Pokročilá bezpečnost (DPI, IDS/IPS)
Vícevrstvá obrana: co firewall nevidí, stavová inspekce, DPI a TLS, IDS vs IPS, reálné útoky (port scan, SQLi, C2) a vícevrstvá obrana.
Lekce 1: Co základní firewall nevidí
Firewall vidí jen adresy a porty
V kurzu Zabezpečení sítě jsme postavili firewall, který se rozhoduje podle zón, IP adres a portů (vrstvy L3/L4). To zastaví spoustu věcí – ale firewall přitom nevidí dovnitř paketu. Ví „TCP na port 443 z venku do DMZ", ale ne, CO v tom provozu je. A právě do obsahu se dnes schovává většina útoků. Tenhle kurz přidává vrstvu, která se dívá hlouběji: stavová inspekce, DPI a IDS/IPS.
Krok za krokem
- Firewall vidí „TCP 443 z internetu do DMZ" – adresy a port. Podle toho povolí, nebo zahodí.
- Ale co je uvnitř (jaký HTTP požadavek, jaká data) firewall nevidí. Útok schovaný v povoleném portu projde.
- Proto přidáme prvek, který se dívá do obsahu – DPI a IDS/IPS. To je celý tenhle kurz.
Paket má i obsah
Každý paket má dvě části: hlavičky (kdo komu, jaký port – to vidí firewall) a payload (vlastní data – obsah požadavku, kus souboru, příkaz). Útok se málokdy pozná z hlavičky; pozná se z obsahu: payload ' OR '1'='1 je SQL injection (SQL = jazyk dotazů do databáze; tenhle trik dotaz oklame, aby vrátil vše nebo pustil dovnitř bez hesla), řetězec /etc/passwd je pokus o čtení systémových souborů, určitý vzorec bajtů je známý malware. Kdo chce takhle chytat útoky, musí číst payload – a to dělá DPI.
Krok za krokem
- Hlavička: „TCP 443 do DMZ". Firewall ji přečte a povolí – vypadá to neškodně.
- Jenže payload nese SQL injection. Ze samotné hlavičky to nepoznáš – musíš číst obsah.
- DPI nakoukne do payloadu a porovná ho s vzorky útoků (signaturami). Tak útok v povoleném portu odhalí.
Tunelování v povoleném portu
Útočníci vědí, že firewall povoluje pár portů (80, 443, 53…). Tak svůj provoz schovají právě do nich – tomu se říká tunelování. Malware si může povídat se svým řídicím serverem (C2) přes DNS dotazy nebo zabalit data do HTTPS, které vypadá jako běžné prohlížení. Pro firewall (L3/L4) je to „povolený port 443", a pustí to. Odhalit to jde jen z chování a obsahu – další důvod pro hloubkovou inspekci a IDS/IPS.
Krok za krokem
- Nakažené PC uvnitř chce ven ke svému C2 serveru. Přímý kanál by firewall zařízl.
- Tak se schová do DNS dotazů nebo HTTPS. Firewall vidí jen „povolený port" a pustí to.
- Odhalit to jde jen hloubkovou inspekcí a chováním (divně moc DNS dotazů, podezřelý vzor). Proto IDS/IPS.
Lekce 2: Stavová inspekce do hloubky
Tabulka spojení
Vrátíme se ke stavovému firewallu z kurzu Zabezpečení sítě – ale hlouběji. Stavový firewall si drží tabulku spojení (connection table): u každého navázaného spojení si pamatuje, kdo ho začal, na jaký port, v jakém stavu je. Díky tomu pozná odpověď na povolené spojení a pustí ji zpět automaticky – aniž bys psal pravidlo pro návratový směr. A naopak: paket, který nepatří k žádnému záznamu v tabulce, je podezřelý.
Krok za krokem
- PC zevnitř naváže spojení ven (např. web na 443). Firewall si ho zapíše do tabulky.
- Odpověď serveru se v tabulce najde → firewall ji pustí automaticky, žádné ruční pravidlo zpět.
- Paket, který k ničemu v tabulce nepatří (nevyžádaný zvenku), je podezřelý a letí pryč.
