Pokročilá konfigurácia firewallu na serveroch

Informatec Digital » Zdroje » Pokročilá konfigurácia firewallu na serveroch

Zvládnutie pokročilej konfigurácie firewallu servera už nie je len pre veľké korporácie. Každá spoločnosť, ktorá berie kybernetickú bezpečnosť vážne, musí pochopiť, ako segmentovať sieť, definovať zóny, vytvárať podrobné pravidlá a čo najlepšie využívať perimetrický firewall aj samotný firewall systému Windows na každom počítači a serveri.

V tejto príručke sa podrobne dozviete, ako fungujú brány firewall novej generácie (NGFW) , ako navrhovať zóny (LAN, WAN, DMZ, VLAN), aké typy pravidiel použiť (program, port, protokol, IP...), ako využiť výhody brány firewall systému Windows s pokročilým zabezpečením , akú úlohu zohrávajú nástroje ako SimpleWall a aké osvedčené postupy dodržiavať, aby sa celý tento systém nestal nezvládnuteľným chaosom.

Firewally novej generácie na serveroch: oveľa viac než len filtrovanie portov

Firewally novej generácie, ako napríklad FortiGate NGFW , kombinujú pokročilé sieťové funkcie a hlboké zabezpečenie v jednom zariadení. Neotvárajú ani nezatvárajú len porty, ale analyzujú prevádzku na úrovni aplikácií, kontrolujú šifrovaný obsah a integrujú sa s komplexnými architektúrami cloudu, LAN, WLAN a vzdialeného prístupu.

V prípade FortiGate je srdcom systému FortiOS , špecifický operačný systém, ktorý zjednocuje bezpečnostné politiky a sieťové funkcie: integrovanú SD-WAN, univerzálnu ZTNA, riadenie prevádzky v bezdrôtových a káblových sieťach a centralizovanú správu vďaka FortiManageru.

Okrem toho sa tieto zariadenia spoliehajú na proprietárnu architektúru ASIC (dedikované čipy) na urýchlenie kontroly a dešifrovania paketov bez zníženia výkonu alebo zvýšenia spotreby energie, a to aj vtedy, keď je sieť plne zaťažená a prebiehajú stovky alebo tisíce simultánnych relácií.

Ochrana pred hrozbami je posilnená službami FortiGuard , ktoré pridávajú umelú inteligenciu na detekciu malvéru, podozrivej prevádzky, exploitov a cielených útokov, čím všetko zapadá do konceptu Fortinet Security Fabric: bezpečnostnej štruktúry, ktorá pokrýva sieť, koncové body a cloud, aby koordinovane reagovala na incidenty.

Návrh zón firewallu a segmentácia siete na serveroch

Pred vytvorením pravidiel typu „zajtrajšok neexistuje“ je potrebné správne navrhnúť zónovú architektúru a segmentáciu siete . Čím je sieť plochejšia, tým ľahšie sa útočníkovi bude po vstupe do siete pohybovať bočne.

Prvým krokom je identifikácia kľúčových aktív a služieb : webových serverov, databáz, interných aplikácií, pokladničných zariadení, VoIP ústrední, hosťovských sietí atď. V závislosti od ich kritickosti a expozície sú zoskupené do rôznych logických zón.

Štandardnou praxou je vytvorenie DMZ (demilitarizovanej zóny) pre servery, ktoré poskytujú služby priamo na internete (e-mail, VPN, webové aplikácie, verejné portály atď.). Tieto servery musia byť izolované od externej siete aj od citlivejšej internej siete, aby sa čo najviac obmedzila prevádzka medzi zónami.

Servery, ku ktorým je prístup iba zvnútra organizácie, sa nachádzajú v interných serverových zónach , oddelene od používateľskej siete, riadiacej siete a akýchkoľvek laboratórnych alebo testovacích prostredí. Aby sa to uľahčilo, je bežné používať prepínače s podporou VLAN na udržanie oddelenia aj na vrstve 2.

