- A tűzfal szabályozza a hálózati forgalmat IP-címek, portok, protokollok és alkalmazások alapján szabályok alkalmazásával, hogy blokkolja a jogosulatlan hozzáférést.
- Az útválasztó tűzfalának, az operációs rendszernek és adott esetben az NGFW-nek, valamint a szegmentálásnak a kombinációja hatékony, mélységi védelmet biztosít.
- A hálózati zónák, ACL-ek és rekordok megfelelő megtervezése, valamint a konfiguráció biztonsági tesztekkel történő tesztelése kulcsfontosságú a vállalati környezetekben.
- A tűzfal kényelmi okokból történő letiltása komoly kockázatoknak teszi ki a rendszert; a helyes megközelítés az, hogy meghatározott szabályokat állítsunk be, és mindig aktívan tartsuk.
Bármely modern hálózatban, az otthoni Wi-Fi- től a nagyvállalati infrastruktúráig, a tűzfal az első védelmi vonal a támadások, a jogosulatlan hozzáférés és az adatszivárgások ellen. Megfelelő konfiguráció nélkül olyan, mintha résnyire nyitva hagynád a bejárati ajtót: semmi sem történhet... amíg meg nem történik.
Ennek ellenére sok felhasználó, sőt, egyes szervezetek is az alapértelmezett beállításokkal futtatják a tűzfalaikat , anélkül, hogy igazán értenék, mit csinálnak, vagy hogyan kell beállítani őket . Itt egy átfogó és nagyon praktikus útmutatót találsz arról, hogy mi is az a tűzfal, hogyan konfigurálható Windows, macOS, Linux, router és szerver környezetekben, valamint a haladó legjobb gyakorlatokat (NGFW, szegmentálás, naplózás, extra eszközök), így a védelmi szintet a környezetedhez igazíthatod anélkül, hogy túlterhelt lennél.
Mi az a tűzfal, és miért olyan fontos?
A tűzfal egy olyan rendszer, amely elemzi a hálózatra vagy eszközre belépő és onnan kilépő forgalmat , és egy szabálykészlet alapján eldönti, hogy mit engedélyez és mit blokkol. Ez a forgalom különböző protokollokon (TCP, UDP, ICMP stb.) és portokon keresztül továbbított adatcsomagokból áll.
Az ötlet egyszerű: a tűzfal szűrőként és akadályként működik az eszköz vagy a belső hálózat és az internet között . Ellenőrzi, hogy honnan érkezik a csomag, hová megy, melyik portot használja, és milyen típusú tartalmat hordoz. Ha megfelel egy engedélyezett szabálynak, akkor átengedi; ha nem, akkor blokkolja. Ez a logika egyértelmű előnyöket kínál: nagyobb biztonság, kisebb valószínűségű kártevőfertőzés, valamint nagyobb kontroll a bejövő és kimenő adatok felett.
Képzeld el a tűzfaladat digitális otthonod bejárati ajtajaként : te döntöd el, kit engedsz be, kit tartasz kint, és a ház mely területeit látogathatják az egyes vendégek. Továbbá, a tűzfal nemcsak a támadásokat állítja meg, hanem lehetővé teszi bizonyos webhelyekhez vagy alkalmazásokhoz való hozzáférés korlátozását is, amelyeket bár nem rosszindulatúak, nem szeretnél használni (például a közösségi médiát egy vállalati környezetben).
A való világban két fő típusú tűzfallal találkozunk: szoftveres tűzfalakkal (az operációs rendszerbe integrálva vagy programként telepítve) és hardveres tűzfalakkal (dedikált eszközök, gyakran professzionális vagy vállalati routerekbe integrálva). Ezenkívül léteznek a következő generációs tűzfalak (NGFW-k) , amelyek több réteg fejlett biztonságot, mély csomagvizsgálatot, IPS-t, valamint alkalmazásszegmentálási és -vezérlési funkciókat kombinálnak.
Tűzfalak típusai, amelyekkel találkozhatsz
A „tűzfal” gyűjtőfogalom alatt számos technológia értendő, eltérő megközelítésekkel. Ezek megértése segít abban, hogy tudd, mire kell figyelned, amikor a routered konfigurációját, az operációs rendszeredet vagy egy vállalati NGFW-t ellenőrzöd.
Az első csoportot a csomagszűrő tűzfalak alkotják . Ezek vezérlőpontokat hoznak létre az útválasztókon vagy switcheken, és minden egyes csomagon egyszerű ellenőrzést végeznek a forrás IP-cím, a cél IP-cím, a port és a protokoll alapján. Gyorsak, de nem elemzik részletesen a tartalmat.
