Konfiguracija zaštitnog zida: kompletan vodič za zaštitu vaše mreže

Informatec Digital » Resursi » Konfiguracija zaštitnog zida: kompletan vodič za zaštitu vaše mreže

U bilo kojoj modernoj mreži, od kućnog Wi-Fi-ja do infrastrukture velikih preduzeća, zaštitni zid (firewall) je prva linija odbrane od napada, neovlaštenog pristupa i curenja podataka. Bez odgovarajuće konfiguracije, to je kao da ostavite ulazna vrata odškrinuta: ništa se ne može dogoditi... dok se to ne dogodi.

Uprkos tome, mnogi korisnici, pa čak i neke organizacije, imaju svoje zaštitne zidove (firewall) koji rade sa zadanim postavkama, bez da zaista razumiju šta rade ili kako ih prilagoditi . Ovdje ćete pronaći sveobuhvatan i vrlo praktičan vodič o tome šta je zaštitni zid (firewall), kako ga konfigurirati na Windows, macOS, Linux, ruterima i serverskim okruženjima, kao i napredne najbolje prakse (NGFW, segmentacija, evidentiranje, dodatni alati) kako biste mogli prilagoditi nivo zaštite svom okruženju bez preopterećenja.

Šta je zaštitni zid (firewall) i zašto je toliko važan?

Zaštitni zid (firewall) je sistem koji analizira promet koji ulazi i izlazi iz vaše mreže ili uređaja i odlučuje šta će dozvoliti, a šta će blokirati na osnovu skupa pravila. Ovaj promet se sastoji od paketa podataka koji putuju koristeći različite protokole (TCP, UDP, ICMP, itd.) i portove.

Ideja je jednostavna: zaštitni zid (firewall) djeluje kao filter i barijera između uređaja ili interne mreže i interneta . Provjerava odakle paket dolazi, kuda ide, koji port koristi i koju vrstu sadržaja nosi. Ako se podudara s dozvoljenim pravilom, propušta ga; ako ne, blokira ga. Ova logika nudi jasne prednosti: veću sigurnost, manju vjerovatnoću zaraze zlonamjernim softverom i veću kontrolu nad onim što ulazi, a što izlazi.

Zamislite svoj zaštitni zid (firewall) kao ulazna vrata vašeg digitalnog doma : vi odlučujete koga puštate unutra, koga ne puštate vani i koje dijelove kuće svaki gost može posjetiti. Nadalje, zaštitni zid ne samo da zaustavlja napade; on vam također omogućava da ograničite pristup određenim web stranicama ili aplikacijama koje, iako nisu zlonamjerne, ne želite da se koriste (na primjer, društvene mreže u korporativnom okruženju).

U stvarnom svijetu nalazimo dvije glavne vrste zaštitnih zidova (firewall-ova): softverski zaštitni zidovi (integrirani u operativni sistem ili instalirani kao program) i hardverski zaštitni zidovi (namjenski uređaji, često integrirani u profesionalne ili poslovne rutere). Pored toga, postoje zaštitni zidovi sljedeće generacije (NGFW-ovi) , koji kombiniraju nekoliko slojeva napredne sigurnosti, dubinsku inspekciju paketa, IPS te funkcije segmentacije i kontrole aplikacija.

Vrste zaštitnih zidova na koje možete naići

U okviru krovnog termina "zaštitni zid" (firewall) postoji nekoliko tehnologija s različitim pristupima. Njihovo razumijevanje vam pomaže da znate šta gledate kada provjeravate konfiguraciju svog rutera, operativni sistem ili NGFW preduzeća.

Prva grupa se sastoji od zaštitnih zidova (firewall) koji filtriraju pakete . Oni kreiraju kontrolne tačke na ruterima ili prekidačima i vrše jednostavnu provjeru svakog paketa na osnovu izvorne IP adrese, odredišne ​​IP adrese, porta i protokola. Brzi su, ali ne analiziraju sadržaj detaljno.

