden dzień, żeby dokończyć wdrożenie. Dostęp został na cztery lata.
- Otwarte porty po projektach, których już nie ma. Sklep przeniesiony do innego dostawcy, wyłączony serwer testowy, integracja z systemem, którego firma już nie używa. Reguła zostaje, bo nikt nie zgłosił jej do zdjęcia.
- Dostępy po ludziach. Byli pracownicy, byli podwykonawcy, firma, która instalowała kamery pięć lat temu i nadal ma wpuszczony swój adres.
- Reguły dopisane przy awarii. Nocne otwarcie wszystkiego do wszystkiego, żeby ustalić, gdzie jest problem. Awaria minęła, reguła nie.
- Brak opisu. Wpis bez informacji, kto go zamówił, po co i na jak długo, jest po roku nie do odróżnienia od wpisu naprawdę potrzebnego.
- Kilka rąk w jednym urządzeniu. Zmiany wprowadzał ktoś z firmy, ktoś z zewnątrz i ktoś od dostawcy systemu. Każdy w swojej konwencji nazw.
Co ryzykujesz, zostawiając to bez przeglądu
Pierwsze ryzyko jest oczywiste. Reguła, która wystawia usługę na świat, jest zaproszeniem dla każdego, kto skanuje adresy publiczne, a skanuje je stale. Najczęściej chodzi o pulpit zdalny albo panel administracyjny otwarty po to, żeby ktoś mógł popracować z domu, i zapomniany po powrocie do biura.
Drugie jest mniej widoczne, ale kosztuje więcej. Zestaw reguł, którego nikt nie rozumie, blokuje zmiany. Migracja, nowy oddział, wymiana łącza, wszystko robi się wolniej i drożej, bo za każdym razem trzeba najpierw odgadnąć, po co jest to, co już jest.
Trzecie wychodzi przy audycie. Firmy obsługujące płatności kartami mają w standardzie PCI DSS wprost zapisany obowiązek przeglądu konfiguracji urządzeń zabezpieczających sieć co najmniej raz na pół roku. Wytyczne NIST dotyczące firewalli mówią o tym samym w formie zalecenia, czyli o okresowym przeglądzie reguł i o zmianach wprowadzanych przez formalny proces, a nie od ręki.
Jak wygląda porządny przegląd
Przegląd nie polega na patrzeniu w panel i kasowaniu tego, co wygląda dziwnie. Kolejność jest odwrotna, od spisu do decyzji:
- Wyciąg wszystkich reguł do jednej listy, razem z regułami translacji adresów i publikacją usług na zewnątrz. Nie z jednego urządzenia, jeżeli firma ma ich kilka.
- Właściciel każdej reguły. Osoba albo dział, powód biznesowy i termin, do którego reguła ma obowiązywać. Bez tego przegląd trzeba za rok zrobić od zera.
- Reguły martwe. Większość firewalli potrafi pokazać, kiedy dana reguła ostatnio dopasowała ruch. Wpisy bez trafień od miesięcy to pierwsi kandydaci do zdjęcia.
- Zawężanie zakresów. Reguła z dowolnego źródła do dowolnego celu zamienia się na konkretne adresy i konkretne porty. To zwykle największa część pracy i największy zysk.
- Zamknięcie tego, co niepotrzebne. Usługi wystawione na świat bez powodu, dostępy dla firm, które już nie pracują, konta na samym urządzeniu, w tym konta serwisowe producenta.
- Konta VPN i certyfikaty. Lista osób, które mogą wejść do sieci z zewnątrz, starzeje się najszybciej z całej konfiguracji.
- Dostęp do samego firewalla. Kto może się na niego zalogować, skąd i czy da się to zrobić prosto z internetu. To pytanie zadaje się na końcu, bo odpowiedź bywa najbardziej niewygodna.
Kopie konfiguracji i historia zmian
Przegląd ma sens tylko wtedy, gdy jego wynik da się utrzymać. Potrzebne są do tego trzy rzeczy, wszystkie techniczne i wszystkie nudne.
Pierwsza to kopia zapasowa konfiguracji każdego urządzenia, robiona automatycznie i trzymana poza tym urządzeniem. Firewall potrafi się zepsuć jak każdy inny sprzęt, a odtworzenie kilkuset reguł z pamięci nie jest realne.
Druga to wersjonowanie, czyli historia zmian, która pozwala porównać stan z dzisiaj ze stanem z poprzedniego tygodnia. Kiedy po zmianie coś przestaje działać, to porównanie jest najkrótszą drogą do odpowiedzi.
Trzecia to zapisywanie zmian na bieżąco, w jednym miejscu i w jednej konwencji. Data, autor, powód, numer zgłoszenia. Nowa reguła bez opisu jest przyszłym problemem, nawet jeżeli dzisiaj wszyscy wiedzą, po co powstała.
Dlaczego przegląd robi się w oknie serwisowym
Usuwanie reguł jest zmianą produkcyjną, tak samo jak wymiana łącza. Różnica polega na tym, że skutek pokazuje się z opóźnieniem, często dopiero wtedy, gdy ktoś spróbuje użyć czegoś, czego nie używał od miesiąca.
Dlatego zmiany wchodzą w wyznaczonym oknie, z konfiguracją zapisaną przed zmianą i z jasną decyzją, po czym uznajemy, że trzeba się wycofać. Reguły najpierw się wyłącza, a usuwa dopiero po kilku tygodniach spokoju. Wyłączoną regułę można włączyć w kilka sekund, usuniętą trzeba odtworzyć.
Warto też ustalić, kto jest przy telefonie w trakcie zmiany i zaraz po niej. Większość zgłoszeń po takim przeglądzie przychodzi w pierwszych dwóch dniach pracy i dotyczy rzeczy, o których nikt nie pamiętał, a nie samego firewalla.
Jak często to robić
Pełny przegląd raz na pół roku jest rozsądnym rytmem, a dla firm obsługujących płatności kartami jest wymogiem. Przy dużej liczbie zmian w sieci lepiej działa kwartał.
Poza harmonogramem są momenty, w których przegląd robi się niezależnie od kalendarza: koniec projektu, odejście osoby z dostępem, zakończenie umowy z podwykonawcą, zmiana operatora, wdrożenie nowego systemu i każda awaria, w czasie której coś otwierano na szybko.
Najlepiej jednak działa nawyk, a nie akcja. Jeżeli każda nowa reguła od razu dostaje właściciela, powód i termin ważności, przegląd po pół roku jest kwestią godziny, a nie dwóch dni.
Co z tym zrobić
Sprawdzenie, czy przegląd jest potrzebny, zajmuje kilka minut. Zadaj dwa pytania osobie, która opiekuje się firewallem. Ile jest reguł i kto jest właścicielem trzech losowo wybranych. Jeżeli nie ma odpowiedzi na drugie pytanie, przegląd jest potrzebny.
Konfigurujemy i utrzymujemy firewalle oraz koncentratory VPN, więc przegląd reguł jest u nas normalną częścią opieki nad siecią, a nie osobnym projektem. Zakres wsparcia, w tym dyżur całodobowy, ustalamy w umowie.
Jeżeli nie wiesz, w jakim stanie jest Twoja konfiguracja, zwykle wystarczy wyciąg reguł i krótka rozmowa. Po niej wiadomo, czy to porządki na godzinę, czy temat na osobne okno serwisowe.