- Tulemüür kontrollib võrguliiklust, rakendades IP-aadressidel, portidel, protokollidel ja rakendustel põhinevaid reegleid volitamata juurdepääsu blokeerimiseks.
- Ruuteri tulemüüri, operatsioonisüsteemi ja vajadusel NGFW ning segmenteerimise kombinatsioon pakub tõhusat kaitset sügavuti.
- Võrgu tsoonide, pääsuloendite ja kirjete nõuetekohane kujundamine ning konfiguratsiooni testimine turvatestidega on ettevõtte keskkondades võtmetähtsusega.
- Tulemüüri mugavuse huvides keelamine seab süsteemi tõsistesse ohtudesse; õige lähenemisviis on kehtestada kindlad reeglid ja hoida see alati aktiivsena.
Igas tänapäevases võrgus, alates kodusest WiFi-st kuni suurettevõtte infrastruktuurini, on tulemüür esimene kaitseliin rünnakute, volitamata juurdepääsu ja andmelekete vastu. Ilma korraliku konfiguratsioonita on see nagu välisukse irvakil jätmine: midagi ei pruugi juhtuda... kuni see juhtub.
Sellegipoolest töötavad paljudel kasutajatel ja isegi mõnedel organisatsioonidel tulemüürid vaikesätetega , ilma et nad tegelikult mõistaksid, mida need teevad või kuidas neid reguleerida . Siit leiate põhjaliku ja väga praktilise juhendi selle kohta, mis on tulemüür, kuidas seda Windowsi, macOS-i, Linuxi, ruuterite ja serverikeskkondade jaoks konfigureerida, samuti edasijõudnud parimad tavad (NGFW, segmenteerimine, logimine, lisatööriistad), et saaksite oma keskkonnale vastava kaitsetaseme kohandada ilma ülekoormamata.
Mis on tulemüür ja miks see nii oluline on?
Tulemüür on süsteem, mis analüüsib teie võrku või seadmesse sisenevat ja sealt väljuvat liiklust ning otsustab reeglite kogumi põhjal, mida lubada ja mida blokeerida. See liiklus koosneb andmepakettidest, mis liiguvad erinevate protokollide (TCP, UDP, ICMP jne) ja portide kaudu.
Idee on lihtne: tulemüür toimib filtri ja barjäärina seadme või sisevõrgu ja interneti vahel . See kontrollib, kust pakett tuleb, kuhu see läheb, millist porti see kasutab ja millist tüüpi sisu see kannab. Kui see vastab lubatud reeglile, laseb see selle läbi; kui mitte, blokeerib see selle. See loogika pakub selgeid eeliseid: suurem turvalisus, väiksem pahavara nakatumise tõenäosus ja suurem kontroll selle üle, mis läheb sisse ja mis läheb välja.
Kujutage ette oma tulemüüri kui oma digitaalse kodu välisust : teie otsustate, keda sisse lasete, keda eemal hoiate ja milliseid maja alasid iga külaline külastada saab. Lisaks ei peata tulemüür mitte ainult rünnakuid, vaid võimaldab teil ka piirata juurdepääsu teatud veebisaitidele või rakendustele, mis pole küll pahatahtlikud, aga mida te ei soovi kasutada (näiteks sotsiaalmeedia ettevõtte keskkonnas).
Tegelikkuses kohtame kahte peamist tüüpi tulemüüre: tarkvaralised tulemüürid (integreeritud operatsioonisüsteemi või installitud programmina) ja riistvaralised tulemüürid (spetsiaalsed seadmed, sageli integreeritud professionaalsetesse või ettevõtte ruuteritesse). Lisaks on olemas järgmise põlvkonna tulemüürid (NGFW-d) , mis ühendavad endas mitu täiustatud turvalisuse kihti, sügavat pakettide kontrolli, IPS-i ning rakenduste segmenteerimise ja juhtimise funktsioone.
Tulemüüride tüübid, millega võite kokku puutuda
Üldmõiste "tulemüür" hõlmab mitmeid tehnoloogiaid, millel on erinevad lähenemisviisid. Nende mõistmine aitab teil teada, mida te oma ruuteri konfiguratsiooni, operatsioonisüsteemi või ettevõtte NGFW-d kontrollides vaatate.
