A Model for Centralized Management of Decentralized and Distributed Firewalls

Im universitären Kontext bestehen große kombinierte Rechenzentrums- und Campusnetze oft aus verschiedenen Komponenten:
Von zentral verwalteten Routern, Layer-3-Switches und Firewalls im Kern des Netzes bis hin zu dezentralen Routern, Servern und Clients, die von Forschungsinstituten und anderen Organisationseinheiten (OEs) verwaltet und betrieben werden.
Zur Durchsetzung globaler (organisationsweiter) Sicherheits-Policies sowie lokaler (z. B. von dezentralen Administratoren festgelegter) Policies und Anforderungen beim Betrieb dieser Strukturen werden große, zentralisierte Firewalls eingesetzt.
... mehr
Eine Policy im Kontext dieser Arbeit definiert, wie bestimmte Datenflüsse zwischen Hosts oder Netzwerken von Policy-Durchsetzungsstellen wie Firewalls behandelt werden.

Eine zentrale Firewall für große Netze erfordert leistungsstarke und teure Geräte, die in der Lage sind, das gesamte Netz von außen abzusichern und gleichzeitig lokale Anforderungen und Policies durchzusetzen.
Obwohl die meisten modernen Komponenten wie Router, Server oder viele andere an das Netzwerk angeschlossene Geräte in der Lage sind, sich selbst mit einer eigenen Firewall zu schützen ("Host-Firewalls"), tendieren die meisten lokalen BetreiberInnen dazu, sich auf die zentralisierte Firewall zu verlassen, anstatt jedes einzelne Gerät mit seiner hersteller- oder betriebssystemspezifischen Schnittstelle zu verwalten und zu konfigurieren, da dies aus Sicht des Gerätebetreibers der am wenigsten arbeitsintensive Ansatz ist.
Genauso kann es weiterhin Szenarien geben, in denen Durchsetzung von Firewallregeln auf Endsystemen technisch oder organisatorisch nicht möglich ist.

Um die im Netzwerk vorhandene Firewall-Kapazität in den Endsystemen besser zu nutzen, schlägt diese Arbeit ein Modell vor, das es erlaubt, eine Netzwerktopologie und eine Policy zu definieren, die auf das Netzwerk verteilt wird.
Um sowohl globale als auch lokale Policies, die z. B. von SystemadministratorInnen definiert werden, integrieren zu können, beinhaltet dieses Modell eine Vertrauensstufe von Hosts und Vertrauensanforderungen für Policies.
Dies ermöglicht es den NetzbetreiberInnen, den Hosts Vertrauensstufen zuzuweisen, die festlegen, welche Firewall-Regel auf welchen Systemen implementiert werden kann.
Ein in dieser Arbeit vorgeschlagener Algorithmus zur Verteilung von Firewall-Regeln weist dann die Regeln teilnehmenden Systemen des Netzwerks in einer Weise zu, die die Verwirklichung der Regeln auf Endsystemen -- sofern möglich -- bevorzugt.
Es wird experimentell gezeigt, dass dieser Ansatz dazu geeignet ist, Netzwerke hinsichtlich ihrer Firewall-Auslastung zu optimieren und den Bedarf an großen, zentralen Firewall-Appliances zu reduzieren.
Darüber hinaus ist die Architektur der erstellten Software in der Lage, als zentrales Management-System für Firewall-Regeln eingesetzt zu werden, das sowohl von NetzwerkadministratorInnen als auch von AdministratorInnen dezentraler Systeme genutzt werden kann.

In a university context, large combined data center and campus networks often consist of different layers of components:
From centrally managed routers, layer 3 switches and firewalls in its core to decentralized routers, servers and clients managed and operated by research institutes and other organizational units (OUs).
To enforce global (organization-wide) security policies as well as local policies (e.g. defined by decentralized administrators) and requirements in the operation of those structures, large centralized firewalls are deployed.
A policy in the context of this work defines how specific traffic flows between hosts or networks are handled by policy enforcement points like firewalls.
... mehr

Centrally firewalling large networks requires high performance and expensive appliances capable of securing the whole network from outside of the network as well as enforcing local requirements and policies.
Despite most modern components like routers, servers or many other network attached devices being able to firewall themselves ("host firewalls"), most local operators tend to rely on the centralized firewall instead of managing and configuring each individual device with their vendor or operating system specific interface, as this is the least labor-intensive approach from the device operator’s perspective.
In addition to that there might still be end systems which cannot be used for firewall rule enforcement for technical or organizational reasons.

In order to utilize this firewalling capacity in the end systems, this thesis proposes a model, which allows to define a network topology and a policy, which gets distributed among members of the network.
To be able to integrate global as well as local policies defined by e.g. system administrators, this model includes trust level of hosts and trust requirements for policies.
This allows the network operator(s) to assign trust levels to hosts which define, which firewall rule can be implemented on which systems.
A firewall rule distribution algorithm which is proposed in this thesis then assigns the rules to the network in way, which allows the implementation of the policy on end systems if possible.
It is shown experimentally, that this approach is able to be used to optimize networks regarding their firewall utilization and can be used to reduce the need of large, central firewall appliances.
In addition to that, the architecture of the software created is able to be used as a centralized management system for firewall rules which can be used by the network's administrators as well as administrators of decentralized systems.