Aztán ott vannak az áramkör szintű átjáró tűzfalak , amelyek a munkamenet állapota alapján jóváhagyják vagy elutasítják a kapcsolatokat anélkül, hogy minden egyes csomagot részletesen megvizsgálnának. Nagyon hatékonyak, de kevésbé hatékonyak az összetett fenyegetések észlelésében.
Az állapotalapú ellenőrző tűzfalak a csomaginformációkat a TCP-kapcsolatok követésével kombinálják. Fenntartják az aktív munkamenetek táblázatát, és ellenőrzik, hogy a forgalom megfelel-e az engedélyezett folyamatnak, így robusztusabb védelmet nyújtanak, mint az egyszerű statikus szűrés.
Alkalmazásszintű átjáróinkat vagy proxy tűzfalainkat is használjuk . Ezek az alkalmazásrétegen működnek, és HTTP, FTP és egyéb forgalmat vizsgálnak, lehetővé téve az alkalmazástípuson vagy akár a tartalomon alapuló, rendkívül részletes szabályzatok kidolgozását. Ez a megközelítés számos felhőalapú tűzfal és mélyforgalom-ellenőrző eszköz alapját képezi.
A következő generációs tűzfalak (NGFW-k) integrálják a mélyreható ellenőrzést, az alkalmazásvezérlést, a behatolásmegelőző rendszer (IPS) funkcióit, a webkategória-szűrést, a fejlett fájlelemzést és egyre inkább a mesterséges intelligencia-alapú képességeket. Fizikai berendezésként, virtuális gépként vagy felhőszolgáltatásként is telepíthetők.
Továbbá, elhelyezkedésük alapján megkülönböztethetünk szoftveres tűzfalakat (minden PC-n, szerveren vagy eszközön) és hardveres tűzfalakat (dedikált készülékek a hálózati peremeken). Ezenkívül léteznek felhőalapú tűzfalak is, amelyek nagyméretű proxyként működnek, és képesek skálázódni, hogy megvédjék az elosztott környezeteket és a sok felhasználóval és helyszínnel rendelkező szervezeteket.
Tűzfal a routeren: a hálózat első védelmi vonala
Az otthoni vagy irodai routered általában beépített tűzfallal és NAT/PAT protokollal rendelkezik . Ez azt jelenti, hogy alapértelmezés szerint senki sem tud közvetlen kapcsolatot létesíteni az internetről a belső eszközeiddel, kivéve, ha van porttovábbítás, aktív DMZ vagy rosszul konfigurált protokollok, például UPnP.
A modern routerek tipikus irányelve az, hogy „minden bejövő forgalmat tiltsanak, kivéve, ha az kifejezetten engedélyezett ”. Ezt erősíti meg az IPv4 NAT/PAT: a belső eszközök privát IP-címeket használnak, és a router a kimenő kapcsolataikat nyilvános IP-címre fordítja le. Minden olyan kísérletet, amely nyitott port vagy előre létező szabály nélkül próbál kommunikációt kezdeményezni az internetről, elutasít a rendszer.
Ezért olyan veszélyes demilitarizált zónát (DMZ) nyitni egy olyan számítógép felé a helyi hálózaton, amelynek nincs megfelelően konfigurált tűzfala: a számítógép így teljesen ki lesz téve az internetnek, és minden port elérhető lesz, kivéve azokat, amelyek egy másik gépre vannak átirányítva.
Az útválasztók tűzfalaival kapcsolatos alapvető bevált gyakorlatok közé tartozik a nem feltétlenül szükséges portok megnyitásának kerülése, a DMZ használatának kerülése, kivéve nagyon specifikus eszközök (például játékkonzolok) esetén, és az UPnP mindig történő letiltása, hogy megakadályozzuk az eszközök önálló portnyitását. A portok manuális megnyitásával teljes mértékben kézben tarthatod, hogy mi legyen kitéve a veszélynek.
Azt is tanácsos rendszeresen ellenőrizni, hogy mely portok vannak nyitva, lezárni a már nem használtakat, és ahol lehetséges, korlátozni azokat az IP-címeket, amelyek hozzáférhetnek az érzékeny szolgáltatásokhoz (például csak egy adott adminisztratív IP-címről engedélyezni az SSH-t, és nem az egész internetről).
Gyakori tűzfalbeállítások otthoni és fejlett routereken
Az útválasztó márkájától függően a tűzfal konfigurációs beállításai eltérőek lehetnek, de a logika hasonló: biztonsági profil, szabályok és további szűrés . Nézzünk néhány reprezentatív példát.
