- Palomuuri hallitsee verkkoliikennettä käyttämällä IP-osoitteisiin, portteihin, protokolliin ja sovelluksiin perustuvia sääntöjä luvattoman käytön estämiseksi.
- Reitittimen palomuurin, käyttöjärjestelmän ja soveltuvin osin NGFW:n ja segmentoinnin yhdistelmä tarjoaa tehokkaan ja syvällisen puolustuksen.
- Verkkovyöhykkeiden, käyttöoikeusluetteloiden ja tietueiden asianmukainen suunnittelu sekä kokoonpanon testaaminen tietoturvatesteillä on avainasemassa yritysympäristöissä.
- Palomuurin poistaminen käytöstä mukavuussyistä altistaa järjestelmän vakaville riskeille; oikea lähestymistapa on asettaa tietyt säännöt ja pitää se aina aktiivisena.
Kaikissa nykyaikaisissa verkoissa, kodin Wi-Fi- verkoista suuryritysten infrastruktuuriin, palomuuri on ensimmäinen puolustuslinja hyökkäyksiä, luvatonta pääsyä ja tietovuotoja vastaan. Ilman asianmukaista konfigurointia se on kuin jättäisi etuoven raolleen: mitään ei ehkä tapahdu... ennen kuin tapahtuu.
Silti monet käyttäjät ja jopa jotkut organisaatiot käyttävät palomuurejaan oletusasetuksilla , ilman että he todella ymmärtävät, mitä ne tekevät tai miten niitä säädetään . Täältä löydät kattavan ja erittäin käytännöllisen oppaan siitä, mikä palomuuri on, miten se määritetään Windows-, macOS-, Linux-, reitittimien ja palvelinympäristöissä, sekä edistyneitä parhaita käytäntöjä (NGFW, segmentointi, lokitiedot, lisätyökalut), jotta voit räätälöidä suojaustason ympäristöösi ilman, että sinun tarvitsee liikaa käyttää sitä.
Mikä on palomuuri ja miksi se on niin tärkeä?
Palomuuri on järjestelmä, joka analysoi verkkoon tai laitteeseen tulevaa ja sieltä lähtevää liikennettä ja päättää, mitä sallitaan ja mitä estetään tiettyjen sääntöjen perusteella. Tämä liikenne koostuu datapaketeista, jotka kulkevat eri protokollien (TCP, UDP, ICMP jne.) ja porttien kautta.
Idea on yksinkertainen: palomuuri toimii suodattimena ja esteenä laitteen tai sisäisen verkon ja internetin välillä . Se tarkistaa, mistä paketti tulee, minne se menee, mitä porttia se käyttää ja millaista sisältöä se kuljettaa. Jos se vastaa sallittua sääntöä, se päästää sen läpi; jos ei, se estää sen. Tällä logiikalla on selkeitä etuja: parempi turvallisuus, pienempi haittaohjelmatartunnan todennäköisyys ja parempi hallinta siitä, mikä menee sisään ja mikä lähtee.
Kuvittele palomuurisi digitaalisen kotisi etuovena : sinä päätät, kenet päästät sisään, kenet pidät ulkona ja millä talon alueilla kukin vieras voi vierailla. Lisäksi palomuuri ei ainoastaan estä hyökkäyksiä, vaan sen avulla voit myös rajoittaa pääsyä tietyille verkkosivustoille tai sovelluksille, joita et halua käyttää, vaikka ne eivät olisikaan haitallisia (esimerkiksi sosiaalinen media yritysympäristössä).
Käytännössä palomuureja on pääasiassa kahdenlaisia: ohjelmistopalomuureja (käyttöjärjestelmään integroituja tai ohjelmana asennettuja) ja laitteistopalomuureja (erillisiä laitteita, usein integroitu ammatti- tai yrityskäyttöön tarkoitettuihin reitittimiin). Lisäksi on olemassa uuden sukupolven palomuureja (NGFW) , jotka yhdistävät useita edistyneen tietoturvan kerroksia, syvällisen pakettien tarkastuksen, IPS:n sekä sovellusten segmentoinnin ja hallinnan ominaisuuksia.
Palomuurityypit, joihin saatat törmätä
Palomuuri-käsitteen "palomuuri" sisälle kuuluu useita tekniikoita, joilla on erilaiset lähestymistavat. Niiden ymmärtäminen auttaa sinua tietämään, mitä tarkastelet, kun tarkistat reitittimesi kokoonpanoa, käyttöjärjestelmääsi tai yrityksen NGFW:tä.