V prostrediach IPv4 musia všetky interné siete používať rozsahy súkromných adries (RFC1918) a spoliehať sa na mechanizmy NAT na prístup na internet. Tento preklad sa zvyčajne vykonáva na perimetrickej bráne firewall, ktorá tiež presadzuje politiky vstupu a výstupu pre každú konkrétnu zónu.

Zoznamy riadenia prístupu (ACL) a pravidlá medzi zónami

Keď sú zóny definované a priradené k rozhraniam alebo podrozhraniam firewallu, je čas na ACL (zoznamy riadenia prístupu) , čo sú pravidlá, ktoré rozhodujú o tom, aká prevádzka je autorizovaná a aká je zamietnutá medzi týmito zónami.

Cieľom je definovať pre každé rozhranie alebo podrozhranie súbor pravidiel, ktoré sú čo najkonkrétnejšie a najpodrobnejšie : zdrojová IP adresa alebo podsieť, cieľová IP adresa alebo podsieť, protokol (TCP, UDP, ICMP atď.), zapojené porty a akcia (povoliť alebo zakázať). Čím menej všeobecné sú pravidlá, tým menej bezpečnostných medzier bude.

Dobrou praxou je ukončiť každý ACL implicitným pravidlom „zakázať všetko“ , ktoré funguje ako bezpečnostná sieť: ak paket nezodpovedá žiadnemu predchádzajúcemu pravidlu povolenia, je zablokovaný. Následne sa vytvoria veľmi špecifické výnimky pre toky, ktoré sú skutočne potrebné.

Taktiež je vhodné zakázať verejný prístup k rozhraniam pre správu firewallu (HTTP, HTTPS, SSH atď.) a povoliť správu iba z veľmi špecifických interných sietí alebo prostredníctvom zabezpečenej VPN siete.

Moderné NGFW ponúkajú viac než len kontrolu portov a IP adries, využívajú kontrolu aplikácií , webové kategórie, IPS a pokročilú analýzu súborov (sandboxing). Ak ste si už za tieto funkcie zaplatili, má zmysel ich povoliť a nakonfigurovať pre kritické toky prevádzky, najmä tie, ktoré prekračujú perimetr.

Permisívny firewall vs. reštriktívny firewall na serveroch

Kľúčovým bodom pri navrhovaní politiky firewallu (či už perimetrického alebo operačného systému) je rozhodnutie, či začať z permisívneho alebo reštriktívneho postoja.

V permisívnom firewalle je konečným implicitným pravidlom „povoliť všetko“. Blokované je iba to, čo je explicitne definované pravidlami zakázania. Tento prístup sa zvyčajne používa v dôveryhodných interných sieťach (LAN) alebo v počítačoch nakonfigurovaných ako „súkromná sieť“ v systéme Windows.

V reštriktívnym firewalle platí opak: konečným pravidlom je „zakázať všetko“. Povolená je iba prevádzka, ktorá zodpovedá explicitným pravidlám povolenia. Táto filozofia je typická v rozhraní rozsiahlej siete (WAN), v firewalloch ako pfSense alebo firemné NGFW a v zariadeniach konfigurovaných ako „verejná sieť“.

Napríklad systém Windows štandardne používa reštriktívnu politiku pre prichádzajúce pripojenia (blokuje všetko, čo nie je explicitne povolené) a permisívnu politiku pre odchádzajúce pripojenia (povoľuje všetko okrem toho, čo ste zablokovali). Toto je možné upraviť v rozšírených nastaveniach brány firewall.

Čo môže brána firewall systému Windows skutočne ponúknuť na serveroch?

Brána firewall systému Windows s pokročilým zabezpečením je oveľa výkonnejšia, než si mnohí ľudia uvedomujú. Dokáže kontrolovať prichádzajúcu a odchádzajúcu prevádzku, filtrovať ju podľa IP adresy, portu, protokolu, služby, sieťového rozhrania, typu profilu (doména, súkromný, verejný) a v niektorých prípadoch dokonca aj podľa používateľa alebo skupiny.

