با افزایش سرویس‌های آنلاین، دورکاری، ارتباط شعب و تهدیدهای سایبری، کنترل ترافیک شبکه دیگر به تشخیص آدرس IP و شمارهٔ پورت محدود نیست. سازمان‌ها برای شناخت بهتر ارتباطات، شناسایی الگوهای حمله و اعمال سیاست‌های دقیق‌تر به لایه‌های مختلف کنترل امنیت نیاز دارند. فایروال نسل جدید یا Next-Generation Firewall (NGFW) خانواده‌ای از راهکارهای امنیت شبکه است که بسته به محصول و مجوزهای فعال، قابلیت‌هایی مانند شناسایی برنامه، پیشگیری از نفوذ و تحلیل تهدید را در کنار کنترل متداول ترافیک ارائه می‌دهد.
NGFW به‌تنهایی جایگزین همهٔ کنترل‌های امنیتی نیست. اثربخشی آن به طراحی معماری، کیفیت قواعد، به‌روزرسانی، پایش، ظرفیت سخت‌افزار یا سرویس و نحوهٔ بهره‌برداری بستگی دارد. در این راهنما قابلیت‌ها، تفاوت‌ها، محدودیت‌ها و گام‌های انتخاب و پیاده‌سازی فایروال نسل جدید را مرور می‌کنیم.
۱. فایروال نسل جدید چیست؟
فایروال سیستمی سخت‌افزاری، نرم‌افزاری یا ابری است که بر اساس سیاست‌های تعریف‌شده، ارتباطات شبکه را مجاز یا مسدود می‌کند. فایروال‌های سنتی معمولاً کنترل ترافیک را با تکیه بر اطلاعات شبکه و اتصال، مانند آدرس مبدأ و مقصد، پورت و پروتکل انجام می‌دهند. NGFW علاوه بر این کنترل‌ها، می‌تواند با استفاده از بازرسی عمیق‌تر و قابلیت‌های تکمیلی، زمینهٔ تصمیم‌گیری دقیق‌تری فراهم کند.
نام NGFW به‌تنهایی فهرست ثابتی از امکانات را تضمین نمی‌کند. برخی قابلیت‌ها ممکن است به اشتراک امنیتی، ماژول مستقل، نسخهٔ نرم‌افزار، مجوز یا تنظیمات جداگانه نیاز داشته باشند. بنابراین هنگام مقایسهٔ محصولات، باید امکانات واقعی و قابل‌فعال‌سازی هر گزینه را بررسی کرد.
۲. قابلیت‌های مهم NGFW
بازرسی عمیق بسته‌ها (DPI)
بازرسی عمیق بسته‌ها امکان بررسی اطلاعاتی فراتر از سربرگ شبکه را فراهم می‌کند. میزان دید به ترافیک، پروتکل، رمزنگاری، پیکربندی و توان محصول وابسته است؛ DPI به‌معنی امکان مشاهدهٔ بی‌قیدوشرط تمام محتوای ارتباطات رمزگذاری‌شده نیست.
شناسایی برنامه و کنترل کاربرد (Application Awareness)
این قابلیت می‌تواند بعضی برنامه‌ها یا دسته‌های کاربردی را بر اساس الگوهای ترافیک شناسایی کند و به مدیر اجازه دهد سیاست‌هایی دقیق‌تر از اجازه یا منع یک پورت تعریف کند. باید توجه داشت که سرویس‌های جدید، ترافیک رمزگذاری‌شده و برنامه‌هایی با الگوهای مشابه ممکن است تشخیص را دشوار کنند؛ نتیجهٔ شناسایی باید پایش و در صورت نیاز تنظیم شود.
سیستم پیشگیری از نفوذ (IPS)
IPS با استفاده از قواعد، امضاها و روش‌های تشخیص پشتیبانی‌شده می‌تواند بخشی از الگوهای مخرب را شناسایی و مسدود کند. به‌روزرسانی مناسب، تنظیم حالت تشخیص یا مسدودسازی، بررسی هشدارهای کاذب و آزمون اثر سیاست‌ها برای جلوگیری از اختلال در سرویس‌های سالم اهمیت دارند.
سیاست‌های مبتنی بر هویت
در صورت پشتیبانی و یکپارچه‌سازی مناسب، سیاست‌ها می‌توانند به هویت کاربر یا گروه مرتبط شوند. این ویژگی جایگزین احراز هویت قوی، مدیریت چرخهٔ عمر حساب‌ها و اصل حداقل دسترسی نیست؛ دادهٔ هویتی باید معتبر و به‌روز بماند.
اطلاعات تهدید و فیلترهای تکمیلی
بعضی محصولات از اطلاعات تهدید، فیلتر URL، کنترل فایل یا تحلیل بدافزار برای بهبود تصمیم‌های امنیتی استفاده می‌کنند. منبع اطلاعات، پوشش تهدید، زمان به‌روزرسانی، هزینهٔ اشتراک و اثر قابلیت بر کارایی باید هنگام انتخاب بررسی شود.