ASUS routerek
Az ASUS routerek integrált iptables alapú tűzfalat tartalmaznak . A webes felületen, a „Tűzfal” menüben engedélyezheti vagy letilthatja az IPv4 és IPv6 tűzfalat (alapértelmezés szerint engedélyezve van, ahogy annak lennie kell), és konfigurálhat anti-DoS intézkedéseket, amelyek blokkolják a túl sok csatlakozási kísérletet tevő forráscímeket.
Egy másik gyakori lehetőség a WAN interfészhez intézett ping kérések (ICMP Echo-kérések) blokkolása, így a router nem válaszol (lopakodó mód). IPv6 környezetekben a tűzfal nagyon korlátozó bejövő szabályzattal van konfigurálva : minden eszköznek saját nyilvános IP-címe van, de a váratlan bejövő kapcsolatokat blokkolja, míg a kimenő kapcsolatokat normálisan engedélyezi.
Az ASUS „LAN-WAN szűrő” funkciókat is kínál, amelyek lehetővé teszik a LAN-ról az internetre irányuló forgalom blokkolását a forrás IP-cím, a cél IP-cím és a portok alapján. Ezenkívül a tűzfal belsőleg támogatja az URL- és kulcsszószűrést a korlátozások betartatása érdekében.
Livebox routerek (Livebox Fiber stb.)
Az internetszolgáltatók által gyakran használt Livebox routereken a tűzfalat a „Speciális beállítások > Tűzfalbeállítások” menüben lehet kezelni. Itt több szint közül választhat: alacsony, közepes, magas és egyéni.
Az „alacsony” szűrési szint gyakorlatilag semmilyen szűrést nem kínál (a NAT-hoz elengedhetetlenül szükségeseken túl), és olyan haladó felhasználóknak készült, akik a rugalmasságot helyezik előtérbe a biztonsággal szemben. A „közepes” szűrési szint, amely általában az alapértelmezett, minden bejövő kapcsolatot letilt, és a kimenő forgalmat engedélyezi, kivéve a nagyon specifikus szolgáltatásokat, mint például a NetBIOS.
A „magas” profil a legszigorúbb: csak a jól definiált szabványos szolgáltatásokhoz tartozó kimenő kapcsolatokat engedélyezi , és blokkolja a váratlan bejövő kapcsolatokat. Az „egyéni” mód lehetővé teszi a felhasználó számára, hogy meghatározott szabályokat állítson be, és olyan rendszergazdáknak szól, akik tudják, mit csinálnak; rossz konfigurációval blokkolhatja a legitim szolgáltatásokat, vagy jelentős sebezhetőségeket hagyhat maga után.
AVM FRITZ!Box routerek
A FRITZ!Box eszközök meglehetősen átfogó tűzfallal rendelkeznek. A speciális nézetben, az „Internet > Szűrők” menü alatt aktiválhatja a lopakodó módot , hogy ne válaszoljon a WAN-on érkező pingekre, és blokkolja az olyan érzékeny portokat, mint a 25 (titkosítatlan SMTP), a NetBIOS vagy a Teredo, ha nincsenek használatban.
NAT környezetekben elengedhetetlen a porttovábbítási beállítások rendszeres felülvizsgálata és a már nem szükségesek bezárása, hogy megakadályozzuk az elavult szolgáltatások belépési pontokká válását. A FRITZ!Box saját távfelügyeleti szolgáltatásait is le kell tiltani, ha nem elengedhetetlenek; ehelyett biztonságosabb VPN-en keresztül elérni a routert, és a hálózaton belül a privát IP-címével kezelni.
A FRITZ!Box IPsec-alapú távoli hozzáférést és helyszínek közötti VPN-kapcsolatokat is kínál. Ez egy jó módszer arra, hogy elkerüljük a szolgáltatások közvetlen internetkapcsolatba kerülését , és minden távoli hozzáférést titkosított és ellenőrzött csatornán keresztül kényszerítsünk ki.
Következő generációs tűzfalak (NGFW) és fejlett biztonság
Vállalati környezetekben a következő generációs tűzfalak, mint például a FortiGate termékcsalád, messze túlmutatnak az egyszerű portszűrésen. Ezek az eszközök egyetlen platformon integrálják a fejlett hálózati funkciókat és a mélyreható biztonságot , csökkentve ezzel számos különálló eszköz szükségességét.
