11.2 מערכות ייעודיות לסינון מנות

מערכות ייעודיות לסינון מנות

סינון מנות Packet Filtering הוא טכניקת חומת אש המשמשת לבקרת גישה לרשת על ידי מעקב אחר מנות יוצאות ונכנסות ומאפשרת להם לעבור או לעצור על סמך כתובות IP, פרוטוקולי אינטרנט (IP) המקור והיעד.

סינון מנות הוא התהליך שבו חומת אש בוחנת כל חבילה שעוברת דרכה ומחליטה אם לאפשר לה לעבור או לא. חומות אש משתמשות במספר כללים כדי לקבוע אם לאפשר לחבילה לעבור.

הכללים הנפוצים ביותר לסינון חבילות כוללים:

• כללים של IP: כלל IP מאפשר או אוסר על תעבורה מהתקנים עם כתובות IP מסוימות.
• כללים של פורטים: כלל פורטים מאפשר או אוסר על תעבורה בפורטים מסוימים.
•  כללים של פרוטוקול: כלל פרוטוקול מאפשר או אוסר על תעבורה בפרוטוקולים מסוימים.

טכנולוגית Packet Filtering יודעת לסנן חבילות על-בסיס:

• Source/Destination Address
•  Source/Destination Port

Packet Filtering לא בודק את תוכן החבילות ולכן נחשב כלא כל כך בטוח ומשמש כסינון ראשוני בלבד.

Packet Filtering יכול להיות כל אחד מהדברים הבאים:

• חבילת תוכנה: Packet Filtering יכול להיות מיושם באמצעות חבילת תוכנה ייעודית, כגון iptables ב-Linux או Windows Firewall ב-Windows. חבילות תוכנה אלו מספקות ממשק משתמש גרפי או שורת פקודה לניהול הגדרות Packet Filtering.
• מוצר: Packet Filtering יכול להיות מיושם גם כחלק ממוצר אבטחת רשת, כגון חומת אש או מערכת גילוי חדירה. מוצרים אלו מספקים לרוב פונקציונליות Packet Filtering משופרת, כגון ניתוח חבילות מתקדם ויכולת זיהוי התקפות מתקדמות.
• חלק מתשתית הרשת: בחלק מהמקרים, Packet Filtering יכול להיות מיושם כחלק מתשתית הרשת עצמה. לדוגמה, נתבים ומערכות הפעלה של שרתים רבים כוללים יכולות Packet Filtering מובנות.
  
  

סינון מנות כחלק מחבילת תוכנה

אלו תוכנות או בחבילות תוכנה שניתן להתקין על חומרה קיימת (כגון שרתים או מחשבים) והן מספקות יכולת סינון מנות. השימוש בחבילות תוכנה מאפשר למנהלי מערכות ולמומחי אבטחת מידע ליישם כללי סינון חבילות מידע מתוחכמים בצורה קלה ונגישה.

דוגמאות: iptables ב-Linux, Windows Firewall ב-Windows, ו-pfSense (שמהווה גם מערכת הפעלה עבור חומת אש). סינון מנות, כאשר מיושם כחלק מחבילת תוכנה, מהווה גישה נפוצה וגמישה לאבטחת רשת.

•  ממשקים נוחים וגמישים: אחת היתרונות המרכזיות של חבילות תוכנה לסינון מנות היא הממשק הנוח והגמיש שהן מציעות. משתמשים יכולים לבחור בין ממשק גרפי לממשק שורת פקודה, תלוי ברמת הנוחות והמומחיות שלהם. ממשקים אלו מאפשרים לקבוע כללים מורכבים לסינון תנועת רשת, כולל חסימת או אישור חבילות מסוימות בהתאם למקור, יעד, פרוטוקול או פורט.
  
  
• תכנון ויישום מותאמים אישית: בעוד שמוצרים מסחריים יכולים להציע פתרונות "מוכנים לשימוש", חבילות תוכנה לסינון מנות מספקות גמישות רבה יותר בתכנון וביישום של כללי הסינון. מנהלי מערכות יכולים ליישם מדיניות אבטחת מידע מותאמת אישית שמתאימה במדויק לצרכים ולדרישות הייחודיות של הארגון שלהם.
  
  
• קלות בשימוש ובתחזוקה: חבילות תוכנה לסינון מנות מציעות קלות שימוש ותחזוקה גבוהה, דבר המאפשר גם למשתמשים עם ידע טכני מוגבל לנהל את מדיניות האבטחה שלהם. עדכונים ושיפורים ניתנים להטמעה בקלות, ומאפשרים למערכת להיות גמישה ומותאמת לשינויים בסביבה האבטחתית.
  
