Inteligência em Segurança e Firewalls

Qual a diferença entre uma empresa que convive bem com as ameaças digitais com outra que está sempre na berlinda? Há muitas respostas: uma boa política de segurança, funcionários bem treinados e conscientes,  processos bem implementados e produtos de segurança bem instalados e gerenciados. Tudo isto está correto mais há algo que essas empresas tem que as outras não possuem: inteligência de segurança. Esse tema não é novo e eu já venho tratando dele há muito tempo, seja para prevenção de ameaças, seja para a segurança de redes. Nesse post trato pela primeira vez da inteligência no gerenciamento de firewalls.

Por que? Firewalls são a primeira linha de defesa de qualquer rede, e isso não mudará tão cedo. Para alguns é ainda a única. Seja qual for a geração, e sempre haverá um de próxima geração, firewalls são baseados em regras, e estas são muito simples na verdade: quem pode fazer o quê. As várias gerações de firewalls vem alterando o “quem” (de IPs para pessoas) e o quê (de serviços e portas para ações e atividades), mas a essência é a mesma, e o fato é que hoje existe pouca inteligência no gerenciamento de regras, e ainda menos inteligência em posicionar firewalls dentro do espectro de risco.

O que significa inteligência? Ela é o resultado do conhecimento. Quanto mais conhecimento mais sábias serão as decisões tomadas e mais condições teremos de antecipar acontecimentos no futuro. Empresas são administradas dessa forma há anos. É também assim que os pais parecem mais inteligentes (ou mais sábios se você preferir) que seus filhos: eles tomam decisões melhores porque possuem mais conhecimento, e portanto podem prever melhor os resultados. Muitas empresas empregam bem esse conceito na prevenção de malware e de ataque em geral, mas pouca gente o faz para os firewalls.

O que significa uma determinada regra (por que se está permitindo ou bloqueando tal acesso)? Por que ela existe (qual a função de negócio)? Quem a solicitou? Onde e quando? E até quando ela deve existir? Como a regra afeta meus níveis de risco e compliance? Vejam que não saímos do “o que, quem, por que, onde, quando e como”.  Saber as respostas para essas perguntas significa firewalls melhor configurados e mais segurança.

Gerenciando seus Firewalls

A primeira vista a tarefa de gerenciar uma política de firewall não deveria ser das mais complicadas. A primeira lição para quem se inicia no tema não deixa de ser inspiradora para uma vida tranquila: bloqueie tudo e libere apenas o que tem que ser liberado. E realmente a tarefa não é complicada quando a empresa tem poucos dispositivos e poucas regras para gerenciar.  Essa situação no entanto muda quando uma dessas variáveis é alterada. Uma situação típica é quando a empresa precisa aderir à alguma norma regulatória do governo ou do mercado, como o PCI-DSS da indústria de pagamentos por cartão. Basta o diretor de segurança avisar ao administrador do firewall que ele precisa adequar a política de segurança a uma determinada regra que a coisa começa a complicar.

Em geral eu recomendo que uma empresa busque um produto complementar de administração de firewall quando ao menos uma das condições abaixo existe:

• Há muitos firewalls não isolados em funcionamento. Por não isolados quero dizer dispositivos que protegem diferentes segmentos da mesma rede, e portanto um usuário ou grupo pode ter acesso via mais do que um deles. É como se a empresa tivesse uma única e grande política distribuída entre diversos equipamentos;
• Há firewalls de diferentes fabricantes em operação, situação comum em fusões ou aquisições (sem contar é claro empresas de datacenter e gerenciamento de segurança, para os quais tais sistemas é quase um requerimento);
• Quando a política de segurança implementada é muito extensa e granular, fazendo com que mudanças de regras seja sempre uma tarefa complexa. Nesses ambientes encontramos facilmente regras conflitantes e muitas já inúteis, cujo único efeito prático é aumentar a carga de processamento do equipamento.
• Existe a necessidade se aderir a normas regulatórias que implicam em adequações nas regras de acesso a sistemas ou segmentos de rede.

Comparando Produtos de Segurança de Redes

Adquirir produtos de segurança de rede nem sempre é uma tarefa fácil. Há múltiplas opções, o que é ótimo para todos, e que requer que o comprador compare muito bem os produtos para adquirir aquele que melhor se adapte ao seu uso – perfil de rede, aplicações e negócio. Algumas grandes empresas possuem o privilégio de contarem com laboratórios internos de testes, ou recursos para contratar um terceiro para fazê-los de maneira personalizada. Mas a realidade da maior parte das empresas brasileiras é diferente, precisando tomar sua decisão baseados em datasheets, comparações de terceiros e referências de clientes.