Zatim, tu su i zaštitni zidovi na nivou kola (engl. gateway firewalls ), koji se fokusiraju na odobravanje ili odbijanje veza na osnovu stanja sesije, bez detaljnog pregleda svakog paketa. Oni su veoma efikasni, ali manje efikasni u otkrivanju složenih prijetnji.

Zaštitni zidovi sa inspekcijom stanja (stateful inspection firewalls ) kombiniraju informacije o paketima s praćenjem TCP veze. Oni održavaju tabelu aktivnih sesija i provjeravaju da li se promet podudara s dozvoljenim tokom, pružajući robusniju zaštitu od jednostavnog statičkog filtriranja.

Također imamo gateway-e na nivou aplikacije ili proxy firewall-e . Oni rade na nivou aplikacije i pregledaju HTTP, FTP i ostali promet, omogućavajući vrlo granularne politike na osnovu tipa aplikacije ili čak sadržaja. Ovaj pristup čini osnovu mnogih cloud firewall-ova i alata za dubinsku inspekciju prometa.

Zaštitni zidovi sljedeće generacije (NGFW) integriraju dubinsku inspekciju, kontrolu aplikacija, funkcije sistema za sprječavanje upada (IPS), filtriranje web kategorija, naprednu analizu datoteka i sve više mogućnosti zasnovane na umjetnoj inteligenciji. Mogu se primijeniti kao fizička oprema, virtualne mašine ili usluge u oblaku.

Nadalje, na osnovu njihove lokacije, možemo razlikovati softverske zaštitne zidove (na svakom računaru, serveru ili uređaju) i hardverske zaštitne zidove (namjenski uređaji na perimetru mreže). Osim toga, postoje i oblačni zaštitni zidovi , koji djeluju kao veliki proxyji sposobni za skaliranje kako bi zaštitili distribuirana okruženja i organizacije s mnogo korisnika i lokacija.

Zaštitni zid na ruteru: prva linija odbrane u vašoj mreži

Ruter koji imate kod kuće ili u kancelariji obično ima ugrađeni zaštitni zid (firewall) i NAT/PAT . To znači da, prema zadanim postavkama, niko ne može otvoriti direktnu vezu s interneta na vaše interne uređaje osim ako nema prosljeđivanja portova, aktivne DMZ ili pogrešno konfiguriranih protokola poput UPnP-a.

Tipična politika na modernom ruteru je "zabraniti sav dolazni promet osim ako nije eksplicitno dozvoljeno ". Ovo je pojačano IPv4 NAT/PAT-om: interni uređaji koriste privatne IP adrese, a ruter prevodi njihove odlazne veze na javnu IP adresu. Svaki pokušaj pokretanja komunikacije s interneta bez otvorenog porta ili prethodno postojećeg pravila bit će odbijen.

Zato je toliko opasno otvoriti DMZ na računaru na lokalnoj mreži koji nema pravilno konfigurisan vlastiti zaštitni zid: taj računar će biti potpuno izložen internetu, sa svim dostupnim portovima osim onih koji su preusmjereni na drugi računar.

Osnovne najbolje prakse za zaštitne zidove rutera uključuju neotvaranje portova koji nisu strogo neophodni, izbjegavanje korištenja DMZ-a osim za vrlo specifične uređaje (poput igraće konzole) i uvijek onemogućavanje UPnP-a kako bi se spriječilo da uređaji sami otvaraju portove. Ručno otvaranje portova vam daje potpunu kontrolu nad onim što je izloženo.

Također je preporučljivo periodično provjeravati koji su portovi otvoreni, zatvarati one koji se više ne koriste i ograničavati, gdje je to moguće, IP adrese koje mogu pristupiti osjetljivim uslugama (na primjer, dozvoljavajući SSH samo s određene administrativne IP adrese, a ne s cijelog interneta).

Uobičajene opcije zaštitnog zida na kućnim i naprednim ruterima

U zavisnosti od marke vašeg rutera, opcije konfiguracije zaštitnog zida (firewall) mogu varirati, ali logika je slična: sigurnosni profil, pravila i dodatno filtriranje . Pogledajmo neke reprezentativne primjere.

