- Ugniasienė kontroliuoja tinklo srautą taikydama taisykles, pagrįstas IP adresais, prievadais, protokolais ir programomis, kad blokuotų neteisėtą prieigą.
- Maršrutizatoriaus užkardos, operacinės sistemos ir, jei taikoma, NGFW bei segmentavimo derinys užtikrina veiksmingą apsaugą nuo pažeidimų.
- Tinkamas tinklo zonų, ACL ir įrašų projektavimas bei konfigūracijos testavimas saugumo testais yra labai svarbūs įmonių aplinkoje.
- Išjungus užkardą patogumo dėlei, sistemai kyla rimta rizika; teisingas požiūris yra nustatyti konkrečias taisykles ir ją visada laikyti aktyvią.
Bet kuriame šiuolaikiniame tinkle – nuo namų „Wi-Fi“ iki didelės įmonės infrastruktūros – užkarda yra pirmoji gynybos linija nuo atakų, neteisėtos prieigos ir duomenų nutekėjimo. Be tinkamos konfigūracijos tai tas pats, kas palikti praviras duris: nieko gali ir nenutikti... kol nenutiks.
Nepaisant to, daugelis vartotojų ir net kai kurios organizacijos naudoja numatytuosius ugniasienes , iš tikrųjų nesuprasdamos, ką jos daro ar kaip jas koreguoti . Čia rasite išsamų ir labai praktišką vadovą apie tai, kas yra ugniasienė, kaip ją konfigūruoti „Windows“, „macOS“, „Linux“, maršrutizatorių ir serverių aplinkose, taip pat pažangią geriausią praktiką (NGFW, segmentavimą, registravimą, papildomus įrankius), kad galėtumėte pritaikyti apsaugos lygį savo aplinkai nepervargdami.
Kas yra ugniasienė ir kodėl ji tokia svarbi?
Ugniasienė – tai sistema, kuri analizuoja į jūsų tinklą ar įrenginį įeinantį ir išeinantį srautą ir, remdamasi taisyklių rinkiniu, nusprendžia, ką leisti, o ką blokuoti. Šį srautą sudaro duomenų paketai, kurie perduodami naudojant skirtingus protokolus (TCP, UDP, ICMP ir kt.) ir prievadus.
Idėja paprasta: užkarda veikia kaip filtras ir barjeras tarp įrenginio ar vidinio tinklo ir interneto . Ji tikrina, iš kur ateina paketas, kur jis keliauja, kurį prievadą naudoja ir kokio tipo turinį neša. Jei atitinka leistiną taisyklę, ji jį praleidžia; jei ne – blokuoja. Ši logika suteikia aiškių pranašumų: didesnį saugumą, mažesnę kenkėjiškų programų užkrėtimo tikimybę ir didesnę kontrolę, kas patenka ir kas išeina.
Įsivaizduokite savo užkardą kaip savo skaitmeninių namų duris : jūs sprendžiate, ką įleidžiate, ką neleidžiate įeiti ir kurias namų zonas gali lankyti kiekvienas svečias. Be to, užkarda ne tik sustabdo atakas, bet ir leidžia apriboti prieigą prie tam tikrų svetainių ar programų, kurios, nors ir nėra kenkėjiškos, nenorite būti naudojamos (pavyzdžiui, socialinė žiniasklaida įmonės aplinkoje).
Realiame pasaulyje randame du pagrindinius užkardų tipus: programinės įrangos užkardas (integruotas į operacinę sistemą arba įdiegtą kaip programa) ir aparatinės įrangos užkardas (specialūs įrenginiai, dažnai integruojami į profesionalius arba įmonių maršrutizatorius). Be to, yra naujos kartos užkardos (NGFW) , kurios apjungia kelis pažangios saugos sluoksnius, giluminę paketų patikrą, IPS ir programų segmentavimą bei valdymo funkcijas.
Ugniasienių tipai, su kuriais galite susidurti
Skėtinis terminas „ugniasienė“ apima kelias technologijas su skirtingais požiūriais. Jų supratimas padeda suprasti, į ką atkreipiate dėmesį tikrindami maršrutizatoriaus konfigūraciją, operacinę sistemą ar įmonės NGFW.
Pirmąją grupę sudaro paketus filtruojančios ugniasienės . Jos sukuria valdymo taškus maršrutizatoriuose arba komutatoriuose ir atlieka paprastą kiekvieno paketo patikrinimą pagal šaltinio IP adresą, paskirties IP adresą, prievadą ir protokolą. Jos yra greitos, tačiau neatlieka išsamios turinio analizės.