بازرسی ترافیک رمزگذاری‌شده
برخی محصولات امکان بازرسی TLS را در سناریوهای مشخص ارائه می‌کنند. فعال‌سازی این ویژگی می‌تواند به منابع پردازشی بیشتر، مدیریت گواهی‌ها، استثناهای فنی و بررسی حریم خصوصی و الزامات قانونی نیاز داشته باشد. نباید فرض کرد تمام محصولات یا تمام انواع ارتباطات رمزگذاری‌شده را می‌توان بدون محدودیت بازرسی کرد.
۳. تفاوت فایروال سنتی و NGFW
| موضوع | فایروال سنتی | فایروال نسل جدید |
|---|---|---|
| کنترل اتصال | قواعد شبکه، پورت و پروتکل | کنترل شبکه به‌علاوهٔ قابلیت‌های پیشرفتهٔ وابسته به محصول |
| شناسایی برنامه | معمولاً محدودتر و متکی بر اطلاعات اتصال | ممکن است شناسایی و سیاست‌گذاری برنامه‌ای ارائه دهد |
| پیشگیری از نفوذ | اغلب نیازمند سامانه یا قابلیت جداگانه | ممکن است IPS یکپارچه داشته باشد |
| سیاست مبتنی بر هویت | به امکانات و یکپارچه‌سازی تکمیلی وابسته است | ممکن است سیاست‌های هویت‌محور را پشتیبانی کند |
| ملاحظات پیاده‌سازی | پیچیدگی و بار پردازشی تابع قواعد و محیط است | قابلیت‌های بیشتر می‌توانند هزینه، پیچیدگی و مصرف منابع را افزایش دهند |
این مقایسه کلی است و مشخصات همهٔ محصولات را توصیف نمی‌کند. یک فایروال سنتی که درست طراحی و نگهداری شده باشد همچنان می‌تواند نقش مؤثری در معماری دفاع چندلایه داشته باشد؛ در مقابل، خرید NGFW با تنظیمات نامناسب یا قواعد قدیمی لزوماً امنیت بهتر ایجاد نمی‌کند.
۴. NGFW در معماری امن شبکه
جای‌گذاری فایروال باید با مسیرهای واقعی ترافیک، تفکیک نواحی و اهمیت سرویس‌ها هماهنگ باشد. به‌عنوان نمونه، ارتباط اینترنت با سرویس‌های عمومی، اتصال کاربران به سامانه‌های داخلی و تبادل داده میان سرورها می‌توانند سیاست‌های جداگانه‌ای داشته باشند.
- تفکیک شبکه: کاربران، سرورها، سامانه‌های مدیریتی و سرویس‌های عمومی را بر اساس نیاز واقعی ارتباطی از هم جدا کنید.
- ناحیهٔ DMZ: خدماتی مانند وب‌سرور یا ایمیل عمومی را در ناحیه‌ای کنترل‌شده قرار دهید و ارتباط آن‌ها با شبکهٔ داخلی را محدود کنید.
- حداقل دسترسی: فقط ارتباطات لازم را با مبدأ، مقصد، پورت و جهت مشخص مجاز کنید؛ مجوزهای گسترده و قدیمی را دوره‌ای بازبینی کنید.
- مدیریت امن: رابط مدیریتی فایروال را مستقیماً در معرض اینترنت قرار ندهید؛ از مسیر مدیریتی محدود و احراز هویت قوی استفاده کنید.
- پایش و ثبت رخداد: لاگ‌های مجاز و مسدودشده، تغییرات قواعد و هشدارهای مهم را به سامانهٔ پایش متصل کنید.
در راهنمای CISA دربارهٔ افزایش دید و سخت‌سازی زیرساخت ارتباطی بر تفکیک قوی شبکه، استفادهٔ درست از DMZ، ثبت ترافیک مسدودشده و پرهیز از مدیریت تجهیزات از اینترنت تأکید شده است. این موارد باید در چارچوب کلی راهنمای پیاده‌سازی امنیت شبکه">پیاده‌سازی امنیت شبکه دیده شوند، نه به‌عنوان تنظیمات مستقل و بدون ارتباط با سایر کنترل‌ها.
۵. مراحل انتخاب و استقرار NGFW
- شناخت دارایی‌ها و جریان ترافیک: سرویس‌ها، کاربران، شعب، ارتباطات خارجی، نقاط حساس و نیازهای واقعی شبکه را فهرست کنید.
- تعریف الزامات: سطح محافظت لازم، دسترس‌پذیری، زمان بازیابی، ظرفیت رشد، الزامات گزارش‌گیری و نیازهای انطباق را مشخص کنید.
- محاسبهٔ کارایی واقعی: توان عبور ترافیک را با قابلیت‌هایی که واقعاً فعال خواهند بود بسنجید؛ عدد خام سرعت پورت، بدون IPS یا بازرسی TLS، ممکن است معیار مناسبی برای ظرفیت عملیاتی نباشد.
- بررسی قابلیت‌ها و هزینهٔ مالکیت: لایسنس‌ها، به‌روزرسانی اطلاعات تهدید، پشتیبانی، هزینهٔ نگهداری، امکان مدیریت مرکزی و قابلیت خروجی گرفتن از قواعد و گزارش‌ها را مقایسه کنید.