ASUS ruteri

ASUS ruteri integrišu zaštitni zid (firewall) zasnovan na iptables protokolu . Sa web interfejsa, u meniju "Firewall", možete omogućiti ili onemogućiti zaštitni zid za IPv4 i IPv6 (omogućen je podrazumevano, kao što bi i trebalo da bude) i konfigurisati anti-DoS mere koje blokiraju izvorne adrese koje pokušavaju previše puta da se povežu.

Druga uobičajena opcija je blokiranje ping zahtjeva (ICMP Echo-zahtjeva) prema WAN interfejsu, tako da vaš ruter ne odgovara (prikriveni način rada). U IPv6 okruženjima , zaštitni zid (firewall) je konfiguriran s vrlo restriktivnom dolaznom politikom : svaki uređaj ima svoju javnu IP adresu, ali neočekivane dolazne veze su blokirane, dok su odlazne veze normalno dozvoljene.

ASUS također nudi funkciju "LAN to WAN Filter", koja vam omogućava blokiranje prometa s vaše LAN mreže na internet na temelju izvorne IP adrese, odredišne ​​IP adrese i portova. Osim toga, filtriranje URL-ova i ključnih riječi interno je podržano od strane zaštitnog zida kako bi se provela ograničenja.

Livebox ruteri (Livebox Fiber, itd.)

Na Livebox ruterima, koje obično koriste pružatelji internetskih usluga, zaštitni zid se upravlja iz izbornika "Napredne postavke > Postavke zaštitnog zida". Tamo možete birati između nekoliko nivoa: niski, srednji, visoki i prilagođeni.

"Nizak" nivo filtriranja praktično ne nudi filtriranje (osim onoga što je neophodno za NAT) i namijenjen je naprednim korisnicima koji daju prioritet fleksibilnosti nad sigurnošću. "Srednji" nivo filtriranja, koji je obično zadani, prekida sve dolazne veze i dozvoljava odlazni promet osim vrlo specifičnih servisa poput NetBIOS-a.

"Visoki" profil je najrestriktivniji: dozvoljava samo odlazne veze ka dobro definiranim standardnim servisima i blokira neočekivane dolazne veze. "Prilagođeni" način rada omogućava korisniku da postavi specifična pravila i namijenjen je administratorima koji znaju šta rade; lošom konfiguracijom možete blokirati legitimne servise ili ostaviti značajne ranjivosti.

AVM FRITZ!Box ruteri

FRITZ!Box uređaji imaju prilično sveobuhvatan zaštitni zid. U naprednom prikazu, pod menijem "Internet > Filteri", možete aktivirati prikriveni način rada kako biste izbjegli odgovaranje na pingove na WAN mreži i blokirali osjetljive portove kao što su 25 (nešifrirani SMTP), NetBIOS ili Teredo ako se ne koriste.

U NAT okruženjima, ključno je redovno pregledavati postavke prosljeđivanja portova i zatvarati one koje više nisu potrebne kako bi se spriječilo da zastarjele usluge postanu ulazne tačke. FRITZ!Box-ove vlastite usluge daljinskog upravljanja također bi trebale biti onemogućene ako nisu neophodne; umjesto toga, sigurnije je pristupiti ruteru putem VPN-a i, kada se jednom nađete unutar mreže, upravljati njime koristeći njegovu privatnu IP adresu.

FRITZ!Box također nudi udaljeni pristup zasnovan na IPsec-u i VPN veze od lokacije do lokacije. Ovo je dobar način da se izbjegne direktno izlaganje usluga internetu i da se sav udaljeni pristup prisili putem šifriranog i kontroliranog kanala.

Zaštitni zidovi sljedeće generacije (NGFW) i napredna sigurnost

U korporativnim okruženjima, zaštitni zidovi sljedeće generacije, poput FortiGate serije, idu daleko dalje od jednostavnog filtriranja portova. Ovi uređaji integriraju napredne mrežne funkcije i duboku sigurnost na jednoj platformi, smanjujući potrebu za brojnim odvojenim uređajima.