Taip pat yra grandinės lygio šliuzų užkardos , kurios daugiausia dėmesio skiria ryšių patvirtinimui arba atmetimui pagal sesijos būseną, netikrindamos kiekvieno paketo išsamiai. Jos yra labai efektyvios, bet mažiau veiksmingos aptinkant sudėtingas grėsmes.
Valstybinės patikros užkardos sujungia paketų informaciją su TCP ryšio stebėjimu. Jos tvarko aktyvių sesijų lentelę ir tikrina, ar srautas atitinka leistiną srautą, užtikrindamos patikimesnę apsaugą nei paprastas statinis filtravimas.
Taip pat turime programų lygmens šliuzus arba tarpinio serverio užkardas . Jos veikia programų lygmenyje ir tikrina HTTP, FTP ir kitą srautą, leisdamos taikyti labai detalias politikas, pagrįstas programos tipu ar net turiniu. Šis metodas sudaro daugelio debesijos užkardų ir gilaus srauto tikrinimo įrankių pagrindą.
Naujos kartos užkardos (NGFW) integruoja giluminį patikrinimą, programų valdymą, įsilaužimų prevencijos sistemos (IPS) funkcijas, žiniatinklio kategorijų filtravimą, pažangią failų analizę ir vis dažniau – dirbtinio intelekto pagrindu veikiančias galimybes. Jas galima diegti kaip fizinę įrangą, virtualias mašinas arba debesijos paslaugas.
Be to, pagal jų vietą galime atskirti programinės įrangos užkardas (kiekviename kompiuteryje, serveryje ar įrenginyje) ir aparatinės įrangos užkardas (specialias priemones tinklo perimetre). Taip pat yra debesies užkardos , kurios veikia kaip dideli tarpiniai serveriai, galintys keisti mastelį, kad apsaugotų paskirstytas aplinkas ir organizacijas, turinčias daug vartotojų ir vietų.
Maršrutizatoriaus užkarda: pirmoji jūsų tinklo gynybos linija
Maršrutizatorius, kurį turite namuose ar biure, paprastai turi integruotą užkardą ir NAT/PAT . Tai reiškia, kad pagal numatytuosius nustatymus niekas negali užmegzti tiesioginio ryšio iš interneto su jūsų vidiniais įrenginiais, nebent būtų įjungtas prievadų peradresavimas, aktyvi demilitarizuota zona (DMZ) arba netinkamai sukonfigūruoti protokolai, pvz., UPnP.
Įprasta šiuolaikinio maršrutizatoriaus politika yra „uždrausti visą įeinantį srautą, nebent tai būtų aiškiai leidžiama “. Tai sustiprina IPv4 NAT/PAT: vidiniai įrenginiai naudoja privačius IP adresus, o maršrutizatorius konvertuoja jų išeinančius ryšius į viešąjį IP adresą. Bet koks bandymas pradėti ryšį iš interneto be atviro prievado ar iš anksto nustatytos taisyklės bus atmestas.
Štai kodėl taip pavojinga atidaryti demilitarinę zoną (DMZ) kompiuteriui vietiniame tinkle, kuris neturi tinkamai sukonfigūruotos užkardos: tas kompiuteris bus visiškai atviras internetui, o visi prievadai bus pasiekiami, išskyrus tuos, kurie nukreipiami į kitą kompiuterį.
Pagrindinė geriausia maršrutizatorių užkardų naudojimo praktika apima neatidarymą prievadų, kurie nėra būtini, vengimą naudoti DMZ, išskyrus labai specifinius įrenginius (pvz., žaidimų konsolę), ir visada išjungti UPnP, kad įrenginiai patys neatidarytų prievadų. Rankiniu būdu atidarę prievadus, galite visiškai kontroliuoti, kas yra pažeidžiama.
Taip pat patartina periodiškai tikrinti, kurie prievadai yra atviri, uždaryti nebenaudojamus ir, jei įmanoma, apriboti IP adresus, kurie gali pasiekti jautrias paslaugas (pavyzdžiui, leisti SSH tik iš konkretaus administracinio IP adreso, o ne iš viso interneto).
Įprastos užkardos parinktys namų ir pažangiuose maršrutizatoriuose
Priklausomai nuo maršrutizatoriaus prekės ženklo, užkardos konfigūracijos parinktys gali skirtis, tačiau logika panaši: saugos profilis, taisyklės ir papildomas filtravimas . Pažvelkime į keletą tipinių pavyzdžių.