Medzi jeho možnosti patrí nízkoúrovňové filtrovanie paketov , generovanie podrobných protokolov (ktoré je potom možné analyzovať pomocou prehliadača udalostí alebo odoslať do SIEM), detekcia verejných sietí na automatické použitie prísnejšieho profilu a integrácia s inými bezpečnostnými vrstvami, ako je napríklad Windows Defender.

Pre malé podniky a mnohé serverové prostredia môže byť dobre nakonfigurovaný NGFW viac než postačujúci , najmä v kombinácii s robustným antivírusovým softvérom a osvedčenými postupmi správy. Je však dôležité si uvedomiť jeho obmedzenia: nie je náhradou za perimetrický NGFW alebo vyhradený IPS.

Medzi slabé stránky patrí fakt, že firewall systému Windows štandardne neponúka hĺbkovú kontrolu paketov s pokročilými podpismi, natívne neblokuje systémovú telemetriu, jeho upozornenia sú diskrétne (sotva vás upozornia na nové pripojenia) a spôsob zobrazenia protokolov nie je užívateľsky prívetivý pre netechnických používateľov.

Prístup k bráne firewall systému Windows s pokročilým zabezpečením

Na správu rozšírených nastavení brány firewall v prostredí domény Active Directory je najlepším prístupom práca s objektmi skupinovej politiky (GPO) . Vyžaduje sa členstvo v skupine Domain Admins alebo delegované povolenia pre GPO.

V konzole na správu politík prejdite na položku Politiky > Konfigurácia počítača > Nastavenia systému Windows > Nastavenia zabezpečenia > Brána firewall systému Windows s rozšíreným zabezpečením . Tam môžete definovať spoločné pravidlá pre klientske počítače a servery pripojené k doméne.

Ak ide o jeden server alebo lokálny počítač , potrebujete na tomto zariadení iba oprávnenia správcu. Najrýchlejší spôsob otvorenia konzoly je stlačiť kláves ŠTART, zadať príkaz wf.msc a stlačiť kláves Enter. Týmto sa otvorí konzola brány firewall systému Windows s rozšíreným zabezpečením pre daný počítač.

Na hlavnej obrazovke sa zobrazujú pravidlá pre vstup a výstup, pravidlá zabezpečenia pripojenia a konfigurácia rôznych profilov (doménový, súkromný, verejný) spolu s monitorovacou oblasťou, kde sú viditeľné iba aktívne pravidlá.

Profily, globálne politiky a predvolené správanie

Panel vlastností brány firewall ovláda globálne možnosti pre každý sieťový profil (doména, súkromná, verejná). Tieto možnosti určujú, ako sa brána firewall správa, keď je sieťový adaptér priradený ku konkrétnemu typu siete.

Pre každý profil môžete rozhodnúť, či je firewall povolený alebo zakázaný , či sú prichádzajúce pripojenia, ktoré nezodpovedajú žiadnemu pravidlu, blokované alebo povolené a to isté platí pre odchádzajúce pripojenia.

Môžete tiež upraviť parametre, ako sú upozornenia pri blokovaní programu , umiestnenie uloženia protokolov brány firewall , maximálna veľkosť týchto protokolov a špeciálne zaobchádzanie s prevádzkou chránenou tunelmi IPsec VPN, ktoré sa vo všeobecnosti považujú za spoľahlivejšie.

V sekcii Monitorovanie sa zobrazujú všetky aktuálne aktívne pravidlá vrátane pravidiel z objektov skupinovej politiky (GPO) a pravidiel definovaných lokálne. Tu môžete zistiť, ktoré pravidlá sú skutočne aktívne a s akými parametrami, a odtiaľ môžete otvoriť a upraviť ich vlastnosti.

Pravidlá vjazdu a výjazdu: smer premávky

Pri práci s pravidlami v bráne firewall systému Windows je jednou z najčastejších chýb zámena smeru prevádzky . Pravidlá pre prichádzajúcu komunikáciu sa vzťahujú na pakety prichádzajúce do počítača; pravidlá pre odchádzajúcu komunikáciu sa vzťahujú na pakety opúšťajúce počítač a smerujúce do iného počítača.