FortiGate, na primjer, zasnovan je na operativnom sistemu FortiOS i uključuje SD-WAN, ZTNA (Zero Trust Access), WLAN i LAN integraciju, dubinsku inspekciju šifriranog prometa, IPS , filtriranje web kategorija i mogućnosti analitike zasnovane na umjetnoj inteligenciji putem FortiGuard usluga.

Ovi NGFW-ovi se obično oslanjaju na prilagođenu ASIC arhitekturu , što omogućava vrlo visoke performanse i poboljšanu energetsku efikasnost, čak i prilikom pregleda velikih količina šifriranog prometa. Nadalje, integrirani su u ono što je poznato kao "Security Fabric": sigurnosnu mrežu koja obuhvata mreže, krajnje tačke i oblake, s objedinjenim politikama kojima se upravlja s platformi poput FortiManagera.

Ključ ovog pristupa je da je cijela površina mreže pokrivena konzistentnim politikama : od perimetra do krajnje tačke, uključujući hibridna i cloud okruženja. Ovo omogućava brz odgovor na nove prijetnje, segmentira složene mreže i pruža potpunu vidljivost saobraćaja i sigurnosnih događaja.

Koraci za dizajniranje i konfigurisanje dobro strukturiranog mrežnog zaštitnog zida

Kada govorimo o zaštitnim zidovima (firewall) u poslovnim mrežama (fizičkim ili virtualnim), nije dovoljno jednostavno priključiti opremu i ostaviti zadane postavke. Unaprijed dizajnirana konfiguracija zona, IP adresa i politika je neophodna kako bi se omogućila fina kontrola prometa.

Dizajn zona zaštitnog zida i sheme IP adresiranja

Prvi korak je identifikacija mrežne imovine (servera, kritičnih aplikacija, radnih stanica, IoT uređaja, POS sistema, VoIP-a itd.) i njihovo grupiranje prema njihovoj funkciji, nivou osjetljivosti i potrebama pristupa . Umjesto jedne, ravne mreže gdje je sve međusobno povezano, kreiraju se segmenti ili zone.

Tipično je definirati DMZ (demilitariziranu zonu) za servere izložene internetu, kao što su web, email, VPN ili javni API serveri. U ovim zonama pristup internetu je ograničen samo na ono što je apsolutno neophodno. Interni serveri, kao što su baze podataka, sistemi upravljanja, radne stanice i glasovni ili POS uređaji, smješteni su u internim zonama sa strožim sigurnosnim politikama.

Prilikom korištenja IPv4 protokola, neophodno je koristiti privatne raspone adresa za sve interne mreže i konfigurirati NAT tako da interni uređaji mogu pristupiti internetu kada je to potrebno. Kako se infrastruktura gradi, koriste se prekidači s VLAN podrškom za održavanje logičke odvojenosti sloja 2 između segmenata.

Nakon što su struktura zone i plan IP adresiranja jasni, odgovarajuće zone se kreiraju u zaštitnom zidu (firewall) i dodjeljuju fizičkim interfejsima ili podinterfejsima . Ovo mapiranje je ključno za osiguravanje da se pravila zaštitnog zida (firewall) ispravno primjenjuju između zona.

Konfigurišite liste kontrole pristupa (ACL)

Kada su zone sada definirane, vrijeme je za kreiranje pravila koja diktiraju šta može komunicirati s čim . Ova pravila se implementiraju kao ACL-ovi (liste kontrole pristupa), gdje je dozvoljeni (ili zabranjeni) promet između zona specificiran što je detaljnije moguće.

Liste kontrole pristupa (ACL) primjenjuju se po interfejsu ili podinterfejsu zaštitnog zida, a najbolje je što preciznije podesiti izvornu IP adresu, odredišnu IP adresu i portove . Drugim riječima, bolje je dozvoliti "ovom serveru ovaj port na ovoj bazi podataka" nego "cijeloj ovoj mreži sve portove na drugoj mreži".

Vrlo važno pravilo je "zabraniti sve" na kraju svakog ACL-a. Ova restriktivna politika osigurava da se blokira svaki promet koji nije eksplicitno pokriven . Nakon toga, dolazni i odlazni ACL-ovi se primjenjuju na svaki interfejs, prilagođavajući ponašanje prema smjeru prometa.

