- Ugunsmūris kontrolē tīkla trafiku, piemērojot noteikumus, kuru pamatā ir IP adreses, porti, protokoli un lietojumprogrammas, lai bloķētu nesankcionētu piekļuvi.
- Maršrutētāja ugunsmūra, operētājsistēmas un, attiecīgā gadījumā, NGFW un segmentācijas kombinācija nodrošina efektīvu padziļinātu aizsardzību.
- Pareiza tīkla zonu, piekļuves sarakstu (ACL) un ierakstu izstrāde, kā arī konfigurācijas testēšana ar drošības testiem ir ļoti svarīga korporatīvajā vidē.
- Ugunsmūra atspējošana ērtības labad pakļauj sistēmu nopietniem riskiem; pareizā pieeja ir iestatīt īpašus noteikumus un vienmēr saglabāt to aktīvu.
Jebkurā mūsdienīgā tīklā, sākot no mājas Wi-Fi līdz pat liela uzņēmuma infrastruktūrai, ugunsmūris ir pirmā aizsardzības līnija pret uzbrukumiem, nesankcionētu piekļuvi un datu noplūdēm. Bez atbilstošas konfigurācijas tas ir kā atstāt ārdurvis pusatvērtas: nekas var nenotikt... līdz brīdim, kad notiks.
Tomēr daudzi lietotāji un pat dažas organizācijas izmanto ugunsmūrus ar noklusējuma iestatījumiem, īsti nesaprotot, ko tie dara vai kā tos pielāgot . Šeit atradīsiet visaptverošu un ļoti praktisku rokasgrāmatu par to, kas ir ugunsmūris, kā to konfigurēt operētājsistēmās Windows, macOS, Linux, maršrutētājos un serveru vidēs, kā arī uzlabotu labāko praksi (NGFW, segmentācija, reģistrēšana, papildu rīki), lai jūs varētu pielāgot aizsardzības līmeni savai videi, nepārslogojoties.
Kas ir ugunsmūris un kāpēc tas ir tik svarīgs?
Ugunsmūris ir sistēma, kas analizē jūsu tīklā vai ierīcē ienākošo un izejošo datplūsmu un, pamatojoties uz noteikumu kopumu, izlemj, ko atļaut un ko bloķēt. Šī datplūsma sastāv no datu paketēm, kas pārvietojas, izmantojot dažādus protokolus (TCP, UDP, ICMP utt.) un portus.
Ideja ir vienkārša: ugunsmūris darbojas kā filtrs un barjera starp ierīci vai iekšējo tīklu un internetu . Tas pārbauda, no kurienes nāk pakete, kur tā dodas, kuru portu tā izmanto un kāda veida saturu tā nes. Ja tā atbilst atļautajam noteikumam, tā to ielaiž; ja nē, tā to bloķē. Šī loģika piedāvā skaidras priekšrocības: lielāku drošību, mazāku ļaunprogrammatūras inficēšanās iespējamību un lielāku kontroli pār to, kas nonāk ienākošajā un izejošajā tīklā.
Iedomājieties savu ugunsmūri kā savas digitālās mājas ārdurvis : jūs izlemjat, ko ielaist, ko nelaist iekšā un kuras mājas zonas katrs viesis var apmeklēt. Turklāt ugunsmūris ne tikai aptur uzbrukumus, bet arī ļauj ierobežot piekļuvi noteiktām tīmekļa vietnēm vai lietotnēm, kuras, lai gan nav ļaunprātīgas, jūs nevēlaties izmantot (piemēram, sociālie mediji korporatīvajā vidē).
Reālajā pasaulē mēs sastopam divus galvenos ugunsmūru veidus: programmatūras ugunsmūrus (integrētus operētājsistēmā vai instalētus kā programmu) un aparatūras ugunsmūrus (speciālas ierīces, bieži integrētas profesionālos vai uzņēmumu maršrutētājos). Turklāt pastāv nākamās paaudzes ugunsmūri (NGFW) , kas apvieno vairākus uzlabotas drošības slāņus, dziļu pakešu pārbaudi, IPS, kā arī lietojumprogrammu segmentāciju un kontroles funkcijas.
Ugunsmūru veidi, ar kuriem jūs varētu saskarties
Ar vispārējo terminu "ugunsmūris" tiek apzīmētas vairākas tehnoloģijas ar atšķirīgām pieejām. To izpratne palīdzēs jums saprast, ko jūs skatāties, pārbaudot maršrutētāja konfigurāciju, operētājsistēmu vai uzņēmuma NGFW.