Para todos a comparação de produtos de segurança envolve três partes básicas: a eficiência do mecanismo de proteção, o desempenho de rede e a usabilidade. Para aqueles que podem testar produtos internamente, os testes de eficiência devem ser realizados com ferramentas apropriadas, como o MetaExploit, um framework aberto disponível em http://www.metasploit.com/, e o BreakingPoint - http://www.breakingpointsystems.com. O principal cuidado é que o teste possa realmente medir a capacidade de proteção do produto, sobretudo para ataques mais sofisticados. Não vale executar scripts manjados ou simples demais, pois qualquer produto irá detectá-los. Uma alternativa para os testes internos, e a única para quem não pode testar, é confiar em comparativos de publicações especializadas ou órgãos independentes. Mas cuidado! É importante ler com atenção e entender como o teste foi realizado, e não ir diretamente ao famoso quadro do “Editor’s Choice”. Recomendo os testes do NSS Labs, http://www.nsslabs.com/. O NSS é sempre independente, e obtém sua receita pela venda de seus relatórios. Há, claro, outros órgãos que realizam seus testes e devem ser consultados.

O desafio é ainda maior ao comparar o desempenho de rede. Não há regras que a serem seguidas pelos fabricantes, apenas o bom senso e honestidade. A maior parte dos erros ocorrem por falha na interpretação dos datasheets de informações dos produtos. Para quem for testar em laboratório, recomendo a adoção das RFPs abaixo:

• RFC 2544 Benchmarking Methodology for Network Interconnect Devices - http://www.ietf.org/rfc/rfc2544.txt -
•  RFC 1242 Benchmarking Terminology for Network Interconnection Devices - http://www.ietf.org/rfc/rfc1242.txt -

Os principais elementos da matriz de desempenho são: throughput, pacotes por segundo, latência, conexões simultâneas e novas conexões por segundo. A primeira coisa a entender é que nem todos eles são importantes para todas as empresas. Exigir um desses elementos desnecessariamente quase sempre encarece o projeto e pode levar a empresa a comprar o produto errado. A definição de cada elemento é:

•  Throughput: é o mais solicitado, usado e malinterpretado. Trata-se da taxa de transmissão de pacotes da porta de entrada para a porta de saída do equipamento. Está totalmente relacionado com o tamanho dos pacotes. Deve ser considerado em todas as situações.
• Pacotes por segundo: Mede a quantidade de pacotes de 64 bytes (o menor tamanho considerado na RFC 2544) que o equipamento pode processar sem perdas. Medido em milhões, serve para demonstrar a capacidade do equipamento em sua pior situação de uso, e é um bom elemento de comparação.
• Latência: Mede o atraso sofrido pelos pacotes ao passarem pelo equipamento. Muito se fala de latência, mas na verdade poucas redes tem exigências rígidas. Não há um número mágico em latência, já que depende da rede e suas aplicações, mas valores de 100 a 150 microsegundos atendem à maior parte dos casos.
• Conexões simultâneas: Mede a quantidade de conexões abertas e simultâneas suportadas nos sistemas orientados à conexão, como os firewalls e IPS. Deve ser considerado como algo meramente informativo a não ser que seja realmente necessário, e há poucos tipos de rede, como as das operadoras de celular, que realmente exigem valores muitos altos, na base dos milhões. Uma rede de empresa tipicamente não irá passar de alguns milhares, atendido pela totalidade dos produtos hoje existentes. 
• Novas conexões por segundo: Como o nome fala, trata-se da capacidade do equipamento em suportar novas conexões. É uma grande bobagem solicitar valores altos, como 50 mil, a não ser que seja realmente necessário. Em outras palavras, que aquele número de usuários ou transações irá simultaneamente conectar-se em um segundo e passar pelo equipamento. Uma alta capacidade de novas conexões por segundo ou mesmo conexões simultâneas não significa que throughput e latência sejam os melhores.

