FTP — слепая зона современных уровней безопасности.
FTP — устаревший протокол передачи файлов, использующий отдельные каналы управления и данных. Пока современный веб- и API-трафик защищён токенами, TLS, политиками сессий и контролями WAAP, FTP в большинстве организаций по-прежнему работает на уровне «открытый порт, проверка имени пользователя и пароля». Рабочие процессы EDI, пакетные передачи, обмен файлами с партнёрами, мосты к мейнфреймам и устаревшие документальные системы работают вне видимости безопасности.
Традиционная сетевая безопасность предлагает два слабых варианта для FTP. Либо порт 21 открыт и никто не видит, какие команды проходят, либо FTP удаляется полностью и начинается многомесячный интеграционный проект. Многие устаревшие системы не могут быстро перейти.
Использования только FTPS также недостаточно. Трафик может быть зашифрован, но вопросы остаются: какой пользователь выполняет какую команду, какой файл извлекается или отправляется, к какому бэкенду осуществляется доступ, правильно ли установлено соединение данных с источника, и как долго открыта сессия.
Конструкция протокола FTP создаёт специфическую поверхность атаки. Команда PORT может направлять соединения данных на сторонние адреса, передачи сервер-сервер в стиле FXP могут использоваться в злоумышленных целях, а слабые анонимные или общие учётные записи могут оставаться открытыми долгое время. Эти риски сложно наблюдать на сетевом уровне; требуется осведомлённость о FTP-сессии на прикладном уровне.
Слой FTP security proxy TR7 WAAP работает с классическими FTP-сервисами — не удаляя их — под whitelist команд, политиками на пользователя, смягчением bounce/FXP, контролем сессий и криминалистическим аудитом.
Наш подход
TR7 WAAP рассматривает FTP не как решение об открытии порта, а как прикладную сессию, которая авторизуется по пользователю и аудируется команда за командой.
Whitelist на уровне команд пропускает только разрешённые операции
FTP-команды RETR, STOR, DELE, MKD, RMD, LIST, NLST, RNFR, RNTO, SIZE и MDTM помещаются в индивидуальный список allow/deny. Неизвестные команды или команды, отсутствующие в политике, по умолчанию отклоняются.
Политика на пользователя обеспечивает разные разрешения и цели
Имя пользователя FTP можно использовать как ключ политики. Разные пользователи, подключающиеся через один VIP, могут работать с разными наборами команд, разными тайм-аутами и разными пулами бэкенда.
Защита от bounce и FXP проверяет соединение данных
Источник соединения данных сопоставляется с соединением управления. Попытки PORT, направленные на сторонние адреса, или поведение передачи сервер-сервер по умолчанию блокируются; исключения определяются явным решением политики.
Криминалистический аудит делает каждую команду и передачу отслеживаемой
Каждая сессия, команда и передача файла записывается в журнал аудита. Режим monitor отображает полный путь к файлу; режим filecopy может хранить копию каждого переданного файла с временной меткой.
Возможности
FTP Security Proxy вводит слабые места команд, пользователей, канала данных, сессий и аудита классического протокола FTP под модель политики WAAP.
Whitelist ValidCommands авторизует FTP-команды по одной
TR7 управляет стандартными FTP-командами как решениями allow/deny на уровне политики. В роли только для чтения такие команды, как RETR, LIST, NLST, SIZE, MDTM и STAT, остаются открытыми, тогда как STOR, DELE, RMD или RNTO можно отклонить. В роли загрузки разрешены только STOR и необходимые команды каталога. Это гарантирует, что «имеет FTP-доступ» не означает неограниченные права на файлы.
Сопоставление политик на пользователя обеспечивает разное поведение на одном VIP
Имя пользователя считывается на этапе входа и подаётся в механизм политики WAAP. Два пользователя, подключающиеся к одному VIP, могут работать с разными наборами команд, разной продолжительностью сессий, разной глубиной аудита и разными пулами бэкенда. Эта архитектура объединяет передачи файлов на основе партнёров, отделов или тенантов в единой точке входа. Операционные команды определяют границы безопасности для каждого пользователя.