Pirmo grupu veido pakešu filtrēšanas ugunsmūri . Tie izveido kontroles punktus maršrutētājos vai komutatoros un veic vienkāršu katras paketes pārbaudi, pamatojoties uz avota IP adresi, mērķa IP adresi, portu un protokolu. Tie ir ātri, taču tie neanalizē saturu padziļināti.
Tad vēl ir ķēdes līmeņa vārteju ugunsmūri , kas koncentrējas uz savienojumu apstiprināšanu vai noraidīšanu, pamatojoties uz sesijas stāvokli, detalizēti nepārbaudot katru paketi. Tie ir ļoti efektīvi, bet mazāk efektīvi sarežģītu draudu noteikšanā.
Stateful pārbaudes ugunsmūri apvieno pakešu informāciju ar TCP savienojumu izsekošanu. Tie uztur aktīvo sesiju tabulu un pārbauda, vai datplūsma atbilst atļautajai plūsmai, nodrošinot stabilāku aizsardzību nekā vienkārša statiska filtrēšana.
Mums ir arī lietojumprogrammu līmeņa vārtejas jeb starpniekservera ugunsmūri . Tie darbojas lietojumprogrammu līmenī un pārbauda HTTP, FTP un citu datplūsmu, ļaujot izmantot ļoti detalizētas politikas, kuru pamatā ir lietojumprogrammas veids vai pat saturs. Šī pieeja veido daudzu mākoņa ugunsmūru un dziļās datplūsmas pārbaudes rīku pamatu.
Nākamās paaudzes ugunsmūri (NGFW) integrē padziļinātu pārbaudi, lietojumprogrammu kontroli, ielaušanās novēršanas sistēmas (IPS) funkcijas, tīmekļa kategoriju filtrēšanu, uzlabotu failu analīzi un arvien vairāk arī mākslīgā intelekta balstītas iespējas. Tos var izvietot kā fiziskas iekārtas, virtuālās mašīnas vai mākoņpakalpojumus.
Turklāt, pamatojoties uz to atrašanās vietu, mēs varam atšķirt programmatūras ugunsmūrus (katrā datorā, serverī vai ierīcē) un aparatūras ugunsmūrus (speciālas ierīces tīkla perimetrā). Turklāt pastāv mākoņa ugunsmūri , kas darbojas kā lieli starpniekserveri, kas spēj mērogoties, lai aizsargātu izkliedētas vides un organizācijas ar daudziem lietotājiem un atrašanās vietām.
Ugunsmūris maršrutētājā: pirmā aizsardzības līnija jūsu tīklā
Mājas vai biroja maršrutētājam parasti ir iebūvēts ugunsmūris un NAT/PAT . Tas nozīmē, ka pēc noklusējuma neviens nevar izveidot tiešu savienojumu no interneta uz jūsu iekšējām ierīcēm, ja vien nav portu pāradresācijas, aktīvas DMZ vai nepareizi konfigurēti protokoli, piemēram, UPnP.
Tipiska mūsdienu maršrutētāja politika ir "liegt visu ienākošo datplūsmu, ja vien tas nav skaidri atļauts ". To pastiprina IPv4 NAT/PAT: iekšējās ierīces izmanto privātas IP adreses, un maršrutētājs pārveido to izejošos savienojumus uz publisku IP adresi. Jebkurš mēģinājums uzsākt saziņu no interneta bez atvērta porta vai iepriekš noteikta noteikuma tiks noraidīts.
Tāpēc ir tik bīstami atvērt demilitarizētu zonu (DMZ) datoram lokālajā tīklā, kuram nav pareizi konfigurēta ugunsmūra: šis dators būs pilnībā atvērts internetam, un visas pieslēgvietas būs pieejamas, izņemot tās, kas novirzītas uz citu datoru.
Maršrutētāja ugunsmūru pamatprakse ietver tādu portu neatvēršanu, kas nav absolūti nepieciešami, DMZ izmantošanas izvairīšanos, izņemot ļoti specifiskas ierīces (piemēram, spēļu konsoli), un UPnP vienmēr atspējošanu, lai ierīces nevarētu pašas atvērt portus. Portu manuāla atvēršana sniedz jums pilnīgu kontroli pār to, kas tiek atklāts.
Tāpat ieteicams periodiski pārbaudīt, kuri porti ir atvērti, slēgt tos, kas vairs netiek izmantoti, un, ja iespējams, ierobežot IP adreses, kas var piekļūt sensitīviem pakalpojumiem (piemēram, atļaujot SSH tikai no konkrētas administratora IP adreses, nevis no visa interneta).