  
• כוח וגמישות בסינון: חבילת תוכנה לסינון מנות מאפשרת ליישם סינון מבוסס כללים, שבו כל חבילת מידע נבדקת לפי סט קריטריונים מוגדרים. זה יכול לכלול בדיקת כתובת IP, מספר פורט, סוג פרוטוקול, ועוד. כללים אלו ניתנים להתאמה ושינוי בהתאם לצרכים המשתנים של הארגון, מה שמאפשר גמישות רבה בהתמודדות עם איומים חדשים ומשתנים.

חסרונות "סינון מנות" כחלק מחבילת תוכנה

סינון מנות כחלק מחבילת תוכנה מביא עמו מספר חסרונות שחשוב לשקול:

• מורכבות תכנון וניהול: יישום כללי סינון מנות דורש הבנה טכנית מעמיקה ויכולת לנהל מדיניות אבטחה מורכבת. זה יכול להיות משימה מאתגרת למי שאינו מומחה בתחום.
• סיכון לטעויות תצורה: טעויות בהגדרת כללי הסינון יכולות לגרום לבעיות רבות, כולל חסימת תעבורה לגיטימית או אישור תעבורה זדונית.
• עומס על משאבי המערכת: סינון מנות דרך חבילת תוכנה יכול לגרום לעומס על המערכת, מה שיכול להוביל להאטה בביצועים של המחשב או השרת שעליו התוכנה מותקנת.
• הגבלות בכוח העיבוד: חבילות תוכנה לסינון מנות עשויות להיות מוגבלות בכוח העיבוד שלהן, במיוחד במצבים של תנועה רשת כבדה או מורכבת.
• עדכונים ותחזוקה: תחזוקה ועדכונים שוטפים נדרשים לוודא שהתוכנה מעודכנת עם הגנות נגד איומים חדשים ושינויים בטכנולוגיה.
• אבטחה פחותה מול התקפות מתקדמות: חבילות תוכנה יכולות להיות פחות יעילות בזיהוי ומניעת התקפות סייבר מתקדמות, בהשוואה לפתרונות אבטחה מרובים ומותאמים.
• תלות במערכת ההפעלה: תקלות במערכת ההפעלה או פרצות אבטחה בה יכולות להשפיע ישירות על יעילות ואמינות הסינון.

חסרונות "סינון מנות" בהשוואה ל"מוצר" או כ"חלק מתשתית הרשת"

ביחס למוצר אבטחת רשת:

• פונקציונליות מוגבלת: לעומת מוצרים מסחריים, חבילות תוכנה עשויות להציע פחות פונקציונליות מתקדמת, כמו זיהוי התקפות מתקדמות או ניתוח עמוק של חבילות.
• אינטגרציה עם מוצרים אחרים: מוצרים מסחריים יכולים להציע אינטגרציה טובה יותר עם מערכות אבטחה נוספות בארגון.

ביחס לתשתית הרשת:

• יכולת עיבוד נמוכה יותר: חבילת תוכנה עשויה לא להיות מסוגלת לעבד תעבורה בקצבים גבוהים כמו ציוד רשת מובנה.
• מופרדת מהתשתית: בעוד שהתשתית הרשתית מאפשרת סינון ברמה הכי נמוכה ויעילה, חבילת תוכנה עלולה להיות פחות אפקטיבית בגלל הפרדתה מהתשתית הפיזית.

סינון מנות כמוצר

סינון מנות כמוצר הוא גישה נפוצה בתחום אבטחת הסייבר, שבה מוצרים מרוכזים ומסחריים, כמו חומות אש או מערכות גילוי חדירות (IDS), בדרך-כלל מבוססי חומרה, מבצעים סינון של חבילות הנתונים העוברות ברשת. מוצרים אלו מספקים פונקציונליות רחבה, כולל ניתוח מתקדם של חבילות, זיהוי התקפות וניהול מתקדם של מדיניות האבטחה.

דוגמאות: מוצרי Cisco ASA, Palo Alto Networks Firewalls, Fortinet FortiGate.