Ensimmäiseen ryhmään kuuluvat paketteja suodattavat palomuurit . Nämä luovat ohjauspisteitä reitittimille tai kytkimille ja suorittavat yksinkertaisen tarkistuksen jokaiselle paketille lähteen IP-osoitteen, kohteen IP-osoitteen, portin ja protokollan perusteella. Ne ovat nopeita, mutta eivät analysoi sisältöä perusteellisesti.
Sitten on olemassa piiritason yhdyskäytäväpalomuureja , jotka keskittyvät yhteyksien hyväksymiseen tai hylkäämiseen istunnon tilan perusteella tarkastamatta jokaista pakettia yksityiskohtaisesti. Ne ovat erittäin tehokkaita, mutta vähemmän tehokkaita monimutkaisten uhkien havaitsemisessa.
Tilatietoiset tarkastuspalomuurit yhdistävät pakettitiedot TCP-yhteyksien seurantaan. Ne ylläpitävät aktiivisten istuntojen taulukkoa ja varmistavat, että liikenne vastaa sallittua kulkua, mikä tarjoaa vankemman suojan kuin pelkkä staattinen suodatus.
Meillä on myös sovellustason yhdyskäytäviä tai välityspalvelinpalomuureja . Nämä toimivat sovellustasolla ja tarkastavat HTTP-, FTP- ja muuta liikennettä, mikä mahdollistaa erittäin yksityiskohtaiset käytännöt sovellustyypin tai jopa sisällön perusteella. Tämä lähestymistapa muodostaa perustan monille pilvipalomuureille ja syväliikenteen tarkastustyökaluille.
Seuraavan sukupolven palomuurit (NGFW) integroivat syvällisen tarkastuksen, sovellusten hallinnan, tunkeutumisenestojärjestelmän (IPS) toiminnot, verkkoluokkien suodatuksen, edistyneen tiedostoanalyysin ja yhä useammin tekoälypohjaisia ominaisuuksia. Niitä voidaan ottaa käyttöön fyysisinä laitteina, virtuaalikoneina tai pilvipalveluina.
Lisäksi sijainnin perusteella voimme erottaa ohjelmistopalomuurit (jokaisella tietokoneella, palvelimella tai laitteella) ja laitteistopalomuurit (verkon reunalla sijaitsevat erilliset laitteet). Lisäksi on olemassa pilvipalomuureja , jotka toimivat suurina välityspalvelimina, jotka pystyvät skaalautumaan ja suojaamaan hajautettuja ympäristöjä ja organisaatioita, joilla on paljon käyttäjiä ja sijainteja.
Reitittimen palomuuri: verkon ensimmäinen puolustuslinja
Kotona tai toimistossasi olevassa reitittimessä on yleensä sisäänrakennettu palomuuri ja NAT/PAT . Tämä tarkoittaa, että oletuksena kukaan ei voi avata suoraa yhteyttä internetistä sisäisiin laitteisiisi, ellei portinsiirtoa, aktiivista DMZ:tä tai väärin määritettyjä protokollia, kuten UPnP:tä, ole.
Nykyaikaisen reitittimen tyypillinen käytäntö on "estää kaikki saapuva liikenne, ellei sitä ole nimenomaisesti sallittu ". Tätä vahvistaa IPv4 NAT/PAT: sisäiset laitteet käyttävät yksityisiä IP-osoitteita, ja reititin muuntaa niiden lähtevät yhteydet julkiseksi IP-osoitteeksi. Kaikki yritykset aloittaa tietoliikenne internetistä ilman avointa porttia tai ennalta määritettyä sääntöä hylätään.
Siksi on niin vaarallista avata demilitaroitu alue (DMZ) paikallisverkossa olevalle tietokoneelle, jonka omaa palomuuria ei ole määritetty oikein: tietokone on täysin alttiina internetille, ja kaikki portit ovat käytettävissä paitsi ne, jotka on ohjattu toiseen koneeseen.
Reitittimien palomuurien parhaisiin peruskäytäntöihin kuuluvat sellaisten porttien avaamatta jättäminen, jotka eivät ole ehdottoman välttämättömiä, DMZ:n käytön välttäminen lukuun ottamatta hyvin erityisiä laitteita (kuten pelikonsolia) ja UPnP:n poistaminen käytöstä aina, jotta laitteet eivät voi avata portteja itse. Porttien avaaminen manuaalisesti antaa sinulle täyden hallinnan siitä, mikä on alttiina.
On myös suositeltavaa tarkistaa säännöllisesti, mitkä portit ovat auki, sulkea ne, joita ei enää käytetä, ja rajoittaa mahdollisuuksien mukaan IP-osoitteita, jotka voivat käyttää arkaluonteisia palveluita (esimerkiksi sallimalla SSH-yhteyden vain tietystä järjestelmänvalvojan IP-osoitteesta eikä koko internetistä).