A FortiGate például a FortiOS operációs rendszeren alapul, és magában foglalja az SD-WAN, ZTNA (Zero Trust Access), WLAN és LAN integrációt, a titkosított forgalom mélyreható vizsgálatát, IPS-t , webkategória-szűrést és mesterséges intelligencián alapuló analitikai képességeket a FortiGuard szolgáltatásokon keresztül.
Ezek az NGFW-k jellemzően egyedi ASIC architektúrára támaszkodnak , amely nagyon nagy teljesítményt és jobb energiahatékonyságot tesz lehetővé, még nagy mennyiségű titkosított forgalom vizsgálatakor is. Továbbá integrálva vannak az úgynevezett „biztonsági szövetbe”: egy olyan biztonsági hálóba, amely hálózatokat, végpontokat és felhőket ölel fel, egységes szabályzatokkal, amelyeket olyan platformokról kezelnek, mint a FortiManager.
Ennek a megközelítésnek a kulcsa, hogy a teljes hálózati felületet egységes szabályzatok fedik le : a perifériától a végpontokig, beleértve a hibrid és felhőalapú környezeteket is. Ez megkönnyíti a gyors reagálást a felmerülő fenyegetésekre, szegmentálja az összetett hálózatokat, és teljes körű rálátást biztosít a forgalomra és a biztonsági eseményekre.
Egy jól strukturált hálózati tűzfal tervezésének és konfigurálásának lépései
Amikor vállalati hálózatokban (fizikai vagy virtuális) található tűzfalakról beszélünk, nem elég egyszerűen csatlakoztatni a berendezéseket, és az alapértelmezett beállításokat meghagyni. A finomhangolt forgalomvezérléshez előre megtervezett zónákra, IP-címekre és szabályzatokra van szükség.
Tűzfalzónák és IP-címzési séma tervezése
Az első lépés a hálózati eszközök (szerverek, kritikus alkalmazások, munkaállomások, IoT-eszközök, POS-rendszerek, VoIP stb.) azonosítása, és funkciójuk, érzékenységi szintjük és hozzáférési igényeik szerinti csoportosítása . Egyetlen, lapos hálózat helyett, ahol minden összekapcsolódik, szegmenseket vagy zónákat hoznak létre.
Jellemző, hogy az internetre kitett szerverek, például web-, e-mail-, VPN- vagy nyilvános API-szerverek számára DMZ-t (demilitarizált zónát) definiálnak . Ezekben a zónákban az internet-hozzáférés csak a feltétlenül szükséges mértékre korlátozódik. A belső szerverek, például az adatbázisok, a felügyeleti rendszerek, a munkaállomások, valamint a hang- vagy POS-eszközök szigorúbb biztonsági szabályzatokkal rendelkező belső zónákban helyezkednek el.
IPv4 használatakor elengedhetetlen a privát címtartományok használata minden belső hálózathoz, és a NAT konfigurálása, hogy a belső eszközök szükség esetén hozzáférhessenek az internethez. Az infrastruktúra kiépítése során VLAN-támogatással rendelkező switcheket használnak a szegmensek közötti 2. rétegbeli logikai elválasztás fenntartása érdekében.
Miután a zónastruktúra és az IP-címzési terv egyértelművé vált, a megfelelő zónákat létrehozzák a tűzfalon, és fizikai interfészekhez vagy alinterfészekhez rendelik . Ez a leképezés kulcsfontosságú annak biztosításához, hogy a tűzfalszabályok helyesen legyenek alkalmazva a zónák között.
Hozzáférés-vezérlési listák (ACL-ek) konfigurálása
Miután a zónák definiálva vannak, itt az ideje szabályokat létrehozni , amelyek meghatározzák, hogy mi kommunikálhat egymással . Ezek a szabályok ACL-ként (hozzáférési listák) vannak megvalósítva, ahol a zónák közötti engedélyezett (vagy tiltott) forgalom a lehető legrészletesebben van meghatározva.
A hozzáférés-vezérlési listák (ACL-ek) tűzfal interfészenként vagy alinterfészenként alkalmazhatók, és a legjobb, ha a forrás IP-címet, a cél IP-címet és a portokat a lehető legpontosabban finomhangoljuk . Más szóval, jobb, ha „ennek a szervernek engedélyezzük ezt a portot ezen az adatbázison”, mint ha „ennek a teljes hálózatnak a másik hálózat összes portját”.
Egy nagyon fontos szabály, hogy minden ACL végén „mindent tiltsunk”. Ez a korlátozó szabályzat biztosítja, hogy minden olyan forgalom blokkolva legyen, amelyet kifejezetten nem fed le . Ezt követően a bejövő és kimenő ACL-ek minden interfészre vonatkoznak, a viselkedést a forgalom irányához igazítva.
