- Brána firewall riadi sieťovú prevádzku používaním pravidiel založených na IP adresách, portoch, protokoloch a aplikáciách na blokovanie neoprávneného prístupu.
- Kombinácia firewallu smerovača, operačného systému a prípadne NGFW a segmentácie poskytuje účinnú hĺbkovú ochranu.
- Správne navrhnutie sieťových zón, zoznamov ACL a záznamov a testovanie konfigurácie pomocou bezpečnostných testov je v podnikových prostrediach kľúčové.
- Vypnutie firewallu z praktických dôvodov vystavuje systém vážnym rizikám; správnym prístupom je nastaviť špecifické pravidlá a udržiavať ich vždy aktívne.
V každej modernej sieti, od domácej Wi-Fi siete až po infraštruktúru veľkých podnikov, je firewall prvou obrannou líniou proti útokom, neoprávnenému prístupu a únikom údajov. Bez správnej konfigurácie je to ako nechať si pootvorené vchodové dvere: nič sa nemusí stať... kým sa to nestane.
Napriek tomu má veľa používateľov a dokonca aj niektoré organizácie spustené firewally s predvolenými nastaveniami bez toho, aby skutočne rozumeli tomu, čo robia alebo ako ich upraviť . Tu nájdete komplexného a veľmi praktického sprievodcu o tom, čo je firewall, ako ho nakonfigurovať v systémoch Windows, macOS, Linux, routeroch a serverových prostrediach, ako aj pokročilé osvedčené postupy (NGFW, segmentácia, protokolovanie, ďalšie nástroje), aby ste si mohli prispôsobiť úroveň ochrany svojmu prostrediu bez toho, aby ste sa museli zahltiť.
Čo je firewall a prečo je taký dôležitý?
Firewall je systém, ktorý analyzuje prevádzku vstupujúcu do vašej siete alebo zariadenia a vystupujúcu z nej a na základe súboru pravidiel rozhoduje, čo povoliť a čo blokovať. Táto prevádzka pozostáva z dátových paketov, ktoré sa prenášajú pomocou rôznych protokolov (TCP, UDP, ICMP atď.) a portov.
Myšlienka je jednoduchá: firewall funguje ako filter a bariéra medzi zariadením alebo internou sieťou a internetom . Kontroluje, odkiaľ paket pochádza, kam smeruje, ktorý port používa a aký typ obsahu prenáša. Ak zodpovedá povolenému pravidlu, prepustí ho; ak nie, zablokuje ho. Táto logika ponúka jasné výhody: väčšiu bezpečnosť, nižšiu pravdepodobnosť infekcie škodlivým softvérom a väčšiu kontrolu nad tým, čo vstupuje a čo odchádza.
Predstavte si svoj firewall ako vstupné dvere do vášho digitálneho domova : vy rozhodujete, koho pustíte dnu, koho necháte vonku a ktoré časti domu môže každý hosť navštíviť. Firewall nielenže zastaví útoky, ale umožňuje vám aj obmedziť prístup k určitým webovým stránkam alebo aplikáciám, ktoré síce nie sú škodlivé, ale nechcete ich používať (napríklad sociálne médiá v podnikovom prostredí).
V reálnom svete nájdeme dva hlavné typy firewallov: softvérové firewally (integrované do operačného systému alebo nainštalované ako program) a hardvérové firewally (dedikované zariadenia, často integrované do profesionálnych alebo podnikových smerovačov). Okrem toho existujú firewally novej generácie (NGFW) , ktoré kombinujú niekoľko vrstiev pokročilého zabezpečenia, hĺbkovú kontrolu paketov, IPS a funkcie segmentácie a kontroly aplikácií.
Typy firewallov, s ktorými sa môžete stretnúť
V rámci zastrešujúceho pojmu „firewall“ existuje niekoľko technológií s rôznymi prístupmi. Ich pochopenie vám pomôže vedieť, na čo sa pozeráte pri kontrole konfigurácie smerovača, operačného systému alebo podnikového NGFW.
Prvú skupinu tvoria firewally filtrujúce pakety . Tieto vytvárajú kontrolné body na smerovačoch alebo prepínačoch a vykonávajú jednoduchú kontrolu každého paketu na základe zdrojovej IP adresy, cieľovej IP adresy, portu a protokolu. Sú rýchle, ale neanalyzujú obsah do hĺbky.
