18.11.1998
Jani Lillkåll
Ti
Teknillinen korkeakoulu
mailto:jlillkal@cc.hut.fi
Tiivistelmä
Tietoverkkojen ja internetin voimakas kehitys viime vuosina
on lisän-
nyt tarvetta tietoturvan parantamiseen. Palomuureilla
pystytään
eristä-
mään organisaation sisäinen verkko julkisesta
verkosta ja
valvomaan pa-
lomuurin läpikulkevaa liikennettä. Näin
mahdolliset julkisesta
verkosta
tulevat hyökkäysyritykset sisäiseen verkkoon
pystytään
pysäyttämään
palomuurissa. Palomuurilla voidaan lisätä
lähiverkon turvallisuutta
sil-
ti estämättä sisäisestä verkosta
mahdollisuutta
käyttää julkisen verkon
tarjoamia palveluja. Nykyisillä palomuuriratkaisuilla ,
niiden oikealla
ylläpidolla ja konfiguroinnilla voidaan
säästää
turhia kustannuksia ja
monen verkon ylläpitäjän menetettyjä
työtunteja.
1 Johdanto
Oman tietojärjestelmän suojaaminen
väärinkäytöksiltä
on toimialasta riip-
pumatta
yleinen kaikkien yritysten tavoite. Internetin voimakas kasvu
viime
vuosina
ja entisestään nopeutuneet verkkoyhteydet ovat
lisänneet
julkisten verk-
kojen
liikennettä runsaasti. Kun tietoverkkoon kohdistuvista
hyökkäyksistä
on
erimerkkeja
nähty monilla eri toimialoilla, ei enää
tietoturvakysymksiä
voida jät-
tää
huomioimatta.
Internet-yhteyksien käyttö lisää
riskejä, joita
torjumaan on tarjolla erilaisia rat-
kaisuja.
Palomuurin käyttäminen sisäisen verkon
eristämiseksi
julkisesta verkosta
on
tehokas
tapa estää mahdollisia omaan sisäiseen
verkkoon kohdistuvia
hyökkäyksiä.
Internet-yhteyksiä käytetään aktiivisesti
aivan kaikenlaisissa
yrityksissä ja hak-
kerointihyökkäyksiä
tekeviä on maailmalla liikkeellä sellainen joukko,
että
liian avoin-
ta
internetpolitiikkaa
noudattava yritys joutuu ennenpitkää suurella
todennäköisyy-
dellä
tunkeutumisyrityksen kohteeksi. Vahingon määrä
on sen jälkeen
lähinnä kiinni
tunkeutujan
tavoitteista ; harrastelijoille saattaa riittää
pelkkä ilkikurinen
tervehdys,
mutta
enemmän kapinahenkeä omaava hakkeri ujuttaa
mielellään
järjestelmiin tauteja,
joista
toipuminen voi viedä viikkojen työn[4].
2 Miten palomuuri toimii ?
Palomuuri on ohjelmisto- sekä laitteistokokonaisuus,
jolla pyritään
estämään ul-
kopuolisten
luvaton pääsy lähiverkon
resursseihin.Palomuuria käytetään
erityisesti
yksityisissä
lähiverkoissa, jotka ovat kytkeytyneet Internettiin
reitittimen avulla.
Myös
yritysten välisissä tai saman yrityksen
sisäisessä
epäluotettavissa yhteyksissä
palomuurien
käyttö on lisääntynyt.
Palomuuri toimii eräänlaisena 'tullina'
organisaation sisäisen
lähiverkon ja julkisen
verkon
välillä. Kaikki saapuva ja lähtevä
liikenne kulkee
palomuurin lävitse ja vain tietyt
turvallisuuskriteerit täyttävä liikenne
päästetään
läpi. Näin voidaan estää
organisaation
lähiverkkoon
kohdistuvia hyökkäyksiä. Palomuurien
tehtävänä
on myös pitää huolta
verkon
sisältä ulospäin lähtevien yhteyksien ja
niiden paluuyhteyksien
hallinnasta, ja
sallia
niiden normaali toiminta.
Usein palomuurijärjestelmissä on myös
mahdollisuus avata
verkon sisäpuolella ole-
via
palveluita verkon ulkopuolisille
käyttäjille. Tällöin
on kuitenkin tärkeä tuntea pal-
velinohjelmistojen
tietoturvataso erittäin tarkkaan ja tiedostaa palvelujen
avaami-
sesta
mahdollisesti aiheutuvat tietoturvariskit. Julkiseksi
tarkoitetut palvelut
(kuten
esim.