TCP stavy a handshake
Aby firewall poznal „stav" spojení, sleduje TCP handshake (podrobně z kurzu ISO/OSI a TCP/IP). Nové TCP spojení začíná trojicí SYN → SYN-ACK → ACK (SYN = synchronizace, ACK = potvrzení; jako „zavolám – ozveš se – potvrdím"). Teprve po ní je spojení established (navázané). Stavový firewall to hlídá: paket uprostřed, který předstírá navázané spojení, ale handshake neproběhl, je podvod. Sledování stavu je základ, na kterém pak staví detekce útoků typu SYN flood.
Krok za krokem
- Klient pošle SYN – „chci spojení". Firewall si poznačí polootevřené spojení.
- Server odpoví SYN-ACK, klient potvrdí ACK. Trojcestné navázání proběhlo.
- Teď je spojení established. Paket bez tohohle handshaku, co se tváří jako navázaný, firewall odhalí.
SYN flood
A teď útok, který stav zneužívá: SYN flood. Útočník pošle záplavu SYN paketů, ale nikdy nedokončí handshake (nepošle ACK). Server drží spoustu polootevřených spojení, čeká na potvrzení, zaplní se mu fronta polootevřených spojení a přestane přijímat legitimní klienty – to je DoS (odepření služby). Stavový firewall / IPS to pozná podle vzoru (nezvykle mnoho SYN bez dokončení handshaku) a začne je zahazovat nebo omezovat. Server se navíc umí bránit i sám pomocí SYN cookies: stav polootevřeného spojení si vůbec nedrží – potřebné údaje zašifruje přímo do čísla, které stejně musí poslat, a z klientovy odpovědi si je zase přečte.
Krok za krokem
- Útočník chrlí SYN za SYN… ale ACK nikdy nepošle. Spojení zůstávají polootevřená.
- Serveru dojde tabulka polootevřených spojení a přestane brát i legitimní klienty. To je DoS.
- IPS pozná vzor (moc SYN bez ACK) a začne je zahazovat/omezovat. Server dýchá dál.
Lekce 3: DPI – hloubková inspekce
Co je DPI
DPI (Deep Packet Inspection) = hloubková inspekce: prvek rozbalí paket až k payloadu a čte i obsah, nejen hlavičky. Místo „port 443 povolen" se ptá „co konkrétně ten HTTP požadavek dělá?". To umožní chytat útoky schované v povoleném provozu (SQL injection, čtení souborů, známý malware) a rozpoznat aplikaci i bez ohledu na port. Cena za to je výkon (číst obsah stojí víc než jen hlavičku) a u šifrovaného provozu problém – další modul.
Krok za krokem
- Provoz dorazí k prvku s DPI. Ten ho nepustí jen tak – nejdřív se podívá dovnitř.
- DPI rozbalí payload a porovná ho se signaturami (vzory útoků). Hledá „/etc/passwd", SQLi vzory, malware.
- Při shodě provoz označí (IDS) nebo zablokuje (IPS). V simulátoru si vlastní signaturu napíšeš v úloze ips-custom.
Aplikační signatury
Jak DPI pozná útok? Podle signatur – přesných vzorů v obsahu. Signatura může být řetězec (payload obsahuje /etc/passwd), regulární výraz (vzorec SQL injection) nebo otisk známého malwaru. Výrobci dodávají rozsáhlé sady signatur, které se průběžně aktualizují (nové hrozby přibývají denně). Síla signatur je přesnost u známých útoků; slabina je, že nový, neznámý útok bez signatury proklouzne – proto se k tomu přidává detekce anomálií (další lekce).
Krok za krokem
- Signatura = vzor: řetězec „/etc/passwd", regex pro SQL injection, otisk malwaru.
- Když payload na nějaký vzor sedne, je to shoda = známý útok. DPI ho zachytí.
- Slabina: nový útok bez signatury neodpovídá žádnému vzoru → proklouzne. Doplní to anomaly detekce.
TLS inspekce a MITM
Velký háček: většina provozu je dnes šifrovaná (HTTPS/TLS). DPI ale potřebuje vidět obsah – a ten je v šifře skrytý. Řešení v podnicích je TLS inspekce: bezpečnostní prvek funguje jako řízený prostředník (MITM) – na rozdíl od útočníka to ale dělá firma na svém zařízení, s tvým souhlasem (v pracovní smlouvě/politice) a vlastním certifikátem, proto je to legitimní, ne útok. Spojení rozšifruje, zkontroluje, a znovu zašifruje dál. Funguje to jen proto, že firma do svých zařízení nainstaluje vlastní kořenový (CA) certifikát – díky němu prvek umí pro každý web vystavit certifikát, kterému zařízení věří (protože ho podepsal ten předinstalovaný firemní certifikát). Je to mocné, ale citlivé: zasahuje do soukromí, je náročné a špatně nasazené to oslabí bezpečnost. Proto se nasazuje uváženě. I bez rozšifrování přitom síť vidí aspoň metadata – třeba jméno serveru a objem dat.