יתרונות:

• פונקציונליות מתקדמת: מספקים יכולות ניתוח וסינון מתקדמות, כולל זיהוי התקפות מתקדמות וניתוח עמוק של חבילות.
• קלות ניהול: ממשקים משתמש גרפיים ומומחי תמיכה מקצועיים מקלים על תהליך הניהול והתחזוקה.
• אינטגרציה עם מערכות נוספות: ניתן לאינטגרציה עם מגוון מערכות אבטחה וניטור נוספות בארגון.

חסרונות:

• עלות: מוצרים מסחריים יכולים להיות יקרים בהשוואה לפתרונות אחרים.
• תלות בספק: על הארגון להישען על ספק חיצוני לתמיכה ועדכונים.
• גמישות מוגבלת: בחלק מהמקרים, מוצרים מסחריים עשויים להיות פחות גמישים בהתאמה לצרכים ספציפיים.

חסרונות יחסית לשתי תצורות האחרות:

חסרונות של סינון מנות כמוצר בהשוואה לחבילת תוכנה:

• גמישות נמוכה יותר: מוצרים מסחריים כמו חומות אש עשויים להציע פחות גמישות בהתאמת כללי הסינון לצרכים ספציפיים של הארגון, בהשוואה לחבילות תוכנה שמספקות יכולת התאמה גבוהה יותר.
• תלות בספק: בעוד שחבילת תוכנה יכולה להיות מותאמת ומנוהלת באופן עצמאי, סינון מנות כמוצר עשוי להיות תלוי בתמיכה ועדכונים מצד הספק, דבר המגביל את השליטה המלאה של הארגון על המערכת.

חסרונות של סינון מנות כמוצר בהשוואה לתשתית הרשת:

• יעילות תעבורה: סינון מנות שמיושם כחלק מתשתית הרשת, כגון בנתבים, יכול להיות יעיל יותר מבחינת תעבורה ולהפחית את העומס על הרשת, לעומת מוצרים מסחריים שעלולים להיות פחות יעילים במצבים מסוימים.
• עלות ותחזוקה: סינון מנות שמיושם כחלק מהתשתית עשוי להיות פחות מעמיס מבחינת עלות ותחזוקה בהשוואה למוצרים מסחריים, שדורשים רכישה, רישוי ותחזוקה קבועה.

בסיכום, בעוד שסינון מנות כמוצר מסחרי מציע פונקציונליות מתקדמת ונוחות בניהול, יש לו חסרונות משמעותיים בהשוואה לחבילות תוכנה ולפתרונות המשולבים בתשתית

סינון מנות כחלק מתשתית הרשת

סינון מנות כחלק מתשתית הרשת מתייחס ליכולות סינון מנות המשולבות ישירות בתוך ציוד הרשת כמו נתבים, מתגים ושרתים. יתרון זה מאפשר למנות הנתונים להיבדק ולהיסנן ברמה הפיזית והלוגית הנמוכה ביותר של הרשת, מה שמביא ליעילות גבוהה במיוחד בסינון התעבורה.

תשתיות רשת שמציעות גם סינון מנות

תשתיות רשת שונות יכולות להציע יכולות של סינון מנות. להלן דוגמאות לסוגי ציוד וטכנולוגיות בתשתיות רשת שבהן ניתן למצוא יכולות אלו:

• נתבים (Routers): רבים מהנתבים המודרניים, בין אם הם מיועדים לשימוש ביתי או עסקי, כוללים יכולות סינון מנות בסיסיות. הם יכולים לסנן תעבורה בהתאם לכתובות IP, פורטים, פרוטוקולים ועוד.
• מתגים מתקדמים (Managed Switches): מתגים אלו מספקים יכולות ניהול מתקדמות, כולל סינון מנות, ומאפשרים למנהלי רשת לשלוט באופן פינה לפינה על התעבורה שעוברת ברשת.
• ציוד אבטחת רשת משולב (Unified Threat Management, UTM): מכשירים אלו מציעים פתרון אבטחה מקיף הכולל סינון מנות, חומת אש, אנטי-וירוס, ניתוח תעבורה ועוד.
• שרתים עם יכולות סינון מובנות: חלק ממערכות ההפעלה של שרתים מספקות יכולות סינון מנות מובנות, המאפשרות לנהל את התעבורה העוברת דרך השרת.
• מערכות גילוי ומניעת חדירות (IDS/IPS): ציוד זה מיועד לזיהוי ומניעת ניסיונות חדירה לרשת, ולעיתים כולל גם יכולות סינון מנות מתקדמות.
• מכשירים עם יכולת הפרדת רשת (Network Segmentation Devices): ציוד שמאפשר להפריד בין רשתות או ליצור רשתות וירטואליות (VLANs) עשוי לכלול יכולות לסינון מנות בין הרשתות השונות.