Ak je cieľom zabrániť pripojeniam z internetu k serveru, musia sa vytvoriť alebo upraviť pravidlá pre vstupné pripojenie . Naopak, ak je cieľom zabrániť serverovej službe alebo programu v pripojení k externému serveru, musia sa upraviť pravidlá pre výstupné pripojenie.

Každá položka v zozname označuje, či je pravidlo povolené (zelená ikona začiarknutia) alebo zakázané. Zakázané pravidlá neovplyvňujú prevádzku, aj keď sú stále definované. Je bežné nájsť veľa preddefinovaných pravidiel systému Windows, ktoré sú prítomné, ale nie sú aktívne, kým nie sú potrebné.

Pochopenie toku zdroj/cieľ a lokálneho/vzdialeného portu je základom pre zabránenie vytváraniu pravidiel, ktoré sa nikdy neuplatňujú alebo ktoré sa otvárajú viac, ako je skutočne potrebné, čo je veľmi bežné pri konfigurácii zložitých služieb.

Typy pravidiel v bráne firewall systému Windows

Sprievodca novým pravidlom brány firewall systému Windows ponúka štyri hlavné kategórie: Program, Port, Preddefinované a Vlastné . Každá z nich je určená pre iný scenár a mali by ste si vyberať starostlivo v závislosti od požadovaného výsledku.

Pravidlá programu sa zameriavajú na konkrétny spustiteľný súbor; pravidlá portov filtrujú podľa čísla portu TCP alebo UDP; preddefinované pravidlá zjednodušujú správu známych služieb systému Windows; a vlastné pravidlá umožňujú veľmi jemné doladenie kombináciou viacerých kritérií naraz.

Vo všetkých prípadoch sprievodca končí otázkou, akú akciu chceme použiť (povoliť, povoliť iba v prípade zabezpečenia pomocou IPsec alebo blokovať) a na ktoré sieťové profily sa toto pravidlo bude vzťahovať (doména, súkromné, verejné). Nakoniec sa priradí názov a popis , aby sa dalo neskôr ľahko identifikovať.

Na kritických serveroch sa oplatí venovať čas riadnemu zdokumentovaniu pravidiel s uvedením, akú službu chránia a prečo existujú , aby pri budúcich auditoch alebo zmenách neexistovali pochybnosti o ich užitočnosti.

Pravidlá podľa programu: presná kontrola špecifických služieb

Pravidlá typu program sú pohodlným spôsobom, ako riadiť prevádzku aplikácie bez nutnosti pamätať si všetky porty, ktoré používa. Možno ich použiť na prichádzajúcu aj odchádzajúcu prevádzku.

V sprievodcovi vyberte možnosť „Cesta k tomuto programu“ a zadajte cestu k spustiteľnému súboru . Premenné prostredia môžete použiť na zabezpečenie správneho použitia pravidla, aj keď je program nainštalovaný na rôznych miestach na rôznych počítačoch.

Na serveroch, ktoré hostujú služby v rámci svchost.exe alebo iných kontajnerov s viacerými službami, môžete prispôsobiť pravidlo tak, aby sa vzťahovalo iba na konkrétne služby, a to výberom služby podľa jej skráteného názvu. To vám umožňuje rozlíšiť napríklad prevádzku konkrétnej služby RPC v rámci toho istého procesu.

Dôrazne sa odporúča kombinovať pravidlo programu s obmedzeniami na karte Protokoly a porty , pričom explicitne určíte, na ktorých portoch môže aplikácia počúvať alebo ktoré môže používať. Ak sa pokúsi otvoriť iný port, firewall ho zablokuje.

Pravidlá portov: klasické filtrovanie TCP/UDP

Pravidlá typu port vám umožňujú povoliť alebo blokovať prevádzku na základe čísla lokálneho alebo vzdialeného portu a protokolu (primárne TCP alebo UDP). Môžu byť použité pre pravidlá pre vstupnú aj výstupnú komunikáciu.