Krok za krokem
- Provoz je šifrovaný. DPI by rádo četlo obsah, ale vidí jen šifru. Co teď?
- TLS inspekce: prvek spojení rozšifruje (jako řízený MITM), zkontroluje a zase zašifruje. Funguje díky firemnímu certifikátu v zařízeních.
- Mocné, ale citlivé: zasahuje do soukromí, je náročné a špatně nasazené oslabí bezpečnost. Nasazuj uváženě.
Lekce 4: IDS – detekce
IDS jako kamera
IDS (Intrusion Detection System) = detekce průniků. Představ si ho jako bezpečnostní kameru: stojí mimo cestu provozu (dostává kopii přes TAP/SPAN), provoz sleduje, a když uvidí útok, spustí alarm (alert) – ale nezasahuje, provoz neblokuje. Výhoda: nic nezdržuje a nic omylem nezablokuje. Nevýhoda: útok jen zaznamená, nezastaví – někdo to musí vidět a zareagovat. V simulátoru přepneš senzor do režimu IDS a uvidíš „ALERT" bez blokace.
Krok za krokem
- IDS dostává jen kopii provozu (TAP/SPAN). Provoz teče dál i bez něj.
- Uvidí útok → spustí alarm (ALERT do centrálního logu). Ale provoz nezastaví – jen ho zaznamená.
- Útok i tak dorazil k cíli. IDS je svědek, ne strážník. Kdo nezareaguje na alert, nic nevyřešil.
Signatury vs anomálie
IDS/IPS rozpoznává hrozby dvěma způsoby. Signature-based (podle vzorů) je přesné na známé útoky, ale neznámé nechytí. Anomaly-based (podle anomálií) se nejdřív naučí, jak vypadá normální provoz (baseline), a pak hlásí odchylky – třeba server, který v noci náhle posílá gigabajty ven, nebo desetinásobek obvyklých DNS dotazů. Výhoda: chytí i nové útoky bez signatury. Nevýhoda: víc falešných poplachů (neobvyklé ≠ vždy zlé). V praxi se oba přístupy kombinují.
Krok za krokem
- Signature-based: payload sedí na známý vzor → jistá shoda. Neznámý útok ale nechytí.
- Anomaly-based: nejdřív se naučí normální provoz (baseline).
- Pak hlásí odchylky – náhlý odliv dat, divně moc DNS. Chytí i nové útoky, ale za cenu falešných poplachů. Proto se přístupy kombinují.
Alert fatigue
Velký praktický problém detekce: alert fatigue (únava z alertů). Když systém chrlí tisíce upozornění denně a většina jsou plané poplachy, tým je přestane brát vážně – a v tom hluku zapadne ten jeden skutečný útok. Proto se alerty ladí (snižuje se šum), třídí podle závažnosti a sbíhají do SIEM, kde se korelují. Detekce bez reakce je k ničemu – a reakce nejde dělat, když se v alertech nedá vyznat. Teď si v úloze ids-to-ips vyzkoušíš rozdíl mezi „jen alert" a „rovnou blokuj".
Krok za krokem
- Detekce chrlí tisíce alertů, většina plané. Tým je přestane sledovat.
- A v tom šumu zapadne ten jeden skutečný útok. To je alert fatigue.
- Řešení: ladit alerty, třídit, korelovat v SIEM – a kritické věci nechat rovnou blokovat (IPS). To zkusíš v úloze ids-to-ips.
Lekce 5: IPS – prevence
IPS jako strážník (inline)
IPS (Intrusion Prevention System) = prevence průniků. Na rozdíl od IDS (kamera mimo cestu) stojí IPS přímo v cestě provozu (inline) – je to strážník, kterým musí všechno projít. Když uvidí útok, nezastaví se u alarmu – rovnou ho zahodí/zablokuje, takže k cíli vůbec nedorazí. Cena: protože stojí v cestě, jeho výpadek nebo zpomalení ovlivní provoz, a falešný poplach zablokuje něco legitimního. Proto se IPS pečlivě ladí. V simulátoru je senzor v režimu IPS přesně tohle – inline blokace.