Esimene rühm koosneb pakette filtreerivatest tulemüüridest . Need loovad ruuteritele või kommutaatoritele kontrollpunktid ja teostavad iga paketi lihtsa kontrolli lähte-IP-aadressi, sihtkoha IP-aadressi, pordi ja protokolli põhjal. Need on kiired, kuid ei analüüsi sisu põhjalikult.
Lisaks on olemas vooluringi tasemel lüüsi tulemüürid , mis keskenduvad ühenduste kinnitamisele või keelamisele seansi oleku põhjal, ilma iga paketti üksikasjalikult kontrollimata. Need on väga tõhusad, kuid vähem efektiivsed keerukate ohtude tuvastamisel.
Olekupõhised kontrollivad tulemüürid ühendavad paketiinfo TCP-ühenduste jälgimisega. Need peavad aktiivsete seansside tabelit ja kontrollivad, kas liiklus vastab lubatud voogule, pakkudes seega tugevamat kaitset kui lihtne staatiline filtreerimine.
Meil on ka rakendustasandi väravad ehk puhverserveri tulemüürid . Need toimivad rakendustasandil ja kontrollivad HTTP, FTP ja muud liiklust, võimaldades väga detailseid poliitikaid, mis põhinevad rakenduse tüübil või isegi sisul. See lähenemisviis on paljude pilvepõhiste tulemüüride ja süvaliikluse kontrollimise tööriistade alus.
Järgmise põlvkonna tulemüürid (NGFW-d) integreerivad süvakontrolli, rakenduste kontrolli, sissetungimise ennetamise süsteemi (IPS) funktsioonid, veebikategooriate filtreerimise, täiustatud failianalüüsi ja üha enam ka tehisintellektil põhinevaid võimalusi. Neid saab juurutada füüsiliste seadmete, virtuaalsete masinate või pilveteenustena.
Lisaks saame asukoha põhjal eristada tarkvaralisi tulemüüre (igas arvutis, serveris või seadmes) ja riistvaralisi tulemüüre (võrgu perimeetril asuvad spetsiaalsed seadmed). Lisaks on olemas pilvepõhised tulemüürid , mis toimivad suurte ja skaleeritavate puhverserveritena, et kaitsta hajutatud keskkondi ja organisatsioone, kus on palju kasutajaid ja asukohti.
Ruuteri tulemüür: teie võrgu esimene kaitseliin
Ruuteril, mis sul kodus või kontoris on, on tavaliselt sisseehitatud tulemüür ja NAT/PAT . See tähendab, et vaikimisi ei saa keegi avada otseühendust internetist sinu siseseadmetega, kui poleks kasutatud pordi edastamist, aktiivset DMZ-d või valesti konfigureeritud protokolle nagu UPnP.
Tänapäevase ruuteri tüüpiline reegel on "keelata kogu sissetulev liiklus, kui see pole selgesõnaliselt lubatud ". Seda tugevdab IPv4 NAT/PAT: sisemised seadmed kasutavad privaatseid IP-sid ja ruuter teisendab nende väljaminevad ühendused avalikuks IP-ks. Kõik katsed alustada internetist sidet ilma avatud pordi või eelnevalt kehtestatud reeglita lükatakse tagasi.
Seepärast on nii ohtlik avada DMZ kohtvõrgus olevale arvutile, millel pole korralikult konfigureeritud tulemüüri: see arvuti on täielikult internetile avatud ja kõik pordid on ligipääsetavad, välja arvatud need, mis suunatakse ümber teisele masinale.
Ruuteri tulemüüride parimate tavade hulka kuuluvad mittevajalike portide avamata jätmine, DMZ kasutamise vältimine, välja arvatud väga spetsiifiliste seadmete (näiteks mängukonsooli) puhul, ja UPnP alati keelamine, et seadmed ei saaks ise porte avada. Portide käsitsi avamine annab teile täieliku kontrolli selle üle, mis on avatud.
Samuti on soovitatav perioodiliselt kontrollida, millised pordid on avatud, sulgeda need, mida enam ei kasutata, ja võimaluse korral piirata IP-aadresse, mis pääsevad ligi tundlikele teenustele (näiteks lubades SSH-d ainult konkreetselt administratiivselt IP-aadressilt, mitte kogu internetist).