ASUS maršrutizatoriai
ASUS maršrutizatoriuose integruota „iptables“ pagrindu sukurta užkarda . Žiniatinklio sąsajoje, meniu „Ugniasienė“, galite įjungti arba išjungti užkardą IPv4 ir IPv6 adresams (ji įjungta pagal numatytuosius nustatymus, kaip ir turėtų būti) ir sukonfigūruoti apsaugos nuo DoS (DoS atkryčio) priemones, kurios blokuoja šaltinio adresus, kurie atlieka per daug prisijungimo bandymų.
Kitas įprastas variantas yra blokuoti ping užklausas (ICMP Echo užklausas) į WAN sąsają, kad jūsų maršrutizatorius neatsakytų (slaptas režimas). IPv6 aplinkose užkarda sukonfigūruota su labai ribojančia gaunamo ryšio politika : kiekvienas įrenginys turi savo viešąjį IP adresą, tačiau netikėti gaunami ryšiai yra blokuojami, o išeinantys ryšiai yra leidžiami įprastai.
ASUS taip pat siūlo „LAN į WAN filtro“ funkcijas, leidžiančias blokuoti srautą iš LAN į internetą pagal šaltinio IP adresą, paskirties IP adresą ir prievadus. Be to, užkarda palaiko vidinį URL ir raktinių žodžių filtravimą, kad būtų taikomi apribojimai.
„Livebox“ maršrutizatoriai („Livebox Fiber“ ir kt.)
„Livebox“ maršrutizatoriuose, kuriuos dažniausiai naudoja interneto paslaugų teikėjai, užkarda valdoma meniu „Išplėstiniai nustatymai > Užkardos nustatymai“. Ten galite pasirinkti kelis lygius: žemą, vidutinį, aukštą ir pasirinktinį.
„Žemas“ filtravimo lygis praktiškai neatlieka jokio filtravimo (išskyrus tai, kas būtina NAT), ir yra skirtas pažengusiems vartotojams, kuriems lankstumas yra svarbesnis už saugumą. „Vidutinis“ filtravimo lygis, kuris paprastai yra numatytasis, nutraukia visus įeinančius ryšius ir leidžia išeinantį srautą, išskyrus labai specifines paslaugas, pvz., „NetBIOS“.
„Aukštas“ profilis yra labiausiai ribojantis: jis leidžia tik išeinančius ryšius su tiksliai apibrėžtomis standartinėmis paslaugomis ir blokuoja netikėtus įeinančius ryšius. „Pasirinktinis“ režimas leidžia vartotojui nustatyti konkrečias taisykles ir yra skirtas administratoriams, kurie žino, ką daro; netinkamai sukonfigūruoti galite blokuoti teisėtas paslaugas arba palikti didelių pažeidžiamumų.
AVM FRITZ!Box maršrutizatoriai
„FRITZ!Box“ įrenginiuose yra gana išsami užkarda. Išplėstiniame rodinyje, meniu „Internetas > Filtrai“, galite įjungti slaptą režimą , kad nereaguotų į WAN tinklo užklausas ir blokuotų jautrius prievadus, tokius kaip 25 (nekrifuotas SMTP), „NetBIOS“ arba „Teredo“, jei jie nenaudojami.
NAT aplinkose labai svarbu reguliariai peržiūrėti prievadų peradresavimo nustatymus ir uždaryti visus nereikalingus, kad pasenusios paslaugos netaptų įėjimo taškais. „FRITZ!Box“ nuotolinio valdymo paslaugas taip pat reikėtų išjungti, jei jos nėra būtinos; vietoj to saugiau pasiekti maršrutizatorių per VPN ir, prisijungus prie tinklo, jį valdyti naudojant jo privatų IP adresą.
„FRITZ!Box“ taip pat siūlo IPsec pagrindu veikiančią nuotolinę prieigą ir VPN ryšius tarp svetainių. Tai geras būdas išvengti tiesioginio paslaugų atskleidimo internetui ir priversti visą nuotolinę prieigą per užšifruotą ir kontroliuojamą kanalą.
Naujos kartos užkardos (NGFW) ir pažangi apsauga
Įmonių aplinkoje naujos kartos užkardos, tokios kaip „FortiGate“ serija, yra daug platesnės nei paprastas prievadų filtravimas. Šie įrenginiai vienoje platformoje integruoja pažangias tinklo funkcijas ir gilų saugumą , todėl sumažėja daugybės atskirų įrenginių poreikis.