Potom existujú brány firewall na úrovni okruhov , ktoré sa zameriavajú na schvaľovanie alebo odmietanie pripojení na základe stavu relácie bez podrobnej kontroly každého paketu. Sú veľmi efektívne, ale menej účinné pri detekcii zložitých hrozieb.
Stavové inšpekčné brány firewall kombinujú informácie o paketoch so sledovaním TCP pripojenia. Udržiavajú tabuľku aktívnych relácií a overujú, či prevádzka zodpovedá povolenému toku, čím poskytujú robustnejšiu ochranu ako jednoduché statické filtrovanie.
Máme tiež brány na úrovni aplikácií alebo proxy firewally . Tie fungujú na aplikačnej vrstve a kontrolujú HTTP, FTP a inú prevádzku, čo umožňuje vysoko precízne politiky založené na type aplikácie alebo dokonca obsahu. Tento prístup tvorí základ mnohých cloudových firewallov a nástrojov na hĺbkovú kontrolu prevádzky.
Firewally novej generácie (NGFW) integrujú hĺbkovú inšpekciu, kontrolu aplikácií, funkcie systému prevencie prienikov (IPS), filtrovanie webových kategórií, pokročilú analýzu súborov a čoraz častejšie aj funkcie založené na umelej inteligencii. Môžu byť nasadené ako fyzické zariadenia, virtuálne počítače alebo cloudové služby.
Okrem toho, na základe ich umiestnenia, môžeme rozlišovať medzi softvérovými firewallmi (na každom počítači, serveri alebo zariadení) a hardvérovými firewallmi (dedikované zariadenia na perimetri siete). Okrem toho existujú cloudové firewally , ktoré fungujú ako rozsiahle proxy servery schopné škálovania na ochranu distribuovaných prostredí a organizácií s mnohými používateľmi a lokalitami.
Firewall na routeri: prvá obranná línia vo vašej sieti
Router, ktorý máte doma alebo v kancelárii, má zvyčajne zabudovaný firewall a NAT/PAT . To znamená, že štandardne nikto nemôže otvoriť priame pripojenie z internetu k vašim interným zariadeniam, pokiaľ nie je zapnuté presmerovanie portov, aktívna DMZ alebo nesprávne nakonfigurované protokoly ako UPnP.
Typická politika moderného routera je „zakázať všetku prichádzajúcu prevádzku, pokiaľ nie je výslovne povolená “. Toto je posilnené protokolom IPv4 NAT/PAT: interné zariadenia používajú súkromné IP adresy a router prekladá ich odchádzajúce pripojenia na verejnú IP adresu. Akýkoľvek pokus o iniciovanie komunikácie z internetu bez otvoreného portu alebo existujúceho pravidla bude zamietnutý.
Preto je také nebezpečné otvoriť DMZ na počítači v lokálnej sieti, ktorý nemá správne nakonfigurovaný vlastný firewall: tento počítač bude úplne vystavený internetu a všetky porty budú prístupné okrem tých, ktoré sú presmerované na iný počítač.
Medzi základné osvedčené postupy pre firewally smerovačov patrí neotváranie portov, ktoré nie sú nevyhnutne potrebné, vyhýbanie sa používaniu DMZ s výnimkou veľmi špecifických zariadení (ako je herná konzola) a vždy vypnutie UPnP, aby sa zabránilo zariadeniam v samovoľnom otváraní portov. Manuálne otváranie portov vám dáva úplnú kontrolu nad tým, čo je vystavené.
Taktiež je vhodné pravidelne kontrolovať, ktoré porty sú otvorené, zatvárať tie, ktoré sa už nepoužívajú, a podľa možnosti obmedzovať IP adresy, ktoré majú prístup k citlivým službám (napríklad povoliť SSH iba z konkrétnej administrátorskej IP adresy a nie z celého internetu).
Bežné možnosti brány firewall na domácich a pokročilých smerovačoch
V závislosti od značky vášho smerovača sa možnosti konfigurácie brány firewall môžu líšiť, ale logika je podobná: bezpečnostný profil, pravidlá a dodatočné filtrovanie . Pozrime sa na niekoľko reprezentatívnych príkladov.