Kodu- ja täiustatud ruuterite levinumad tulemüüri valikud
Sõltuvalt teie ruuteri kaubamärgist võivad tulemüüri konfiguratsioonivalikud erineda, kuid loogika on sarnane: turvaprofiil, reeglid ja täiendav filtreerimine . Vaatame mõningaid näiteid.
ASUS-ruuterid
ASUS-i ruuteritel on integreeritud iptables- põhine tulemüür . Veebiliidese menüüs "Tulemüür" saate IPv4 ja IPv6 tulemüüri lubada või keelata (see on vaikimisi lubatud, nagu peakski olema) ning konfigureerida DoS-vastaseid meetmeid, mis blokeerivad liiga palju ühenduse loomise katseid tegevad lähteaadressid.
Teine levinud valik on blokeerida WAN-liidesele saadetavad ping-päringud (ICMP Echo-päringud), nii et teie ruuter ei vasta (salajane režiim). IPv6- keskkondades on tulemüür konfigureeritud väga piirava sissetuleva ühenduse poliitikaga : igal seadmel on oma avalik IP-aadress, kuid ootamatud sissetulevad ühendused blokeeritakse, samas kui väljaminevad ühendused on tavapäraselt lubatud.
ASUS pakub ka funktsiooni „LAN-ist WAN-i filtreerimine”, mis võimaldab teil blokeerida liiklust oma LAN-ist internetti allika IP-aadressi, sihtkoha IP-aadressi ja portide põhjal. Lisaks toetab tulemüür piirangute jõustamiseks URL-ide ja märksõnade filtreerimist sisemiselt.
Liveboxi ruuterid (Livebox Fiber jne)
Liveboxi ruuterites, mida internetiteenuse pakkujad tavaliselt kasutavad, hallatakse tulemüüri menüüst „Täpsemad sätted > Tulemüüri sätted“. Seal saate valida mitme taseme vahel: madal, keskmine, kõrge ja kohandatud.
„Madal” filtreerimistase praktiliselt ei paku mingit filtreerimist (välja arvatud NAT-i jaoks hädavajalik) ja on mõeldud edasijõudnutele kasutajatele, kes eelistavad paindlikkust turvalisusele. „Keskmine” filtreerimistase, mis on tavaliselt vaikeväärtus, katkestab kõik sissetulevad ühendused ja lubab väljamineva liikluse, välja arvatud väga spetsiifilised teenused, näiteks NetBIOS.
„Kõrge” profiil on kõige piiravam: see lubab väljaminevaid ühendusi ainult täpselt määratletud standardteenustega ja blokeerib ootamatud sissetulevad ühendused. „Kohandatud” režiim võimaldab kasutajal määrata konkreetseid reegleid ja on mõeldud administraatoritele, kes teavad, mida nad teevad; halva konfiguratsiooni korral saate blokeerida legitiimseid teenuseid või jätta olulisi haavatavusi.
AVM FRITZ!Box ruuterid
FRITZ!Boxi seadmetel on üsna ulatuslik tulemüür. Täpsema vaate menüüs "Internet > Filtrid" saate aktiveerida varjatud režiimi , et vältida WAN-võrgu pingidele reageerimist ja blokeerida tundlikke porte, näiteks 25 (krüpteerimata SMTP), NetBIOS või Teredo, kui neid ei kasutata.
NAT-keskkondades on ülioluline regulaarselt üle vaadata pordi edastamise seaded ja sulgeda kõik, mida enam vaja pole, et vältida aegunud teenuste sattumist sisenemispunktidesse. FRITZ!Boxi enda kaughaldusteenused tuleks samuti keelata, kui need pole hädavajalikud; selle asemel on turvalisem ruuterile juurde pääseda VPN-i kaudu ja võrgus olles seda hallata selle privaatse IP-aadressi abil.
FRITZ!Box pakub ka IPsec-põhist kaugjuurdepääsu ja veebisaitidevahelisi VPN-ühendusi. See on hea viis vältida teenuste otsest kokkupuudet internetiga ja sundida kogu kaugjuurdepääs toimuma krüptitud ja kontrollitud kanali kaudu.