Выбор бэкенда на пользователя упрощает мультицелевой FTP
Одного пользователя можно направить в конкретный пул бэкенда, а другого — в другой пул. Можно использовать клиентский шаблон выбора `user@server`, или TR7 может разрешать пользователя к соответствующему бэкенду через центральную таблицу. Это устраняет необходимость открывать много отдельных VIP для партнёрского FTP B2B, совместного использования отделами или разделения тенантов. Контролируемая маршрутизация происходит через единую точку входа.
Поведение порта данных и PORT/PASV управляется политикой
Активный и пассивный режимы FTP ведут себя по-разному в отношении соединения данных. TR7 сопоставляет потоки PORT и PASV с сессией, чтобы гарантировать правильное установление канала данных. Диапазон пассивных портов можно ограничить политикой; IP источника к бэкенду можно зафиксировать. Это снижает сбои передачи для FTP-сервисов за NAT и firewall.
Смягчение FTP bounce и FXP блокирует передачи на сторонние адреса
При атаке FTP bounce команда PORT пытается направить соединения данных на стороннюю цель. TR7 может отклонять это поведение, сопоставляя соединение данных с реальной конечной точкой соединения управления. Поведение передачи сервер-сервер типа FXP по умолчанию может оставаться отключённым. Необходимые исключения определяются явно; бреши в безопасности никогда не являются поведением по умолчанию.
Политика доступа по IP источника и географии применяется к FTP-сессиям
FTP-сессии можно оценивать по IP источника, стране, ASN, временному окну или информации о пользователе. Соединения из стран, не входящих в список конкретных партнёрских стран, или из корпоративных диапазонов IP можно отклонять. Это переносит подход контроля доступа, используемый на веб- и API-стороне, на FTP. Потоки устаревшей передачи файлов привязываются к современной политике доступа.
Контроль тайм-аута сессии и простоя ограничивает потребление ресурсов
FTP-сессии могут оставаться открытыми долго и потреблять сокеты на бэкенде. TR7 может управлять ограничениями — тайм-аут входа, тайм-аут простоя и общая продолжительность сессии — на уровне политики. Продолжительность сессии по умолчанию 900 секунд можно использовать как базовое значение и корректировать по необходимости. Простаивающие сессии закрываются без ожидания бэкенда.
Режим monitor преобразует относительные пути к файлам в полные записи аудита
FTP-клиенты могут менять каталоги с помощью CWD, а затем выдавать относительные команды файлов. Режим monitor отслеживает рабочий каталог в сессии и журналирует команды типа `RETR file.csv` с их полным путём к файлу. Запись аудита показывает не только команду, но и реальное местоположение файла. Расследование после инцидента точно выясняет, какой файл был извлечён или отправлен.
Режим filecopy хранит копию каждого переданного файла с временной меткой
Для нужд соответствия требованиям или криминалистики копию каждого переданного файла можно записывать в отдельную область хранения. Файлы можно хранить в структуре каталогов на основе даты и сопоставлять с журналом аудита. Это означает, что на вопрос «какой файл был отправлен?» можно ответить не только записью журнала, но и самим файлом. Доказательная база для аудита усиливается в регулируемых секторах.
Терминация FTPS сохраняет видимость команд вместе с зашифрованным трафиком
При использовании FTPS канал управления зашифрован, однако команды должны быть понятны для применения политики безопасности. Слой FTP security proxy TR7 WAAP завершает FTPS-сессию на уровне безопасности и может инспектировать команды. При AUTH TLS пересылка на бэкенд может быть повторно зашифрована или адаптирована к модели внутренней сети. Сертификаты и политика TLS согласуются с центральным пулом управления.