Dobra je ideja onemogućiti javni pristup upravljačkim interfejsima zaštitnog zida i provjeriti ne samo da li aplikacije rade, već i da li je neželjeni promet efikasno blokiran . Na primjer, trebali biste provjeriti da li funkcije kontrole na nivou aplikacije (blokiranje web kategorija, napredna analiza datoteka, IPS itd.) rade kako se očekuje.

Konfigurirajte dodatne usluge i zapisnike

Mnogi zaštitni zidovi (firewalls) vam omogućavaju da direktno na uređaju omogućite dodatne usluge poput DHCP-a, NTP-a ili IPS-a. Omogućite samo one usluge koje ćete zapravo koristiti; onemogućite ostale kako biste smanjili površinu za napad.

Još jedan kritičan aspekt je konfiguracija evidentiranja. Da bi se uskladio s propisima kao što je PCI DSS , zaštitni zid (firewall) mora slati detaljne evidencije (logger) na server za evidentiranje ili SIEM, koje pokrivaju aspekte kao što su ko pristupa sistemu, odakle, kojoj usluzi i s kojim rezultatom. PCI DSS, na primjer, postavlja specifične zahtjeve u odjeljcima 10.2 i 10.3 u vezi sa sadržajem ovih evidencija.

Količina logova može biti velika, ali to je jedini način za reviziju pristupa i otkrivanje obrazaca napada ili anomalija . Preporučljivo je definirati politike za zadržavanje, rotiranje i praćenje ovih događaja kako biste mogli brzo reagirati kada se čini da nešto nije u redu.

Detaljno testirajte konfiguraciju

Prije implementacije nove konfiguracije zaštitnog zida ili nakon veće promjene, bitno je provjeriti da li blokira ono što bi trebao, a dozvoljava ono što je neophodno . To uključuje skeniranje portova, procjene ranjivosti i testiranje penetracije.

Također je bitno imati sigurnosne kopije konfiguracije na sigurnoj lokaciji i testirati proces vraćanja na prethodnu lokaciju. Prije nego što napravite bilo kakve kritične promjene, dokumentirajte planirane izmjene i provjerite znate li kako vratiti zaštitni zid u prvobitno stanje ako nešto pođe po zlu tokom perioda održavanja.

Zaštitni zid (firewall) u mrežama virtuelnih servera (privatni ili javni oblak)

Na platformama cloud servera, uobičajeno je imati zaštitni zid na nivou mreže koji se može konfigurirati iz kontrolne ploče, pored vlastitog zaštitnog zida operativnog sistema i svih međuzaštitnih zidova. Razumijevanje redoslijeda kojim se oni primjenjuju pomaže u izbjegavanju sukoba pravila.

Tipično, dolazni paketi prvo prolaze kroz mrežni zaštitni zid (upravljan od strane platforme), zatim kroz zaštitni zid servera (na primjer, iptables na Linuxu ili Windows zaštitni zid), i na kraju kroz sve dodatne softverske zaštitne zidove. Odlazni promet slijedi obrnutu putanju.

U ovoj vrsti panela, konfiguracija se obično zasniva na pravilima sa nazivom, radnjom (dozvoljeno ili zabranjeno), izvorom i odredištem (IP, rasponi, CIDR, "bilo koji", "interni", "eksterni"), izvornim i odredišnim portovima (određeni port, raspon ili "bilo koji") i protokolom (TCP, UDP, oba ili ICMP).

Ključni detalj je redoslijed pravila : što je pravilo više na listi, to je njegov prioritet veći. Pravilo "zabrani" postavljeno prije pravila "dozvoli" za isti promet uzrokovat će blokiranje tog prometa. Zato vam obično omogućavaju promjenu redoslijeda pravila prevlačenjem i ispuštanjem, kako biste prilagodili prioritete.

Ako je zaštitni zid (firewall) u isključenom načinu rada, svi paketi ulaze i izlaze bez filtriranja. U aktivnom načinu rada, zadano ponašanje je obično "dozvoli sve što ne odgovara nijednom pravilu", iako je mnogo sigurnije postaviti zadanu politiku odbijanja i dozvoliti samo ono što je neophodno , posebno u okruženjima s osjetljivim podacima.