- طراحی قواعد و دسترس‌پذیری: قواعد موردنیاز، مسیرهای ارتباطی ضروری، راهکار افزونگی، ظرفیت ارتباطی و روش بازگشت به وضعیت قبل را از پیش تعیین کنید.
- اجرای آزمایشی: ابتدا روی یک مسیر یا بخش محدود، سیاست‌ها را آزمایش کنید و اثر آن‌ها بر برنامه‌های واقعی را بسنجید.
- انتقال کنترل‌شده: در بازهٔ تغییر مشخص، قواعد را با ثبت تغییرات و روش بازگشت اجرا کنید. پس از استقرار، ارتباط سرویس‌های حیاتی را دوباره آزمایش کنید.
- پایش و بازبینی: هشدارها، قواعد بدون استفاده، استثناها، نسخهٔ نرم‌افزار، وضعیت اشتراک‌ها و ظرفیت مصرف‌شده را به‌صورت دوره‌ای مرور کنید.
مستندات NIST دربارهٔ راهنماهای فایروال و سیاست‌های آن انتخاب، پیکربندی، آزمون، استقرار و مدیریت سیاست‌های فایروال را از اجزای مهم بهره‌برداری می‌داند. برای جلوگیری از مواجههٔ غیرضروری نیز راهنمای Microsoft دربارهٔ کاهش سطح مواجهه با اینترنت بر شناسایی دارایی‌های در معرض اینترنت، حذف دسترسی‌های غیرضروری و محدودسازی ارتباطات تأکید دارد.
۶. چک‌لیست عملیاتی مدیر شبکه
- آیا تمام قواعد دارای دلیل کسب‌وکاری، مالک و محدودهٔ مشخص هستند؟
- آیا قواعد موقت و استثناهای قدیمی تاریخ بازبینی دارند؟
- آیا لاگ‌های مهم ثبت می‌شوند و به مسئول مشخصی می‌رسند؟
- آیا نسخهٔ پشتیبان تنظیمات فایروال نگهداری و بازگردانی آن آزمایش شده است؟
- آیا به‌روزرسانی‌های امنیتی و اطلاعات تهدید طبق برنامه انجام می‌شوند؟
- آیا کارایی دستگاه در حالت واقعی استفاده، شامل قابلیت‌های فعال، ارزیابی شده است؟
- آیا عملکرد مسیر جایگزین یا سازوکار افزونگی آزمایش شده است؟
- آیا دسترسی مدیریتی محدود و احراز هویت مدیران تقویت شده است؟
- آیا تغییرات مهم ابتدا آزمایش می‌شوند و روش بازگشت روشن است؟
۷. پرسش‌های متداول
آیا NGFW تمام حملات را مسدود می‌کند؟
خیر. NGFW یکی از لایه‌های دفاع است. حملات ناشناخته، سرقت اعتبارنامه، خطای کاربر، ضعف برنامه، دسترسی داخلی نامناسب یا پیکربندی نادرست ممکن است به کنترل‌های دیگری نیاز داشته باشند؛ مدیریت هویت، وصله‌کردن، پایش رخدادها، پشتیبان‌گیری و آموزش کاربران همچنان ضروری‌اند.
آیا NGFW جایگزین کامل IDS، SIEM یا WAF است؟
نه لزوماً. بعضی محصولات بخشی از قابلیت‌های پیشگیری و تحلیل را یکپارچه می‌کنند، اما هدف و محدودهٔ IDS/IPS، سامانهٔ SIEM و فایروال برنامهٔ وب متفاوت است. انتخاب باید از روی نیاز واقعی و قابلیت تأییدشدهٔ هر محصول انجام شود.
برای شرکت کوچک هم خرید NGFW ضروری است؟
الزام واحدی برای همهٔ شرکت‌ها وجود ندارد. تصمیم به تعداد کاربران، سرویس‌های در معرض اینترنت، حساسیت داده، ارتباط شعب، توان نگهداری و بودجه بستگی دارد. ممکن است یک راهکار ساده‌تر و درست پیکربندی‌شده برای نیاز فعلی کافی باشد؛ مهم این است که کنترل‌ها متناسب با ریسک باشند.
جمع‌بندی
فایروال نسل جدید می‌تواند با ترکیب کنترل اتصال، شناسایی برنامه، قابلیت‌های پیشگیری از نفوذ و اطلاعات تهدید، دید و کنترل دقیق‌تری در شبکه ایجاد کند. بااین‌حال، نتیجه به تناسب محصول با محیط، قواعد درست، تفکیک شبکه، به‌روزرسانی، پایش و توان تیم بهره‌بردار بستگی دارد. انتخاب بر مبنای ظرفیت واقعی و استقرار مرحله‌ای، معمولاً تصمیم مطمئن‌تری از تکیه بر نام یا فهرست امکانات محصول است.
برای بررسی وضعیت امنیت شبکه و انتخاب راهکار متناسب با ساختار سازمان، می‌توانید از درخواست مشاوره و خدمات و پشتیبانی استفاده کنید یا از طریق صفحهٔ تماس با واریان شبکه گستر با کارشناسان شرکت در ارتباط باشید.