V typickom pravidle pre prichádzajúce spojenia na otvorenie napríklad TCP portu 21 vyberiete TCP, zadáte „konkrétne lokálne porty“ a zadáte 21. Môžete zadať viacero portov oddelených čiarkami (napr. 21, 20, 22) alebo rozsahy, ako napríklad 5000 – 5100, dokonca môžete v jednom pravidle kombinovať jednotlivé porty a rozsahy.

Ďalej sa rozhodnete pre akciu (povoliť, povoliť, ak je bezpečné, blokovať) a profily, v ktorých sa použije. Je to jednoduchý spôsob, ako otvoriť určité štandardné služby (HTTP, HTTPS, RDP atď.) bez toho, aby ste museli zachádzať do podrobností o konkrétnych programoch.

V prípade odchádzajúcich pravidiel sa najčastejšie špecifikuje vzdialený port, pretože to je cieľ, ku ktorému sa server pokúša pripojiť. Typickým prípadom použitia by bolo blokovanie všetkej odchádzajúcej prevádzky na podozrivé porty alebo obmedzenie komunikácie určitých aplikácií iba na veľmi špecifické porty.

Preddefinované a prispôsobené pravidlá

Preddefinované pravidlá zoskupujú hotové konfigurácie pre bežné služby systému Windows (zdieľanie súborov a tlačiarní, vzdialená pracovná plocha atď.). Stačí vybrať službu, určiť, či ju povoliť alebo zablokovať, vybrať profily a hotovo.

Táto možnosť je praktická, keď chcete rýchlo povoliť alebo obmedziť internú službu bez toho, aby ste museli v každom prípade skúmať, ktoré porty a protokoly používa. Systém v zákulisí vytvára niekoľko špecifických pravidiel, ktoré danú službu pokrývajú.

Vlastné pravidlá sú najkomplexnejšie a ponúkajú najväčšiu kontrolu. Umožňujú vám zadať všetky parametre: program (alebo všetky programy), typ služby, IP protokol (so zoznamom TCP, UDP, ICMPv4, ICMPv6, GRE, IPv6-Route atď.), kombináciu lokálnych a vzdialených portov, zdrojových a cieľových IP adries (vrátane rozsahov a podsietí) a ďalšie podmienky.

V protokoloch ako ICMPv4 alebo ICMPv6 si môžete vybrať, či chcete povoliť všetky typy správ ICMP alebo iba určité (echo request, echo reply, time exceeded atď.). Môžete dokonca definovať špecifické typy a kódy, ktoré sa nezobrazujú vo všeobecnom zozname.

Pri definovaní IP adries v sekcii rozsahu vám sprievodca tiež umožňuje pridať celé rozsahy alebo podsiete (napríklad 192.168.10.0/24), aby ste ďalej obmedzili, ktoré zariadenia môžu dané pravidlo používať, a to lokálne aj vzdialene.

Pravidlá pre vstupné protokoly ICMP na serveroch

Povoliť alebo nepovoliť prevádzku ICMP na server je strategické rozhodnutie. Prichádzajúce pravidlo ICMP umožňuje serveru reagovať na pingy a určité diagnostické správy siete, čo je veľmi užitočné pre administráciu, ale môže tiež poskytnúť informácie útočníkovi.

Ak chcete v bráne firewall systému Windows vytvoriť pravidlo pre prichádzajúce protokoly ICMP, otvorte rozšírenú konzolu, prejdite na položku Pravidlá pre prichádzajúce protokoly a vytvorte nové vlastné pravidlo. V časti Programy zvyčajne vyberiete možnosť „Všetky programy“.

Na obrazovke protokolu vyberte ICMPv4 alebo ICMPv6 v závislosti od použitého sieťového zásobníka. Ak pracujete s IPv4 aj IPv6, budete musieť pre každý z nich vytvoriť pravidlo. Možnosť prispôsobenia vám umožňuje vybrať konkrétne typy ICMP, ktoré chcete povoliť (iba požiadavka na odozvu/odpoveď na odozvu alebo širšia sada).