Yleisiä palomuurivaihtoehtoja koti- ja edistyneissä reitittimissä
Reitittimen merkistä riippuen palomuurin määritysvaihtoehdot voivat vaihdella, mutta logiikka on samanlainen: suojausprofiili, säännöt ja lisäsuodatus . Katsotaanpa joitakin havainnollistavia esimerkkejä.
ASUS-reitittimet
ASUS-reitittimissä on integroitu iptables -pohjainen palomuuri . Verkkokäyttöliittymän "Palomuuri"-valikossa voit ottaa käyttöön tai poistaa käytöstä IPv4- ja IPv6-palomuurin (se on oletuksena käytössä, kuten sen pitäisikin olla) ja määrittää DoS-estotoimenpiteitä, jotka estävät liian monta yhteysyritystä tekevät lähdeosoitteet.
Toinen yleinen vaihtoehto on estää ping-pyynnöt (ICMP Echo-pyynnöt) WAN-liitäntään, jotta reititin ei vastaa (piilotustila). IPv6- ympäristöissä palomuuri on määritetty erittäin rajoittavalla saapuvan liikenteen käytännöllä : jokaisella laitteella on oma julkinen IP-osoitteensa, mutta odottamattomat saapuvat yhteydet estetään, kun taas lähtevät yhteydet sallitaan normaalisti.
ASUS tarjoaa myös "LAN-WAN-suodatus" -ominaisuuksia, joiden avulla voit estää lähiverkosta internetiin tulevan liikenteen lähde-IP-osoitteen, kohde-IP-osoitteen ja porttien perusteella. Lisäksi palomuuri tukee sisäisesti URL-osoitteiden ja avainsanojen suodatusta rajoitusten valvomiseksi.
Livebox-reitittimet (Livebox-kuitu jne.)
Livebox-reitittimissä, joita internet-palveluntarjoajat yleisesti käyttävät, palomuuria hallitaan valikosta "Lisäasetukset > Palomuurin asetukset". Siellä voit valita useista tasoista: matala, keskitaso, korkea ja mukautettu.
"Matala" suodatustaso ei käytännössä tarjoa suodatusta (paitsi NAT:lle välttämättömän) ja on tarkoitettu edistyneille käyttäjille, jotka asettavat joustavuuden turvallisuuden edelle. "Keskitaso" suodatustaso, joka on yleensä oletusarvo, poistaa kaikki saapuvat yhteydet ja sallii lähtevän liikenteen lukuun ottamatta hyvin erityisiä palveluita, kuten NetBIOSia.
"Korkea" profiili on rajoittavin: se sallii lähtevät yhteydet vain hyvin määriteltyihin vakiopalveluihin ja estää odottamattomat saapuvat yhteydet. "Mukautettu" tila antaa käyttäjälle mahdollisuuden asettaa tiettyjä sääntöjä, ja se on tarkoitettu järjestelmänvalvojille, jotka tietävät mitä tekevät. Huonolla määrityksellä voidaan estää laillisia palveluita tai jättää merkittäviä haavoittuvuuksia.
AVM FRITZ!Box -reitittimet
FRITZ!Box-laitteissa on melko kattava palomuuri. Lisänäkymässä, "Internet > Suodattimet" -valikossa, voit aktivoida piilotilan , jotta laite ei vastaa WAN-verkon ping-kutsuihin, ja estää arkaluontoiset portit, kuten 25 (salaamaton SMTP), NetBIOS tai Teredo, jos niitä ei käytetä.
NAT-ympäristöissä on erittäin tärkeää tarkistaa säännöllisesti porttiohjausasetukset ja sulkea kaikki tarpeettomat asetukset, jotta vanhentuneet palvelut eivät pääse verkon toimintoihin. Myös FRITZ!Boxin omat etähallintapalvelut tulisi poistaa käytöstä, jos ne eivät ole välttämättömiä. Sen sijaan on turvallisempaa käyttää reititintä VPN:n kautta ja hallita sitä verkon sisällä sen yksityisen IP-osoitteen avulla.
FRITZ!Box tarjoaa myös IPsec-pohjaisen etäkäytön ja sivustojen välisiä VPN-yhteyksiä. Tämä on hyvä tapa välttää palveluiden suora altistuminen internetille ja pakottaa kaikki etäkäyttö salatun ja valvotun kanavan kautta.
Seuraavan sukupolven palomuurit (NGFW) ja edistynyt tietoturva
Yritysympäristöissä seuraavan sukupolven palomuurit, kuten FortiGate-sarja, menevät paljon yksinkertaisen porttisuodatuksen pidemmälle. Nämä laitteet integroivat edistyneet verkko-ominaisuudet ja syvällisen tietoturvan yhdelle alustalle, mikä vähentää useiden erillisten laitteiden tarvetta.