Ao analisar throughput, latência e pacotes por segundo, a primeira coisa a questionar é se os dados referem-se ao desempenho com tráfego inspecionado, ou seja, com uma política de segurança aplicada e, o perfil dessa política. Como exemplo, é tipico que os firewalls tenham seus dados publicados com uma única regra na política, “Any Any”, permitindo a passagem de qualquer pacote e sem nenhum tipo de análise mais detalhada. Logo, deve-se questionar qual o impacto de uma política mais comumente utilizada no desempenho.

Throughput é com certeza o mais mal interpretado, e o que causa maior desapontamento. Primeiramente, devemos evitar a confusão de throughput com largura de banda, a capacidade nominal da rede. Não é dificil encontrar redes com largura de banda de 1Gbps mas com volume real muito menor, abaixo de 500 Mbps. Portanto, o thoughput requerido de um produto deve se basear no volume real existente. Outro problema é não associar o valor de throughput com o perfil da rede (protocolos e tamanho do pacote) usado para a medição. Todos os fabricantes, por motivos de marketing, publicam seus dados de performance em condições ótimas, o que significa transmissão de pacotes de 1518 bytes. Apesar de servir como comparação, esse valor não quer dizer quanto o equipamento irá render em uma situação de rede real. Algumas pessoas então pedem o throughput com pacotes de 64 bytes, o que também não quer dizer nada, já que também não representar um perfil real de rede. O meio termo, 512 bytes, tampouco representa a realidade.

Para cobrir esse lacuna a indústria adotou um padrão de fato, denominado de iMIX (Internet Mix), criado em 2001. O iMIX é a representação de um perfil de tráfego real, e é o melhor perfil a ser utilizado para comparar produtos. A grande maioria dos fabricantes publica índices de desempenho em relação ao iMIX, e muitos seguem a RFC2544 na hora de executarem seus testes. Essa padronização permite que possamos comparar “bananas com bananas”. Como exemplo, um IMIX para TCP compreende a seguinte combinação:

• 58% dos pacotes com 90 bytes
• 2% com 92 bytes
• 23% com 594 bytes
• 17% com 1518 bytes

Concluindo, deve-se solicitar do fornecedor os dados de throughput máximos com pacotes de 1518 bytes e com tráfego IMIX, além das informações da política de segurança configurada no produto durante o teste.

O terceiro elemento é a usabilidade, ou o nível exigido de conhecimento para configurar e operar o produto. Mais uma vez a melhor fonte de informação vem de análises de terceiros e referências de clientes. Esse critério tem que ser analisado com base no perfil dos operadores do produto e irá impactar os custos na parte de treinamento. Vale lembrar que não há regras, logo um fabricante pode publicar seus dados da maneira que achar melhor. O papel do comprador, portanto, será de questionar, questionar e questionar.

 

 

Next Generation Firewall

Todos sabemos que os termos em informática possuem significados diferentes de acordo com visões pessoais, principalmente aqueles relativamente novos ou ainda não amadurecidos. É o caso do “Next Generation Firewall” ou simplesmente NGFW, que anda muito em voga nos últimos tempos e merece um olhar mais próximo. Afinal de contas, o seu próximo firewall pode ser um NGFW (ou um firewall comum renomeado para “next generation”, mas aí já é outra história).

Para entender o que é um firewall de próxima geração é importante começar pelo o que seria um firewall “da geração atual”. Um firewall em seu conceito mais básico é um sistema ou dispositivo projetado para bloquear acessos não autorizados. É uma tecnologia bastante antiga, do final da década de 80, o que explica suas deficiências. Nos anos 90 a tecnologia evoluiu, em boa parte graças a CheckPoint, que criou entre outras coisas o conceito de stateful inspection, que se tornou um requisito obrigatório. Com o passar do tempo o firewall tornou-se essencial, quase onipresente, e acabou virando para leigos sinônimo de proteção de rede ou do computador.

No entanto toda a evolução não retirou do firewall sua característica e limitação essencial: tomar decisões a partir de protocolos e portas. Ao mesmo tempo as técnicas de invasão utilizadas por hackers evoluiram gerando outros sistemas de segurança complementares. O mais famoso deles foi o IDS (intrusion detecion system), que depois evoluiu para o IPS (intrusion prevention system). Não os citei por acaso. Firewall e IDS/IPS foram desde o inicio consideramos primos, tecnologias não apenas complementares como simbióticas. Não foi por acaso que na primeira metade dessa década muitos especialistas acreditaram que os produtos de firewall iriam incorporar os de detecção e até provocar sua extinção. Na época o Gartner Group chegou a anunciar o fim da detecção de intrusos como tecnologia isolada. Esse novo produto foi chamado de “deep packet inspection firewall”, ou firewall com inspeção profunda de pacotes, em uma tradução ao pé da letra. Foi a primeira versão de um NGFW.