Pavyzdžiui, „FortiGate“ yra pagrįsta „FortiOS“ operacine sistema ir apima SD-WAN, ZTNA (nulinio pasitikėjimo prieiga), WLAN ir LAN integraciją, gilų užšifruoto srauto patikrinimą, IPS , žiniatinklio kategorijų filtravimą ir dirbtiniu intelektu pagrįstas analizės galimybes per „FortiGuard“ paslaugas.
Šie NGFW paprastai remiasi specialia ASIC architektūra , užtikrinančia labai didelį našumą ir geresnį energijos vartojimo efektyvumą, net tikrinant didelius užšifruoto srauto kiekius. Be to, jie yra integruoti į vadinamąjį „saugumo audinį“: saugumo tinklą, apimantį tinklus, galinius taškus ir debesis, o vieninga politika valdoma tokiose platformose kaip „FortiManager“.
Šio metodo esmė yra ta, kad visas tinklo paviršius yra padengtas nuosekliomis politikomis : nuo perimetro iki galinio taško, įskaitant hibridines ir debesijos aplinkas. Tai palengvina greitą reagavimą į kylančias grėsmes, segmentuoja sudėtingus tinklus ir suteikia visišką srauto ir saugumo įvykių matomumą.
Gerai struktūrizuotos tinklo užkardos projektavimo ir konfigūravimo veiksmai
Kalbant apie užkardas įmonių tinkluose (fiziniuose ar virtualiuose), nepakanka tiesiog prijungti įrangą ir palikti numatytuosius nustatymus. Norint tiksliai valdyti srautą, būtina iš anksto sukurti zonų, IP adresų ir politikų konfigūraciją.
Sukurkite ugniasienės zonas ir IP adresavimo schemą
Pirmas žingsnis – identifikuoti tinklo išteklius (serverius, svarbiausias programas, darbo stotis, daiktų interneto įrenginius, POS sistemas, VoIP ir kt.) ir sugrupuoti juos pagal jų funkciją, jautrumo lygį ir prieigos poreikius . Vietoj vieno, plokščio tinklo, kuriame viskas yra tarpusavyje susijusi, sukuriami segmentai arba zonos.
Įprasta apibrėžti DMZ (demilitarizuotą zoną) serveriams, kurie yra atviri internetui, pvz., žiniatinklio, el. pašto, VPN arba viešųjų API serveriams. Šiose zonose prieiga prie interneto ribojama tik iki to, kas yra absoliučiai būtina. Vidiniai serveriai, pvz., duomenų bazės, valdymo sistemos, darbo stotys ir balso arba pardavimo vietos įrenginiai, yra patalpinti vidinėse zonose, kuriose taikoma griežtesnė saugumo politika.
Naudojant IPv4, labai svarbu visiems vidiniams tinklams naudoti privačius adresų diapazonus ir sukonfigūruoti NAT taip, kad vidiniai įrenginiai galėtų prisijungti prie interneto prireikus. Kuriant infrastruktūrą, naudojami komutatoriai su VLAN palaikymu, siekiant išlaikyti 2 sluoksnio loginį segmentų atskyrimą.
Kai zonos struktūra ir IP adresavimo planas yra aiškūs, užkardoje sukuriamos atitinkamos zonos ir priskiriamos fizinėms sąsajoms arba antrinėms sąsajoms . Šis susiejimas yra labai svarbus siekiant užtikrinti, kad užkardos taisyklės būtų tinkamai taikomos tarp zonų.
Prieigos kontrolės sąrašų (ACL) konfigūravimas
Apibrėžus zonas, laikas sukurti taisykles , kurios diktuoja, kas gali bendrauti su kuo . Šios taisyklės įgyvendinamos kaip ACL (prieigos kontrolės sąrašai), kuriuose kuo išsamiau nurodomas leidžiamas (arba draudžiamas) srautas tarp zonų.
Prieigos kontrolės sąrašai (ACL) taikomi kiekvienai užkardos sąsajai arba antrinei sąsajai, todėl geriausia kuo tiksliau nustatyti šaltinio IP adresą, paskirties IP adresą ir prievadus . Kitaip tariant, geriau leisti „šiam serveriui prie šio šios duomenų bazės prievado“, o ne „visam šiam tinklui prie visų kito tinklo prievadų“.
Labai svarbi taisyklė yra „uždrausti viską“ kiekvieno ACL pabaigoje. Ši ribojanti politika užtikrina, kad bet koks srautas, kuris nėra aiškiai apribotas, būtų blokuojamas . Vėliau kiekvienai sąsajai taikomi įeinantys ir išeinantys ACL, koreguojant elgseną pagal srauto kryptį.