Zaštitni zid u operativnom sistemu: Windows, macOS i Linux

Pored zaštitnog zida rutera i bilo kojeg zaštitnog zida mreže zasnovanog na oblaku, svaki moderni sistem uključuje vlastiti sloj zaštite. Pravilno konfigurisanje pruža pristup dubinske odbrane , posebno koristan ako je bilo koji servis izložen internetu ili ako napadač dobije pristup lokalnoj mreži.

Windows zaštitni zid: osnovna i napredna konfiguracija

U Windowsu, ugrađeni zaštitni zid (Windows Defender zaštitni zid ili Microsoft Defender zaštitni zid) filtrira promet na osnovu unaprijed definiranih i prilagođenih pravila . Možete ga pregledati i upravljati njime iz aplikacije Windows sigurnost, u odjeljku "Zaštitni zid i zaštita mreže".

Prvi korak je provjera aktivnog mrežnog profila: domena, privatna ili javna. Privatna mreža (poput vaše kućne mreže) pretpostavlja relativno pouzdano okruženje i omogućava više dolaznih veza, dok javna mreža (poput Wi-Fi mreže u kafiću) ima stroža pravila i blokira gotovo sve što dolazi izvana.

Iz ovog interfejsa možete omogućiti ili onemogućiti zaštitni zid (firewall) za svaki tip mreže, iako njegovo onemogućavanje nije dobra ideja jer povećava ranjivost na neovlašteni pristup . Ako legitimna aplikacija ne radi jer je blokirana, ispravan pristup je kreiranje izuzetka ili otvaranje određenog porta za nju, a ne isključivanje cijelog zaštitnog zida (firewall).

Napredne postavke upravljaju pravilima za dolazni i odlazni promet , koja određuju koje su veze dozvoljene. Windows klasificira ova pravila u četiri tipa: pravila programa (koja dozvoljavaju ili blokiraju određenu izvršnu datoteku), pravila portova (koja kontrolišu određene TCP/UDP portove), unaprijed definirana pravila (koja pruža sistem) i prilagođena pravila (najfleksibilnija, omogućavaju vam kombinovanje programa, porta, protokola i adrese).

Osim toga, postoji opcija za blokiranje svih dolaznih veza , uključujući i one na listi dozvoljenih. Ovo je korisno kada vam je potrebna maksimalna sigurnost, iako može uzrokovati prestanak rada bitnih usluga (dijeljene datoteke, udaljena radna površina itd.).

Mnoge organizacije koriste centralizovane alate za upravljanje, kao što je Ivanti Endpoint Security Solution Agent Configuration . Ovi alati omogućavaju korisnicima da kreiraju politiku Windows zaštitnog zida i da je masovno implementiraju na uređaje koji koriste različite verzije Windowsa (XP/2003, Vista i novije), definišući dolazna/odlazna pravila, izuzetke i aktivaciju/deaktivaciju zaštitnog zida kao dio zadataka konfiguracije ili popravke.

Pomoć, uslužni programi i sigurnosne definicije u Windows zaštitnom zidu

Detaljna konfiguracija može biti donekle komplicirana, pa postoje alati koji olakšavaju svakodnevne zadatke. TinyWall , na primjer, djeluje kao sloj upravljanja preko Windows zaštitnog zida i omogućava vam promjenu načina rada (manje ili više restriktivnih), prikaz aktivnih veza, kreiranje bijelih lista i sprječavanje samog zaštitnog zida da blokira aplikacije koje su vam potrebne.

Drugi primjer je Windows Firewall Control , koji se integrira u sistemsku traku i nudi brze profile (visoki, srednji, niski, bez filtera) i praktičan interfejs za upravljanje pravilima, uvoz/izvoz konfiguracija i aktiviranje načina učenja koji detektira digitalno potpisane programe kako bi inteligentnije kreirao pravila.