Izplatītākās ugunsmūra opcijas mājas un modernos maršrutētājos
Atkarībā no maršrutētāja zīmola ugunsmūra konfigurācijas opcijas var atšķirties, taču loģika ir līdzīga: drošības profils, noteikumi un papildu filtrēšana . Apskatīsim dažus reprezentatīvus piemērus.
ASUS maršrutētāji
ASUS maršrutētāji ir integrējuši uz iptables balstītu ugunsmūri . Tīmekļa saskarnes izvēlnē “Ugunsmūris” varat iespējot vai atspējot ugunsmūri IPv4 un IPv6 (tas ir iespējots pēc noklusējuma, kā tam arī jābūt) un konfigurēt anti-DoS pasākumus, kas bloķē avota adreses, kuras veic pārāk daudz savienojuma mēģinājumu.
Vēl viena izplatīta iespēja ir bloķēt ping pieprasījumus (ICMP atbalss pieprasījumus) uz WAN saskarni, lai maršrutētājs nereaģētu (slēptais režīms). IPv6 vidē ugunsmūris ir konfigurēts ar ļoti ierobežojošu ienākošo savienojumu politiku : katrai ierīcei ir sava publiska IP adrese, bet negaidīti ienākošie savienojumi tiek bloķēti, savukārt izejošie savienojumi ir atļauti kā parasti.
ASUS piedāvā arī "LAN uz WAN filtra" funkcijas, kas ļauj bloķēt datplūsmu no jūsu lokālā tīkla uz internetu, pamatojoties uz avota IP adresi, mērķa IP adresi un portiem. Turklāt ugunsmūris iekšēji atbalsta URL un atslēgvārdu filtrēšanu, lai ieviestu ierobežojumus.
Livebox maršrutētāji (Livebox Fiber u.c.)
Livebox maršrutētājos, ko parasti izmanto interneta pakalpojumu sniedzēji, ugunsmūri pārvalda izvēlnē “Papildu iestatījumi > Ugunsmūra iestatījumi”. Tur var izvēlēties vairākus līmeņus: zems, vidējs, augsts un pielāgots.
"Zemais" filtrēšanas līmenis praktiski neveic nekādu filtrēšanu (izņemot to, kas ir nepieciešams NAT), un tas ir paredzēts pieredzējušiem lietotājiem, kuriem elastība ir svarīgāka par drošību. "Vidējais" filtrēšanas līmenis, kas parasti ir noklusējuma iestatījums, pārtrauc visus ienākošos savienojumus un atļauj izejošo datplūsmu, izņemot ļoti specifiskus pakalpojumus, piemēram, NetBIOS.
“Augstais” profils ir visierobežojošākais: tas atļauj tikai izejošos savienojumus ar precīzi definētiem standarta pakalpojumiem un bloķē negaidītus ienākošos savienojumus. “Pielāgotais” režīms ļauj lietotājam iestatīt konkrētus noteikumus un ir paredzēts administratoriem, kuri zina, ko dara; ar sliktu konfigurāciju var bloķēt likumīgus pakalpojumus vai radīt ievērojamas ievainojamības.
AVM FRITZ!Box maršrutētāji
FRITZ!Box ierīcēm ir diezgan visaptverošs ugunsmūris. Paplašinātajā skatā, izvēlnē "Internets > Filtri", var aktivizēt slēpto režīmu , lai izvairītos no reaģēšanas uz ping pieprasījumiem WAN tīklā un bloķētu sensitīvus portus, piemēram, 25 (nekrifēts SMTP), NetBIOS vai Teredo, ja tie netiek izmantoti.
NAT vidēs ir svarīgi regulāri pārskatīt portu pāradresācijas iestatījumus un slēgt visus nevajadzīgos, lai novērstu novecojušu pakalpojumu kļūšanu par piekļuves punktiem. FRITZ!Box attālās pārvaldības pakalpojumi arī ir jāatspējo, ja tie nav būtiski; tā vietā ir drošāk piekļūt maršrutētājam, izmantojot VPN, un, kad tas ir tīklā, pārvaldīt to, izmantojot tā privāto IP adresi.
FRITZ!Box piedāvā arī uz IPsec balstītu attālo piekļuvi un vietņu VPN savienojumus. Tas ir labs veids, kā izvairīties no pakalpojumu tiešas piekļuves internetam un piespiest visu attālo piekļuvi caur šifrētu un kontrolētu kanālu.
Nākamās paaudzes ugunsmūri (NGFW) un uzlabota drošība
Korporatīvajā vidē nākamās paaudzes ugunsmūri, piemēram, FortiGate klāsts, sniedzas daudz tālāk par vienkāršu portu filtrēšanu. Šīs ierīces integrē uzlabotas tīkla funkcijas un dziļu drošību vienā platformā, samazinot nepieciešamību pēc daudzām atsevišķām ierīcēm.