WWW-palvelin) sijoitetaankin tyypillisesti palomuurin
ulkopuolelle jäävään
ver-
kon
osaan tai erilliseen palomuurin erottamaan
palveluverkko-osaan. [2]
Uusimissa palomuuriratkaisuissa on monipuoliset
mahdollisuudet konfiguroida
palo-
muuri
toimimaan organisaation määrittämän
tietoturvapolitiikan
mukaisesti.
2.2 Erilaisista palomuurityypeistä
Palomuurit voidaan jakaa toimintaperiaatteen mukaan karkeasti
kahteen luokkaan:
pakettisuodattimet ja proxy-palvelin-palomuurit.
Pakettisuodattimet toimivat tutkimalla jokaisen sisäisen
ja ulkoisen
verkon välillä
liikkuvan paketin ja käyttävät sille
määriteltyä
access-listaa tarkistaakseen sallitaanko
paketin kulku palomuurin läpi. Access-listassa on tiedot
lähettäjän
ja vastaanottajan
IP-osoitteista, yhdeyden tilasta ja
protokollasta. Näiden tietojen
perusteella palomuuri
tekee ratkaisun paketin pääsyn sallimisesta tai
estämisestä.
Pakettisuodattimen turvallisuudessa on kuitenkin heikkouksia,
joita tunkeilijat
voivat
käyttää hyväksi. Lisäksi
ulkopuolinen kone voi
käyttää suoraan sisäisen verkon
palveluja
jos pakettisuodatin hyväksyy yhteyden. Tämän
takia sisäisessä
verkossa on huolehdittava
vielä erikseen jokaisen isäntäkoneen
turvallisuudesta, mikä
lisää verkonhallinnan
työmäärää.
Pakettisuodatin voi toimia fyysisesti ohjelmistona
esim. reitittimen yhteydessä.
[1]
Hiukan kehittyneemmät pakettisuodattimet muodostavat
edelleenkin suoria
yhteyksiä
käyttäjien ja palvelujen välille, mutta
piilottavat kuitenkin
sisäisen verkon osoiteavaruuden.
Tämäntyyppiset pakettisuodattimet pystyvät
paremmin tarkkailemaan
yksittäisten yhteyksin
tosiaikaista tilaa ja tekemään
päätöksiä
tilanteen pohjalta. Heikkoutena ratkaisussa on, ettei
sovellustasolla tarkistuksia läpikulkevalle liikenteelle
tehdä
ja pahimmassa tapauksessa mah-
dollinen tunkeilija voi ajaa
yhdyskäytävässä mitä
tahansa sovellusprotokollaa palomuurin
sitä huomaamatta. Esimerkkinä tästä on
telnetillä
yhdeyden muodostus käyttäen hyväksi
WWW-yhdeyskäytävää.
Palomuurina toimiva proxy-palvelin toimii tutkimalla sen
läpikulkevaa
liikennettä sisäisen
verkon palveluihin. Proxy-palvein tarjoaa korkeamman tason
suojauksen sisäiselle
verkolle,
koska ratkaisussa pystytään
mm. hyödyntämään
käyttäjän autentikointia, datan
salausta
päästä päähän sekä
tiedoston nimen ja
kellonajan perusteella tapahtuvaa suodatusta.
Jokaista sisäisen ja ulkoisen verkon välillä
toimivaa sovellusta
varten on palomuuripalveli-
messa oma sovellus nimeltään proxy. Esimerkiksi
FTP- ja WWW-proxyja
käytetään vas-
taavien sovellusprotokollien yhteyksien hallintaan. Kun
verkon sisältä
halutaan ottaa FTP-
yhteys ulkoisen verkon koneeseen muodostetaan tätä
yhteyttä
varten oma ftp-proxyn esiin-
tymä, jonka tehtävän on tarkkailla vain
näiden kahden
koneen välistä yhteyttä. Samalla pro-
xy-sovelluksella voi siis olla useampia prosesseja yhtä
aikaa käynnissä.
Kaikki liikenne kulkee
proxyn kautta niin, että suora kommunikaatio
sisäisen ja ulkoisen
verkon koneiden välillä on
mahdotonta. Tästä johtuen proxy-ratkaisua
hyödyntävät
palomuurit ovat turvallisempia ver-
rattuna pakettisuodattaviin palomuureihin. Myös koska
kaikkien eri
sovellusprotokollien käyt-
tämät proxyt voidaan sijoittaa samaan palvelimeen
on palomuurin
ylläpito ja konfiguroiminen
helpompaa kuin pakettisuodattavissa palomuureissa.