Routery ASUS
Routery ASUS integrujú firewall založený na protokole iptables . Z webového rozhrania v ponuke „Firewall“ môžete povoliť alebo zakázať firewall pre IPv4 a IPv6 (predvolene je povolený, ako by mal byť) a nakonfigurovať opatrenia proti DoS, ktoré blokujú zdrojové adresy s príliš veľkým počtom pokusov o pripojenie.
Ďalšou bežnou možnosťou je blokovať požiadavky ping (ICMP Echo-requests) na rozhranie WAN, aby váš router nereagoval (nenápadný režim). V prostrediach IPv6 je firewall nakonfigurovaný s veľmi reštriktívnymi pravidlami pre prichádzajúce pripojenia : každé zariadenie má svoju vlastnú verejnú IP adresu, ale neočakávané prichádzajúce pripojenia sú blokované, zatiaľ čo odchádzajúce pripojenia sú normálne povolené.
Spoločnosť ASUS tiež ponúka funkciu „LAN to WAN Filter“, ktorá vám umožňuje blokovať prevádzku z vašej siete LAN na internet na základe zdrojovej IP adresy, cieľovej IP adresy a portov. Okrem toho je bránou firewall interne podporované filtrovanie URL a kľúčových slov na vynucovanie obmedzení.
Routery Livebox (Livebox Fiber atď.)
Na routeroch Livebox, ktoré bežne používajú poskytovatelia internetových služieb, sa firewall spravuje z ponuky „Rozšírené nastavenia > Nastavenia firewallu“. Tam si môžete vybrať z niekoľkých úrovní: nízka, stredná, vysoká a vlastná.
„Nízka“ úroveň filtrovania neponúka prakticky žiadne filtrovanie (okrem toho, čo je nevyhnutné pre NAT) a je určená pre pokročilých používateľov, ktorí uprednostňujú flexibilitu pred bezpečnosťou. „Stredná“ úroveň filtrovania, ktorá je zvyčajne predvolená, zastaví všetky prichádzajúce pripojenia a povolí odchádzajúcu prevádzku okrem veľmi špecifických služieb, ako je NetBIOS.
„Vysoký“ profil je najreštriktívnejší: povoľuje iba odchádzajúce pripojenia k dobre definovaným štandardným službám a blokuje neočakávané prichádzajúce pripojenia. „Vlastný“ režim umožňuje používateľovi nastaviť špecifické pravidlá a je určený pre administrátorov, ktorí vedia, čo robia; pri nesprávnej konfigurácii môžete blokovať legitímne služby alebo ponechať významné zraniteľnosti.
Routery AVM FRITZ!Box
Zariadenia FRITZ!Box majú pomerne komplexný firewall. V rozšírenom zobrazení v ponuke „Internet > Filtre“ môžete aktivovať nenápadný režim , aby ste sa vyhli odpovedaniu na pingy v sieti WAN a blokovali citlivé porty, ako napríklad 25 (nešifrovaný SMTP), NetBIOS alebo Teredo, ak sa nepoužívajú.
V prostrediach NAT je nevyhnutné pravidelne kontrolovať nastavenia presmerovania portov a zatvárať tie, ktoré už nie sú potrebné, aby sa zabránilo tomu, že sa zastarané služby stanú vstupnými bodmi. Vlastné služby vzdialenej správy zariadenia FRITZ!Box by sa mali tiež vypnúť, ak nie sú nevyhnutné; namiesto toho je bezpečnejšie pristupovať k routeru cez VPN a po pripojení k sieti ho spravovať pomocou jeho súkromnej IP adresy.
FRITZ!Box ponúka aj vzdialený prístup založený na protokole IPsec a VPN pripojenia typu site-to-site. Je to dobrý spôsob, ako sa vyhnúť priamemu vystaveniu služieb internetu a vynútiť si všetok vzdialený prístup cez šifrovaný a kontrolovaný kanál.
Firewally novej generácie (NGFW) a pokročilé zabezpečenie
V podnikových prostrediach idú firewally novej generácie, ako napríklad rad FortiGate, ďaleko za rámec jednoduchého filtrovania portov. Tieto zariadenia integrujú pokročilé sieťové funkcie a hlboké zabezpečenie na jednej platforme, čím znižujú potrebu mnohých samostatných zariadení.