Érdemes letiltani a nyilvános hozzáférést a tűzfal felügyeleti felületeihez, és nemcsak azt tesztelni, hogy az alkalmazások működnek-e, hanem azt is, hogy a nem kívánt forgalom hatékonyan blokkolva van-e . Például ellenőrizni kell, hogy az alkalmazásszintű vezérlőfunkciók (webkategóriák blokkolása, speciális fájlelemzés, IPS stb.) a várt módon működnek-e.
További szolgáltatások és naplók konfigurálása
Sok tűzfal lehetővé teszi további szolgáltatások, például DHCP, NTP vagy IPS engedélyezését közvetlenül az eszközön. Csak azokat a szolgáltatásokat engedélyezze, amelyeket ténylegesen használni is fog; a többit tiltsa le a támadási felület csökkentése érdekében.
Egy másik kritikus szempont a naplózás konfigurációja. A PCI DSS- hez hasonló előírásoknak való megfelelés érdekében a tűzfalnak részletes naplókat kell küldenie egy naplózó szerverre vagy SIEM-re, amelyek olyan szempontokat is lefednek, mint például, hogy ki, honnan, melyik szolgáltatáson keresztül és milyen eredménnyel fér hozzá a rendszerhez. A PCI DSS például a 10.2. és 10.3. szakaszban konkrét követelményeket határoz meg ezen naplók tartalmával kapcsolatban.
A naplók mennyisége nagy lehet, de ez az egyetlen módja a hozzáférés auditálásának és a támadási minták vagy anomáliák észlelésének . Célszerű szabályzatokat meghatározni ezen események megőrzésére, rotálására és monitorozására, hogy gyorsan lehessen reagálni, ha valami nincs rendben.
Alaposan tesztelje a konfigurációt
Új tűzfalkonfiguráció telepítése előtt, vagy egy nagyobb változtatás után elengedhetetlen annak ellenőrzése, hogy az blokkolja-e, amit kell, és engedélyezi-e, ami szükséges . Ez magában foglalja a portszkennelést, a sebezhetőségi felméréseket és a penetrációs tesztelést.
Az is elengedhetetlen, hogy a konfigurációról biztonságos helyen biztonsági másolatok legyenek, és teszteljék a visszaállítási folyamatot. Mielőtt bármilyen kritikus változtatást végrehajtana, dokumentálja a tervezett módosításokat, és ellenőrizze, hogy tudja-e, hogyan kell visszaállítani a tűzfalat, ha valami probléma merül fel a karbantartási időszak alatt.
Tűzfal virtuális szerverhálózatokban (privát vagy nyilvános felhő)
Felhőalapú szerverplatformokon gyakori, hogy az operációs rendszer saját tűzfala és az esetleges köztes tűzfalak mellett egy hálózati szintű tűzfal is rendelkezésre áll, amely a vezérlőpultról konfigurálható. Ezek alkalmazási sorrendjének megértése segít elkerülni a szabályütközéseket.
A bejövő csomagok jellemzően először a (platform által kezelt) hálózati tűzfalon haladnak át , majd a szerver tűzfalán (például az iptables Linuxon vagy a Windows tűzfalon), végül pedig minden további szoftveres tűzfalon. A kimenő forgalom fordított útvonalat követ.
Az ilyen típusú panelekben a konfiguráció általában névvel, művelettel (engedélyezés vagy tiltás), forrással és céllal (IP, tartományok, CIDR, „bármely”, „belső”, „külső”), forrás- és célportokkal (egy adott port, tartomány vagy „bármely”) és protokollal (TCP, UDP, mindkettő vagy ICMP) rendelkező szabályokon alapul.
Egy kulcsfontosságú részlet a szabályok sorrendje : minél feljebb van egy szabály a listában, annál magasabb a prioritása. Ha ugyanazon forgalomra vonatkozóan egy „tiltás” szabályt helyezünk egy „engedélyezés” szabály elé, az a forgalom blokkolását okozza. Ezért általában lehetővé teszik a szabályok áthúzásával történő átrendezését a prioritások módosításához.
Ha a tűzfal kikapcsolt módban van, minden csomag szűrés nélkül be- és kilép. Aktív módban az alapértelmezett viselkedés általában az, hogy „mindent engedélyez, ami nem felel meg egyetlen szabálynak sem”, bár sokkal biztonságosabb egy alapértelmezett tiltási szabályzatot beállítani, és csak a legszükségesebbeket engedélyezni , különösen érzékeny adatokat tartalmazó környezetekben.