Esimerkiksi FortiGate perustuu FortiOS-käyttöjärjestelmään ja sisältää SD-WAN-, ZTNA- (Zero Trust Access), WLAN- ja LAN-integraation, salatun liikenteen syvällisen tarkastuksen, IPS- suojauksen, verkkoluokkien suodatuksen ja tekoälypohjaiset analytiikkaominaisuudet FortiGuard-palveluiden kautta.
Nämä NGFW:t perustuvat tyypillisesti mukautettuun ASIC -arkkitehtuuriin , joka mahdollistaa erittäin korkean suorituskyvyn ja parannetun energiatehokkuuden jopa suuria salattuja tietoliikennemääriä tarkastettaessa. Lisäksi ne on integroitu niin sanottuun "tietoturvakankaaseen": tietoturvaverkkoon, joka ulottuu verkkojen, päätepisteiden ja pilvien alueelle ja jonka yhtenäisiä käytäntöjä hallitaan alustoilla, kuten FortiManager.
Tämän lähestymistavan avain on, että koko verkon pinta on katettu yhtenäisillä käytännöillä : reunalta päätepisteeseen, mukaan lukien hybridi- ja pilviympäristöt. Tämä mahdollistaa nopean reagoinnin uusiin uhkiin, segmentoi monimutkaisia verkkoja ja tarjoaa täydellisen näkyvyyden liikenteeseen ja tietoturvatapahtumiin.
Hyvin jäsennellyn verkkopalomuurin suunnittelun ja konfiguroinnin vaiheet
Kun puhumme palomuureista yritysverkoissa (fyysisissä tai virtuaalisissa), ei riitä, että laitteet vain kytketään verkkoon ja jätetään oletusasetukset voimaan. Tarkan liikenteenhallinnan mahdollistamiseksi tarvitaan ennalta suunniteltu vyöhykkeiden, IP-osoitteiden ja käytäntöjen kokoonpano.
Suunnittele palomuurivyöhykkeet ja IP-osoitejärjestelmä
Ensimmäinen vaihe on tunnistaa verkkoresurssit (palvelimet, kriittiset sovellukset, työasemat, IoT-laitteet, kassajärjestelmät, VoIP jne.) ja ryhmitellä ne toiminnon, herkkyystason ja käyttötarpeiden mukaan . Yhden, tasaisen verkon sijaan, jossa kaikki on yhteydessä toisiinsa, luodaan segmenttejä tai vyöhykkeitä.
On tyypillistä määritellä DMZ (demilitarisoitu vyöhyke) internetin kautta käytettävissä oleville palvelimille, kuten verkko-, sähköposti-, VPN- tai julkisille API-palvelimille. Näillä vyöhykkeillä internetin käyttö on rajoitettu vain ehdottoman välttämättömään. Sisäiset palvelimet, kuten tietokannat, hallintajärjestelmät, työasemat ja ääni- tai myyntipistelaitteet, sijoitetaan sisäisille vyöhykkeille, joilla on tiukemmat turvallisuuskäytännöt.
IPv4-protokollaa käytettäessä on tärkeää käyttää yksityisiä osoitealueita kaikissa sisäisissä verkoissa ja määrittää NAT siten, että sisäiset laitteet voivat käyttää internetiä tarvittaessa. Infrastruktuuria rakennettaessa käytetään VLAN-tuella varustettuja kytkimiä ylläpitämään Layer 2 -loogista erottelua segmenttien välillä.
Kun vyöhykerakenne ja IP-osoitesuunnitelma ovat selvät, vastaavat vyöhykkeet luodaan palomuuriin ja ne osoitetaan fyysisille rajapinnoille tai alirajapinnoille . Tämä yhdistämismääritys on avainasemassa sen varmistamisessa, että palomuurisääntöjä sovelletaan oikein vyöhykkeiden välillä.
Käyttöoikeusluetteloiden (ACL) määrittäminen
Kun vyöhykkeet on nyt määritelty, on aika luoda säännöt , jotka määräävät, mikä voi kommunikoida minkäkin kanssa . Nämä säännöt toteutetaan ACL-luetteloina (access control list), joissa vyöhykkeiden välinen sallittu (tai kielletty) liikenne on määritelty mahdollisimman yksityiskohtaisesti.
Käyttöoikeusluetteloita (ACL) käytetään palomuurirajapinta- tai alirajapintakohtaisesti, ja on parasta hienosäätää lähde-IP-osoite, kohde-IP-osoite ja portit mahdollisimman tarkasti . Toisin sanoen on parempi sallia "tälle palvelimelle tämän tietokannan tämä portti" kuin "koko tälle verkolle kaikki toisen verkon portit".