Piemēram, FortiGate ir balstīta uz FortiOS operētājsistēmu un ietver SD-WAN, ZTNA (Zero Trust Access), WLAN un LAN integrāciju, dziļu šifrētas datplūsmas pārbaudi, IPS , tīmekļa kategoriju filtrēšanu un uz mākslīgo intelektu balstītas analītikas iespējas, izmantojot FortiGuard pakalpojumus.
Šie NGFW parasti balstās uz pielāgotu ASIC arhitektūru , kas nodrošina ļoti augstu veiktspēju un uzlabotu energoefektivitāti pat tad, ja tiek pārbaudīti lieli šifrētas datplūsmas apjomi. Turklāt tie ir integrēti tā sauktajā "drošības audumā": drošības tīklā, kas aptver tīklus, galapunktus un mākoņus, ar vienotām politikām, ko pārvalda tādas platformas kā FortiManager.
Šīs pieejas būtība ir tāda, ka visa tīkla virsma ir pārklāta ar konsekventām politikām : no perimetra līdz galapunktam, tostarp hibrīdvidēs un mākoņvidēs. Tas atvieglo ātru reaģēšanu uz jauniem draudiem, segmentē sarežģītus tīklus un nodrošina pilnīgu datplūsmas un drošības notikumu pārskatāmību.
Labi strukturēta tīkla ugunsmūra izstrādes un konfigurēšanas darbības
Runājot par ugunsmūriem uzņēmumu tīklos (fiziskos vai virtuālos), nepietiek tikai ar iekārtu pievienošanu un noklusējuma iestatījumu atstāšanu. Lai nodrošinātu precīzu datplūsmas kontroli, ir nepieciešama iepriekš izstrādāta zonu, IP adrešu un politiku konfigurācija.
Ugunsmūra zonu un IP adresēšanas shēmas izstrāde
Pirmais solis ir identificēt tīkla resursus (serverus, kritiskās lietojumprogrammas, darbstacijas, lietu interneta ierīces, POS sistēmas, VoIP utt.) un grupēt tos atbilstoši to funkcijai, jutības līmenim un piekļuves vajadzībām . Vienota, plakana tīkla vietā, kur viss ir savstarpēji savienots, tiek izveidoti segmenti vai zonas.
Serveriem, kas ir pakļauti internetam, piemēram, tīmekļa, e-pasta, VPN vai publisko API serveriem, parasti tiek definēta DMZ (demilitarizēta zona) . Šajās zonās piekļuve internetam ir ierobežota tikai līdz absolūti nepieciešamajam. Iekšējie serveri, piemēram, datubāzes, pārvaldības sistēmas, darbstacijas un balss vai pārdošanas punkta ierīces, tiek novietoti iekšējās zonās ar stingrākām drošības politikām.
Izmantojot IPv4, ir svarīgi izmantot privātus adrešu diapazonus visiem iekšējiem tīkliem un konfigurēt NAT tā, lai iekšējās ierīces varētu piekļūt internetam, kad tas nepieciešams. Veidojot infrastruktūru, tiek izmantoti slēdži ar VLAN atbalstu, lai uzturētu 2. slāņa loģisko atdalīšanu starp segmentiem.
Kad zonas struktūra un IP adresācijas plāns ir skaidrs, ugunsmūrī tiek izveidotas atbilstošās zonas un piešķirtas fiziskajām saskarnēm vai apakšsaskarnēm . Šī kartēšana ir būtiska, lai nodrošinātu, ka ugunsmūra noteikumi tiek pareizi piemēroti starp zonām.
Piekļuves kontroles sarakstu (ACL) konfigurēšana
Kad zonas ir definētas, ir pienācis laiks izveidot noteikumus , kas nosaka, kas var sazināties ar ko . Šie noteikumi tiek ieviesti kā ACL (piekļuves kontroles saraksti), kur pēc iespējas detalizētāk ir norādīta atļautā (vai aizliegtā) datplūsma starp zonām.
Piekļuves kontroles saraksti (ACL) tiek lietoti katrai ugunsmūra saskarnei vai apakšsaskarnei, un vislabāk ir pēc iespējas precīzāk noregulēt avota IP adresi, mērķa IP adresi un portus . Citiem vārdiem sakot, labāk ir atļaut "šim serverim piekļūt šim portam šajā datubāzē", nevis "visam šim tīklam piekļūt visiem portiem otrā tīklā".