Napríklad FortiGate je založený na operačnom systéme FortiOS a zahŕňa integráciu SD-WAN, ZTNA (Zero Trust Access), WLAN a LAN, hĺbkovú kontrolu šifrovanej prevádzky, IPS , filtrovanie webových kategórií a analytické funkcie založené na umelej inteligencii prostredníctvom služieb FortiGuard.
Tieto NGFW sa zvyčajne spoliehajú na vlastnú architektúru ASIC , ktorá umožňuje veľmi vysoký výkon a vylepšenú energetickú účinnosť, a to aj pri kontrole veľkých objemov šifrovanej prevádzky. Okrem toho sú integrované do takzvanej „bezpečnostnej siete“: bezpečnostnej siete, ktorá zahŕňa siete, koncové body a cloudy s jednotnými politikami spravovanými z platforiem ako FortiManager.
Kľúčom k tomuto prístupu je, že celá sieťová plocha je pokrytá konzistentnými politikami : od perimetra až po koncový bod, vrátane hybridných a cloudových prostredí. To umožňuje rýchlu reakciu na vznikajúce hrozby, segmentuje komplexné siete a poskytuje úplný prehľad o prevádzke a bezpečnostných udalostiach.
Kroky na návrh a konfiguráciu dobre štruktúrovaného sieťového firewallu
Keď hovoríme o firewalloch v podnikových sieťach (fyzických alebo virtuálnych), nestačí len zapojiť zariadenie a ponechať predvolené nastavenia. Na dosiahnutie presného riadenia prevádzky je potrebná vopred navrhnutá konfigurácia zón, IP adries a politík .
Navrhnite zóny firewallu a schému IP adresovania
Prvým krokom je identifikácia sieťových aktív (servery, kritické aplikácie, pracovné stanice, zariadenia internetu vecí, POS systémy, VoIP atď.) a ich zoskupenie podľa ich funkcie, úrovne citlivosti a potrieb prístupu . Namiesto jednej plochej siete, kde je všetko prepojené, sa vytvárajú segmenty alebo zóny.
Pre servery vystavené internetu, ako sú webové, e-mailové, VPN alebo verejné API servery, sa typicky definuje DMZ (demilitarizovaná zóna) . V týchto zónach je prístup na internet obmedzený iba na to, čo je absolútne nevyhnutné. Interné servery, ako sú databázy, systémy riadenia, pracovné stanice a hlasové alebo pokladničné zariadenia, sú umiestnené vo vnútorných zónach s prísnejšími bezpečnostnými politikami.
Pri používaní IPv4 je nevyhnutné používať súkromné rozsahy adries pre všetky interné siete a nakonfigurovať NAT tak, aby interné zariadenia mali prístup na internet v prípade potreby. Pri budovaní infraštruktúry sa na udržanie logického oddelenia medzi segmentmi na vrstve 2 používajú prepínače s podporou VLAN.
Keď je štruktúra zón a plán IP adries jasný, v bráne firewall sa vytvoria zodpovedajúce zóny a priradia sa fyzickým rozhraniam alebo podrozhraniam . Toto mapovanie je kľúčové pre zabezpečenie správneho uplatňovania pravidiel brány firewall medzi zónami.
Konfigurácia zoznamov riadenia prístupu (ACL)
Keď sú zóny definované, je čas vytvoriť pravidlá , ktoré určujú, čo s čím môže komunikovať . Tieto pravidlá sú implementované ako ACL (zoznamy riadenia prístupu), kde je povolená (alebo zakázaná) prevádzka medzi zónami špecifikovaná čo najpodrobnejšie.
Zoznamy riadenia prístupu (ACL) sa používajú pre každé rozhranie alebo podrozhranie brány firewall a je najlepšie čo najpresnejšie doladiť zdrojovú IP adresu, cieľovú IP adresu a porty . Inými slovami, je lepšie povoliť „tento server na tento port v tejto databáze“ ako „celej tejto sieti na všetky porty v inej sieti“.
Veľmi dôležitým pravidlom je „zakázať všetko“ na konci každého ACL. Táto reštriktívna politika zabezpečuje, že akákoľvek prevádzka, ktorá nie je explicitne zahrnutá, je blokovaná . Následne sa na každé rozhranie aplikujú prichádzajúce a odchádzajúce ACL, pričom sa správanie upravuje podľa smeru prevádzky.