Erittäin tärkeä sääntö on "estä kaikki" jokaisen ACL:n lopussa. Tämä rajoittava käytäntö varmistaa, että kaikki liikenne, jota ei ole nimenomaisesti rajoitettu, estetään . Tämän jälkeen jokaiseen rajapintaan sovelletaan saapuvia ja lähteviä ACL-listoja, jotka säätävät toimintaa liikenteen suunnan mukaan.
On hyvä poistaa käytöstä julkinen pääsy palomuurin hallintaliittymiin ja varmistaa, että sovellusten toiminnan lisäksi myös ei- toivotun liikenteen esto on tehokkaasti tehty . Sinun tulisi esimerkiksi varmistaa, että sovellustason hallintaominaisuudet (verkkoluokkien esto, edistynyt tiedostoanalyysi, IPS jne.) toimivat odotetulla tavalla.
Lisäpalveluiden ja lokien määrittäminen
Monet palomuurit mahdollistavat lisäpalveluiden, kuten DHCP:n, NTP:n tai IPS:n, käyttöönoton suoraan laitteella. Ota käyttöön vain ne palvelut, joita todella käytät; poista loput käytöstä hyökkäyspinnan pienentämiseksi.
Toinen kriittinen näkökohta on lokien konfigurointi. PCI DSS:n kaltaisten määräysten noudattamiseksi palomuurin on lähetettävä lokipalvelimelle tai SIEM:lle yksityiskohtaiset lokit, jotka kattavat esimerkiksi sen, kuka järjestelmää käyttää, mistä, mihin palveluun ja millä tuloksella. Esimerkiksi PCI DSS asettaa kohdissa 10.2 ja 10.3 erityisvaatimuksia näiden lokien sisällölle.
Lokien määrä voi olla suuri, mutta se on ainoa tapa auditoida käyttöoikeuksia ja havaita hyökkäysmalleja tai poikkeamia . On suositeltavaa määritellä käytännöt näiden tapahtumien säilyttämistä, kierrättämistä ja valvontaa varten, jotta voidaan reagoida nopeasti, jos jokin näyttää olevan vialla.
Testaa kokoonpano huolellisesti
Ennen uuden palomuurikokoonpanon käyttöönottoa tai merkittävän muutoksen jälkeen on tärkeää varmistaa, että se estää tarvittavat yhteydet ja sallii tarvittavat yhteydet . Tähän sisältyvät porttiskannaukset, haavoittuvuusarvioinnit ja tunkeutumistestit.
On myös tärkeää, että kokoonpanosta on varmuuskopiot turvallisessa paikassa ja että palautusprosessia voidaan testata. Ennen kriittisten muutosten tekemistä dokumentoi suunnitellut muutokset ja varmista, että tiedät, miten palomuuri palautetaan, jos jokin menee pieleen huoltovälin aikana.
Palomuuri virtuaalipalvelinverkoissa (yksityinen tai julkinen pilvi)
Pilvipalvelinalustoilla on yleistä, että käyttöjärjestelmän oman palomuurin ja mahdollisten muiden palomuurien lisäksi on olemassa verkkotason palomuuri, joka voidaan määrittää ohjauspaneelista. Näiden käyttöjärjestyksen ymmärtäminen auttaa välttämään sääntöristiriitoja.
Yleensä saapuvat paketit kulkevat ensin verkon palomuurin läpi (jota alusta hallinnoi), sitten palvelimen palomuurin läpi (esimerkiksi iptables Linuxissa tai Windowsin palomuuri) ja lopuksi mahdollisten muiden ohjelmistopohjaisten palomuurien läpi. Lähtevä liikenne seuraa päinvastaista reittiä.
Tällaisessa paneelissa kokoonpano perustuu yleensä sääntöihin, jotka sisältävät nimen, toiminnon (salli tai estä), lähteen ja kohteen (IP, alueet, CIDR, "mikä tahansa", "sisäinen", "ulkoinen"), lähde- ja kohdeportit (tietty portti, alue tai "mikä tahansa") ja protokollan (TCP, UDP, molemmat tai ICMP).
Keskeinen yksityiskohta on sääntöjen järjestys : mitä korkeammalla sääntö on luettelossa, sitä korkeampi on sen prioriteetti. Jos samaa liikennettä koskeva sääntö on asetettu ennen sallivaa sääntöä, kyseinen liikenne estetään. Siksi sääntöjä voi yleensä järjestellä uudelleen vetämällä ja pudottamalla prioriteetteja.