3 Palomuurin hankinta, asennus ja ylläpito
Palomuurien laitevaatimukset eivät ole suuret, mutta
suojausjärjestelmän
määrit-
tely ja toteutuksen varmistaminen vievät
sentään aikansa.
Palomuurin voi joko raken-
taa itse, tai sitten sen voi ostaa valmiina yrityksen
ulkopuolelta. Omatekoisten
palomuurien ongelmana on yleeensä asiantuntemattomuuden
ohella usein
riittämätön
ylläpito. Palomuurin luonut henkilö saattaa uusien
turvallisuusongelmien
noustessa
esiin olla joko muun työnantajan palveluksessa tai
sidottuna toisiin
atk-projekteihin,
josta syntyy ongelmia esimerkiksi palomuuriratkaisua
päivitettäessä
uusien vaatimusten
mukaiseksi. Useimmiten palomuurit hankitaan yrityksen
ulkopuolelta. Tyypillisesti
palo-
muuritoimittaja toimii 'avaimet käteen' -periaatteella,
eli selvittää
yrityksen toimintatavat
ja suojaustarpeet, määrittelee teknisen kokoonpanon
ja vielä
asentaa toteutuksen täy-
teen toimintaan. Näin ratkaisun toimivuuskin on helpompi
taata.
Palomuuritekniikka ei yksin, ilman käyttäjien
huolellista toimintaa
ja palomuurin huolel-
lista ylläpitoa, pysty suojaamaan ulkoisilta
hyökkäyksiltä.
Palomuurin sisäpuolella oleville
käyttäjille on annettava selkeät
tietoturvaohjeet ja niitä
on noudatettava. Palomuurin
murtaminen tapahtuu yleensä käyttäjien
tietämättömyyden
ja huolimattomuuden
avulla. Salasanan paljastaminen hakkerille on yleisin ja
helpoin tapa murtaa
palomuuri.
Salasanan paljastuminen voi tapahtua käyttäjän
sitä
huomaamatta, jos hän esimerkiksi
ottaa yhteyden omaan lähiverkkoon jonkin suojaamattoman
palvelimen
kautta, salasana
voidaan kaapata.
Palomuurin ylläpidossa on erityisesti oltava tarkkana
uusia laitteistoja
tai käyttöjärjes-
telmää sisäiseen lähiverkkoon
asennettaessa. Asennuksen
ja käyttöönoton aikana voi satun-
nainen tunkeilija murtautua koneelle ja luoda itselleen
reitin sisäiseen
verkkoon. Tämän
jälkeen tehdyt suojaustoimenpiteet eivät aina
tehoa, koska hakkeri
on jo onnistunut pääse-
mään verkon sisäpuolelle.
3.2 Palomuurissa käytettävä suojauspolitiikka
Palomuurin toteutuksessa määritellään
organisaation
tietoturvapolitiikan mukaan
palomuurille tapa, jolla se suojaa sisäistä
verkkoa. Yleensä
lähdetään kahdesta
pelkistetystä ratkaisusta tarkentamaan palomuurin
toimintaa tietoturvapolitiikan
mukai-
seksi. Joko kaikki mitä ei ole määritelty
kielletyksi on
sallittua tai kaikki mitä
ei määritellä sallituksi on
kiellettyä. Jälkimmäinen
vaihtoehto on suositeltava,
joskin yksittäinen käyttäjä voi kokea sen
rajoittavan
normaalia verkon käyttöä.
Se toteutetaan ensin sulkemalla kaikki yhteydet ja
palvelut. Seuraavassa
vaiheessa
avataan yksitellen tarpeelliset ja turvalliset yhteydet ja
palvelut.
Ensimmäisessä vaihtoehdossa tietoturvan
konfigurointi on hankalampaa.
On lähes
mahdotonta tietää kaikki tietoturvan kannalta
vaaralliset yhteydet
ja palvelut.
Vaihtoehto ei sovellu korkeaa tietoturvaa vaativiin
verkkoihin. Tällaisessa
ratkaisussa
palomuurin läpi kulkevan liikenteen seuranta
lokitiedostojen avulla
on erityisen
tärkeää, jotta kyetään havaitsemaan
tietoturvariskit
ja sulkemaan riskiyhteydet.
Silti hakkereiden keksiessä uusia tapoja tietoturvan
kiertämiseksi
palomuurin toimin-
nasta löytyy usein jossain vaiheessa tietoturva-aukkoja,
joita joudutaan
myöhemmin
paikkailemaan. Tietoturvan kannalta ajateltuna vain
tiettyjen palveluiden
salliminen
on pitemmän päälle selvästi
kestävämmällä
pohjalla oleva ratkaisu.
