Firewally a IDS systémy: Funkce a detekce hrozeb v síťové bezpečnosti

Role firewallů a IDS v síťové bezpečnosti

Firewally a systémy detekce průniků (IDS) představují základní stavební kameny obrany perimetru i vnitřní segmentace sítě. Zatímco firewall prosazuje bezpečnostní politiku tím, že řídí a filtruje síťový provoz, IDS provádí monitoring a vyhodnocování provozu za účelem odhalení hrozeb a anomálií. V moderních sítích IDS doplňuje i IPS (Intrusion Prevention System), které na základě detekce aktivně blokuje útoky. Společně tyto technologie poskytují vícevrstvou ochranu vůči útokům od síťové až po aplikační vrstvu.

Základní koncepty a umístění v architektuře

Firewally a IDS/IPS lze nasazovat na hranici sítě (edge), mezi zónami (DMZ, uživatelské VLAN, serverové sítě), v datových centrech i v cloudu. V dobře navržené architektuře se využívá segmentace (L3/L4/L7) a princip minimálních oprávnění: pouze nezbytný provoz je povolen mezi definovanými zónami. IDS senzory mohou být out-of-band (pasivní zrcadlení provozu) nebo inline (režim IPS).

Jak fungují firewally: od paketového filtru ke NGFW

Paketový filtr (stateless) – vyhodnocuje jednotlivé pakety na základě zdrojové a cílové IP adresy, portu a protokolu bez udržování kontextu spojení.
Stavový firewall (stateful) – udržuje stavovou tabulku aktivních spojení (TCP/UDP), rozumí handshaku, sleduje příznaky paketů (SYN/ACK/FIN/RST) a uplatňuje pravidla vůči celému toku dat.
Aplikační proxy – zprostředkovává provoz na úrovni aplikace (HTTP, SMTP), vytváří oddělená spojení klient–proxy a proxy–server, což umožňuje detailní kontrolu protokolů.
NGFW (Next-Generation Firewall) – kombinuje deep packet inspection, identifikaci aplikací (App-ID), uživatelských identit (User-ID), kontrolu obsahu, threat intelligence, sandboxing a často i IPS funkce.
WAF (Web Application Firewall) – specializovaný na HTTP/HTTPS, chrání webové aplikace před útoky typu SQL injection, cross-site scripting (XSS), vzdáleným spuštěním kódu (RCE), path traversal a anomálními požadavky.
Cloud security groups / distribuované firewally – skupiny pravidel v prostředí IaaS či Kubernetes, často implementované přes hypervisor, agenty nebo eBPF, umožňují mikrosegmentaci sítě.

Stavová tabulka, NAT a řízení toků

Stateful firewall vytváří záznamy (flow) pro každý povolený směr komunikace. Tok je identifikován pomocí klíčů (5-tice: zdrojová IP, cílová IP, zdrojový port, cílový port, protokol), obsahuje časové limity (idle/active timeout) a různé metriky. NAT/PAT přepisuje adresy a porty během průchodu paketů, přičemž stavová tabulka slouží k mapování těchto přepisů. ALG (Application Layer Gateway) pomáhá protokolům, které vkládají IP adresy nebo porty do aplikačních dat (např. SIP, FTP).

Bezpečnostní politika, pravidla a jejich vyhodnocování

Pravidla se obvykle vyhodnocují shora dolů podle principu first-match, přičemž na konci platí implicitní deny. Každé pravidlo obsahuje definici zdroje/cíle (zóna, skupina IP adres), služby (port/protokol), aplikace (v NGFW), uživatele a akci (povolit, zakázat, odmítnout, inspekce). Dobrá praxe zahrnuje objektové modelování (adresní skupiny, služby), tagování a verzování politik, pravidelný proces recertifikace a zásadu „deny by default, allow by necessity“.