Järgmise põlvkonna tulemüürid (NGFW) ja täiustatud turvalisus
Ettevõttekeskkondades lähevad järgmise põlvkonna tulemüürid, näiteks FortiGate'i tootesari, palju enamat kui lihtsalt portide filtreerimine. Need seadmed integreerivad täiustatud võrgufunktsioonid ja sügava turvalisuse ühele platvormile, vähendades vajadust arvukate eraldi seadmete järele.
Näiteks FortiGate põhineb FortiOS operatsioonisüsteemil ja hõlmab SD-WAN-i, ZTNA-d (Zero Trust Access), WLAN-i ja LAN-i integratsiooni, krüptitud liikluse süvakontrolli, IPS-i , veebikategooriate filtreerimist ja tehisintellektil põhinevaid analüüsivõimalusi FortiGuardi teenuste kaudu.
Need NGFW-d tuginevad tavaliselt kohandatud ASIC- arhitektuurile , mis võimaldab väga suurt jõudlust ja paremat energiatõhusust isegi suurte krüpteeritud liiklusmahtude kontrollimisel. Lisaks on need integreeritud nn turvakangasse: turvavõrku, mis hõlmab võrke, lõpp-punkte ja pilvi ning mille ühtsed poliitikad hallatakse platvormidelt nagu FortiManager.
Selle lähenemisviisi võti seisneb selles, et kogu võrgupind on kaetud ühtsete poliitikatega : perimeetrist lõpp-punktini, sealhulgas hübriid- ja pilvekeskkonnad. See hõlbustab kiiret reageerimist tekkivatele ohtudele, segmenteerib keerulisi võrke ning pakub täielikku ülevaadet liiklusest ja turvasündmustest.
Hästi struktureeritud võrgu tulemüüri kujundamise ja seadistamise sammud
Ettevõtte võrkudes (füüsilistes või virtuaalsetes) tulemüüridest rääkides ei piisa seadmete ühendamisest ja vaikesätete säilitamisest. Liikluse täpseks juhtimiseks on vaja eelnevalt kujundatud tsoonide, IP-aadresside ja poliitikate konfiguratsiooni.
Tulemüüri tsoonide ja IP-aadressiskeemi kujundamine
Esimene samm on võrguvarade (serverid, kriitilised rakendused, tööjaamad, IoT-seadmed, POS-süsteemid, VoIP jne) tuvastamine ja nende rühmitamine vastavalt nende funktsioonile, tundlikkustasemele ja juurdepääsuvajadustele . Ühe lameda võrgu asemel, kus kõik on omavahel ühendatud, luuakse segmendid ehk tsoonid.
Tavaliselt määratletakse DMZ (demilitariseeritud tsoon) internetiga ühendatud serverite, näiteks veebi-, e-posti-, VPN- või avalike API-serverite jaoks. Nendes tsoonides on internetiühendus piiratud ainult hädavajalikuga. Sisemised serverid, näiteks andmebaasid, haldussüsteemid, tööjaamad ning kõne- või müügikohaseadmed, paigutatakse rangemate turvapoliitikatega sisemistesse tsoonidesse.
IPv4 kasutamisel on oluline kasutada kõigi sisevõrkude jaoks privaatseid aadressivahemikke ja konfigureerida NAT nii, et sisemised seadmed saaksid vajadusel internetti pääseda. Infrastruktuuri ehitamisel kasutatakse VLAN-toega lüliteid, et säilitada 2. kihi loogiline eraldatus segmentide vahel.
Kui tsooni struktuur ja IP-aadresside plaan on selged, luuakse tulemüüris vastavad tsoonid ja määratakse füüsilistele liidestele või alamliidestele . See kaardistamine on võtmetähtsusega, et tagada tulemüüri reeglite õige rakendamine tsoonide vahel.
Juurdepääsuloendite (ACL-ide) seadistamine
Nüüd, kui tsoonid on määratletud, on aeg luua reeglid , mis määravad, mis millega suhelda saab . Need reeglid rakendatakse ACL-idena (pääsuloenditena), kus tsoonidevaheline lubatud (või keelatud) liiklus on võimalikult detailselt määratletud.
Ligipääsuloendid (ACL-id) rakendatakse tulemüüri liidese või alamliidese kaupa ning kõige parem on lähte-IP-aadress, siht-IP-aadress ja pordid võimalikult täpselt paika panna . Teisisõnu, parem on lubada „sellel serveril selle andmebaasi pordi juurde“ kui „kogu sellel võrgul kõigi teise võrgu portide juurde“.