3.3 Palomuurien ongelmia
Eräs ongelma palomuurien käytössä on,
että täysin
avoimeen tietoverkkoon ver-
rattuna ne rajoittavat jonkun verran verkon tiettyjen
palveluiden tehokasta
käyt-
töä. Palomuuri ei myöskään suojaa
verkkoa
sen sisäpuolella tapahtuvista
väärinkäytöksistä.
Työntekijät saattavat liikutella tietoa
levykkeillä tai
kannettavilla tietokoneilla, jolloin
palomuurin ohitse pääsee kontrolloimatonta
tietoa. Palomuurit
eivät yleensä tuo suojaa
dataan perustuvia hyökkäyksiä, kuten
tietokoneviruksia vastaan.
Yrityksen työn-
tekijä voi siis siirtää Internetistä
lähiverkkoon
saastuneen tiedoston ilman, että palomuuri
havaitsee esimerkiksi tiedostossa olevaa virusta. Palomuurin
voidaan periaattees-
sa myös väittää rajoittavan verkon
suorituskykyä,
koska kaiken Internetistä tule-
van liikenteen on kuljettava sen
kautta. Käytännössä
kuitenkin useimmiten suurin
verkon suorituskykyä rajoittava tekijä on
Internetissä käytettävä
tiedonsiirron
linjanopeus. Tätä väitettä tukee
myös se, että
yrityksillä on nykyään
käytössään erit-
täin suuriin tiedonsiirtonopeuksiin kykeneviä
lähiverkkoja.
4. Palomuurien uusia vaatimuksia
Kun kehitys tietotekniikan ja -liikenteen alalla on nopeata,
muuttuvat
palomuureille
asetettavat vaaitumukse. Palomuuri ei suinkaan ole vain
yksi
palikka,
joka joko ostetaan tai jätetään. Sovellustason
palomuureihin
liittyvät
sovelluskohtaiset
proxyt, joita hankitaan tarpeen mukaan hoitamaan
simerkiksi
sähköpostiliikenne
tai kaikki tcp/ip-liikenne. Näkyvin muutos palomuurien
kehityk-
sessä
näyttääkin olevan juuri eri
käyttöön soveltuvien
proxy-ohjelmien lukumääräinen
kasvu.
Toinen käyttäjiä kiinnostava kehityskohde
liittyy virtuaaliverkkojen
toteutuk-
seen
ja tietoliikenteen salaukseen. Vpn eli virtual private
network -toteutus
onkin
jo
tarjolla
liki jokaiseen palomuuriin. Liikenteen salausmekanismi voi
olla toteutet-
tuna
ohjelmsitopohjaisena ratkaisuna tai joissain tapauksissa
myös laitteistopohjaisena.
Myös yhä useampien yhtiöiden alkaessa
käyttää
etäyhteyksiä oman organisaation verk-
koon
täytyy palomuurien täyttää niiltä
vaadittavat
uudet tietoturvarajat. Etäyhteyk-
sien
turvallinen järjestäminen palomuurilla suojattuun
lähiverkkoon
on ongelma, johon
täytyy
niitä suunniteltaessa ottaa kantaa. Ratkaisuksi on
nykyään
tarjolla etäkäyttö-
palvelimia
ja niihin liittyvä autentikointimekanismi, jolla
sisäänsoittavan
oikeudet
varmistetaan.
Tässäkin tapauksessa palomuuri varmistaa, että
etukäteen
määriteltyjä
palveluja
käytetään vain
etäkäyttöpalvelimen kautta.
4.2 Kehittyneempiä palomuuriratkaisuja
Palomuurit, kuten muutkin ohjelmistot ja palvelimet, ovat
alttiina toimintahäiriöille
ja -katkok-
sille. Lyhytkin katkos palomuurin toiminnassa voi
päästää
normaalisti suodatettavia yhteyksiä
läpi sisäiseen verkkoon ja seuraukset voivat olla
arvaamattomat.
Palomuurien toiminnan paran-
tamiseen on kehitetty ratkaisuja, joissa palomuurit toimivat
kahden palvelimen
järjestelmänä.
Jos ensisijaiseen palomuuriin tulee toimintahäiriö
pystytään
sille tuleva liikenne ohjaamaan va-
rapalomuurille ja välttäämään
toimintahäiriöt
katkosten aikana.