Jos palomuuri on pois päältä -tilassa, kaikki paketit saapuvat ja lähtevät ilman suodatusta. Aktiivitilassa oletusarvoisesti "sallitaan kaikki, mikä ei vastaa mitään sääntöä", vaikka on paljon turvallisempaa asettaa oletusarvoinen estokäytäntö ja sallia vain tarvittavat paketit , erityisesti ympäristöissä, joissa on arkaluonteisia tietoja.
Palomuuri käyttöjärjestelmässä: Windows, macOS ja Linux
Reitittimen palomuurin ja minkä tahansa pilvipohjaisen verkon palomuurin lisäksi jokaisessa modernissa järjestelmässä on oma suojauskerros. Sen oikea määrittäminen tarjoaa syvällisen puolustuskyvyn , joka on erityisen hyödyllinen, jos jokin palvelu on alttiina internetille tai jos hyökkääjä saa pääsyn lähiverkkoon.
Windowsin palomuuri: Perus- ja lisäasetukset
Windowsissa sisäänrakennettu palomuuri (Windows Defenderin palomuuri tai Microsoft Defenderin palomuuri) suodattaa liikennettä ennalta määritettyjen ja mukautettujen sääntöjen perusteella . Voit tarkastella ja hallita sitä Windowsin suojaussovelluksessa kohdassa "Palomuuri ja verkon suojaus".
Ensimmäinen vaihe on tarkistaa aktiivinen verkkoprofiili: toimialue, yksityinen vai julkinen. Yksityinen verkko (kuten kotiverkko) olettaa suhteellisen luotettavan ympäristön ja sallii enemmän saapuvia yhteyksiä, kun taas julkisella verkolla (kuten kahvilan Wi-Fi-verkolla) on tiukemmat säännöt ja se estää lähes kaiken ulkopuolelta tulevan.
Tästä käyttöliittymästä voit ottaa palomuurin käyttöön tai poistaa sen käytöstä kullekin verkkotyypille, vaikka sen poistaminen käytöstä ei ole hyvä idea, koska se lisää haavoittuvuutta luvattomalle käytölle . Jos laillinen sovellus ei toimi, koska se on estetty, oikea lähestymistapa on luoda poikkeus tai avata sille tietty portti, ei sammuttaa koko palomuuria.
Lisäasetukset hallitsevat saapuvan ja lähtevän liikenteen sääntöjä , jotka määrittävät sallitut yhteydet. Windows luokittelee nämä säännöt neljään tyyppiin: ohjelmasäännöt (jotka sallivat tai estävät tietyn suoritettavan tiedoston), porttisäännöt (jotka hallitsevat tiettyjä TCP/UDP-portteja), ennalta määritetyt säännöt (järjestelmän toimittamat) ja mukautetut säännöt (joustavimmat, joiden avulla voit yhdistää ohjelman, portin, protokollan ja osoitteen).
Lisäksi on mahdollista estää kaikki saapuvat yhteydet , mukaan lukien sallittujen listalla olevat yhteydet. Tästä on hyötyä, kun tarvitset maksimaalista suojausta, vaikka se voi estää tärkeitä palveluita (jaetut tiedostot, etätyöpöytä jne.) toimimasta.
Monet organisaatiot käyttävät keskitettyjä hallintatyökaluja, kuten Ivanti Endpoint Security Solution Agent Configuration . Näiden työkalujen avulla käyttäjät voivat luoda Windowsin palomuurikäytännön ja ottaa sen käyttöön massana laitteissa, joissa on eri Windows-versioita (XP/2003, Vista ja uudemmat), määrittämällä saapuvan/lähtevän liikenteen säännöt, poikkeukset sekä palomuurin aktivoinnin/deaktivoinnin osana määritys- tai korjaustehtäviä.
Ohje, apuohjelmat ja suojausmääritelmät Windowsin palomuurissa
Yksityiskohtainen konfigurointi voi olla jonkin verran monimutkaista, joten on olemassa työkaluja, jotka helpottavat jokapäiväisiä tehtäviä. Esimerkiksi TinyWall toimii hallintakerroksena Windowsin palomuurin yläpuolella ja antaa sinun muuttaa käyttötiloja (rajoittaviksi tai vähemmän), näyttää aktiiviset yhteydet, luoda valkoisia listoja ja estää palomuuria itseään estämästä tarvitsemiasi sovelluksia.
Toinen esimerkki on Windowsin palomuurin hallinta , joka integroituu ilmaisinalueelle ja tarjoaa nopeita profiileja (korkea, keskitaso, matala, ei suodatusta) ja kätevän käyttöliittymän sääntöjen hallintaan, määritysten tuontiin/vientiin ja oppimistilan aktivoimiseen. Oppimistila tunnistaa digitaalisesti allekirjoitetut ohjelmat sääntöjen luomiseksi älykkäämmin.
