Firewally a systémy IDS: funkce a detekce hrozeb

Síťová bezpečnost
P. Varga
Firewally a IDS systémy: Funkce a detekce hrozeb

Role firewallů a IDS v síťové bezpečnosti

Firewally a systémy detekce průniků (IDS) tvoří základní stavební kameny obrany perimetru i vnitřní segmentace. Zatímco firewall prosazuje bezpečnostní politiku tím, že řídí a filtruje síťový provoz, IDS provoz monitoruje a vyhodnocuje s cílem odhalit hrozby a anomálie. V moderních sítích navíc IDS doplňuje i IPS (Intrusion Prevention System), který na základě detekce aktivně blokuje útoky. Společně poskytují vícevrstvou ochranu proti útokům od síťové až po aplikační vrstvu.

Základní koncepty a umístění v architektuře

Firewally a IDS/IPS lze nasazovat na hranici sítě (edge), mezi zónami (DMZ, uživatelské VLAN, serverové sítě), v datových centrech i v cloudu. V dobře navržené architektuře se používá segmentace (L3/L4/L7) a princip minimálních oprávnění: mezi definovanými zónami je povolen pouze nezbytný provoz. Senzory IDS mohou být nasazeny jako out-of-band (pasivní zrcadlení provozu) nebo inline (režim IPS).

Jak fungují firewally: od paketového filtru po NGFW

  • Paketový filtr (stateless) – vyhodnocuje jednotlivé pakety podle zdrojové/cílové IP adresy, portu a protokolu. Neudržuje kontext spojení.
  • Stavový firewall (stateful) – udržuje stavovou tabulku aktivních spojení (TCP/UDP), rozpoznává handshake, sleduje příznaky (SYN/ACK/FIN/RST) a aplikuje pravidla na celý tok.
  • Aplikační proxy – zprostředkovává provoz na úrovni aplikace (HTTP, SMTP), vytváří oddělená spojení klient–proxy a proxy–server a umožňuje detailní kontrolu protokolů.
  • NGFW (Next-Generation Firewall) – integruje deep packet inspection, identifikaci aplikací (App-ID), uživatelskou identitu (User-ID), kontrolu obsahu, threat intelligence, sandboxing a často také funkce IPS.
  • WAF (Web Application Firewall) – specializuje se na HTTP/HTTPS a chrání webové aplikace před útoky typu SQLi, XSS, RCE, path traversal a před anomálními požadavky.
  • Cloud security groups / distribuované firewally – logická pravidla v prostředí IaaS/Kubernetes, často implementovaná prostřednictvím hypervisor/agent/eBPF, umožňují mikrosegmentaci.

Stavová tabulka, NAT a řízení toků

Stavový firewall vytváří záznam (flow) pro každý povolený směr komunikace. Tok obsahuje klíče (5-tuple: src IP, dst IP, src port, dst port, protokol), časové limity (idle/active timeout) a metriky. NAT/PAT při průchodu přepisuje adresy/porty, přičemž k mapování se používá stavová tabulka. ALG (Application Layer Gateway) pomáhá protokolům, které vkládají IP adresu/port do aplikačních dat (SIP, FTP).

Bezpečnostní politika, pravidla a jejich vyhodnocování

Pravidla se typicky vyhodnocují shora dolů až po první shodu (first-match), přičemž na konci se uplatní implicitní deny. Každé pravidlo určuje zdroj/cíl (zónu, skupinu IP adres), službu (port/protokol), aplikaci (u NGFW), uživatele a akci (allow/deny/reject/inspect). Mezi osvědčené postupy patří objektové modelování (skupiny adres, služby), tagování a verzování politiky, pravidelný recertifikační proces a princip „deny by default, allow by necessity“.

Inspekce na úrovni aplikací a dešifrování TLS

NGFW a WAF provádějí hlubokou inspekci (L7) včetně normalizace protokolu, validace hlaviček, detekce tunelování a anomálií. Šifrovaný provoz (TLS) znemožňuje klasickou analýzu L7; proto se na perimetru s využitím interní certifikační autority provádí TLS inspection (man-in-the-middle). Zohledňuje se výkon (kryptoakcelerace) i soukromí (vyloučení citlivých kategorií, přísné logování a governance).

Výkon a architektura firewallů

Firewally využívají specializované čipy (NP/ASIC/FPGA) a optimalizace (zero-copy, DPDK) pro dosažení vysoké propustnosti a nízké latence. Ke škálování se používá clustering, ECMP, HA páry (active/standby nebo active/active), session sync a horizontální škálování v cloudu (autoscaling, anycast).