Ļoti svarīgs noteikums ir katra ACL beigās "liegt visu". Šī ierobežojošā politika nodrošina, ka jebkura datplūsma, kas nav skaidri ietverta, tiek bloķēta . Pēc tam katrai saskarnei tiek piemēroti ienākošie un izejošie ACL, pielāgojot darbību atbilstoši datplūsmas virzienam.
Ieteicams atspējot publisku piekļuvi ugunsmūra pārvaldības saskarnēm un pārliecināties, ka ne tikai tiek pārbaudīts, vai lietojumprogrammas darbojas, bet arī vai nevēlamā datplūsma ir efektīvi bloķēta . Piemēram, jums jāpārbauda, vai lietojumprogrammu līmeņa vadības funkcijas (tīmekļa kategoriju bloķēšana, uzlabota failu analīze, IPS utt.) darbojas, kā paredzēts.
Konfigurējiet papildu pakalpojumus un žurnālus
Daudzi ugunsmūri ļauj tieši ierīcē iespējot papildu pakalpojumus , piemēram, DHCP, NTP vai IPS. Iespējojiet tikai tos pakalpojumus, kurus faktiski izmantosiet; atspējojiet pārējos, lai samazinātu uzbrukuma virsmu.
Vēl viens svarīgs aspekts ir reģistrēšanas konfigurācija. Lai ievērotu tādus noteikumus kā PCI DSS , ugunsmūrim ir jānosūta detalizēti žurnāli uz reģistrēšanas serveri vai SIEM, aptverot tādus aspektus kā, kas piekļūst sistēmai, no kurienes, uz kuru pakalpojumu un ar kādu rezultātu. PCI DSS, piemēram, 10.2. un 10.3. sadaļā nosaka īpašas prasības attiecībā uz šo žurnālu saturu.
Žurnālu apjoms var būt liels, taču tas ir vienīgais veids, kā auditēt piekļuvi un atklāt uzbrukumu modeļus vai anomālijas . Ieteicams definēt politikas šo notikumu saglabāšanai, rotācijai un uzraudzībai, lai varētu ātri reaģēt, ja kaut kas šķiet nepareizi.
Rūpīgi pārbaudiet konfigurāciju
Pirms jaunas ugunsmūra konfigurācijas ieviešanas vai pēc būtiskām izmaiņām ir svarīgi pārbaudīt, vai tā bloķē to, kas tam ir jābloķē, un atļauj to, kas ir nepieciešams . Tas ietver portu skenēšanu, ievainojamību novērtēšanu un ielaušanās testēšanu.
Ir arī svarīgi glabāt konfigurācijas dublējumkopijas drošā vietā un pārbaudīt atcelšanas procesu. Pirms jebkādu kritisku izmaiņu veikšanas dokumentējiet plānotās izmaiņas un pārliecinieties, ka zināt, kā atjaunot ugunsmūri, ja apkopes laikā rodas problēmas.
Ugunsmūris virtuālo serveru tīklos (privātajā vai publiskajā mākonī)
Mākoņserveru platformās papildus operētājsistēmas ugunsmūrim un jebkuriem starpposma ugunsmūriem bieži ir tīkla līmeņa ugunsmūris, ko var konfigurēt no vadības paneļa. Izpratne par to lietošanas secību palīdz izvairīties no noteikumu konfliktiem.
Parasti ienākošās paketes vispirms iziet cauri tīkla ugunsmūrim (ko pārvalda platforma), pēc tam caur servera ugunsmūri (piemēram, iptables operētājsistēmā Linux vai Windows ugunsmūris) un visbeidzot caur jebkuriem papildu programmatūras ugunsmūriem. Izejošā datplūsma seko apgrieztajam ceļam.
Šāda veida panelī konfigurācija parasti balstās uz noteikumiem ar nosaukumu, darbību (atļaut vai liegt), avotu un galamērķi (IP, diapazoni, CIDR, "jebkurš", "iekšējais", "ārējais"), avota un mērķa portiem (konkrēts ports, diapazons vai "jebkurš") un protokolu (TCP, UDP, abi vai ICMP).
Svarīga detaļa ir noteikumu secība : jo augstāk noteikums atrodas sarakstā, jo augstāka ir tā prioritāte. Noteikums "aizliegt", kas novietots pirms noteikuma "atļaut" tai pašai datplūsmai, izraisīs šīs datplūsmas bloķēšanu. Tāpēc parasti noteikumi tiek pārkārtoti, tos velkot un nometot, lai pielāgotu prioritātes.