Väga oluline reegel on iga ACL-i lõpus keelata kõik. See piirav poliitika tagab, et blokeeritakse kogu liiklus, mis pole selgesõnaliselt hõlmatud . Seejärel rakendatakse igale liidesele sissetulevad ja väljaminevad ACL-id, kohandades käitumist vastavalt liikluse suunale.
Hea mõte on keelata avalik juurdepääs tulemüüri haldusliidestele ja testida mitte ainult rakenduste toimimist, vaid ka soovimatu liikluse tõhusat blokeerimist . Näiteks peaksite kontrollima, kas rakenduse tasemel juhtimisfunktsioonid (veebikategooriate blokeerimine, täiustatud failianalüüs, IPS jne) töötavad ootuspäraselt.
Lisateenuste ja logide konfigureerimine
Paljud tulemüürid võimaldavad teil otse seadmes lubada lisateenuseid, näiteks DHCP, NTP või IPS. Lubage ainult need teenused, mida te tegelikult kasutate; ülejäänud keelake, et vähendada rünnakupinda.
Teine kriitiline aspekt on logimise konfiguratsioon. Selliste eeskirjade nagu PCI DSS järgimiseks peab tulemüür saatma logimisserverisse või SIEM-i üksikasjalikud logid, mis hõlmavad selliseid aspekte nagu kes süsteemile juurde pääseb, kust, millise teenuse kaudu ja millise tulemusega. Näiteks PCI DSS seab punktides 10.2 ja 10.3 nende logide sisu kohta konkreetsed nõuded.
Logide maht võib olla suur, kuid see on ainus viis juurdepääsu auditeerimiseks ja rünnakumustrite või anomaaliate tuvastamiseks . Soovitatav on määratleda poliitikad nende sündmuste säilitamiseks, roteerimiseks ja jälgimiseks, et oleks võimalik kiiresti reageerida, kui midagi tundub valesti olevat.
Testige konfiguratsiooni põhjalikult
Enne uue tulemüüri konfiguratsiooni juurutamist või pärast suuremat muudatust on oluline veenduda, et see blokeerib vajaliku ja lubab vajaliku . See hõlmab portide skaneerimist, haavatavuste hindamist ja penetratsioonitestimist.
Samuti on oluline hoida konfiguratsioonist varukoopiaid turvalises kohas ja testida tagasipööramisprotsessi. Enne kriitiliste muudatuste tegemist dokumenteerige kavandatud muudatused ja veenduge, et teate, kuidas tulemüüri taastada, kui hooldusakna ajal midagi valesti läheb.
Tulemüür virtuaalsetes serverivõrkudes (privaatne või avalik pilv)
Pilveserveri platvormidel on lisaks operatsioonisüsteemi enda tulemüürile ja mis tahes vahepealsetele tulemüüridele tavaline, et juhtpaneelilt saab seadistada võrgutaseme tulemüüri. Nende rakendamise järjekorra mõistmine aitab vältida reeglite konflikte.
Tavaliselt läbivad sissetulevad paketid esmalt võrgu tulemüüri (mida haldab platvorm), seejärel serveri tulemüüri (näiteks iptables Linuxis või Windowsi tulemüür) ja lõpuks kõik muud tarkvarapõhised tulemüürid. Väljaminev liiklus järgib vastupidist teed.
Seda tüüpi paneelil põhineb konfiguratsioon tavaliselt reeglitel, mis sisaldavad nime, toimingut (lubamine või keelamine), allikat ja sihtkohta (IP, vahemikud, CIDR, "mis tahes", "sisemine", "väline"), allika ja sihtkoha porte (konkreetne port, vahemik või "mis tahes") ning protokolli (TCP, UDP, mõlemad või ICMP).
Oluline detail on reeglite järjekord : mida kõrgemal reegel loendis on, seda kõrgem on selle prioriteet. Sama liikluse puhul enne lubamise reeglit asetatud „keelamise” reegel blokeerib selle liikluse. Seetõttu lubatakse tavaliselt reeglite järjekorda lohistamise teel muuta, et prioriteete kohandada.