Yritysten tietoturvaratkaisuissa, kuten Ivanti Endpoint Securityssa, määritellään Windowsin palomuuriin liittyviä erityisiä tietoturvauhkia (esimerkiksi ST000102 Windowsin palomuurille XP/2003-käyttöjärjestelmissä). Nämä määritelmät sisältävät mukautettavia muuttujia, joiden avulla voit seurata, vastaako palomuurin todellinen kokoonpano haluttua käytäntöä, ja jos ei, merkitä tietokoneen haavoittuvaksi ja käynnistää korjaustehtäviä oikeiden asetusten varmistamiseksi.
Palomuuri macOS:ssä
Mac-tietokoneella palomuuri määritetään kohdassa "Järjestelmäasetukset" (tai vanhemmissa versioissa "Järjestelmäasetukset") Verkko ja palomuuri -osiossa . Siellä voit aktivoida sen ja käyttää sitten lisäasetuksia, joilla voit päättää, miten saapuvia yhteyksiä käsitellään.
Voit muun muassa estää ei-toivotut yhteydet , sallia vain välttämättömät sovellukset ja palvelut, hallita sitä, mitkä tietyt sovellukset voivat vastaanottaa liikennettä, ja ottaa käyttöön luotettavien sovellusten automaattisen lisäämisen sallittujen luetteloon. Se on porttitietojen suhteen yksinkertaisempi järjestelmä kuin Windows, mutta erittäin tehokas keskivertokäyttäjälle.
Yritysympäristöissä tätä täydentävät yleensä keskitetysti hallitut suojauskäytännöt, jotka varmistavat, että kaikki Mac-koneet noudattavat samoja sääntöjä yhteyksiä vastaanottavien alttiina olevien palveluiden ja sovellusten suhteen.
Palomuuri Linuxissa: UFW yksinkertaisena vaihtoehtona
Linuxissa, erityisesti Ubuntun kaltaisissa jakeluissa, on yleistä hallita iptables- (tai nftables-) palomuurin toimintoja käyttäjäystävällisemmillä työkaluilla. Yksi suosituimmista on UFW (Uncomplicated Firewall) , joka tarjoaa suoraviivaisia komentoja palomuurin aktivoimiseen ja sääntöjen määrittämiseen.
Asennus tehdään paketinhallintaohjelman kautta (esimerkiksi komennolla ”sudo apt-get install ufw”), ja vaikka UFW on yleensä oletuksena poissa käytöstä, on suositeltavaa tarkistaa sen tila komennolla ”sudo ufw status” ennen sen ottamista käyttöön. Älä ota sitä käyttöön määrittämättä ensin perussääntöjä , sillä se estäisi kaikki saapuvat yhteydet ja saatat menettää etäkäytön.
Tyypillisiä sääntöjä ovat SSH:n salliminen (“sudo ufw allow ssh”) etäkäytön ylläpitämiseksi, HTTP- ja HTTPS-yhteyksien avaaminen (“sudo ufw allow http”, “sudo ufw allow https”) web-palvelimille ja porttien lisääminen tarpeen mukaan. Kun perussäännöt on asetettu, palomuuri otetaan käyttöön komennolla “sudo ufw enable” ja sen tila tarkistetaan komennolla “sudo ufw status”, joka näyttää sallittujen palveluiden ja porttien luettelon.
Koska Linux on jo melko vankka järjestelmä, UFW:n konfigurointi tarjoaa ylimääräisen suojauskerroksen , jota suositellaan erityisesti internetistä saatavilla palvelimilla.
Verkon segmentointi, käytännöt ja tunnistetietojen varkauksien estäminen
Yksi tehokkaimmista strategioista turvallisuuden parantamiseksi on verkon segmentointi . Jakamalla verkko segmentteihin (toiminnon, laitetyypin, riskitason mukaan) yhden segmentin liikenne ei ole näkyvissä toisesta, mikä vähentää minkä tahansa tapahtuman vaikutusta.
Tämä on erityisen tärkeää IoT-laitteiden kohdalla, jotka usein toimivat vanhemmissa, haavoittuvissa järjestelmissä. Niiden sijoittaminen VLAN-verkkoihin tai erillisiin vyöhykkeisiin ja niiden pääsyn tiukka rajoittaminen minimoi IP-kameran tai anturin vian riskin, joka vaarantaa koko yritysverkon.
Toinen keskeinen ongelma on palomuurikäytäntöjen optimointi . Sääntöjen lisääminen ilman niiden tarkistamista johtaa kaoottisiin kertymiin, konflikteihin ja lähes hallitsemattomaan palomuuriin. Ihannetapauksessa sinun tulisi siirtyä porttipohjaisista säännöistä sovelluspohjaisiin sääntöihin, jolloin on selkeä näkyvyys siihen, mitkä palvelut sallitaan tai estetään, ja tarkistaa sääntöjä säännöllisesti vanhentuneiden merkintöjen poistamiseksi.