Tűzfal az operációs rendszerben: Windows, macOS és Linux
A router tűzfalán és bármely felhőalapú hálózati tűzfalon kívül minden modern rendszer rendelkezik saját védelmi réteggel. Megfelelő konfigurálása mélységi védelmi megközelítést biztosít , amely különösen hasznos, ha bármely szolgáltatás ki van téve az internetnek, vagy ha egy támadó hozzáférést szerez a helyi hálózathoz.
Windows tűzfal: Alapvető és speciális konfiguráció
Windows rendszerben a beépített tűzfal (Windows Defender tűzfal vagy Microsoft Defender tűzfal) előre meghatározott és egyéni szabályok alapján szűri a forgalmat . Megtekintheti és kezelheti a Windows biztonság alkalmazásban, a „Tűzfal és hálózati védelem” szakaszban.
Az első lépés az aktív hálózati profil ellenőrzése: domain, privát vagy nyilvános. Egy privát hálózat (mint például az otthoni hálózat) viszonylag megbízható környezetet feltételez, és több bejövő kapcsolatot engedélyez, míg egy nyilvános hálózat (mint egy kávézó Wi-Fi-je) szigorúbb szabályokkal rendelkezik, és szinte mindent blokkol, ami kívülről érkezik.
Ezen a felületen engedélyezheti vagy letilthatja a tűzfalat az egyes hálózattípusokhoz, bár a letiltása nem jó ötlet, mert növeli a jogosulatlan hozzáféréssel szembeni sebezhetőséget . Ha egy legitim alkalmazás nem működik, mert blokkolva van, a helyes megközelítés egy kivétel létrehozása vagy egy adott port megnyitása a számára, nem pedig a teljes tűzfal kikapcsolása.
A speciális beállítások kezelik a bejövő és kimenő szabályokat , amelyek meghatározzák, hogy mely kapcsolatok engedélyezettek. A Windows ezeket a szabályokat négy típusba sorolja: programszabályok (amelyek engedélyeznek vagy blokkolnak egy adott végrehajtható fájlt), portszabályok (amelyek meghatározott TCP/UDP portokat vezérelnek), előre definiált szabályok (a rendszer biztosítja), és egyéni szabályok (a legrugalmasabbak, amelyek lehetővé teszik a program, a port, a protokoll és a cím kombinálását).
Ezenkívül lehetőség van az összes bejövő kapcsolat blokkolására , beleértve az engedélyezettek listáján szereplőket is. Ez akkor hasznos, ha maximális biztonságra van szüksége, bár ez alapvető szolgáltatások (megosztott fájlok, távoli asztal stb.) működésének leállását okozhatja.
Sok szervezet központosított felügyeleti eszközöket használ, például az Ivanti Endpoint Security Solution Agent Configuration programot . Ezek az eszközök lehetővé teszik a felhasználók számára, hogy Windows tűzfalszabályzatot hozzanak létre, és tömegesen telepítsék azt a Windows különböző verzióit (XP/2003, Vista és újabb) futtató eszközökre, a bejövő/kimenő szabályokat, kivételeket, valamint a tűzfal aktiválását/deaktiválását a konfigurációs vagy javítási feladatok részeként definiálva.
Súgó, segédprogramok és biztonsági definíciók a Windows tűzfalban
A részletes konfiguráció némileg bonyolult lehet, ezért vannak olyan eszközök, amelyek megkönnyítik a mindennapi feladatokat. A TinyWall például felügyeleti rétegként működik a Windows tűzfal felett, és lehetővé teszi az üzemmódok megváltoztatását (többé vagy kevésbé korlátozóvá), az aktív kapcsolatok megjelenítését, fehérlisták létrehozását, és annak megakadályozását, hogy maga a tűzfal blokkolja a szükséges alkalmazásokat.
Egy másik példa a Windows tűzfalvezérlés , amely a tálcába integrálódik, és gyors profilokat (magas, közepes, alacsony, szűrő nélkül) és kényelmes felületet kínál a szabályok kezeléséhez, a konfigurációk importálásához/exportálásához, valamint egy tanulási mód aktiválásához, amely felismeri a digitálisan aláírt programokat a szabályok intelligensebb létrehozása érdekében.