Ja ugunsmūris ir izslēgtā režīmā, visas paketes ienāk un iziet bez filtrēšanas. Aktīvajā režīmā noklusējuma izturēšanās parasti ir "atļaut visu, kas neatbilst nevienam noteikumam", lai gan daudz drošāk ir iestatīt noklusējuma liegšanas politiku un atļaut tikai to, kas ir nepieciešams , īpaši vidēs ar sensitīviem datiem.
Ugunsmūris operētājsistēmā: Windows, macOS un Linux
Papildus maršrutētāja ugunsmūrim un jebkuram mākonī balstītam tīkla ugunsmūrim katrai mūsdienu sistēmai ir savs aizsardzības slānis. Pareiza tā konfigurēšana nodrošina padziļinātas aizsardzības pieeju , kas ir īpaši noderīga, ja kāds pakalpojums ir pakļauts internetam vai ja uzbrucējs iegūst piekļuvi lokālajam tīklam.
Windows ugunsmūris: pamata un papildu konfigurācija
Operētājsistēmā Windows iebūvētais ugunsmūris (Windows Defender ugunsmūris vai Microsoft Defender ugunsmūris) filtrē datplūsmu, pamatojoties uz iepriekš definētiem un pielāgotiem noteikumiem . To var skatīt un pārvaldīt Windows drošības lietotnē sadaļā “Ugunsmūris un tīkla aizsardzība”.
Pirmais solis ir pārbaudīt aktīvo tīkla profilu: domēns, privāts vai publisks. Privāts tīkls (piemēram, jūsu mājas tīkls) pieņem, ka vide ir relatīvi uzticama un atļauj vairāk ienākošo savienojumu, savukārt publiskam tīklam (piemēram, kafejnīcas Wi-Fi) ir stingrāki noteikumi un tas bloķē gandrīz visu, kas nāk no ārpuses.
Šajā saskarnē var iespējot vai atspējot ugunsmūri katram tīkla tipam, lai gan tā atspējošana nav ieteicama, jo tā palielina ievainojamību pret nesankcionētu piekļuvi . Ja likumīga lietojumprogramma nedarbojas, jo tā ir bloķēta, pareizā pieeja ir izveidot izņēmumu vai atvērt tai noteiktu portu, nevis izslēgt visu ugunsmūri.
Papildu iestatījumi pārvalda ienākošos un izejošos noteikumus , kas nosaka, kuri savienojumi ir atļauti. Windows klasificē šos noteikumus četros veidos: programmu noteikumi (kas atļauj vai bloķē konkrētu izpildāmo failu), portu noteikumi (kas kontrolē konkrētus TCP/UDP portus), iepriekš definēti noteikumi (ko nodrošina sistēma) un pielāgoti noteikumi (viselastīgākie, kas ļauj apvienot programmu, portu, protokolu un adresi).
Turklāt ir iespēja bloķēt visus ienākošos savienojumus , tostarp tos, kas ir atļauto savienojumu sarakstā. Tas ir noderīgi, ja nepieciešama maksimāla drošība, lai gan tas var izraisīt svarīgu pakalpojumu (koplietoto failu, attālās darbvirsmas utt.) darbības pārtraukšanu.
Daudzas organizācijas izmanto centralizētus pārvaldības rīkus, piemēram, Ivanti Endpoint Security Solution Agent Configuration . Šie rīki ļauj lietotājiem izveidot Windows ugunsmūra politiku un masveidā to izvietot ierīcēs, kurās darbojas dažādas Windows versijas (XP/2003, Vista un jaunākas), definējot ienākošo/izejošo datu kārtulas, izņēmumus un ugunsmūra aktivizēšanu/deaktivizēšanu kā daļu no konfigurācijas vai labošanas uzdevumiem.
Palīdzība, utilītas un drošības definīcijas Windows ugunsmūrī
Detalizēta konfigurācija var būt nedaudz sarežģīta, tāpēc ir rīki, kas atvieglo ikdienas uzdevumus. Piemēram, TinyWall darbojas kā pārvaldības slānis virs Windows ugunsmūra un ļauj mainīt darbības režīmus (vairāk vai mazāk ierobežojošus), parādīt aktīvos savienojumus, izveidot baltos sarakstus un neļaut pašam ugunsmūrim bloķēt nepieciešamās lietojumprogrammas.
Vēl viens piemērs ir Windows ugunsmūra vadība , kas integrējas sistēmas teknē un piedāvā ātrus profilus (augsts, vidējs, zems, bez filtra) un ērtu saskarni noteikumu pārvaldībai, konfigurāciju importēšanai/eksportēšanai un mācību režīma aktivizēšanai, kas atpazīst digitāli parakstītas programmas, lai viedāk izveidotu noteikumus.