Je vhodné zakázať verejný prístup k rozhraniam správy firewallu a uistiť sa, že nielenže otestujete, či aplikácie fungujú, ale aj či je nežiaduca prevádzka účinne blokovaná . Mali by ste napríklad overiť, či funkcie kontroly na úrovni aplikácií (blokovanie webových kategórií, pokročilá analýza súborov, IPS atď.) fungujú podľa očakávaní.
Konfigurácia ďalších služieb a protokolov
Mnohé firewally vám umožňujú priamo na zariadení povoliť ďalšie služby , ako napríklad DHCP, NTP alebo IPS. Povoľte iba tie služby, ktoré budete skutočne používať; ostatné vypnite, aby ste znížili riziko útoku.
Ďalším kritickým aspektom je konfigurácia protokolovania. Aby bol firewall v súlade s predpismi, ako je PCI DSS , musí odosielať podrobné protokoly na protokolovací server alebo SIEM, ktoré zahŕňajú aspekty, ako napríklad kto pristupuje k systému, odkiaľ, do ktorej služby a s akým výsledkom. Napríklad PCI DSS stanovuje v častiach 10.2 a 10.3 špecifické požiadavky týkajúce sa obsahu týchto protokolov.
Objem protokolov môže byť vysoký, ale je to jediný spôsob, ako auditovať prístup a odhaliť vzory útokov alebo anomálie . Je vhodné definovať pravidlá pre uchovávanie, rotáciu a monitorovanie týchto udalostí, aby bolo možné rýchlo reagovať, keď sa niečo zdá byť v neporiadku.
Dôkladne otestujte konfiguráciu
Pred nasadením novej konfigurácie firewallu alebo po väčšej zmene je nevyhnutné overiť, či blokuje to, čo by mala, a povoľuje to, čo je potrebné . Patria sem skenovania portov, posúdenia zraniteľností a penetračné testovanie.
Je tiež dôležité mať zálohy konfigurácie na bezpečnom mieste a otestovať proces vrátenia zmien. Pred vykonaním akýchkoľvek kritických zmien zdokumentujte plánované úpravy a overte si, či viete, ako obnoviť firewall, ak sa počas údržbového obdobia niečo pokazí.
Firewall vo virtuálnych serverových sieťach (súkromný alebo verejný cloud)
Na platformách cloudových serverov je bežné mať okrem vlastného firewallu operačného systému a akýchkoľvek medziľahlých firewallov aj firewall na úrovni siete, ktorý je možné konfigurovať z ovládacieho panela. Pochopenie poradia, v akom sa tieto brány používajú, pomáha predchádzať konfliktom pravidiel.
Prichádzajúce pakety zvyčajne najprv prechádzajú cez sieťový firewall (spravovaný platformou), potom cez firewall servera (napríklad iptables v systéme Linux alebo Windows) a nakoniec cez akékoľvek ďalšie softvérové firewally. Odchádzajúca prevádzka sleduje opačnú cestu.
V tomto type panela je konfigurácia zvyčajne založená na pravidlách s názvom, akciou (povoliť alebo zakázať), zdrojom a cieľom (IP, rozsahy, CIDR, „ľubovoľný“, „interný“, „externý“), zdrojovými a cieľovými portmi (konkrétny port, rozsah alebo „ľubovoľný“) a protokolom (TCP, UDP, oba alebo ICMP).
Kľúčovým detailom je poradie pravidiel : čím vyššie je pravidlo v zozname, tým vyššia je jeho priorita. Pravidlo „zakázať“ umiestnené pred pravidlom „povoliť“ pre rovnakú prevádzku spôsobí, že táto prevádzka bude zablokovaná. Preto zvyčajne umožňujú zmeniť poradie pravidiel ich presunutím myšou a upraviť tak priority.
Ak je firewall vo vypnutom režime, všetky pakety vstupujú a odchádzajú bez filtrovania. V aktívnom režime je predvolené správanie zvyčajne „povoliť čokoľvek, čo nezodpovedá žiadnemu pravidlu“, hoci je oveľa bezpečnejšie nastaviť predvolenú politiku odmietnutia a povoliť iba to, čo je nevyhnutné , najmä v prostrediach s citlivými údajmi.