Krok za krokem
- IPS stojí přímo v cestě. Všechen provoz jím musí projít – je to strážník, ne kamera.
- Uvidí útok → rovnou ho zahodí. K webu vůbec nedorazí. To je rozdíl proti IDS.
- Cíl zůstal čistý. Daň: IPS v cestě – jeho výpadek či falešný poplach ovlivní provoz. Proto se ladí.
Detekovat vs blokovat a ladění
Klíčové rozhodnutí: detekovat, nebo blokovat? IDS (detekce) je bezpečné vůči provozu, ale útok nezastaví. IPS (prevence) útok zastaví, ale falešný poplach bolí – zablokuje legitimní věc. Proto se nová signatura často nasadí nejdřív v režimu jen-alert, sleduje se, jestli netrefuje neškodný provoz, a teprve vyladěná se přepne na blokaci. Dobré ladění hledá rovnováhu mezi falešně pozitivními (zablokuju hodné) a falešně negativními (propustím zlé). To je každodenní práce bezpečnostního týmu.
Krok za krokem
- Novou signaturu nasadíš nejdřív jen jako alert (jako IDS) a sleduješ, koho trefuje.
- Trefuje i legitimní provoz (falešně pozitivní)? Doladíš ji, ať je přesná.
- Teprve vyladěnou přepneš na blokaci (IPS). Rovnováha mezi „zablokuju hodné" a „propustím zlé".
Vlastní signatura
Někdy žádná hotová signatura útok nechytá – třeba cílený útok na tvoji aplikaci. Pak si napíšeš vlastní DPI signaturu: vzor (řetězec nebo regex), který se hledá v payloadu. Klíčové je napsat ji tak, aby chytila útok, ale nezablokovala neškodný provoz (žádné falešné poplachy). To si teď vyzkoušíš v úloze ips-custom (pokročilý režim): na web míří payload s /etc/passwd, žádná kategorie ho nechytá – napíšeš signaturu, která ten řetězec zachytí, a ověříš, že neškodný požadavek projde.
Krok za krokem
- Na web míří cílený útok s /etc/passwd. Žádná hotová kategorie ho nechytá.
- V IPS (pokročilý režim) napíšeš vlastní signaturu na ten řetězec.
- Útok je zablokován, neškodný požadavek (GET /index.html) projde. Přesně to je úloha ips-custom.
Lekce 6: Reálné útoky
Port scan (průzkum)
Reálné útoky málokdy začnou „rovnou". Nejdřív přijde průzkum (reconnaissance) – typicky port scan: útočník systematicky zkouší, které porty jsou na cíli otevřené, aby našel cestu dovnitř. Z pohledu sítě to vypadá jako spousta spojení na různé porty z jedné adresy v krátkém čase – výrazný vzor, který IDS/IPS pozná. Port scan sám o sobě neškodí, ale je to předzvěst: někdo si mapuje tvůj povrch, než zaútočí.
Krok za krokem
- Útočník zkouší port za portem – 22? 80? 443? 3389? Hledá, kudy dovnitř.
- Spousta spojení na různé porty z jedné adresy = jasný vzor port scanu. IDS/IPS ho pozná.
- Scan sám neškodí, ale je to předzvěst. Můžeš zdroj sledovat nebo rovnou blokovat, než zaútočí.
SQLi přes HTTPS a lateral movement
Když útočník najde web, zkusí ho prolomit – třeba SQL injection (SQLi): do formuláře/URL podstrčí kus SQL (' OR '1'='1), aby z databáze vytáhl data nebo obešel přihlášení. A protože web jede přes HTTPS, payload je šifrovaný – běžný firewall ho nevidí; chytí ho jen DPI po TLS inspekci (simulátor šifrování zjednodušuje – IPS payload vidí rovnou; v reálu by před ním musela stát TLS inspekce). Když se útočník dostane na jeden server, zkusí lateral movement (boční pohyb): z něj se šíří na další stroje v síti. Tady se vyplatí segmentace (VLANy/zóny z kurzů Switching a VLANy a Zabezpečení sítě) – omezí, kam až se dostane.
Krok za krokem
- Útočník podstrčí webu SQL injection. Přes HTTPS je payload šifrovaný – chytí ho jen DPI po TLS inspekci (v simulátoru zjednodušeně: IPS payload vidí rovnou).