Inspekce na úrovni aplikací a TLS dešifrování

NGFW a WAF provádějí hloubkovou inspekci (L7), včetně normalizace protokolu, validace hlaviček, detekce tunelování a neobvyklých vzorců chování. Šifrovaný provoz (TLS) ztěžuje klasickou inspekci na úrovni aplikace, proto se používá TLS inspection (man-in-the-middle) na perimetru využívající interní certifikační autoritu. Při tom se zohledňuje výkon (např. hardwarová akcelerace kryptografie) a ochrana soukromí (vyloučení citlivých kategorií provozu, přísné logování a governance).

Výkon a architektura firewallů

Firewally využívají specializované procesory (Network Processor, ASIC, FPGA) a optimalizace jako zero-copy či DPDK pro vysokou propustnost a nízkou latenci. Pro škálovatelnost se používají clustering, ECMP, HA páry (active/standby nebo active/active), synchronizace sezení a horizontální škálování v cloudu (autoscaling, anycast).

Co je IDS a jak detekuje útoky

IDS analyzuje síťový (NIDS) nebo hostitelský (HIDS) provoz a související události s cílem identifikovat škodlivé chování. Používá tři hlavní metody:

Signaturní detekce – porovnává vzory s databází známých útoků (např. pravidla Snort/Suricata, indikátory kompromitace z threat intelligence feedů). Výhodou je nízká míra falešných poplachů u známých hrozeb, nevýhodou omezená schopnost detekovat nové techniky.
Anomální detekce – modeluje „normální“ chování (statisticky či pomocí strojového učení) a upozorňuje na odchylky v objemu, časování či posloupnosti událostí. Pokrývá i zero-day hrozby, ale vyžaduje precizní ladění.
Heuristika a behaviorální pravidla – expertní korelace (např. DNS tunelování, SMB brute-force útoky, exfiltrace dat), navázání na MITRE ATT&CK taktiky a techniky.

NIDS vs. HIDS a IPS: rozdíly a použití

NIDS – pasivně sleduje kopii síťového provozu (SPAN/TAP), vhodné pro síťovou viditelnost, detekci laterálního pohybu a forenzní analýzu.
HIDS – běží na koncových bodech nebo serverech, monitoruje soubory, registr, procesy, volání API a logy. Ideální pro zabezpečení serverů, koncových zařízení a cloudových instancí.
IPS – inline systém, který podle pravidel aktivně blokuje provoz (drop, reset, rate-limit). Vyžaduje nízkou latenci a vysokou spolehlivost signatur.

Technické detaily detekce: reassemblace a obcházení

Kvalitní IDS provádí normalizaci a reassemblaci fragmentovaných IP paketů a TCP streamů, dekóduje protokoly (HTTP/2, TLS handshaky, SMB, DNS), aby minimalizovalo možnosti evasion technik (například překrývající se fragmenty, TTL evasion, polymorfní payloady nebo obfuskaci). Důležitá je kompatibilita s cílovým operačním systémem (Windows/Linux TCP stack), aby interpretace odpovídala tomu, jak by provoz zpracoval cílový systém.

TLS, šifrování a omezení viditelnosti IDS

S rostoucím množstvím šifrovaného provozu využívá NIDS bez TLS dešifrování analýzu metadat (SNI, JA3/JA4 fingerprinty, velikosti paketů, časování, DNS dotazy) a detekci anomálií. Alternativou je nasazení dešifrovacího brokera, který předává dešifrovaný provoz více bezpečnostním nástrojům s důrazem na splnění regulačních požadavků (compliance).

Integrace, logování a korelace událostí

Firewally a IDS generují logy (povolování/zakázání provozu, alerty, flow záznamy) a telemetrii (NetFlow/IPFIX, sFlow). Tyto údaje se odesílají do SIEM systémů pro korelaci, tvorbu detekčních pravidel (KQL/QL), vizualizaci prostřednictvím dashboardů a do SOAR platforem pro automatizované reakce (izolace hosta, blokace IP adres/ domén, ticketing, notifikace CSIRT). Klíčová je integrace s CMDB a identitní vrstvou (AAD, LDAP) pro zajištění kontextu.