Ďalej sa definuje rozsah (ktoré IP adresy je možné pingnúť), akcia (zvyčajne povolenie pripojenia) a sieťové profily, v ktorých sa pravidlo uplatní. Nakoniec sa pravidlu priradí popisný názov pre jednoduchú identifikáciu.

Pravidlá pre prichádzajúce a odchádzajúce služby alebo programy

V niektorých scenároch chcete povoliť konkrétnej službe počúvať prichádzajúcu prevádzku na ľubovoľnom porte, ktorý potrebuje, alebo naopak: zabrániť programu v komunikácii s vonkajším svetom cez akýkoľvek port.

Pre prichádzajúcu časť sa vytvorí vlastné pravidlo, vyberie sa „Cesta k tomuto programu“ a zadá sa spustiteľný súbor služby. Toto pravidlo je potom možné prispôsobiť tak, aby sa pravidlo vzťahovalo iba na služby hostované v rámci daného spustiteľného súboru, a to výberom služby podľa jej skráteného názvu.

Existuje dokonca možnosť upraviť typ SID služby pomocou príkazu `sc sidtype <ServiceName> <UNRESTRICTED|RESTRICTED>`. Toto určuje, ako sa daná služba môže používať v rámci pravidiel firewallu. Zmena na RESTRICTED môže zabrániť jej spusteniu, preto to robte opatrne a iba vtedy, keď je tento typ ochrany potrebný.

Pre odchádzajúcu prevádzku je postup podobný, ale zahŕňa vytvorenie pravidla pre odchádzajúcu prevádzku . Ak chcete úplne zablokovať prístup daného programu na internet, definujete cestu k spustiteľnému súboru, nastavíte akciu na možnosť „Blokovať pripojenie“ a vyberiete profily, ktoré chcete obmedziť.

Špeciálne konfigurácie pre RPC a dynamické porty

Služby, ktoré používajú vzdialené volania procedúr (RPC), môžu byť obzvlášť citlivé, pretože používajú dynamické porty, ktoré systém priraďuje za behu. Na povolenie tejto prevádzky kontrolovaným spôsobom cez bránu firewall systému Windows je zvyčajne potrebné vytvoriť dve špecifické pravidlá.

Prvé pravidlo je zamerané na službu RPC Endpoint Mapper , ktorá sa nachádza v súbore %systemroot%\system32\svchost.exe. Pravidlo je prispôsobené tak, aby sa vzťahovalo na službu RpcSs, ako protokol je nastavený TCP a pre lokálny port je vybratá možnosť „RPC Endpoint Mapper“.

Druhé pravidlo sa vytvorí pre sieťovú službu s povoleným RPC, ktorú chceme povoliť, pričom sa určí cesta k spustiteľnému súboru, ktorý ju hostí, a tiež sa priradí k danej službe. V tomto prípade sa pre lokálny port vyberie možnosť „Dynamické porty RPC“.

V oboch pravidlách sa potom upraví rozsah (povolené IP adresy), akcia (povoliť pripojenie) a profily. Týmto spôsobom môžu presmerovanie portov RPC využívať iba zariadenia a služby, ktoré spĺňajú tieto podmienky.

Zaznamenávanie, auditovanie a riešenie problémov s bránami firewall systému Windows

Keď niečo nefunguje tak, ako by malo, protokol firewallu a udalosti auditu sú prvým zdrojom informácií . Je dobré mať zhromažďovanie protokolov správne nakonfigurované predtým, ako ho budete potrebovať.

Vo vlastnostiach brány firewall si môžete v rámci každej karty profilu prispôsobiť cestu k súboru denníka , maximálnu veľkosť v KB a to, či sa majú zaznamenávať stratené pakety, úspešné pripojenia alebo oboje. V serverových prostrediach je zvyčajne vhodné zaznamenávať oboje, aby ste mali prehľad.

Na druhej strane, nástroj príkazového riadka auditpol.exe umožňuje povoliť špecifické podkategórie auditu, ako napríklad zmeny politík, aby systém generoval podrobné udalosti pri zmene politík brány firewall alebo IPsec.

