שיעור 12: הגנה היקפית — Firewall, WAF, DMZ ו-IDS/IPS
בשיעור הקודם מיפינו איך תוקפים פוגעים ישירות באפליקציה — XSS, SQL Injection, Buffer Overflow וגניבת אישורים. השיעור הזה עובר לצד ההגנה: הכלים שיושבים על הגבול שבין האינטרנט הפתוח לרשת הארגון, ועוצרים חלק ניכר מהאיומים האלה עוד לפני שהם מגיעים לאפליקציה. נכיר את חומת האש על שני סוגיה המרכזיים — Packe
בקיצור: Packet Filtering הוא שומר שבודק כל חבילה לבד מול רשימת כללים, ו-Stateful זוכר את השיחה כולה — אבל דווקא את הזיכרון הזה אפשר להציף (SYN Flood). WAF שומר על האפליקציה, DMZ מבודד שרתים חשופים באזור חיץ, IDS מתריע ו-IPS גם חוסם. VPN עוטף את התעבורה במנהרה מוצפנת, ו-NACL מסנן ברמת תת-הרשת בלי לזכור כלום.
- Packet Filtering Firewall
- מסנן חבילות ברמת הרשת (Layer 3) והתעבורה (Layer 4) לפי כללים סטטיים מוגדרים מראש (ACL) — כתובת IP, פורט, פרוטוקול וכיוון — ללא כל התייחסות למצב החיבור.
- Stateful Firewall ו-State Table
- חומת אש שמנתחת הקשר שיחה ולא כל חבילה בבידוד: כשחבילת SYN מאושרת, נפתחת שורה ב-State Table (יומן בזיכרון ה-RAM) עם ה-IP, הפורטים והמספר הסידורי (SEQ) הצפוי; חבילות עתידיות נבדקות מול השורה הזו בלבד. אותה טבלה שמאפשרת לזהות חיבור מזויף חושפת את הפייחוול להצפת SYN שממלאת את ה-RAM.
- WAF (Web Application Firewall)
- רכיב אבטחה שמסנן תעבורת HTTP/S ברמת האפליקציה, מנתח את תוכן הבקשה המלא (לא רק פרטי פרוטוקול), ומגן באופן ממוקד מפני התקפות כמו SQL Injection, XSS ו-CSRF מתוך OWASP Top 10.
- DMZ (Demilitarized Zone)
- אזור מבודד המאחסן שירותים שחייבים להיות נגישים מהאינטרנט (Web, דואר, DNS), כך שפריצה אליהם מגבילה את התוקף ל-DMZ בלבד. בתצורת Single Firewall מכשיר אחד מנהל את כל התעבורה; בתצורת Dual Firewall שני מכשירים נפרדים — אחד בין האינטרנט ל-DMZ ואחד בין ה-DMZ לרשת הפנימית — מייקרים את מחיר הפריצה.
- IDS מול IPS
- IDS מנטר תעבורה ואירועי מערכת (בשיטת signature-based או anomaly-based) ומתריע בלבד, בלי לחסום. IPS משלב את אותה יכולת זיהוי עם חסימה אקטיבית בזמן אמת.
- VPN (רשת וירטואלית פרטית)
- מאפשר חיבור מוצפן ומאובטח מעל רשת ציבורית לא מהימנה, באמצעות 'מנהרה' (Tunnel) וירטואלית מוצפנת ואימות זהות — כך שגם כשהנתונים עוברים דרך האינטרנט הפתוח, הם נשארים בלתי ניתנים לפענוח.
- Network ACL (NACL)
- שכבת הגנה נוספת חסרת מצב (Stateless) ברמת תת-הרשת (Subnet/VLAN), המסננת תעבורה נכנסת ויוצאת לפי כללי Allow/Deny סטטיים המבוססים על IP ופורטים — עוד לפני שהתעבורה מגיעה ל-Firewall הראשי.