Gera idėja išjungti viešą prieigą prie užkardos valdymo sąsajų ir patikrinti ne tik tai, ar programos veikia, bet ir ar nepageidaujamas srautas yra veiksmingai blokuojamas . Pavyzdžiui, turėtumėte patikrinti, ar programos lygio valdymo funkcijos (žiniatinklio kategorijų blokavimas, išplėstinė failų analizė, IPS ir kt.) veikia taip, kaip numatyta.
Papildomų paslaugų ir žurnalų konfigūravimas
Daugelyje užkardų galite įjungti papildomas paslaugas, tokias kaip DHCP, NTP arba IPS, tiesiai įrenginyje. Įjunkite tik tas paslaugas, kurias iš tikrųjų naudosite; likusias išjunkite, kad sumažintumėte atakų paviršių.
Kitas svarbus aspektas yra registravimo konfigūracija. Kad atitiktų tokius reglamentus kaip PCI DSS , užkarda turi siųsti išsamius žurnalus į registravimo serverį arba SIEM, apimančius tokius aspektus kaip kas jungiasi prie sistemos, iš kur, prie kokios paslaugos ir koks yra rezultatas. Pavyzdžiui, PCI DSS 10.2 ir 10.3 skyriuose nustato konkrečius reikalavimus dėl šių žurnalų turinio.
Žurnalų kiekis gali būti didelis, tačiau tai vienintelis būdas audituoti prieigą ir aptikti atakų modelius ar anomalijas . Patartina apibrėžti šių įvykių saugojimo, rotacijos ir stebėjimo politiką, kad būtų galima greitai reaguoti, kai kas nors atrodo negerai.
Kruopščiai išbandykite konfigūraciją
Prieš diegiant naują užkardos konfigūraciją arba po didelio pakeitimo, labai svarbu patikrinti, ar ji blokuoja tai, ką turėtų, ir leidžia tai, kas būtina . Tai apima prievadų nuskaitymą, pažeidžiamumų vertinimą ir įsiskverbimo testavimą.
Taip pat svarbu turėti konfigūracijos atsargines kopijas saugioje vietoje ir išbandyti atšaukimo procesą. Prieš atlikdami bet kokius svarbius pakeitimus, dokumentuokite planuojamus pakeitimus ir patikrinkite, ar žinote, kaip atkurti užkardą, jei kas nors nutiktų techninės priežiūros laikotarpiu.
Ugniasienė virtualių serverių tinkluose (privačiame arba viešajame debesyje)
Debesijos serverių platformose įprasta turėti tinklo lygio užkardą, kurią galima konfigūruoti iš valdymo skydelio, be operacinės sistemos užkardos ir bet kokių tarpinių užkardų. Supratimas, kokia tvarka jos taikomos, padeda išvengti taisyklių konfliktų.
Paprastai gaunami paketai pirmiausia praeina per tinklo užkardą (kurią valdo platforma), tada per serverio užkardą (pvz., „iptables“ sistemoje „Linux“ arba „Windows“ užkardą) ir galiausiai per visas papildomas programinės įrangos pagrindu sukurtas užkardas. Išeinantis srautas eina atvirkštiniu keliu.
Šio tipo skydelyje konfigūracija paprastai pagrįsta taisyklėmis su pavadinimu, veiksmu (leisti arba neleisti), šaltiniu ir paskirties vieta (IP, diapazonai, CIDR, „bet kuris“, „vidinis“, „išorinis“), šaltinio ir paskirties prievadais (konkretus prievadas, diapazonas arba „bet kuris“) ir protokolu (TCP, UDP, abu arba ICMP).
Svarbiausia detalė yra taisyklių tvarka : kuo aukščiau sąraše yra taisyklė, tuo didesnis jos prioritetas. Jei tam pačiam srautui taisyklė „draudimas“ yra prieš taisyklę „leidimas“, tas srautas bus blokuojamas. Štai kodėl paprastai leidžiama pertvarkyti taisykles jas nuvelkant ir numetant, kad būtų galima koreguoti prioritetus.
Jei užkarda išjungta, visi paketai įeina ir išeina be filtravimo. Aktyviuoju režimu numatytoji elgsena paprastai yra „leisti viską, kas neatitinka jokios taisyklės“, nors daug saugiau nustatyti numatytąją draudimo politiką ir leisti tik tai, kas būtina , ypač aplinkose su jautriais duomenimis.