יתרונות

• יעילות תעבורה גבוהה: הסינון מתבצע בציוד הרשת עצמו, מה שמבטיח עיבוד מהיר ויעיל של חבילות הנתונים.
• שקיפות למשתמשים: הסינון מתבצע ברמה הרשתית, ולכן הוא שקוף למשתמשים הקצה ולא מצריך תוכנה נוספת או תצורה מיוחדת במכשירי הקצה.
• אינטגרציה עם יכולות רשת אחרות: סינון מנות בתשתית הרשת מאוחד עם יכולות אחרות של ציוד הרשת, כמו ניתוח תעבורה וניהול רשת.

חסרונות

• התמקדות בסינון בסיסי: בעוד שסינון מנות בתשתית הרשת מאפשר סינון יעיל, הוא לעיתים קרובות מוגבל לסינון בסיסי יותר ואינו כולל יכולות ניתוח מתקדמות.
• עלות ותחזוקה של ציוד רשת: הטמעת סינון מנות בתשתית הרשת עשויה לדרוש ציוד יקר ותחזוקה מיוחדת.
• גמישות מוגבלת: שינויים במדיניות הסינון עשויים לדרוש תצורה מחדש של ציוד הרשת, מה שיכול להיות פחות גמיש מפתרונות תוכנה.

בסיכום, סינון מנות כחלק מתשתית הרשת מציע גישה יעילה ושקופה לסינון תעבורת רשת, תוך איחוד עם יכולות אחרות של הרשת. חשוב לשקול את העלויות והגמישות המוגבלת של פתרון זה לעומת פתרונות אחרים כמו סינון מנות כחלק מחבילת תוכנה או כמוצר מסחרי.

תהליך הסינון

כיצד נתב יודע אם להעביר/לחסום חבילה? נתב מסתמך על רשימת חוקים שמתייחסים לתעבורה ויוצרים את מדיניות הנתב. התהליך שמתבצע כאשר חבילה נכנס לנתב:

1. Packet נכנס דרך הכרטיס רשת אל ה firewall וניבדק האם החבילה מתאימה לאחד מהחוקים.  אם אין חוק שמתאים לחבילה היא נזרקת (Drop).
2. אם קיים חוק שתואם לחבילה, אז מתבצע Log או Alert (אם מוגדר Log/Alert).
3. Packet שעבר את הבדיקה ומורשה להמשיך עובר למחסנית TCP/IP בדרך ליעד.

Packet שלא מורשה להמשיך בצורת Drop נזרק, לאומת Rejected שבנוסף גורם לשליחת הודעה למשתמש.

"סינון מנות" הוא פעולה קריטית, וישנם מספר גורמים ופרקטיקות שקשורים להפעלה וניהול שלו:

• מי מפעיל "סינון מנות"? סינון מנות בדרך-כלל מופעל על ידי מנהלי רשתות או מומחי אבטחת מידע בארגונים. הם אחראים להגדרה, תצורה, ותחזוקה של כללי הסינון.
• האם המנגנון פועל באופן קבוע? כן, בדרך-כלל מנגנון סינון המנות פועל באופן קבוע, כדי לספק הגנה מתמדת מפני איומים ופעילות חשודה ברשת. המנגנון מעבד חבילות נתונים בזמן אמת ומסנן אותן לפי הכללים שהוגדרו.
• לאן מועברות התוצאות? תוצאות הסינון, כולל רישומים של חבילות שנחסמו או דוחות על פעילות חריגה, בדרך-כלל מועברות למערכת מרכזית לניהול אירועים ומידע אבטחי (SIEM). זה מאפשר לארגון לרכז, לנתח, ולהגיב לאירועים אבטחיים בצורה מאורגנת.
• כיצד עוקבים אחרי הממצאים ואחרי פעולות שהמערכת מבצעת?

• מערכות ניהול אירועים ומידע אבטחי (SIEM) משמשות לעקוב אחרי הממצאים ולנתח את הפעילות של סינון המנות.
• מנהלי הרשת ומומחי האבטחה עוקבים אחרי הדוחות והתראות שמיוצרים על ידי המערכת, ולעיתים נדרשים לנקוט בפעולות תגובה, כמו לשנות את כללי הסינון או לבצע חקירה נוספת של אירועים ספציפיים.
  
  עבור למאמר הבא