Uzņēmumu drošības risinājumos, piemēram, Ivanti Endpoint Security, ir definēti konkrēti drošības apdraudējumi, kas saistīti ar Windows ugunsmūri (piemēram, ST000102 Windows ugunsmūrim operētājsistēmā XP/2003). Šīs definīcijas ietver pielāgojamus mainīgos, kas ļauj izsekot, vai faktiskā ugunsmūra konfigurācija atbilst vēlamajai politikai, un, ja nē, atzīmēt datoru kā neaizsargātu un palaist labošanas uzdevumus, lai ieviestu pareizos iestatījumus.
Ugunsmūris operētājsistēmā macOS
Mac datorā ugunsmūri var konfigurēt sadaļā “Sistēmas iestatījumi” (vai “Sistēmas preferences” vecākās versijās) sadaļā “ Tīkls un ugunsmūris” . Tur to var aktivizēt un pēc tam piekļūt papildu opcijām, lai noteiktu, kā apstrādāt ienākošos savienojumus.
Cita starpā varat bloķēt nevēlamus savienojumus , atļaut tikai svarīgas lietotnes un pakalpojumus, kontrolēt, kuras konkrētas lietotnes var saņemt datplūsmu, un iespējot uzticamu lietotņu automātisku pievienošanu atļauto lietotņu sarakstam. Tā ir vienkāršāka sistēma nekā Windows portu detaļu ziņā, taču ļoti efektīva vidusmēra lietotājam.
Korporatīvajā vidē to parasti papildina centralizēti pārvaldītas drošības politikas, kas nodrošina, ka visi Mac datori ievēro vienādus noteikumus attiecībā uz atklātiem pakalpojumiem un lietojumprogrammām, kurām atļauts saņemt savienojumus.
Ugunsmūris operētājsistēmā Linux: UFW kā vienkārša opcija
Linux sistēmā, īpaši tādās distribūcijās kā Ubuntu, ir ierasts pārvaldīt iptables (vai nftables), izmantojot lietotājam draudzīgākus rīkus. Viens no populārākajiem ir UFW (Uncomplicated Firewall) , kas piedāvā vienkāršas komandas ugunsmūra aktivizēšanai un noteikumu definēšanai.
Instalēšana tiek veikta, izmantojot pakotņu pārvaldnieku (piemēram, “sudo apt-get install ufw”), un, lai gan UFW parasti pēc noklusējuma ir atspējots, pirms iespējošanas ieteicams pārbaudīt tā statusu, izmantojot “sudo ufw status”. Neiespējojiet to, vispirms nedefinējot pamatnoteikumus , jo tas bloķētu visus ienākošos savienojumus un jūs varētu zaudēt attālo piekļuvi.
Tipiski noteikumi ietver SSH atļaušanu (“sudo ufw allow ssh”) attālās piekļuves uzturēšanai, HTTP un HTTPS atvēršanu (“sudo ufw allow http”, “sudo ufw allow https”) tīmekļa serveriem un pēc tam portu pievienošanu pēc nepieciešamības. Kad pamatnoteikumi ir iestatīti, ugunsmūris tiek iespējots ar “sudo ufw enable”, un tā statuss tiek pārbaudīts ar “sudo ufw status”, kas parāda atļauto pakalpojumu un portu sarakstu.
Tā kā Linux jau ir diezgan stabila sistēma, UFW konfigurēšana nodrošina papildu drošības slāni, kas ir ļoti ieteicams , īpaši serveros, kuriem var piekļūt no interneta.
Tīkla segmentācija, politikas un akreditācijas datu zādzību novēršana
Viena no efektīvākajām drošības uzlabošanas stratēģijām ir tīkla segmentācija . Sadalot tīklu segmentos (pēc funkcijas, ierīces veida, riska līmeņa), datplūsma no viena segmenta nav redzama no cita, tādējādi samazinot jebkura incidenta ietekmi.
Tas ir īpaši aktuāli lietu interneta (IoT) ierīcēm, kuras bieži darbojas vecākās, neaizsargātās sistēmās. To novietošana VLAN vai izolētās zonās un stingra piekļuves ierobežošana samazina IP kameras vai sensora kļūmes risku, kas apdraud visu korporatīvo tīklu.
Vēl viena svarīga problēma ir ugunsmūra politikas optimizācija . Noteikumu pievienošana, tos nepārskatot, rada haotisku uzkrāšanos, konfliktus un gandrīz nepārvaldāmu ugunsmūri. Ideālā gadījumā jums vajadzētu migrēt no uz portiem balstītiem noteikumiem uz uz lietojumprogrammām balstītiem noteikumiem, skaidri redzot, kuri pakalpojumi tiek atļauti vai liegti, un periodiski tos pārskatīt, lai noņemtu novecojušus ierakstus.