Операционная глубина
FTP Security Proxy эксплуатируется совместно с обработкой команд, жизненным циклом соединения данных, поведением HA, потоковой передачей аудита, ограничениями ресурсов и политиками хранения данных для соответствия требованиям.
Цепочка обработки команд
Каждая FTP-команда принимается из канала управления, разбирается, оценивается по списку ValidCommands и пользовательской политике. Разрешённая команда пересылается на бэкенд. Отклонённая команда возвращает соответствующий протоколу ответ об ошибке (502 или 550); клиент остаётся совместимым с протоколом.
Жизненный цикл соединения данных
При обнаружении команды PORT или PASV TR7 связывает соединение данных с сессией. Между клиентом и TR7 и между TR7 и бэкендом существуют отдельные соединения данных. Эта структура позволяет контролируемо закрыть сессию при обнаружении нарушения политики во время передачи.
Поведение при высокой доступности
Новые FTP-сессии открываются на активном узле с той же политикой. Текущие крупные передачи данных могут прерваться при событии failover из-за природы протокола; если клиент поддерживает возобновление, передачу можно перезапустить или продолжить. Поэтому критические передачи следует тестировать на поведение клиента перед production-развёртыванием.
Аудит и потоковая передача в SIEM
Отдельные журналы можно создавать на уровне сессии, команды и передачи. Журналы можно отправлять в поток SIEM в структурированном формате. Режим monitor добавляет полный путь к файлу в строку журнала; режим filecopy добавляет местоположение сохранённой копии файла.
Управление лимитами и ресурсами
Одновременное число сессий, сессий на пользователя, сессий на IP, размер файла и скорость передачи — всё это можно ограничить политикой. Это предотвращает исчерпание FTP-инфраструктуры одним пользователем или некорректно работающим пакетным заданием. Пропускную способность и тайм-аут следует планировать совместно для крупных передач файлов.
Соответствие требованиям и аудит
Полный путь, временную метку, информацию о пользователе и, при необходимости, копию каждого переданного файла можно хранить. Срок хранения устанавливается в соответствии с политикой соответствия требованиям организации. Во время аудита FTP-трафик больше не является тёмной зоной.
Когда применять
Сегментация шлюза партнёрского FTP B2B по пользователю
Финансовое учреждение или государственный орган может обмениваться EDI-файлами с партнёрами через FTP. TR7 маршрутизирует каждого партнёра через единый VIP в собственный пул бэкенда, открывает только разрешённые команды и помещает каждую передачу под аудит.
Добавление защиты перед устаревшей системой управления документами
Если устаревшая документальная платформа поддерживает только загрузку по FTP, TR7 можно разместить спереди без изменения системы. Политика открывает только STOR и необходимые команды каталога, отклоняя команды удаления и переименования.
Применение политики только для чтения на мосту к мейнфрейму
В интеграциях, извлекающих файлы из мейнфреймной системы, пользователя можно ограничить командами только для чтения — RETR, LIST и SIZE. STOR, DELE, RNFR, RNTO, MKD и RMD отклоняются, снижая риск изменения данных.
Создание копий файлов и доказательств аудита для исходящего обмена
Когда медицинская или исследовательская команда отправляет наборы данных внешним партнёрам, каждую передачу можно сохранять с помощью filecopy. Ограничения размера файла, политика на пользователя и потоковая передача журналов в SIEM делают процесс обмена полностью поддающимся аудиту.
Часто задаваемые вопросы
Какими FTP-командами может управлять FTP Security Proxy?
Разве FTPS-трафик не блокирует видимость команд?
Как блокируются атаки FTP bounce и FXP?
В чём разница между режимом monitor и режимом filecopy?
Могут ли разные партнёры, подключённые к одному VIP, обращаться к бэкендам друг друга?
Покрывает ли FTP Security Proxy также SFTP?
Введите ваш FTP-трафик под уровень безопасности WAAP
Whitelist команд, политика на пользователя, защита от bounce/FXP и криминалистический аудит. Проведём живое демо настройки на вашей FTP-инфраструктуре.