Kui tulemüür on välja lülitatud, sisenevad ja väljuvad kõik paketid filtreerimata. Aktiivses režiimis on vaikimisi käitumine tavaliselt "lubada kõik, mis ei vasta ühelegi reeglile", kuigi palju turvalisem on määrata vaikimisi keelamispoliitika ja lubada ainult see, mis on vajalik , eriti tundlike andmetega keskkondades.
Tulemüür operatsioonisüsteemis: Windows, macOS ja Linux
Lisaks ruuteri tulemüürile ja igale pilvepõhisele võrgu tulemüürile on igal tänapäevasel süsteemil oma kaitsekiht. Selle õige konfigureerimine pakub sügavuti ulatuvat kaitset , mis on eriti kasulik, kui mõni teenus on internetiga kokku puutunud või kui ründaja saab juurdepääsu kohalikule võrgule.
Windowsi tulemüür: põhi- ja täpsem konfiguratsioon
Windowsis filtreerib sisseehitatud tulemüür (Windows Defenderi tulemüür või Microsoft Defenderi tulemüür) liiklust eelmääratletud ja kohandatud reeglite alusel . Seda saate vaadata ja hallata Windowsi turberakenduse jaotises „Tulemüür ja võrgukaitse”.
Esimene samm on kontrollida aktiivset võrguprofiili: domeen, privaatne või avalik. Privaatvõrk ( nagu teie koduvõrk) eeldab suhteliselt usaldusväärset keskkonda ja lubab rohkem sissetulevaid ühendusi, samas kui avalikul võrgul (nagu kohviku WiFi) on rangemad reeglid ja see blokeerib peaaegu kõik väljastpoolt tuleva ühenduse.
Sellelt liideselt saate iga võrgutüübi tulemüüri lubada või keelata, kuigi selle keelamine pole hea mõte, kuna see suurendab haavatavust volitamata juurdepääsu suhtes . Kui õigustatud rakendus ei tööta, kuna see on blokeeritud, on õige lähenemisviis luua erand või avada sellele konkreetne port, mitte kogu tulemüüri välja lülitada.
Täpsemad sätted haldavad sissetulevaid ja väljaminevaid reegleid , mis määravad, millised ühendused on lubatud. Windows liigitab need reeglid nelja tüüpi: programmireeglid (mis lubavad või blokeerivad konkreetse käivitatava faili), pordireeglid (mis kontrollivad konkreetseid TCP/UDP porte), eelmääratletud reeglid (süsteemi pakutavad) ja kohandatud reeglid (kõige paindlikumad, võimaldades teil kombineerida programmi, porti, protokolli ja aadressi).
Lisaks on olemas valik blokeerida kõik sissetulevad ühendused , sealhulgas lubatud ühenduste nimekirjas olevad. See on kasulik maksimaalse turvalisuse tagamiseks, kuigi see võib põhjustada oluliste teenuste (jagatud failid, kaugtöölaud jne) töötamise lakkamise.
Paljud organisatsioonid kasutavad tsentraliseeritud haldustööriistu, näiteks Ivanti Endpoint Security Solution Agent Configuration . Need tööriistad võimaldavad kasutajatel luua Windowsi tulemüüripoliitika ja juurutada selle massiliselt seadmetesse, kus töötab Windowsi eri versioone (XP/2003, Vista ja uuemad), määratledes sissetuleva/väljamineva liikluse reeglid, erandid ja tulemüüri aktiveerimise/deaktiveerimise osana konfigureerimis- või parandustöödest.
Windowsi tulemüüri abi, utiliidid ja turvalisuse määratlused
Detailne konfigureerimine võib olla mõnevõrra keeruline, seega on olemas tööriistad, mis muudavad igapäevased toimingud lihtsamaks. Näiteks TinyWall toimib Windowsi tulemüüri halduskihina ja võimaldab teil muuta töörežiime (rohkem või vähem piiravaks), kuvada aktiivseid ühendusi, luua valgeid nimekirju ja takistada tulemüüril endal vajalike rakenduste blokeerimist.
Teine näide on Windowsi tulemüüri kontroll , mis integreerub süsteemisalve ja pakub kiireid profiile (kõrge, keskmine, madal, filtrita) ning mugavat liidest reeglite haldamiseks, konfiguratsioonide importimiseks/eksportimiseks ja õpperežiimi aktiveerimiseks, mis tuvastab digitaalselt allkirjastatud programme, et luua reegleid intelligentsemalt.