Ugniasienė operacinėje sistemoje: „Windows“, „macOS“ ir „Linux“
Be maršrutizatoriaus užkardos ir bet kurios debesijos pagrindu veikiančios tinklo užkardos, kiekviena moderni sistema turi savo apsaugos lygmenį. Tinkamai jį sukonfigūravus, užtikrinamas giluminis gynybos metodas , ypač naudingas, jei kokia nors paslauga yra pažeidžiama interneto arba jei užpuolikas gauna prieigą prie vietinio tinklo.
„Windows“ ugniasienė: pagrindinė ir išplėstinė konfigūracija
„Windows“ sistemoje integruota užkarda („Windows Defender“ užkarda arba „Microsoft Defender“ užkarda) filtruoja srautą pagal iš anksto nustatytas ir pasirinktines taisykles . Ją galite peržiūrėti ir valdyti „Windows“ saugos programėlėje, skiltyje „Ugniasienė ir tinklo apsauga“.
Pirmiausia patikrinkite aktyvų tinklo profilį: domenas, privatus ar viešas. Privatus tinklas (pvz., jūsų namų tinklas) laikosi prielaidos, kad aplinka yra gana patikima, ir leidžia daugiau įeinančių ryšių, o viešasis tinklas (pvz., kavinės „Wi-Fi“) turi griežtesnes taisykles ir blokuoja beveik viską, kas ateina iš išorės.
Šioje sąsajoje galite įjungti arba išjungti užkardą kiekvienam tinklo tipui, nors jos išjungimas nėra gera mintis, nes padidina pažeidžiamumą neteisėtai prieigai . Jei teisėta programa neveikia, nes yra užblokuota, teisingas būdas yra sukurti išimtį arba atidaryti jai konkretų prievadą, o ne išjungti visą užkardą.
Išplėstiniai nustatymai tvarko gaunamų ir siunčiamų ryšių taisykles , kurios nustato, kurie ryšiai leidžiami. „Windows“ šias taisykles skirsto į keturis tipus: programos taisykles (kurios leidžia arba blokuoja konkretų vykdomąjį failą), prievado taisykles (kurios valdo konkrečius TCP/UDP prievadus), iš anksto nustatytas taisykles (pateiktas sistemos) ir pasirinktines taisykles (lanksčiausias, leidžiančias derinti programą, prievadą, protokolą ir adresą).
Be to, yra parinktis blokuoti visus gaunamus ryšius , įskaitant tuos, kurie yra leidžiamųjų sąraše. Tai naudinga, kai reikia maksimalaus saugumo, nors dėl to gali nustoti veikti svarbios paslaugos (bendrinami failai, nuotolinis darbalaukis ir kt.).
Daugelis organizacijų naudoja centralizuotus valdymo įrankius, tokius kaip „Ivanti Endpoint Security Solution Agent Configuration “. Šie įrankiai leidžia vartotojams sukurti „Windows“ užkardos politiką ir masiškai ją diegti įrenginiuose, kuriuose veikia skirtingos „Windows“ versijos (XP/2003, „Vista“ ir naujesnės), apibrėžiant gaunamo / siunčiamo ryšio taisykles, išimtis ir užkardos aktyvavimą / deaktyvavimą kaip konfigūravimo ar taisymo užduočių dalį.
Pagalba, priemonės ir saugos apibrėžimai „Windows“ užkardoje
Detalus konfigūravimas gali būti šiek tiek sudėtingas, todėl yra įrankių, kurie palengvina kasdienes užduotis. Pavyzdžiui, „TinyWall“ veikia kaip valdymo sluoksnis virš „Windows“ užkardos ir leidžia keisti darbo režimus (daugiau ar mažiau ribojančius), rodyti aktyvius ryšius, kurti baltuosius sąrašus ir neleisti pačiai užkardai blokuoti reikalingų programų.
Kitas pavyzdys – „Windows“ užkardos valdymas , kuris integruojamas į sistemos dėklą ir siūlo greitus profilius (aukštą, vidutinį, žemą, be filtro) bei patogią sąsają taisyklėms valdyti, konfigūracijoms importuoti / eksportuoti ir mokymosi režimui, kuris aptinka skaitmeniniu būdu pasirašytas programas, kad būtų galima sumaniau kurti taisykles, įjungti.