Hoje sabemos que o “deep packet inspection firewall” não deu certo, pelo menos até agora. Por vários motivos as empresas de firewall não conseguiram integrar componentes eficientes de detecção de intrusos. Por outro lado, as empresas de detecção de intrusos, que tentaram o caminho oposto de integrar um firewall aos seus produtos, também falharam. Mas os esforços não foram em vão. Esse investimento em pesquisa foi um dos geradores da tecnologia que permitiu o UTM, os produtos de segurança multifuncionais para pequenas e médias redes. A diferença entre um UTM e um NGFW é o desempenho limitado do primeiro. O NGFW deveria, desde o inicio, ser um firewall corporativo. O resultado é que as grandes empresas em sua maioria continuam a utilizar equipamentos dedicados para firewall e IPS.

Apesar do fracasso o conceito inicial se manteve, e até hoje o conjunto firewall + IPS continua a ser a base do que as empresas e mercado chamam de NGFW. A diferença é que cada um incorpora ou sugere funcionalidades adicionais. Para o Gartner, por exemplo, o NGFW deveria incorporar, além do IPS, as funcionalidades de identificação de aplicações, integração com outras tecnologias de segurança não instalados no firewall, como filtros web, e recursos avançados de gerenciamento de políticas de acesso. Para outros não deve faltar o chamado firewall de aplicação, tecnologias especializadas para filtrar o acesso a servidores de aplicação ou banco de dados. Um fator de ajuda aos fabricantes é a evolução da capacidade de processamento do hardware e a tecnologia multicore, tanto no processamento de rede como no de aplicação, que já permite que sistemas corporativos de firewall e IPS possam ser executados no mesmo equipamento com bons resultados, embora ainda não existam exemplos de software integrados realmente eficientes. Não é a toa que melhores exemplos atuais de integração são encontrados nos produtos de blade, hardware genéricos que permitem a instalação de produtos independentes em um mesmo chassi.

É possível que com o passar do tempo a idéia evolua para algo mais abrangente, migrando do paradigma de um único produto com superpoderes para o que acabou se tornando de fato o que é NGFW hoje: sistemas diversos integrados em seu gerenciamento e monitoração por processos e/ou tecnologias. Para as empresas o mais importante é o resultado final, não importando se as diferentes camadas de proteção estão em um único produto de software, em diferentes appliances/servidores ou integrados em um grande equipamento com blades de hardware. Além disso as experiências em tentar integrar em um único produto diferentes camadas mostraram que elas não interagem entre si só porque compartilham o mesmo hardware. Pelo contrário, a maioria atua como se fossem produtos independentes. Para piorar, as consoles de gerenciamento estão muito longe de ser a soma das consoles dos produtos dedicados. Todas são limitadas.

Na hora de selecionar produtos corporativos de segurança as empresas devem focar em dois pontos: a eficiência da tecnologia em cumprir o que promete e a eficiência do gerenciamento para que a empresa aproveite os benefícios da tecnologia. É claro que há outros pontos importantes como os custos envolvidos para aquisição e operação, porém o mais importante é que o produto de segurança funcione bem em todos os aspectos, o que inclui não afetar a rede e os sistemas de negócio. Falando especificamente de firewall, deve-se escolher um firewall que faça bem a sua função primordial. Se o produto trouxer outras camadas, ainda melhor. Depois deve-se complementar o firewall com as camadas de segurança necessárias para a operação da empresa, não importando se o produto está ou não integrado ou se é ou não do mesmo fabricante. Se for, é melhor. Por fim deve-se integrá-los na camada de gerenciamento, com processos ou software se for o caso, para correlacionar eventos e gerar informação. Em outras palavras, NGFW é a solução de segurança implementada para proteção de rede que ao mesmo tempo que a protege contra diferentes tipos de ataques, fornece ao administrador de segurança informações úteis que o ajudem a identificar e mitigar ameaças. Pode ser um produto ou vários, gerenciado pela empresa ou por um prestador de serviços. A forma, na verdade, é o que menos importa, se o resultado for o que a empresa precisa.