Az olyan vállalati biztonsági megoldásokban, mint az Ivanti Endpoint Security, a Windows tűzfalhoz kapcsolódó specifikus biztonsági fenyegetéseket definiálnak (például az XP/2003 rendszerben a Windows tűzfalhoz tartozó ST000102). Ezek a definíciók olyan testreszabható változókat tartalmaznak, amelyek lehetővé teszik annak nyomon követését, hogy a tényleges tűzfalkonfiguráció megfelel-e a kívánt szabályzatnak, és ha nem, akkor a számítógépet sebezhetőként jelöli meg, és javítási feladatokat indít a helyes beállítások érvényesítése érdekében.
Tűzfal a macOS-ben
Mac gépen a tűzfalat a „Rendszerbeállítások” (vagy régebbi verziókban a „Rendszerbeállítások”) menüpontban, a Hálózat és tűzfal részben lehet konfigurálni . Ott aktiválhatja, majd a speciális beállításokhoz hozzáférhet, amelyekkel eldöntheti, hogyan kezelje a bejövő kapcsolatokat.
Többek között blokkolhatja a kéretlen kapcsolatokat , csak a létfontosságú alkalmazásokat és szolgáltatásokat engedélyezheti, szabályozhatja, hogy mely alkalmazások fogadhatnak forgalmat, és engedélyezheti a megbízható alkalmazások automatikus hozzáadását az engedélyezettek listájához. Ez egy egyszerűbb rendszer, mint a Windows a portok részletességét tekintve, de nagyon hatékony az átlagfelhasználó számára.
Vállalati környezetekben ezt általában központilag felügyelt biztonsági szabályzatok egészítik ki, amelyek biztosítják, hogy minden Mac gép ugyanazokat a szabályokat kövesse a kapcsolatok fogadására jogosult, kitett szolgáltatásokkal és alkalmazásokkal kapcsolatban.
Tűzfal Linuxon: UFW, mint egyszerű opció
Linux alatt, különösen az olyan disztribúciókban, mint az Ubuntu, gyakori, hogy az iptables (vagy nftables) kezelését felhasználóbarátabb eszközökkel végzik. Az egyik legnépszerűbb az UFW (Uncomplicated Firewall) , amely egyszerű parancsokat kínál a tűzfal aktiválásához és a szabályok meghatározásához.
A telepítés a csomagkezelőn keresztül történik (például „sudo apt-get install ufw”), és bár az UFW általában alapértelmezés szerint le van tiltva, ajánlott az állapotát a „sudo ufw status” paranccsal ellenőrizni az engedélyezése előtt. Ne engedélyezze anélkül, hogy először meg nem határozná az alapvető szabályokat , mivel ez blokkolná az összes bejövő kapcsolatot, és elveszítheti a távoli hozzáférést.
A tipikus szabályok közé tartozik az SSH engedélyezése („sudo ufw allow ssh”) a távoli hozzáférés fenntartásához, HTTP és HTTPS megnyitása („sudo ufw allow http”, „sudo ufw allow https”) webszerverek számára , majd portok hozzáadása szükség szerint. Miután az alapvető szabályokat beállították, a tűzfalat a „sudo ufw enable” paranccsal engedélyezik, állapotát pedig a „sudo ufw status” paranccsal ellenőrzik, amely megjeleníti az engedélyezett szolgáltatások és portok listáját.
Mivel a Linux már egy meglehetősen robusztus rendszer, az UFW konfigurálása további biztonsági réteget biztosít, ami erősen ajánlott , különösen az internetről elérhető szervereken.
Hálózati szegmentálás, szabályzatok és a hitelesítő adatok ellopásának megelőzése
A biztonság javításának egyik leghatékonyabb stratégiája a hálózat szegmentálása . A hálózat szegmensekre osztásával (funkció, eszköztípus, kockázati szint szerint) az egyik szegmensből érkező forgalom nem látható a másikból, csökkentve az incidensek hatását.
Ez különösen fontos az IoT-eszközök esetében, amelyek gyakran régebbi, sebezhető rendszereken futnak. VLAN-okba vagy elszigetelt zónákba helyezése és hozzáférésük szigorú korlátozása minimalizálja az IP-kamera vagy -érzékelő meghibásodásának kockázatát, ami veszélyezteti a teljes vállalati hálózatot.
Egy másik kulcsfontosságú probléma a tűzfalszabályzatok optimalizálása . A szabályok felülvizsgálat nélküli hozzáadása kaotikus felhalmozódásokhoz, konfliktusokhoz és szinte kezelhetetlen tűzfalhoz vezet. Ideális esetben a portalapú szabályokról az alkalmazásalapú szabályokra kell áttérni, világosan láthatóvá téve, hogy mely szolgáltatások engedélyezettek vagy tiltottak, és rendszeresen felül kell vizsgálni őket az elavult bejegyzések eltávolítása érdekében.