U sigurnosnim rješenjima za preduzeća, kao što je Ivanti Endpoint Security, definirane su specifične sigurnosne prijetnje povezane sa Windows zaštitnim zidom (na primjer, ST000102 za Windows zaštitni zid u XP/2003). Ove definicije uključuju prilagodljive varijable koje vam omogućavaju da pratite da li stvarna konfiguracija zaštitnog zida odgovara željenoj politici i, ako ne, označite računar kao ranjiv i pokrenete zadatke popravke kako biste primijenili ispravne postavke.

Zaštitni zid u macOS-u

Na Mac računaru, zaštitni zid se konfiguriše u odjeljku "Postavke sistema" (ili "Preferencije sistema" u starijim verzijama) . Tamo ga možete aktivirati, a zatim pristupiti naprednim opcijama kako biste odlučili kako će se rukovati dolaznim vezama.

Između ostalog, možete blokirati neželjene veze , dozvoliti samo bitne aplikacije i usluge, kontrolisati koje određene aplikacije mogu primati promet i omogućiti automatsko dodavanje pouzdanih aplikacija na listu dozvoljenih. To je jednostavniji sistem od Windowsa u smislu detalja portova, ali vrlo efikasan za prosječnog korisnika.

U korporativnim okruženjima, ovo je obično dopunjeno centralno upravljanim sigurnosnim politikama, koje osiguravaju da svi Mac računari slijede ista pravila u vezi s izloženim servisima i aplikacijama kojima je dozvoljeno primanje konekcija.

Zaštitni zid na Linuxu: UFW kao jednostavna opcija

U Linuxu, posebno u distribucijama poput Ubuntua, uobičajeno je upravljati iptablesima (ili nftablesima) korištenjem alata koji su jednostavniji za korištenje. Jedan od najpopularnijih je UFW (Uncomplicated Firewall) , koji nudi jednostavne naredbe za aktiviranje zaštitnog zida i definiranje pravila.

Instalacija se vrši putem upravitelja paketa (na primjer, „sudo apt-get install ufw“), i iako je UFW obično podrazumevano onemogućen, preporučljivo je provjeriti njegov status pomoću „sudo ufw status“ prije nego što ga omogućite. Nemojte ga omogućavati bez prethodnog definisanja osnovnih pravila , jer bi to blokiralo sve dolazne veze i mogli biste izgubiti udaljeni pristup.

Tipična pravila uključuju dozvoljavanje SSH-a („sudo ufw allow ssh“) ​​za održavanje udaljenog pristupa, otvaranje HTTP i HTTPS-a („sudo ufw allow http“, „sudo ufw allow https“) za web servere , a zatim dodavanje portova po potrebi. Nakon što su osnovna pravila postavljena, zaštitni zid se omogućava sa „sudo ufw enable“, a njegov status se provjerava sa „sudo ufw status“, koji prikazuje listu dozvoljenih servisa i portova.

Budući da je Linux već prilično robustan sistem, konfigurisanje UFW-a pruža dodatni sloj sigurnosti koji se toplo preporučuje , posebno na serverima dostupnim s interneta.

Segmentacija mreže, politike i sprječavanje krađe akreditiva

Jedna od najefikasnijih strategija za poboljšanje sigurnosti je segmentacija mreže . Podjelom mreže na segmente (po funkciji, tipu uređaja, nivou rizika), promet iz jednog segmenta nije vidljiv iz drugog, što smanjuje utjecaj bilo kakvog incidenta.

Ovo je posebno relevantno za IoT uređaje, koji često rade na starijim, ranjivim sistemima. Njihovo postavljanje u VLAN mreže ili izolovane zone i strogo ograničavanje njihovog pristupa minimizira rizik od kvara IP kamere ili senzora koji ugrožava cijelu korporativnu mrežu.

Još jedno ključno pitanje je optimizacija politika zaštitnog zida (firewall-a) . Dodavanje pravila bez njihovog pregleda dovodi do haotičnog nagomilavanja, sukoba i gotovo neupravljivog zaštitnog zida. Idealno bi bilo da pređete sa pravila zasnovanih na portovima na pravila zasnovana na aplikacijama, sa jasnom vidljivošću koje usluge su dozvoljene ili zabranjene, i da ih periodično pregledate kako biste uklonili zastarjele unose.