Pri skúmaní problému je užitočné zachytiť stav siete pomocou príkazu `netstat -ano > netstat.txt` a zoznam procesov pomocou príkazu `tasklist > tasklist.txt` . Porovnaním ID procesov (PID) v súbore `tasklist` s aktívnymi pripojeniami v súbore `netstat` môžete určiť, ktorý program používa konkrétny port.

V zložitých scenároch spoločnosť Microsoft poskytuje skripty, ako napríklad TSS.ps1, na zhromažďovanie pokročilých stôp filtrovacieho mechanizmu systému Windows (WFP), ktoré sa potom zabalia do súboru ZIP a je možné ich analyzovať alebo odoslať technickej podpore.

Externé nástroje: SimpleWall a firewally tretích strán

Vstavaný firewall systému Windows funguje dobre, ale často chýba intuitívnejšie rozhranie a jasné upozornenia pri prvom pokuse aplikácie o prístup na internet . Tu prichádzajú na rad riešenia tretích strán.

Jednou z ľahkých možností s otvoreným zdrojovým kódom pre Windows je SimpleWall , ktorý využíva platformu Windows Filtering Platform (WFP), ale priamo neupravuje bránu firewall systému Windows. Namiesto toho vytvára vlastné pravidlá prostredníctvom WFP na kontrolu prístupu aplikácií.

Medzi jeho funkcie patrí jednoduchý editor pravidiel , interné zoznamy na blokovanie telemetrie a špehovania systému Windows, protokoly blokovaných paketov, kompatibilita s IPv6 a podpora systémových služieb a aplikácií z obchodu Microsoft Store.

SimpleWall vám umožňuje vytvárať trvalé alebo dočasné pravidlá (ktoré po reštarte zmiznú), aktivovať filtre globálne a klasifikovať programy ako povolené, blokované alebo ticho blokované. Aby však vaše pravidlá nadobudli účinnosť, musí byť SimpleWall spustený na pozadí.

Okrem SimpleWallu sa niektorí používatelia rozhodujú pre komerčné firewally s viacerými funkciami: hĺbková kontrola paketov, predkonfigurované zoznamy anti-trace, sandboxing, behaviorálna analýza, pokročilé grafické dashboardy a lepší prehľad o odchádzajúcej prevádzke. Mnohé z týchto produktov sa integrujú s firewallom systému Windows alebo ho čiastočne nahrádzajú.

Výkon, výhody a nevýhody používania firewallov na serveroch

Používanie firewallu, či už na úrovni perimetra alebo operačného systému, spôsobuje malé zníženie výkonu, pretože každý sieťový paket sa analyzuje podľa jedného alebo viacerých pravidiel. Toto môže byť viditeľné na systémoch s veľmi obmedzeným alebo veľmi starým hardvérom. Pre zmiernenie akéhokoľvek vplyvu si prečítajte príručku optimalizácie Linuxového servera.

Výhoda prvej obrannej línie je však obrovská: znižuje vystavenie externým útokom, kontroluje, ktoré aplikácie sa môžu pripojiť zvonku, generuje užitočné protokoly na audit a prispôsobuje úroveň ochrany v závislosti od toho, či sa nachádzate v dôveryhodnej alebo verejnej sieti.

Hlavnými nevýhodami, okrem vplyvu na výkon, sú zložitosť údržby (najmä pre neskúsených používateľov) a falošný pocit bezpečia: firewall nenahradí dobrý antivírus, aktualizácie systému ani, samozrejme, zdravý rozum správcu.

Okrem toho, správna správa pravidiel si vyžaduje čas: kontrolu toho, čo sa skutočne používa, odstránenie zastaraných pravidiel, dokumentovanie zmien a overenie, či pri vykonávaní rýchlych testov alebo dočasných výnimiek nezostali neúmyselne otvorené žiadne medzery.

Pokročilé osvedčené postupy pre zabezpečenie brány firewall na serveroch

V serióznom serverovom prostredí nestačí len nastaviť niekoľko pravidiel a zabudnúť na ne. Existuje množstvo osvedčených postupov , ktoré pomáhajú udržiavať kontrolu a znižovať dlhodobé riziká.