Firewall v operačnom systéme: Windows, macOS a Linux
Okrem firewallu smerovača a akéhokoľvek firewallu cloudovej siete obsahuje každý moderný systém vlastnú vrstvu ochrany. Jeho správna konfigurácia poskytuje hĺbkovú obranu , ktorá je obzvlášť užitočná, ak je nejaká služba vystavená internetu alebo ak útočník získa prístup k lokálnej sieti.
Brána firewall systému Windows: základná a rozšírená konfigurácia
V systéme Windows filtruje vstavaná brána firewall (brána firewall programu Windows Defender alebo brána firewall programu Microsoft Defender) prevádzku na základe preddefinovaných a vlastných pravidiel . Môžete si ju zobraziť a spravovať v aplikácii Zabezpečenie systému Windows v časti „Brána firewall a ochrana siete“.
Prvým krokom je kontrola aktívneho sieťového profilu: doménový, súkromný alebo verejný. Súkromná sieť (ako vaša domáca sieť) predpokladá relatívne spoľahlivé prostredie a umožňuje viac prichádzajúcich pripojení, zatiaľ čo verejná sieť (ako Wi-Fi v kaviarni) má prísnejšie pravidlá a blokuje takmer všetko, čo prichádza zvonku.
Z tohto rozhrania môžete povoliť alebo zakázať firewall pre každý typ siete, hoci jeho vypnutie nie je dobrý nápad, pretože zvyšuje zraniteľnosť voči neoprávnenému prístupu . Ak legitímna aplikácia nefunguje, pretože je blokovaná, správnym prístupom je vytvoriť výnimku alebo otvoriť pre ňu konkrétny port, nie vypnúť celý firewall.
Rozšírené nastavenia spravujú pravidlá pre vstup a výstup , ktoré určujú, ktoré pripojenia sú povolené. Systém Windows tieto pravidlá klasifikuje do štyroch typov: pravidlá pre programy (ktoré povoľujú alebo blokujú konkrétny spustiteľný súbor), pravidlá pre porty (ktoré riadia konkrétne porty TCP/UDP), preddefinované pravidlá (poskytované systémom) a vlastné pravidlá (najflexibilnejšie, ktoré umožňujú kombinovať program, port, protokol a adresu).
Okrem toho existuje možnosť blokovať všetky prichádzajúce pripojenia vrátane tých, ktoré sú na zozname povolených. To je užitočné, keď potrebujete maximálne zabezpečenie, hoci to môže spôsobiť, že základné služby (zdieľané súbory, vzdialená pracovná plocha atď.) prestanú fungovať.
Mnoho organizácií používa centralizované nástroje na správu, ako napríklad Ivanti Endpoint Security Solution Agent Configuration . Tieto nástroje umožňujú používateľom vytvoriť politiku brány firewall systému Windows a hromadne ju nasadiť na zariadenia s rôznymi verziami systému Windows (XP/2003, Vista a novšie), pričom definujú pravidlá pre vstup/výstup, výnimky a aktiváciu/deaktiváciu brány firewall ako súčasť konfiguračných alebo opravných úloh.
Pomocník, nástroje a definície zabezpečenia v bráne firewall systému Windows
Podrobná konfigurácia môže byť trochu komplikovaná, preto existujú nástroje, ktoré uľahčujú každodenné úlohy. Napríklad TinyWall funguje ako vrstva správy nad bránou firewall systému Windows a umožňuje vám meniť prevádzkové režimy (viac či menej obmedzujúce), zobrazovať aktívne pripojenia, vytvárať biele zoznamy a zabrániť samotnému firewallu v blokovaní aplikácií, ktoré potrebujete.
Ďalším príkladom je Ovládanie brány firewall systému Windows , ktoré sa integruje do systémovej lišty a ponúka rýchle profily (vysoká, stredná, nízka, bez filtra) a pohodlné rozhranie na správu pravidiel, import/export konfigurácií a aktiváciu režimu učenia, ktorý detekuje digitálne podpísané programy, aby inteligentnejšie vytváral pravidlá.