Neki napredni zaštitni zidovi uključuju funkcije za sprječavanje krađe korporativnih akreditiva . Oni skeniraju pokušaje prijave (korisničko ime i lozinka) i upoređuju ih s internim listama računa organizacije, blokirajući njihovu upotrebu na vanjskim stranicama kao što su društvene mreže ili usluge koje nisu povezane s poslovanjem. Također mogu prikazivati ​​upozorenja korisniku koja objašnjavaju rizike ponovne upotrebe poslovnih akreditiva.

Ove vrste kontrola ne samo da zaustavljaju direktne napade, već služe i kao alat za podizanje svijesti o sigurnosti , čineći utjecaj navika korištenja lozinki izvan korporativnog okruženja vidljivijim zaposlenicima.

Šta se dešava ako onemogućite zaštitni zid (i zašto ne biste trebali)

Uobičajeno je da neko ko ima problema s aplikacijom ili online igrom pokuša onemogućiti zaštitni zid "kako bi vidio hoće li to riješiti problem ". I da, ponekad to rješava trenutni problem, ali otvara vrata mnogim rizicima koji nisu odmah očigledni.

Bez zaštitnog zida (firewall-a), sistem je izložen vanjskim prijetnjama kao što su zlonamjerni softver, trojanci, virusi i drugi napadi koji se mogu instalirati bez ikakvih prepreka. Napadači mogu pokušati skenirati portove rutera i, ako su i NAT pravila slaba, pronaći slabo zaštićene servise i koristiti ih kao ulazne tačke.

Zaštitni zid (firewall) također kontrolira odlazne podatke : bez njega, svaka zlonamjerna aplikacija bi imala potpunu slobodu slati osjetljive informacije vanjskom svijetu. Nadalje, mnoge aplikacije se oslanjaju na zaštitni zid za sprječavanje napada skeniranja portova ili manjih DDoS napada; njegovo onemogućavanje eliminira taj međuspremnik.

Ako aplikacija ne radi zbog zaštitnog zida (firewall), profesionalno rješenje nije isključiti ga, već kreirati posebno pravilo koje dozvoljava potreban promet , provjeriti treba li ruter otvoriti neke portove i uskladiti pravila kako ne bi bilo sukoba između lokalnog zaštitnog zida (firewall) i zaštitnog zida mrežne opreme.

Koegzistencija više zaštitnih zidova: rutera i računara istovremeno

Kada imate jedan zaštitni zid (firewall) na ruteru, a drugi na računaru (na primjer, Windows zaštitni zid), sav dolazni promet prvo prolazi kroz ruter, a zatim kroz računar. Ova dvoslojna sigurnost, kada je pravilno konfigurisana, povećava ukupnu sigurnost jer kvar u jednom sloju može biti kompenzovan drugim.

Međutim, morate biti oprezni s nekonzistentnim pravilima . Ako ruter blokira port koji dozvoljava zaštitni zid računara ili obrnuto, možete pronaći servise koji ne rade i nećete biti sigurni koji od dva sloja uzrokuje problem.

U praksi, najrazumniji pristup je da zaštitni zid rutera djeluje kao primarna perimetralna barijera , propuštajući samo ono što je zaista potrebno s interneta, dok zaštitni zid računara kontrolira promet između uređaja na lokalnoj mreži (LAN) i svaku sumnjivu odlaznu komunikaciju. Ovo, u kombinaciji s dobro konfiguriranim NAT-om i izbjegavanjem prekomjerne upotrebe DMZ-a i UPnP-a, pruža vrlo robustan nivo zaštite za kućno ili malo kancelarijsko okruženje.

U konačnici, razumijevanje načina na koji različiti zaštitni zidovi (ruter, operativni sistem, oblak, korporativni NGFW) funkcionišu i kako su povezani omogućava vam da donosite informiranije odluke: koje servise izložiti, gdje segmentirati, koje logove čuvati i kako prilagoditi pravila kako biste održali ravnotežu između sigurnosti i upotrebljivosti na vašoj mreži i uređajima.