Joissakin edistyneissä palomuureissa on ominaisuuksia, jotka estävät yritystietojen varastamisen . Ne skannaavat kirjautumisyritykset (käyttäjätunnus ja salasana) ja vertaavat niitä organisaation sisäisiin tililuetteloihin estäen niiden käytön ulkoisilla sivustoilla, kuten sosiaalisessa mediassa tai liiketoimintaan liittymättömissä palveluissa. Ne voivat myös näyttää käyttäjälle varoituksia, joissa selitetään työtietojen uudelleenkäytön riskit.
Tällaiset kontrollit eivät ainoastaan estä suoria hyökkäyksiä, vaan toimivat myös tietoturvatietoisuuden työkaluna , joka tekee salasanan käyttötottumusten vaikutuksesta yrityksen ulkopuolisissa ympäristöissä näkyvämmän työntekijöille.
Mitä tapahtuu, jos poistat palomuurin käytöstä (ja miksi sinun ei pitäisi tehdä niin)
On tavallista, että sovelluksen tai online-pelin kanssa ongelmia kokeva käyttäjä yrittää poistaa palomuurin käytöstä "nähdäkseen, korjaako se ongelman ". Ja kyllä, joskus se ratkaisee välittömän ongelman, mutta se avaa oven useille riskeille, jotka eivät ole heti ilmeisiä.
Ilman palomuuria järjestelmä on alttiina ulkoisille uhille, kuten haittaohjelmille, troijalaisille, viruksille ja muille hyökkäyksille , jotka voidaan asentaa esteettä. Hyökkääjät voivat yrittää skannata reitittimen portteja ja, jos NAT-säännöt ovat myös löyhiä, löytää heikosti suojattuja palveluita ja käyttää niitä sisäänpääsypisteinä.
Palomuuri hallitsee myös lähtevää dataa : ilman sitä millä tahansa haitallisella sovelluksella olisi vapaat kädet lähettää arkaluonteisia tietoja ulkomaailmaan. Lisäksi monet sovellukset ovat riippuvaisia palomuurista porttiskannaushyökkäysten tai pienten palvelunestohyökkäysten puskuroinnissa; sen poistaminen käytöstä poistaa tämän puskurin.
Jos sovellus ei toimi palomuurin takia, ammattimainen ratkaisu ei ole sen poistaminen käytöstä, vaan tietyn säännön luominen, joka sallii tarvittavan liikenteen , tarkistaminen, tarvitseeko reitittimen avata portteja, ja sääntöjen yhdenmukaistaminen siten, ettei paikallisen palomuurin ja verkkolaitteen palomuurin välille tule ristiriitoja.
Useiden palomuurien rinnakkaiselo: reititin ja tietokone samanaikaisesti
Kun reitittimessäsi on palomuuri ja tietokoneellasi toinen (esimerkiksi Windowsin palomuuri), kaikki saapuva liikenne kulkee ensin reitittimen ja sitten tietokoneesi läpi. Tämä kaksikerroksinen suojaus, oikein määritettynä, lisää kokonaissuojausta, koska yhden kerroksen vika voidaan kompensoida toisella kerroksella.
Epäjohdonmukaisten sääntöjen kanssa on kuitenkin oltava varovainen . Jos reititin estää portin, jonka tietokoneen palomuuri sallii, tai päinvastoin, saatat huomata, että palvelut eivät toimi, etkä voi olla varma, kumpi kahdesta kerroksesta aiheuttaa ongelman.
Käytännössä järkevin lähestymistapa on, että reitittimen palomuuri toimii ensisijaisena esteenä , joka päästää sisään vain todella tarvittavan tiedon internetistä, kun taas tietokoneen palomuuri hallitsee lähiverkon laitteiden välistä liikennettä ja kaikkea epäilyttävää lähtevää tietoliikennettä. Tämä yhdistettynä hyvin konfiguroituun NAT:iin ja DMZ:n ja UPnP:n liiallisen käytön välttämiseen tarjoaa erittäin vankan suojaustason koti- tai pientoimistoympäristöön.
Viime kädessä ymmärtämällä, miten eri palomuurit (reititin, käyttöjärjestelmä, pilvi, yrityksen NGFW) toimivat ja ovat yhteydessä toisiinsa, voit tehdä tietoisempia päätöksiä: mitä palveluita paljastaa, mihin segmentoida, mitä lokeja säilyttää ja miten sääntöjä muokataan tasapainon säilyttämiseksi turvallisuuden ja käytettävyyden välillä verkossa ja laitteissa.