Prvým je uplatňovanie princípu najnižších privilégií (PoLP) : na používateľov aj na pravidlá. Vyhnite sa všeobecným pravidlám typu „povoliť všetko z ľubovoľnej IP adresy“ a namiesto toho definujte pravidlá prispôsobené konkrétnym IP adresám alebo podsietiam, konkrétnym portom a známym aplikáciám.

Ďalším kľúčovým prvkom je udržiavať firewall a jeho komponenty neustále aktuálne . To zahŕňa aplikáciu záplat operačného systému, aktualizácie firmvéru fyzického firewallu, podpisy IPS a všetky aktualizácie vydané dodávateľom, najlepšie s ich najprvým testovaním v testovacom prostredí.

Nakoniec je nevyhnutné nasadiť efektívne monitorovanie a protokolovanie : odosielať protokoly do SIEM, definovať upozornenia na podozrivé vzorce (napríklad veľa paketov blokovaných z rovnakej IP adresy) a pravidelne kontrolovať hlásenia, nielen ich zhromažďovať „pre istotu“.

Okrem logickej vrstvy je dôležitá aj fyzická bezpečnosť firewallu: zariadenia v uzavretých rackoch, obmedzený prístup do technickej miestnosti a zálohy konfigurácie, ktoré umožňujú rýchly návrat k pôvodným nastaveniam, ak sa po zmene niečo pokazí.

Ďalšie vrstvy: filtrovanie URL, VPN, IPS, QoS a riadenie aplikácií

Väčšina moderných NGFW umožňuje povoliť pokročilé funkcie, ktoré dopĺňajú základné filtrovanie paketov a pravidlá IP/portov.

Filtrovanie URL adries umožňuje klasifikovať webové stránky podľa kategórií (malvér, sociálne siete, obsah pre dospelých, P2P sťahovanie atď.) a blokovať tie, ktoré sa považujú za nevhodné alebo nebezpečné, čo pomáha posilniť bezpečnosť a presadzovať zásady prijateľného používania.

VPN , či už ide o sieťový prístup typu site-to - site alebo vzdialený prístup, sa na šifrovanie prevádzky medzi pobočkami a vzdialenými používateľmi spoliehajú na protokoly ako IPsec alebo SSL/TLS. Brány firewall zvyčajne integrujú ukončenie VPN a uplatňujú na šifrovanú prevádzku rovnaké pravidlá kontroly ako na zvyšok siete.

Systém prevencie narušení (IPS) kontroluje prevádzku v reálnom čase a hľadá známe vzory útokov alebo zvláštne správanie a dokáže automaticky blokovať pripojenia, ktoré sa pokúšajú zneužiť zraniteľnosti systému alebo aplikácie.

Riadenie aplikácií poskytuje oveľa lepší prehľad ako jednoduché riadenie portov: umožňuje vám rozhodnúť sa, ktoré konkrétne aplikácie (napr. Skype, Dropbox, herné aplikácie atď.) sú povolené alebo blokované, a to aj v prípade, že používajú štandardné alebo šifrované porty.

Nakoniec, kvalita služieb (QoS) umožňuje uprednostniť kritickú prevádzku (hlas, videokonferencie, obchodné aplikácie) pred inými menej dôležitými tokmi, čím sa zabráni tomu, aby sa masívne sťahovanie alebo zálohovanie zmenilo na sieť nepoužiteľnú pre koncového používateľa.

Dôkladná správa pokročilej konfigurácie firewallov na serveroch , od návrhu zón a podrobných pravidiel až po používanie funkcií novej generácie, protokolovanie, audit a nástroje ako SimpleWall alebo dedikované NGFW, predstavuje rozdiel medzi sieťou, ktorá „viac-menej prežije“, a infraštruktúrou skutočne pripravenou odolávať útokom, rásť bez straty kontroly a spĺňať súčasné bezpečnostné požiadavky.