Daži uzlaboti ugunsmūri ietver funkcijas, kas novērš korporatīvo akreditācijas datu zādzības . Tie skenē pieteikšanās mēģinājumus (lietotājvārdu un paroli) un salīdzina tos ar organizācijas kontu iekšējiem sarakstiem, bloķējot to izmantošanu ārējās vietnēs, piemēram, sociālajos tīklos vai pakalpojumos, kas nav saistīti ar uzņēmējdarbību. Tie var arī parādīt lietotājam brīdinājumus, kuros paskaidroti darba akreditācijas datu atkārtotas izmantošanas riski.
Šāda veida kontroles ne tikai aptur tiešus uzbrukumus, bet arī kalpo kā drošības izpratnes rīks , padarot paroļu lietošanas paradumu ietekmi ārpus korporatīvās vides darbiniekiem redzamāku.
Kas notiek, ja atspējojat ugunsmūri (un kāpēc to nevajadzētu darīt)
Bieži vien kādam, kam rodas problēmas ar lietojumprogrammu vai tiešsaistes spēli, ir mēģināt atspējot ugunsmūri, "lai redzētu, vai tas to novērš ". Un jā, dažreiz tas atrisina tūlītēju problēmu, taču tas paver durvis uz virkni risku, kas nav uzreiz pamanāmi.
Bez ugunsmūra sistēma ir pakļauta ārējiem draudiem, piemēram, ļaunprogrammatūrai, Trojas zirgiem, vīrusiem un citiem uzbrukumiem , kurus var instalēt bez jebkādiem šķēršļiem. Uzbrucēji var mēģināt skenēt maršrutētāja portus un, ja arī NAT noteikumi ir vaļīgi, atrast slikti aizsargātus pakalpojumus un izmantot tos kā ieejas punktus.
Ugunsmūris kontrolē arī izejošos datus : bez tā jebkura ļaunprātīga lietojumprogramma varētu brīvi sūtīt sensitīvu informāciju uz ārpasauli. Turklāt daudzas lietojumprogrammas paļaujas uz ugunsmūri, lai buferētu portu skenēšanas uzbrukumus vai nelielus DDoS uzbrukumus; tā atspējošana likvidē šo buferi.
Ja lietotne nedarbojas ugunsmūra dēļ, profesionāls risinājums nav to izslēgt, bet gan izveidot īpašu noteikumu, kas atļauj nepieciešamo datplūsmu , pārbaudīt, vai maršrutētājam ir jāatver kādas pieslēgvietas, un saskaņot noteikumus, lai nerastos konflikti starp lokālo ugunsmūri un tīkla iekārtas ugunsmūri.
Vairāku ugunsmūru līdzāspastāvēšana: maršrutētājs un dators vienlaikus
Ja maršrutētājā ir viens ugunsmūris, bet datorā — vēl viens (piemēram, Windows ugunsmūris), visa ienākošā datplūsma vispirms iet caur maršrutētāju un pēc tam caur datoru. Šī divslāņu drošība, pareizi konfigurēta, palielina kopējo drošību, jo viena slāņa kļūmi var kompensēt otrs slānis.
Tomēr ir jābūt uzmanīgiem ar nekonsekventiem noteikumiem . Ja maršrutētājs bloķē portu, ko atļauj datora ugunsmūris, vai otrādi, jūs varat atrast pakalpojumus, kas nedarbojas, un nebūt pārliecināts, kurš no diviem slāņiem rada problēmu.
Praksē vissaprātīgākā pieeja ir maršrutētāja ugunsmūrim darboties kā galvenajai perimetra barjerai , ielaižot no interneta tikai to, kas patiešām ir nepieciešams, savukārt datora ugunsmūris kontrolē datplūsmu starp ierīcēm lokālajā tīklā (LAN) un jebkādu aizdomīgu izejošo saziņu. Tas apvienojumā ar labi konfigurētu NAT un pārmērīgas DMZ un UPnP izmantošanas novēršanu nodrošina ļoti stabilu aizsardzības līmeni mājas vai neliela biroja vidē.
Galu galā, izpratne par to, kā darbojas un ir saistīti dažādi ugunsmūri (maršrutētājs, operētājsistēma, mākonis, korporatīvais NGFW), ļauj pieņemt pamatotākus lēmumus: kādus pakalpojumus atklāt, kur segmentēt, kādus žurnālus saglabāt un kā pielāgot noteikumus, lai saglabātu līdzsvaru starp drošību un lietojamību tīklā un ierīcēs.