Ettevõtte turvalahendustes, näiteks Ivanti Endpoint Security, on määratletud Windowsi tulemüüriga seotud spetsiifilised turvaohud (näiteks ST000102 Windowsi tulemüüri jaoks XP/2003-s). Need määratlused sisaldavad kohandatavaid muutujaid, mis võimaldavad teil jälgida, kas tegelik tulemüüri konfiguratsioon vastab soovitud poliitikale, ja kui mitte, siis märkida arvuti haavatavaks ning käivitada parandusülesandeid õigete sätete jõustamiseks.
Tulemüür macOS-is
Macis saab tulemüüri konfigureerida jaotises „Süsteemiseaded” (vanemates versioonides „Süsteemieelistused”) jaotises „ Võrk ja tulemüür ” . Seal saate selle aktiveerida ja seejärel pääseda juurde täpsematele valikutele, et otsustada, kuidas sissetulevaid ühendusi hallata.
Muuhulgas saate blokeerida soovimatuid ühendusi , lubada ainult olulisi rakendusi ja teenuseid, kontrollida, millised konkreetsed rakendused saavad liiklust vastu võtta, ning lubada usaldusväärsete rakenduste automaatse lisamise lubatud loendisse. See on portide üksikasjade osas lihtsam süsteem kui Windows, kuid tavakasutaja jaoks väga tõhus.
Ettevõttekeskkondades täiendavad seda tavaliselt tsentraalselt hallatavad turvapoliitikad, mis tagavad, et kõik Maci masinad järgivad ühendusi vastuvõtvate avatud teenuste ja rakenduste osas samu reegleid.
Tulemüür Linuxis: UFW lihtsa valikuna
Linuxis, eriti sellistes distributsioonides nagu Ubuntu, on tavaline hallata iptables'i (või nftables'i) kasutajasõbralike tööriistade abil. Üks populaarsemaid on UFW (Uncomplicated Firewall) , mis pakub lihtsaid käske tulemüüri aktiveerimiseks ja reeglite määratlemiseks.
Installimine toimub paketihalduri kaudu (näiteks „sudo apt-get install ufw”) ja kuigi UFW on tavaliselt vaikimisi keelatud, on enne lubamist soovitatav kontrollida selle olekut käsuga „sudo ufw status”. Ärge lubage seda enne põhireeglite määratlemist , kuna see blokeerib kõik sissetulevad ühendused ja võite kaotada kaugjuurdepääsu.
Tüüpiliste reeglite hulka kuuluvad SSH lubamine („sudo ufw allow ssh”) kaugjuurdepääsu säilitamiseks, HTTP ja HTTPS avamine („sudo ufw allow http”, „sudo ufw allow https”) veebiserveritele ja seejärel portide lisamine vastavalt vajadusele. Kui põhireeglid on seatud, lubatakse tulemüür käsuga „sudo ufw enable” ja selle olekut kontrollitakse käsuga „sudo ufw status”, mis kuvab lubatud teenuste ja portide loendi.
Kuna Linux on juba üsna töökindel süsteem, pakub UFW konfigureerimine täiendavat turvakihti, mis on väga soovitatav , eriti internetist ligipääsetavate serverite puhul.
Võrgu segmenteerimine, poliitikad ja volituste varguse ennetamine
Üks tõhusamaid strateegiaid turvalisuse parandamiseks on võrgu segmenteerimine . Võrgu jagamine segmentideks (funktsiooni, seadme tüübi, riskitaseme järgi) muudab ühe segmendi liikluse teisest segmendist nähtamatuks, vähendades seeläbi iga intsidendi mõju.
See on eriti oluline IoT-seadmete puhul, mis sageli töötavad vanemates ja haavatavates süsteemides. Nende paigutamine VLAN-idesse või isoleeritud tsoonidesse ja juurdepääsu range piiramine minimeerib IP-kaamera või -anduri rikke riski, mis kahjustab kogu ettevõtte võrku.
Teine oluline probleem on tulemüüripoliitika optimeerimine . Reeglite lisamine ilma neid üle vaatamata viib kaootiliste kuhjumisteni, konfliktideni ja peaaegu kontrollimatu tulemüürini. Ideaalis peaksite üle minema pordipõhistelt reeglitelt rakenduspõhistele reeglitele, millel on selge ülevaade lubatud või keelatud teenustest, ning neid perioodiliselt üle vaatama, et eemaldada vananenud kirjed.