Įmonių saugumo sprendimuose, tokiuose kaip „Ivanti Endpoint Security“, apibrėžiamos konkrečios su „Windows“ užkarda susijusios saugumo grėsmės (pvz., ST000102, skirta „Windows“ užkardai XP/2003 versijose). Šie apibrėžimai apima pritaikomus kintamuosius, kurie leidžia stebėti, ar faktinė užkardos konfigūracija atitinka norimą politiką, o jei ne, pažymėti kompiuterį kaip pažeidžiamą ir paleisti taisymo užduotis, kad būtų taikomi teisingi nustatymai.
Ugniasienė „macOS“ sistemoje
„Mac“ kompiuteryje užkarda konfigūruojama skiltyje „ Tinklas ir užkarda“ („Tinklas ir užkarda “) „Sistemos nustatymuose“ (arba „Sistemos nuostatose“ senesnėse versijose) . Ten galite ją suaktyvinti ir pasiekti išplėstines parinktis, kad nuspręstumėte, kaip tvarkyti gaunamus ryšius.
Be kita ko, galite blokuoti nepageidaujamus ryšius , leisti tik svarbiausias programas ir paslaugas, kontroliuoti, kurios konkrečios programos gali gauti srautą, ir įjungti automatinį patikimų programų įtraukimą į leidžiamų programų sąrašą. Tai paprastesnė sistema nei „Windows“ pagal prievadų detales, tačiau labai efektyvi paprastam vartotojui.
Įmonių aplinkoje tai paprastai papildo centralizuotai valdomos saugumo politikos, kurios užtikrina, kad visi „Mac“ kompiuteriai laikytųsi tų pačių taisyklių dėl pažeidžiamų paslaugų ir programų, kurioms leidžiama priimti ryšius.
Ugniasienė „Linux“ sistemoje: UFW kaip paprasta parinktis
„Linux“ sistemoje, ypač tokiose distribucijose kaip „Ubuntu“, įprasta valdyti „iptables“ (arba „nftables“) naudojant patogesnius įrankius. Vienas populiariausių yra UFW („Uncomplicated Firewall“) , kuris siūlo paprastas komandas ugniasienei aktyvuoti ir taisyklėms apibrėžti.
Diegimas atliekamas naudojant paketų tvarkyklę (pvz., „sudo apt-get install ufw“), ir nors UFW paprastai pagal numatytuosius nustatymus yra išjungtas, prieš jį įjungiant patartina patikrinti jo būseną naudojant „sudo ufw status“. Neįjunkite jo pirmiausia neapibrėžę pagrindinių taisyklių , nes tai užblokuos visus gaunamus ryšius ir galite prarasti nuotolinę prieigą.
Įprastos taisyklės apima SSH leidimą („sudo ufw allow ssh“) nuotolinei prieigai palaikyti, HTTP ir HTTPS atidarymą („sudo ufw allow http“, „sudo ufw allow https“) žiniatinklio serveriams ir prievadų pridėjimą pagal poreikį. Nustačius pagrindines taisykles, užkarda įjungiama naudojant „sudo ufw enable“, o jos būsena tikrinama naudojant „sudo ufw status“, kuriame rodomas leidžiamų paslaugų ir prievadų sąrašas.
Kadangi „Linux“ jau yra gana patikima sistema, UFW konfigūravimas suteikia papildomą saugumo sluoksnį, kuris yra labai rekomenduojamas , ypač serveriuose, pasiekiamuose iš interneto.
Tinklo segmentavimas, politika ir kredencialų vagystės prevencija
Viena iš efektyviausių saugumo gerinimo strategijų yra tinklo segmentavimas . Padalijus tinklą į segmentus (pagal funkciją, įrenginio tipą, rizikos lygį), srautas iš vieno segmento nėra matomas iš kito, todėl sumažėja bet kokio incidento poveikis.
Tai ypač aktualu daiktų interneto įrenginiams, kurie dažnai veikia senesnėse, pažeidžiamose sistemose. Jų išdėstymas VLAN arba izoliuotose zonose ir griežtas prieigos apribojimas sumažina IP kameros ar jutiklio gedimo, pakenkiančio visam įmonės tinklui, riziką.
Kita svarbi problema – užkardos politikos optimizavimas . Taisyklių pridėjimas jų neperžiūrėjus sukelia chaotišką susikaupimą, konfliktus ir beveik nevaldomą užkardą. Idealiu atveju reikėtų pereiti nuo prievadų pagrindu sukurtų taisyklių prie programų pagrindu su aiškiu matomumu, kurios paslaugos yra leidžiamos arba draudžiamos, ir periodiškai jas peržiūrėti, kad būtų pašalinti pasenę įrašai.