Mikrosegmentace a Zero Trust

Moderní bezpečnostní strategie preferují přístup Zero Trust, tedy žádnou implicitní důvěru uvnitř sítě. Mikrosegmentace (L3/L4/L7) se realizuje distribuovanými firewally v hypervisoru, agenty na hostech nebo pomocí eBPF v jádru operačního systému. Bezpečnostní politiky jsou vázány na identitu pracovní zátěže (např. štítky, service accounts) namísto IP adres.

Firewally, IDS a Kubernetes/Cloud-native prostředí

V Kubernetes se bezpečnostní politika definuje pomocí NetworkPolicy (CNI), service mesh (Envoy, Istio) přidává řízení na úrovni L7 a mTLS, zatímco NIDS čerpá z eBPF událostí a může zrcadlit provoz z jednotlivých nodů. Cloudové security groups a network ACL poskytují hrubou kontrolu na úrovni L3/L4, NGFW a WAF se nasazují jako gateway, transparentní appliance nebo spravovaná služba.

OT/ICS specifika a průmyslové protokoly

V průmyslových sítích (OT/ICS) je klíčová pasivní viditelnost, whitelist přístupů a detekce na úrovni průmyslových protokolů jako Modbus, DNP3, Profinet nebo IEC 60870-5-104. Inline IPS se zde používá opatrně kvůli požadavkům na dostupnost a deterministické chování síťových spojení.

Návrh a nasazení: topologie a HA

Perimetr a DMZ – oddělení internetových služeb, reverzní proxy, WAF, IPS před aplikačními servery.
Vnitřní segmentace – oddělení uživatelských, serverových a citlivých zón (např. platební systémy, OT, management).
Vysoká dostupnost a odolnost – páry firewallů v režimu failover, redundantní napájení, link-state tracking, graceful restart, synchronizace sezení.

Tuning IDS/IPS: snižování falešných poplachů

Klíčové je stanovení baseline běžného chování, využití thresholdingu, suppress pravidel, kontextových výjimek, pravidelné aktualizace signatur a přizpůsobení pravidel konkrétní infrastruktuře. Důraz na poměr precision/recall umožňuje vyvážit falešně pozitivní a falešně negativní nálezy.

Měření a metriky

KPI firewallu – propustnost inspekce na úrovni L7, latence, počet aktivních sezení, využití CPU/ASIC, efektivita pravidel (počet zásahů), doba nasazení politiky.
KPI IDS/IPS – míra detekce, poměr falešných poplachů a nezachycených hrozeb (FP/FN), doba od detekce k reakci (MTTD/MTTR), pokrytí technik ATT&CK, kvalita obohacení dat (geolokace, reputace).

Testování a validace

Pro ověření účinnosti se využívá pcap replay (např. tcpreplay), generátory provozu, testy TLS inspekce, simulované útoky (Atomic Red Team), bezpečnostní skeny (Nmap s NSE) i formální testy podle standardních metodik (např. NSS či vlastních provozních runbooků). Významná je předprodukční validace a canary nasazení.

Governance, compliance a provoz

Politiky musí být v souladu s normami (ISO 27001, PCI DSS, NIS2, SOC2). Zahrnují change management, separační principy, recertifikaci pravidel, role-based access control pro administrátory a auditní stopu. Provozní model definuje runbooky pro incidenty, okna údržby a kapacitní plánování.

Příklady politik a pravidel

Implicitní deny mezi zónami s explicitními allow pravidly pro schválené služby (např. HTTPS z uživatelské VLAN do proxy, SSH pouze z management zóny).
NGFW App-ID pro povolené SaaS služby (Office 365, Salesforce) s omezením na firemní tenanty, blokací anonymizérů a neznámých aplikací.
IPS – aktivní blokace kritických signatur (RCE, exploit kity), alert-only režim pro méně jisté detekce s následným laděním.
WAF – pozitivní model (allow-list) pro API, omezení počtu požadavků (rate limiting), ochrana proti botům a validace schémat.