Mõned täiustatud tulemüürid sisaldavad funktsioone, mis takistavad ettevõtte volituste vargust . Need skannivad sisselogimiskatseid (kasutajanime ja parooli) ning võrdlevad neid organisatsiooni kontode sisemiste nimekirjadega, blokeerides nende kasutamise välistel saitidel, näiteks sotsiaalmeedias või ettevõttega mitteseotud teenustes. Samuti saavad need kuvada kasutajale hoiatusi, mis selgitavad tööalaste volituste taaskasutamise riske.
Sellised kontrollid mitte ainult ei peata otseseid rünnakuid, vaid toimivad ka turvateadlikkuse tööriistana , muutes paroolide kasutamise harjumuste mõju väljaspool ettevõtte keskkonda töötajatele nähtavamaks.
Mis juhtub, kui tulemüür keelata (ja miks mitte)
On tavaline, et keegi, kellel on probleeme rakenduse või võrgumänguga, proovib tulemüüri keelata, et „näha, kas see lahendab probleemi ”. Ja jah, mõnikord lahendab see kohese probleemi, kuid avab ukse hulgale riskidele, mis pole kohe ilmned.
Ilma tulemüürita on süsteem avatud välistele ohtudele, nagu pahavara, troojalased, viirused ja muud rünnakud , mida saab ilma igasuguste takistusteta installida. Ründajad saavad proovida ruuteri porte skannida ja kui NAT-reeglid on samuti leebemad, leida halvasti kaitstud teenuseid ja kasutada neid sisenemispunktidena.
Tulemüür kontrollib ka väljaminevaid andmeid : ilma selleta oleks igal pahatahtlikul rakendusel vabad käed tundlikku teavet välismaailmale saata. Lisaks tuginevad paljud rakendused tulemüürile portide skaneerimise rünnakute või väiksemate DDoS-rünnakute puhverdamiseks; selle keelamine kaotab selle puhvri.
Kui rakendus tulemüüri tõttu ei tööta, ei ole professionaalne lahendus selle väljalülitamine, vaid konkreetse reegli loomine, mis lubab vajalikku liiklust , kontrollimine, kas ruuter peab porte avama, ja reeglite joondamine nii, et kohaliku tulemüüri ja võrguseadme tulemüüri vahel ei tekiks konflikte.
Mitme tulemüüri samaaegne olemasolu: ruuter ja arvuti samal ajal
Kui teie ruuteril on tulemüür ja teine arvutil (näiteks Windowsi tulemüür), läbib kogu sissetulev liiklus kõigepealt ruuteri ja seejärel arvuti. See kahekihiline turvalisus suurendab õigesti konfigureerituna üldist turvalisust , kuna ühe kihi rikke saab kompenseerida teise kihiga.
Siiski tuleb olla ettevaatlik vastuoluliste reeglitega . Kui ruuter blokeerib pordi, mida arvuti tulemüür lubab, või vastupidi, võite leida teenuseid, mis ei tööta, ja te ei pruugi olla kindel, milline kahest kihist probleemi põhjustab.
Praktikas on kõige mõistlikum lähenemisviis see, et ruuteri tulemüür toimiks peamise perimeetribarjäärina , lubades internetist siseneda ainult seda, mis on tõeliselt vajalik, samal ajal kui arvuti tulemüür kontrollib liiklust kohtvõrgus olevate seadmete vahel ja igasugust kahtlast väljaminevat sidet. See koos hästi konfigureeritud NAT-iga ja DMZ ning UPnP liigse kasutamise vältimisega pakub väga tugevat kaitset kodu- või väikekontori keskkonnas.
Lõppkokkuvõttes võimaldab erinevate tulemüüride (ruuter, operatsioonisüsteem, pilv, ettevõtte NGFW) toimimise ja omavahelise seose mõistmine teil teha teadlikumaid otsuseid: milliseid teenuseid pakkuda, kuhu segmenteerida, milliseid logisid säilitada ja kuidas reegleid kohandada, et säilitada tasakaal võrgu ja seadmete turvalisuse ja kasutatavuse vahel.