Co je IDS a jak detekuje útoky

IDS analyzuje síťový (NIDS) nebo hostitelský (HIDS) provoz a události s cílem identifikovat škodlivé chování. Používá tři hlavní přístupy:

  • Signaturní detekce – porovnává vzorky s databází známých útoků (pravidla Snort/Suricata, IOC z threat intel feedů). Výhodou je nízká míra falešně pozitivních nálezů u známých hrozeb; nevýhodou omezená schopnost odhalit nové techniky.
  • Anomální detekce – modeluje „normální“ chování (statisticky či pomocí ML) a upozorňuje na odchylky (objem, časování, sekvence). Poskytuje pokrytí i pro zero-day hrozby, ale vyžaduje pečlivé ladění.
  • Heuristika/behaviorální pravidla – expertní korelace (např. DNS tunelování, SMB brute-force, exfiltrace) a propojení s taktikami/technikami MITRE ATT&CK.

NIDS vs. HIDS a IPS: rozdíly a použití

  • NIDS – pasivně odposlouchává kopii provozu (SPAN/TAP); hodí se pro přehled o síťovém provozu, detekci laterálního pohybu a forenzní analýzu.
  • HIDS – běží na hostitelích/serverech a sleduje soubory, registry, procesy, volání API a logy. Hodí se pro koncové body, servery a cloudové instance.
  • IPS – varianta nasazená inline, která na základě pravidel aktivně blokuje provoz (drop, reset, rate-limit). Vyžaduje nízkou latenci a vysokou spolehlivost signatur.

Technické detaily detekce: opětovné sestavení a obcházení

Kvalitní IDS provádí normalizaci a opětovné sestavení fragmentovaných IP paketů a TCP streamů a dekóduje protokoly (HTTP/2, handshaky TLS, SMB, DNS), aby ztížil použití technik evasion (překrývající se fragmenty, obcházení pomocí TTL, polymorfní payload, obfuskace). Důležitá je konzistence s cílovým OS (TCP stack Windows/Linux), aby interpretace odpovídala tomu, jak by provoz zpracoval cílový systém.

TLS, šifrování a omezení viditelnosti IDS

S rostoucí mírou šifrování se NIDS bez dešifrování TLS spoléhá na analýzu metadat (SNI, fingerprinty JA3/JA4, velikosti paketů, časování, DNS dotazy) a detekci anomálií. Alternativou je dešifrovací broker, který předává provoz více bezpečnostním nástrojům; důraz se přitom klade na compliance.

Integrace, logování a korelace událostí

Firewally a IDS generují logy (allow/deny, upozornění, toky) a telemetrii (NetFlow/IPFIX, sFlow). Tyto údaje se odesílají do SIEM pro korelaci, detekční pravidla (KQL/QL) a tvorbu dashboardů a do SOAR pro automatizované reakce (izolace hostitele, blokace IP adresy/domény, vytváření ticketů, informování CSIRT). Důležitá je integrace s CMDB a vrstvou identit (AAD/LDAP), která poskytuje kontext.

Mikrosegmentace a Zero Trust

Moderní strategie upřednostňují Zero Trust – žádná implicitní důvěra uvnitř sítě. Mikrosegmentace (L3/L4/L7) se realizuje distribuovanými firewally v hypervizoru, agenty na hostitelích nebo pomocí eBPF v jádře. Politiky se vážou k identitě pracovní zátěže (labels, service accounts), nikoli k IP adresám.

Firewally, IDS a prostředí Kubernetes/cloud-native

V Kubernetes se bezpečnostní politika definuje jako NetworkPolicy (CNI), service mesh (Envoy/Istio) přidává řízení L7 a mTLS, zatímco NIDS může využívat události eBPF a zrcadlit provoz z uzlu. Cloudové security groups a network ACL zajišťují základní řízení L3/L4, NGFW/WAF se nasazuje jako gateway, transparentní appliance nebo managed service.

Specifika OT/ICS a průmyslové protokoly

V průmyslových sítích (OT/ICS) je klíčová pasivní viditelnost, whitelist přístupů a detekce na úrovni protokolů, jako jsou Modbus, DNP3, Profinet a IEC 60870-5-104. Inline IPS se používá obezřetně s ohledem na dostupnost a deterministické chování linek.