V podnikových bezpečnostných riešeniach, ako je Ivanti Endpoint Security, sú definované špecifické bezpečnostné hrozby súvisiace s bránou firewall systému Windows (napríklad ST000102 pre bránu firewall systému Windows v systémoch XP/2003). Tieto definície zahŕňajú prispôsobiteľné premenné, ktoré vám umožňujú sledovať, či skutočná konfigurácia brány firewall zodpovedá požadovanej politike, a ak nie, označiť počítač ako zraniteľný a spustiť úlohy opravy na vynútenie správnych nastavení.
Firewall v systéme macOS
V systéme Mac sa firewall konfiguruje v časti „Nastavenia systému“ (alebo „Systémové nastavenia“ v starších verziách) v sekcii Sieť a firewall . Tam ho môžete aktivovať a potom získať prístup k rozšíreným možnostiam, aby ste sa rozhodli, ako sa majú spracovávať prichádzajúce pripojenia.
Okrem iného môžete blokovať nevyžiadané pripojenia , povoliť iba nevyhnutné aplikácie a služby, ovládať, ktoré konkrétne aplikácie môžu prijímať prevádzku, a povoliť automatické pridávanie dôveryhodných aplikácií do zoznamu povolených aplikácií. Je to jednoduchší systém ako Windows, čo sa týka detailov portov, ale pre bežného používateľa veľmi efektívny.
V podnikových prostrediach je to zvyčajne doplnené centrálne spravovanými bezpečnostnými politikami, ktoré zabezpečujú, že všetky počítače Mac dodržiavajú rovnaké pravidlá týkajúce sa exponovaných služieb a aplikácií, ktoré môžu prijímať pripojenia.
Firewall v systéme Linux: UFW ako jednoduchá možnosť
V Linuxe, najmä v distribúciách ako Ubuntu, je bežné spravovať iptables (alebo nftables) pomocou užívateľsky prívetivejších nástrojov. Jedným z najpopulárnejších je UFW (Uncomplicated Firewall) , ktorý ponúka jednoduché príkazy na aktiváciu firewallu a definovanie pravidiel.
Inštalácia sa vykonáva prostredníctvom správcu balíkov (napríklad „sudo apt-get install ufw“) a hoci je UFW zvyčajne štandardne vypnutý, pred jeho povolením je vhodné skontrolovať jeho stav pomocou „sudo ufw status“. Nepovoľujte ho bez toho, aby ste najprv definovali základné pravidlá , pretože by to zablokovalo všetky prichádzajúce pripojenia a mohli by ste stratiť vzdialený prístup.
Medzi typické pravidlá patrí povolenie SSH („sudo ufw allow ssh“) na udržiavanie vzdialeného prístupu, otvorenie HTTP a HTTPS („sudo ufw allow http“, „sudo ufw allow https“) pre webové servery a následné pridanie portov podľa potreby. Po nastavení základných pravidiel sa firewall povolí pomocou „sudo ufw enable“ a jeho stav sa skontroluje pomocou „sudo ufw status“, ktorý zobrazuje zoznam povolených služieb a portov.
Keďže Linux je už pomerne robustný systém, nakonfigurovaný UFW poskytuje ďalšiu vrstvu zabezpečenia, ktorá sa dôrazne odporúča , najmä na serveroch prístupných z internetu.
Segmentácia siete, politiky a prevencia krádeže poverení
Jednou z najúčinnejších stratégií na zlepšenie bezpečnosti je segmentácia siete . Rozdelením siete na segmenty (podľa funkcie, typu zariadenia, úrovne rizika) nie je prevádzka z jedného segmentu viditeľná z iného, čím sa znižuje dopad akéhokoľvek incidentu.
Toto je obzvlášť dôležité pre zariadenia internetu vecí, ktoré často fungujú na starších a zraniteľných systémoch. Ich umiestnenie do sietí VLAN alebo izolovaných zón a prísne obmedzenie ich prístupu minimalizuje riziko poruchy IP kamery alebo senzora, ktorá by ohrozila celú podnikovú sieť.
Ďalším kľúčovým problémom je optimalizácia politiky firewallu . Pridávanie pravidiel bez ich kontroly vedie k chaotickému hromadeniu, konfliktom a takmer nezvládnuteľnému firewallu. V ideálnom prípade by ste mali migrovať z pravidiel založených na portoch na pravidlá založené na aplikáciách s jasným prehľadom o tom, ktoré služby sú povolené alebo zakázané, a pravidelne ich kontrolovať, aby ste odstránili zastarané položky.
