[論文レビュー] Firewall Configuration Errors Revisited

Avishai Wool|ArXiv.org|Nov 6, 2009

Network Packet Processing and Optimization参考文献 3被引用数 9

ひとこと要約

本研究は、Check PointおよびCisco PIXファイアウォールのより大きなデータセットを用いて、2004年の企業用ファイアウォール誤設定の分析を再検討し、ベンダー非依存のファイアウォール複雑性指標（$\cal FC$）を導入した。ルールセットの複雑さは依然として設定エラーと強く相関しており、新しいソフトウェアバージョンでもエラー率が低下しないことが判明した。これは、ファイアウォール設定において「シンプルであること」が依然として優れた選択であることを裏付けている。

ABSTRACT

The first quantitative evaluation of the quality of corporate firewall configurations appeared in 2004, based on Check Point FireWall-1 rule-sets. In general that survey indicated that corporate firewalls were often enforcing poorly written rule-sets, containing many mistakes. The goal of this work is to revisit the first survey. The current study is much larger. Moreover, for the first time, the study includes configurations from two major vendors. The study also introduce a novel "Firewall Complexity" (FC) measure, that applies to both types of firewalls. The findings of the current study indeed validate the 2004 study's main observations: firewalls are (still) poorly configured, and a rule-set's complexity is (still) positively correlated with the number of detected risk items. Thus we can conclude that, for well-configured firewalls, ``small is (still) beautiful''. However, unlike the 2004 study, we see no significant indication that later software versions have fewer errors (for both vendors).

研究の動機と目的

• 2004年の研究で指摘された企業用ファイアウォール設定の質の低さが、新しいデータと技術を用いても依然として成立するかを評価すること。
• 後続のファイアウォールソフトウェアバージョンが設定エラーの減少に寄与したかどうかを評価すること。
• 異なるベンダー間で比較可能な統一的でベンダー非依存の複雑性指標（$\cal FC$）を構築すること。
• 2004年の研究で使用された12のエラーを越えて、36のベンダー非依存のベストプラクティス違反を特定し、検出可能な設定エラーの範囲を拡大すること。
• ファイアウォールベンダー選択（Check Point対Cisco PIX）が、複雑さを制御した上で設定品質に顕著な影響を与えるかどうかを調査すること。

提案手法

• NDAのもと、多様な企業から2003年から2005年までの間、AlgoSec Firewall Analyzerを介してファイアウォールルールセットを収集した。
• PCI DSS、NIST、CobiTなどの確立されたセキュリティベストプラクティスに基づき、36のベンダー非依存の設定エラーを定義した。
• Check Point FireWall-1およびCisco PIXルールセットの両方に適用可能な、新たな一貫性のある複雑性測定指標$\cal FC$を導入した。
• 両ベンダーの複雑性指標$\cal FC$と検出された設定エラー数との相関関係を統計的に分析した。
• 最小二乗回帰を用いて、各ベンダーごとにエラー率を$\cal FC$の関数としてモデル化し、ベンダー間での比較を可能にした。
• 異なるファイアウォールソフトウェアバージョンにおけるエラー率の傾向を評価し、時間経過による改善の有無を検証した。

実験結果

リサーチクエスチョン

• RQ1 2004年の研究が示唆したように、新しいソフトウェアバージョンの導入により、企業用ファイアウォール設定の質が向上したと言えるか？
• RQ2 より大きなマルチベンダーのデータセットを用いても、ルールセットの複雑さと設定エラーの正の相関関係は依然として有効か？
• RQ3 複雑さを考慮した上で、新しいファイアウォールソフトウェアバージョンは検出可能な設定エラー数を減少させるか？
• RQ4 ファイアウォールベンダー選択（Check Point 対 Cisco PIX）は、複雑さを制御した上で設定品質に顕著な影響を与えるか？
• RQ5 統一された複雑性指標（$\cal FC$）は、異なるファイアウォールプラットフォーム間のルールセット複雑さを効果的に比較できるか？

主な発見

• 調査対象の42％のファイアウォールが、インターネットワーム（BlasterやSaphireなど）によって悪用されたことが知られているMicrosoftサービスへのインboundアクセスを許可していた。
• 最も頻度の高かった設定エラーは、256台以上のIPアドレスからのアウトバウンドSMTP許可であり、調査対象の全ファイアウォールの80％以上で発生していた。
• 新規に導入した$\cal FC$指標で測定したルールセットの複雑さは、Check PointおよびCisco PIXファイアウォールの両方において、検出された設定エラー数と強く正の相関関係にあった。
• 新しいソフトウェアバージョンが導入されたにもかかわらず、設定エラーに顕著な減少は認められず、バージョンアップだけではルールセットの質が向上しないことが示された。
• $\cal FC$ < 1000のCisco PIXファイアウォールは、同等の複雑さのCheck Pointファイアウォールに比べ、有意に少ないエラーを示したが、$\cal FC$ ≥ 1000の複雑な構成ではこの優位性は消失した。
• 本研究は、「シンプルであること」が依然として有効であることを確認した。より単純なルールセットは、ベンダー・ソフトウェアバージョンを問わず、著しくエラーが少ない。