Návrh a nasazení: topologie a HA

  • Perimetr a DMZ – oddělení služeb dostupných z internetu, reverzní proxy, WAF a IPS před aplikačními servery.
  • Vnitřní segmentace – oddělení uživatelských, serverových a citlivých zón (payment, OT, management).
  • HA a odolnost – páry firewallů v režimu failover, redundantní napájení, link-state tracking, graceful restart, session synchronization.

Ladění IDS/IPS: snižování počtu falešných poplachů

Klíčové je vytvořit baseline běžného chování, používat thresholding, pravidla suppress, kontextové výjimky, pravidelně aktualizovat signatury a přizpůsobovat pravidla konkrétní infrastruktuře. Důraz na metriky precision/recall pomáhá vyvažovat falešně pozitivní a falešně negativní nálezy.

Měření a metriky

  • KPI firewallu – propustnost při inspekci L7, latence, počet aktivních session, využití CPU/ASIC, efektivita pravidel (hit count), doba nasazení politiky.
  • KPI IDS/IPS – míra detekce, FP/FN, doba od detekce k reakci (MTTD/MTTR), pokrytí technik ATT&CK, kvalita obohacení (geolokace, reputace).

Testování a validace

K ověření účinnosti se používá pcap replay (tcpreplay), generátory provozu, testy inspekce TLS, syntetické útoky (Atomic Red Team), bezpečnostní skeny (Nmap s NSE) i formální testy podle metodik (např. NSS, vlastní runbooky). Důležitá je validace ve fázi pre-production a nasazení canary.

Governance, compliance a provoz

Politiky musí odpovídat normám (ISO 27001, PCI DSS, NIS2, SOC2). Zahrnují change management, principy oddělení povinností, recertifikaci pravidel, řízení přístupu na základě rolí pro administrátory a auditní stopu. Provozní model definuje runbooky pro incidenty, okna údržby a plánování kapacity.

Příklady politik a pravidel

  • Implicitní deny mezi zónami s explicitními pravidly allow pro schválené služby (např. HTTPS z uživatelské VLAN do proxy, SSH pouze z management zóny).
  • NGFW App-ID pro povolené služby SaaS (Office 365, Salesforce) s omezením na firemní tenanty, blokování anonymizérů a neznámých aplikací.
  • IPS – aktivní blokování kritických signatur (RCE, exploit kity), režim alert-only pro méně jisté detekce s následným laděním.
  • WAF – pozitivní model (allow-list) pro API, omezení počtu požadavků, ochrana proti botům a validace schémat.

Reakce na incidenty s IDS/IPS a firewally

Při incidentu se využívá korelace událostí (SIEM), triáž upozornění, forenzní extrakce (pcap, logy) a kontainment (dočasné blokace, segmentace). Následuje odstranění hrozby, obnova a vyhodnocení získaných poznatků (lessons learned) včetně úprav politik a pravidel.

Trendy a budoucí směřování

Bezpečnost se posouvá směrem k NDR/XDR (Network/Extended Detection and Response), SASE/SSE (security as a service), využití ML pro detekci anomálií, dešifrovacím brokerům a přístupu policy-as-code (GitOps pro firewallové politiky). Rozvíjí se AI-assisted tuning signatur IDS a telemetrie z eBPF na hostitelích.

Praktický příklad: nasazení v podniku krok za krokem

  1. Inventarizace a mapování toků – zóny, systémy, závislosti, požadavky na dostupnost.
  2. Návrh segmentace – definice zón a mezizónových politik, návrh DMZ a přístupů z internetu.
  3. Volba technologií – NGFW s inspekcí TLS, WAF pro weby, NIDS v jádru sítě a na jejím okraji, HIDS pro servery.
  4. Implementace a HA – NGFW/IPS nasazený inline v páru, TAP/SPAN pro NIDS, centralizované logování do SIEM.
  5. Ladění a baseline – postupné přepínání signatur do blokovacího režimu, ladění výjimek.
  6. Runbooky a monitoring – dashboardy KPI, upozorňování, playbooky SOAR pro automatické blokování IOC.
  7. Pravidelná recertifikace – audit pravidel, odstraňování osiřelých povolení, aktualizace signatur.

Závěr

Firewally, IDS a IPS společně tvoří adaptivní obrannou vrstvu, která kombinuje přesné řízení přístupu s přehledem o hrozbách a jejich detekcí. Úspěch závisí na správném návrhu segmentace, kvalitní politice, důsledném logování a průběžném ladění detekčních mechanismů. V době šifrovaného provozu, cloudu a dynamických aplikací je klíčové propojit tyto technologie s identitou, automatizací a analytikou, aby bezpečnost držela krok s rychlostí změn v infrastruktuře.