Niektoré pokročilé firewally obsahujú funkcie na zabránenie krádeže firemných prihlasovacích údajov . Skenujú pokusy o prihlásenie (používateľské meno a heslo) a porovnávajú ich s internými zoznamami účtov organizácie, čím blokujú ich použitie na externých stránkach, ako sú sociálne médiá alebo služby nesúvisiace s podnikaním. Môžu tiež zobrazovať upozornenia používateľovi vysvetľujúce riziká opätovného použitia pracovných prihlasovacích údajov.
Tieto typy kontrol nielenže zastavujú priame útoky, ale slúžia aj ako nástroj na zvyšovanie povedomia o bezpečnosti , vďaka čomu sú pre zamestnancov viditeľnejšie vplyvy zvykov používania hesiel mimo firemného prostredia.
Čo sa stane, ak vypnete firewall (a prečo by ste to nemali robiť)
Je bežné, že niekto, kto má problémy s aplikáciou alebo online hrou, sa snaží vypnúť firewall, „aby zistil, či sa to vyrieši “. A áno, niekedy to vyrieši okamžitý problém, ale otvára dvere množstvu rizík, ktoré nie sú okamžite zjavné.
Bez firewallu je systém vystavený externým hrozbám, ako je malware, trójske kone, vírusy a iné útoky , ktoré je možné nainštalovať bez akejkoľvek bariéry. Útočníci sa môžu pokúsiť skenovať porty smerovača a ak sú pravidlá NAT tiež laxné, nájsť slabo chránené služby a použiť ich ako vstupné body.
Firewall tiež kontroluje odchádzajúce dáta : bez neho by akákoľvek škodlivá aplikácia mala voľnú ruku na odosielanie citlivých informácií do vonkajšieho sveta. Okrem toho sa mnoho aplikácií spolieha na firewall na tlmenie útokov skenovania portov alebo menších DDoS útokov; jeho vypnutím sa tento tlmený priestor eliminuje.
Ak aplikácia nefunguje kvôli firewallu, profesionálnym riešením nie je jeho vypnutie, ale vytvorenie špecifického pravidla, ktoré povoľuje potrebnú prevádzku , kontrola, či smerovač potrebuje otvoriť nejaké porty, a zosúladenie pravidiel tak, aby nedochádzalo ku konfliktom medzi lokálnym firewallom a firewallom sieťového zariadenia.
Koexistencia viacerých firewallov: router a PC súčasne
Keď máte na smerovači jeden firewall a na počítači iný (napríklad firewall systému Windows), všetka prichádzajúca prevádzka prechádza najprv cez smerovač a potom cez počítač. Toto dvojvrstvové zabezpečenie, ak je správne nakonfigurované, zvyšuje celkovú bezpečnosť, pretože zlyhanie v jednej vrstve môže byť kompenzované druhou vrstvou.
Pri nekonzistentných pravidlách si však musíte dávať pozor . Ak smerovač blokuje port, ktorý povoľuje firewall počítača, alebo naopak, môžete nájsť služby, ktoré nefungujú, a nebudete si istí, ktorá z dvoch vrstiev spôsobuje problém.
V praxi je najrozumnejším prístupom, aby firewall smerovača fungoval ako primárna perimetrická bariéra , ktorá povoľuje vstup iba skutočne potrebného obsahu z internetu, zatiaľ čo firewall počítača riadi prevádzku medzi zariadeniami v sieti LAN a akúkoľvek podozrivú odchádzajúcu komunikáciu. Toto v kombinácii s dobre nakonfigurovaným NAT a zabránením nadmernému používaniu DMZ a UPnP poskytuje veľmi robustnú úroveň ochrany pre domáce alebo malé kancelárske prostredie.
Pochopenie toho, ako fungujú a sú navzájom prepojené rôzne firewally (router, operačný systém, cloud, firemný NGFW), vám v konečnom dôsledku umožňuje robiť informovanejšie rozhodnutia: ktoré služby vystaviť, kde segmentovať, aké protokoly uchovávať a ako upraviť pravidlá tak , aby sa zachovala rovnováha medzi bezpečnosťou a použiteľnosťou vo vašej sieti a zariadeniach.