Kai kurios pažangios užkardos turi funkcijas, skirtas užkirsti kelią įmonės kredencialų vagystei . Jos nuskaito prisijungimo bandymus (vartotojo vardą ir slaptažodį) ir susieja juos su vidiniais organizacijos paskyrų sąrašais, blokuodamos jų naudojimą išorinėse svetainėse, tokiose kaip socialinė žiniasklaida ar su verslu nesusijusios paslaugos. Jos taip pat gali rodyti įspėjimus vartotojui, paaiškinančius darbo kredencialų pakartotinio naudojimo riziką.
Šio tipo kontrolės priemonės ne tik sustabdo tiesiogines atakas, bet ir yra saugumo suvokimo įrankis , todėl slaptažodžių naudojimo įpročių poveikis už įmonės aplinkos ribų darbuotojams tampa labiau matomas.
Kas nutinka, jei išjungsite užkardą (ir kodėl neturėtumėte to daryti)
Dažnai pasitaiko, kad susidūrę su problemomis dėl programos ar internetinio žaidimo bando išjungti užkardą, „kad pamatytų, ar tai išsprendžia problemą “. Ir taip, kartais tai išsprendžia tiesioginę problemą, tačiau atveria duris daugybei pavojų, kurie nėra iš karto akivaizdūs.
Be užkardos sistema yra pažeidžiama išorinių grėsmių, tokių kaip kenkėjiškos programos, Trojos arkliai, virusai ir kitos atakos , kurios gali būti įdiegtos be jokių kliūčių. Užpuolikai gali bandyti nuskaityti maršrutizatoriaus prievadus ir, jei NAT taisyklės taip pat yra nepilnos, rasti prastai apsaugotas paslaugas ir naudoti jas kaip įėjimo taškus.
Ugniasienė taip pat kontroliuoja siunčiamus duomenis : be jos bet kuri kenkėjiška programa galėtų laisvai siųsti neskelbtiną informaciją į išorinį pasaulį. Be to, daugelis programų pasikliauja ugniasiene, kad buferizuotų prievadų nuskaitymo atakas arba nedideles DDoS atakas; ją išjungus šis buferis panaikinamas.
Jei programa neveikia dėl užkardos, profesionalus sprendimas yra ne ją išjungti, o sukurti konkrečią taisyklę, kuri leistų reikiamą srautą , patikrinti, ar maršrutizatoriui reikia atidaryti kokių nors prievadų, ir suderinti taisykles, kad nekiltų konfliktų tarp vietinės užkardos ir tinklo įrangos užkardos.
Kelių užkardų sambūvis: maršrutizatorius ir kompiuteris tuo pačiu metu
Kai maršrutizatoriuje ir kompiuteryje yra viena užkarda (pvz., „Windows“ užkarda), visas gaunamas srautas pirmiausia praeina per maršrutizatorių, o tada per kompiuterį. Tinkamai sukonfigūruotas šis dviejų sluoksnių saugumas padidina bendrą saugumą, nes vieno sluoksnio gedimą gali kompensuoti kitas.
Tačiau reikia būti atsargiems su nenuosekliomis taisyklėmis . Jei maršrutizatorius blokuoja prievadą, kurį leidžia kompiuterio užkarda, arba atvirkščiai, galite rasti neveikiančių paslaugų ir nebūti tikri, kuris iš dviejų lygių sukelia problemą.
Praktiškai protingiausia, kad maršrutizatoriaus užkarda veiktų kaip pagrindinis perimetro barjeras , praleidžiantis iš interneto tik tai, ko iš tikrųjų reikia, o kompiuterio užkarda kontroliuotų srautą tarp įrenginių LAN tinkle ir bet kokį įtartiną išeinantį ryšį. Tai, kartu su gerai sukonfigūruotu NAT ir vengiant per didelio DMZ ir UPnP naudojimo, užtikrina labai patikimą apsaugos lygį namų ar mažo biuro aplinkoje.
Galiausiai, supratimas, kaip veikia ir yra susijusios skirtingos užkardos (maršrutizatoriaus, operacinės sistemos, debesijos, įmonės NGFW), leidžia priimti labiau pagrįstus sprendimus: kokias paslaugas teikti, kur segmentuoti, kokius žurnalus saugoti ir kaip koreguoti taisykles, kad būtų išlaikyta pusiausvyra tarp saugumo ir patogumo naudoti tinkle ir įrenginiuose.