Néhány fejlett tűzfal olyan funkciókat tartalmaz, amelyek megakadályozzák a vállalati hitelesítő adatok ellopását . Beolvassák a bejelentkezési kísérleteket (felhasználónév és jelszó), és összevetik azokat a szervezet fiókjainak belső listáival, blokkolva azok felhasználását külső webhelyeken, például a közösségi médiában vagy az üzleti tevékenységhez nem kapcsolódó szolgáltatásokban. Figyelmeztetéseket is megjeleníthetnek a felhasználónak, amelyek elmagyarázzák a munkahelyi hitelesítő adatok újrafelhasználásának kockázatait.
Az ilyen típusú ellenőrzések nemcsak a közvetlen támadásokat állítják meg, hanem biztonsági tudatossági eszközként is szolgálnak , láthatóbbá téve a vállalati környezeten kívüli jelszóhasználati szokások hatását az alkalmazottak számára.
Mi történik, ha letiltja a tűzfalat (és miért nem szabad)
Gyakori, hogy ha valakinek problémája van egy alkalmazással vagy online játékkal, megpróbálja letiltani a tűzfalat, „hogy kiderüljön, ez megoldja-e a problémát ”. És igen, néha ez megoldja az azonnali problémát, de számos olyan kockázatot nyit meg, amelyek nem azonnal nyilvánvalóak.
Tűzfal nélkül a rendszer ki van téve a külső fenyegetéseknek, például rosszindulatú programoknak, trójai programoknak, vírusoknak és más támadásoknak, amelyek akadálytalanul telepíthetők. A támadók megpróbálhatják átvizsgálni az útválasztó portjait, és ha a NAT szabályok is lazák, rosszul védett szolgáltatásokat találhatnak, és azokat belépési pontként használhatják.
A tűzfal a kimenő adatokat is szabályozza : nélküle bármely rosszindulatú alkalmazás szabadon küldhetne érzékeny információkat a külvilágnak. Továbbá számos alkalmazás a tűzfalra támaszkodik a portszkennelési támadások vagy a kisebb DDoS-támadások pufferelésére; a letiltása megszünteti ezt a puffert.
Ha egy alkalmazás a tűzfal miatt nem működik, a professzionális megoldás nem a kikapcsolása, hanem egy olyan szabály létrehozása, amely engedélyezi a szükséges forgalmat , annak ellenőrzése, hogy a routernek meg kell-e nyitnia portokat, és a szabályok összehangolása, hogy ne legyen ütközés a helyi tűzfal és a hálózati eszköz tűzfala között.
Több tűzfal együttes jelenléte: router és PC egyszerre
Ha egy tűzfal van az útválasztón és egy másik a számítógépen (például a Windows tűzfal), akkor minden bejövő forgalom először az útválasztón, majd a számítógépen halad át. Ez a kétrétegű biztonság, ha megfelelően konfigurálva van, növeli az általános biztonságot, mivel az egyik réteg hibáját a másik kompenzálhatja.
Azonban óvatosnak kell lenni az inkonzisztens szabályokkal . Ha a router blokkol egy olyan portot, amelyet a számítógép tűzfala engedélyez, vagy fordítva, előfordulhat, hogy olyan szolgáltatásokat talál, amelyek nem működnek, és nem lehet biztos benne, hogy a két réteg közül melyik okozza a problémát.
A gyakorlatban a legésszerűbb megközelítés az, ha a router tűzfala elsődleges határvonalként működik , csak azt engedi be az internetről, aminek valóban szüksége van rá, míg a számítógép tűzfala szabályozza a helyi hálózaton lévő eszközök közötti forgalmat és a gyanús kimenő kommunikációt. Ez egy jól konfigurált NAT-tal és a DMZ és UPnP túlzott használatának elkerülésével kombinálva nagyon robusztus védelmet nyújt otthoni vagy kis irodai környezetben.
Végső soron, ha megértjük, hogyan működnek és kapcsolódnak egymáshoz a különböző tűzfalak (router, operációs rendszer, felhő, vállalati NGFW), akkor megalapozottabb döntéseket hozhatunk: mely szolgáltatásokat tegyünk elérhetővé, hol szegmentáljunk, milyen naplókat őrizzünk meg, és hogyan módosítsuk a szabályokat a biztonság és a használhatóság közötti egyensúly fenntartása érdekében a hálózaton és az eszközökön.