- Když uspěje, zkusí lateral movement: z webu se šířit na další servery a stanice.
- Segmentace (VLANy/zóny) a IPS dosah útoku omezí – nedostane se všude. Vrství se obrana.
C2 přes DNS
Poslední kousek řetězce: napadený stroj si potřebuje povídat s útočníkem (stáhnout další nástroje, posílat ukradená data). Aby to neviděl firewall, schová ten kanál do běžně povoleného protokolu – často DNS (málokdo blokuje DNS) nebo HTTPS. Data se rozkouskují do DNS dotazů na divné subdomény. Firewall vidí „normální DNS" a pustí to. Odhalí se to hlavně chováním (anomálie: nezvykle moc DNS, dlouhé náhodné názvy) a DPI nad DNS – přesně to, co umí anomaly-based detekce a hloubková inspekce.
Krok za krokem
- Napadené PC posílá data ven – schovaná do DNS dotazů na divné subdomény.
- Firewall vidí jen povolené DNS a pustí to. Klasický L3/L4 firewall útok nepozná.
- Odhalí to chování: nezvykle moc DNS, dlouhé náhodné názvy. To je práce anomaly detekce a DPI. Jeden z útoků z téhle lekce – SQLi na webový server – si teď můžeš zkusit zastavit sám v úloze níže.
Lekce 7: Vícevrstvá obrana
Defense in depth
Žádná jediná vrstva nestačí. Bezpečnost je vícevrstvá obrana (defense in depth): kdyby jedna vrstva selhala, chytí to další. Útok z internetu narazí postupně na firewall (zóny, porty – kurz Zabezpečení sítě), na IDS/IPS s DPI (obsah – tento kurz), uvnitř na segmentaci VLANami a zónami (kurzy Switching a VLANy a Zabezpečení sítě), na ACL mezi sítěmi (tytéž kurzy) a nakonec na zpevnění samotných serverů. Žádná zeď není dokonalá – ale poskládané vrstvy dělají útok mnohem dražší a hlučnější.
Krok za krokem
- Vrstva 1: firewall odfiltruje podle zón a portů. Co projde, jde dál.
- Vrstva 2: IDS/IPS s DPI kontroluje obsah a chytí útok schovaný v povoleném portu.
- Vrstva 3+: segmentace, ACL, zpevnění serverů. Selže-li jedna vrstva, chytí to další. To je defense in depth.
Kompletní síť C3–C8
Pojďme to spojit přes všechny kurzy. Postavili jsme: VLANy a switching (C3), routing a IP (C4), firewall a zóny (C5), redundanci a STP (C6), OSPF (C7) a teď hloubkovou bezpečnost (C8). Dohromady to dává reálnou podnikovou síť: rozdělenou (VLANy), spolehlivě propojenou (routing/OSPF), odolnou proti výpadku (redundance) a chráněnou ve více vrstvách (firewall + IDS/IPS + segmentace). Každý kurz byl jedna vrstva téhle skládačky.
Krok za krokem
- Základ: rozdělená síť (C3), propojená routingem (C4), chráněná firewallem (C5).
- Spolehlivost: redundance a STP (C6) a dynamický routing OSPF (C7). Síť přežije výpadky.
- A teď vícevrstvá obrana (C8): obsah, IDS/IPS, reálné útoky. Kompletní podniková síť pohromadě.
Co dál
Dokázal jsi postavit a zabezpečit reálnou síť od základů. Kam vést další kroky? Bezpečnost je nikdy nekončící obor: SIEM a SOC (centrální sběr a vyhodnocování událostí, tým, který reaguje), Zero Trust („nevěř ničemu, ověřuj všechno" – konec důvěry podle umístění v síti), cloud a SD-WAN (síť i bezpečnost jako software napříč lokalitami), a automatizace/threat intelligence. To už je za hranicí tohohle simulátoru – ale díky kurzům C1–C8 teď těmhle tématům rozumíš v kontextu. Gratulace.
Krok za krokem
- Postavená, propojená, odolná a vícevrstvě chráněná síť. To je jádro síťařiny.
- Dál vede SIEM/SOC, Zero Trust, cloud a SD-WAN, automatizace. Nikdy nekončící obor.
- Tahle témata jsou za hranicí simulátoru – ale díky C1–C8 jim teď rozumíš v souvislostech. Gratulace!