Myös mm. Radquard-yhtiön tuotevalikoimasta
löytyy ns. kaksoispalomuuriratkaisu,
jos-
sa käytetään kahta palomuuria
peräkkäin kytkettynä.
Sisäinen muuri on erikoistunut laite ja
ulkoinen palomuuri ohjelmistototeutus. Yksinkertaisimmillaan
ulompi palomuuri
on proxy-pal-
velin ja sisempi pakettisuodattin. Ulompi muuri voi olla
myös hybridiratkaisu,
jossa on proxyt
esimerkiksi Telnet- ja smtp-yhteyksille ja muille
protokollille käytetään
pelkkää pakettisuodatusta.
Markkinoilla on myös malleja mm. eSafe Technologies:lta,
jotka pystyvät
FTP- , SMTP- ja
HTTP- yhteyksien sisällöstä erottamaan
viruksia ja
muistamaaan näiden haitallisten tie-
dostojen sijaintipaikan osoitteen. Näin palomuuri pystyy
jatkossa
estämään tiedostojen uudel-
leensiirron välittömästi. Malleissa on
mahdollisuus myös
web-sivejen sisältämien ActiveX-
komponenttien, makrojen ja cookieitten suodattamiseen
sisääntulevasta
liikenteestä palomuurin
määrityksiä muuttamalla [3] .
5 Yhteenveto palomuureista
Palomuuriratkaisuissa on muistettava, että niiden
ensisijainen tehtävä
on toimia eristimenä,
joka valvoo jatkuvasti sen läpi kulkevaa
liikennettä. Palomuurit
eivät ole pelkkä yksittäinen
investointi vaan kokonaisuus, joka vaatii jatkuvaa
ylläpitoa sen tehokkaan
toiminnan takaa-
miseksi. Suurin osa Internet-liikenteestä kulkee
edelleen selväkielisenä
ja kaappauksille alttiina
palomuurista huolimatta. Julkisen verkon tietoturvaongelmia
vastaan palomuurit
pystyvät toi-
mimaan organisaation lähiverkon tietoturvan vartioina ja
siihen kohdistuvien
hyökkäysten
estäjinä. Palomuuriratkaisuilla voidaan
estää hyökkääjien
vihamielinen toiminta organisaation
sisäisessä verkossa, ja
säästää kuluja
ja työtunteja hyökkäjien jälkien
korjaamisessa. Palomuurit
vapauttavat näin yhtiöiden resursseja tuottavaan
toimintaan.
Lähdeluettelo
[1] Anon. , Lähiverkon laitteet - Palomuuri , 18
.11. 1998 ,
<http://www.math.jyu.fi/~numive/jtv/firewall.html>
[2]
Anon. , Palomuuri , 18. 11. 1998 ,
< http://www.jyu.fi/~misirvio/fire5.htm
>
[3]
eSafe Technologies, Inc. , eSafe Technologies -
Computer Security,
Antivirus & Antivandal Firewalls ,
6. 8. 1998 , < http://www.esafe.com/corporate/vsfwprod.html
>
[4]
Haapalainen Ari., Palomuuri suojaa pienenkin verkon ,
18. 11. 1998,
<http://www.talentum.fi/tietoverkko/oppaat/palomuurit/lisatietoa.html>
Lisätietoja
Beyond
Firewalls: Secure Network
Service
syventävää tietoa palomuureista
Breakwater Technologies,
Inc:Firewall Solutions for Windows NT
Palomuuriratkaisuja Windows NT:lle
Firewalls
, Yleistä tietoa palomuureista
Firewalls
and Virtual
Private Networking
palomuurien käyttö VPN:n yhteydessä
Information Security
Inc. , Rewievs and Commentary
yhteenveto yhtiön tuotteista
Internet
Firewalls , Yleistä tietoa
palomuureista
Introduction
to Firewalls
, esittely palomuureista
Lucidata's
firewalls
, yhtiön erilaisista palomuuriratkaisuista
Making
Applets
work Through Firewalls
Java-applettien käytöstä palomuurin
läpi
NASTechnology
products : BIGFIRE
NASTechnologyn palomuuriratkaisun esittely
Network
Firewalls - What do you have to protect?
Miksi palomuureja tarvitaan
NT
Firewall Security
Measures , NT-palomuurien
turvallisuusasiaa
Security -
Firewalls
, palomuurien turvallisuudesta
UniComp
Technologies , products
UniComp Technologies:n palomuuriratkaisuja
Vital
Integration Solutions
- Firewalls & Security
Palomuurit ja tietoturvakysymykset
Worldsystems.com
Technical Section - Firewalls
Teknistä tietoa
palomuureista