- Një firewall kontrollon trafikun e rrjetit duke zbatuar rregulla të bazuara në adresat IP, portat, protokollet dhe aplikacionet për të bllokuar aksesin e paautorizuar.
- Kombinimi i firewall-it të routerit, sistemit operativ dhe, kur është e aplikueshme, NGFW dhe segmentimit ofron një mbrojtje efektive në thellësi.
- Projektimi i duhur i zonave të rrjetit, ACL-ve dhe të dhënave, si dhe testimi i konfigurimit me teste sigurie, është thelbësor në mjediset e korporatave.
- Çaktivizimi i firewall-it për lehtësi e ekspozon sistemin ndaj rreziqeve serioze; qasja e saktë është të vendosni rregulla specifike dhe ta mbani atë gjithmonë aktiv.
Në çdo rrjet modern, nga Wi-Fi i shtëpisë deri te infrastruktura e një ndërmarrjeje të madhe, muri i zjarrit është linja e parë e mbrojtjes kundër sulmeve, aksesit të paautorizuar dhe rrjedhjeve të të dhënave. Pa konfigurimin e duhur, është sikur ta lësh derën e përparme hapur: asgjë nuk mund të ndodhë… derisa të ndodhë.
Megjithatë, shumë përdorues dhe madje disa organizata i kanë firewall-et e tyre që funksionojnë me cilësimet fillestare, pa e kuptuar vërtet se çfarë bëjnë ose si t'i rregullojnë ato . Këtu do të gjeni një udhëzues gjithëpërfshirës dhe shumë praktik se çfarë është një firewall, si ta konfiguroni atë në Windows, macOS, Linux, routers dhe mjedise serverash, si dhe praktikat më të mira të avancuara (NGFW, segmentimi, regjistrimi, mjete shtesë) në mënyrë që të mund ta përshtatni nivelin e mbrojtjes sipas mjedisit tuaj pa u mbingarkuar.
Çfarë është një firewall dhe pse është kaq i rëndësishëm?
Një firewall është një sistem që analizon trafikun që hyn dhe del nga rrjeti ose pajisja juaj dhe vendos se çfarë të lejojë dhe çfarë të bllokojë bazuar në një sërë rregullash. Ky trafik përbëhet nga paketa të dhënash që udhëtojnë duke përdorur protokolle dhe porta të ndryshme (TCP, UDP, ICMP, etj.) dhe porta.
Ideja është e thjeshtë: muri mbrojtës vepron si një filtër dhe barrierë midis pajisjes ose rrjetit të brendshëm dhe internetit . Ai kontrollon nga vjen një paketë, ku po shkon, cilin port përdor dhe çfarë lloj përmbajtjeje mbart. Nëse përputhet me një rregull të lejuar, e lejon të kalojë; nëse jo, e bllokon. Kjo logjikë ofron përparësi të qarta: siguri më të madhe, një probabilitet më të ulët të infektimit me programe keqdashëse dhe kontroll më të madh mbi atë që hyn dhe atë që del.
Imagjinoni murin tuaj të zjarrit si derën kryesore të shtëpisë suaj dixhitale : ju vendosni se kë të lini të hyjë, kë të mos e lini të hyjë dhe cilat zona të shtëpisë mund të vizitojë secili mysafir. Për më tepër, një mur zjarri jo vetëm që ndalon sulmet; ai gjithashtu ju lejon të kufizoni aksesin në disa faqe interneti ose aplikacione që, ndonëse nuk janë keqdashëse, nuk dëshironi të përdoren (për shembull, mediat sociale në një mjedis korporativ).
Në botën reale, gjejmë dy lloje kryesore të mureve të zjarrit: muret e zjarrit të softuerit (të integruara në sistemin operativ ose të instaluara si program) dhe muret e zjarrit të harduerit (pajisje të dedikuara, shpesh të integruara në ruterë profesionalë ose të ndërmarrjeve). Përveç kësaj, ekzistojnë mure zjarri të gjeneratës së ardhshme (NGFW) , të cilat kombinojnë disa shtresa sigurie të përparuar, inspektim të thellë të paketave, IPS dhe veçori të segmentimit dhe kontrollit të aplikacioneve.
Llojet e firewall-eve që mund të hasni
Brenda termit gjithëpërfshirës "mur zjarri" ekzistojnë disa teknologji me qasje të ndryshme. Të kuptuarit e tyre ju ndihmon të dini se çfarë po shikoni kur kontrolloni konfigurimin e routerit tuaj, sistemin tuaj operativ ose një NGFW të ndërmarrjes.
Grupi i parë përbëhet nga firewall-et që filtrojnë paketat . Këto krijojnë pika kontrolli në routera ose switch-e dhe kryejnë një kontroll të thjeshtë të secilës paketë bazuar në adresën IP të burimit, adresën IP të destinacionit, portin dhe protokollin. Ato janë të shpejta, por nuk e analizojnë përmbajtjen në thellësi.
Pastaj janë firewall-et e nivelit të qarkut , të cilat përqendrohen në miratimin ose mohimin e lidhjeve bazuar në gjendjen e sesionit, pa inspektuar çdo paketë në detaje. Ato janë shumë efikase, por më pak efektive në zbulimin e kërcënimeve komplekse.
Firewall-et e inspektimit të gjendjes kombinojnë informacionin e paketave me gjurmimin e lidhjeve TCP. Ato mirëmbajnë një tabelë të seancave aktive dhe verifikojnë që trafiku përputhet me një rrjedhë të lejuar, duke ofruar mbrojtje më të fuqishme sesa filtrimi i thjeshtë statik.
Gjithashtu kemi porta hyrëse në nivel aplikacioni ose firewall-e proxy . Këto funksionojnë në shtresën e aplikacionit dhe inspektojnë HTTP, FTP dhe trafik tjetër, duke lejuar politika shumë të detajuara bazuar në llojin e aplikacionit ose edhe përmbajtjen. Kjo qasje formon bazën e shumë firewall-eve në cloud dhe mjeteve të inspektimit të trafikut të thellë.
Firewall-et e gjeneratës së ardhshme (NGFW) integrojnë inspektim të thellë, kontroll të aplikacioneve, funksione të sistemit të parandalimit të ndërhyrjeve (IPS), filtrim të kategorive të uebit, analizë të avancuar të skedarëve dhe, gjithnjë e më shumë, aftësi të bazuara në inteligjencën artificiale. Ato mund të vendosen si pajisje fizike, makina virtuale ose shërbime cloud.
Për më tepër, bazuar në vendndodhjen e tyre, mund të bëjmë dallimin midis firewall-eve të softuerit (në çdo PC, server ose pajisje) dhe firewall-eve të harduerit (pajisje të dedikuara në perimetrin e rrjetit). Përveç kësaj, ekzistojnë firewall-e në cloud , të cilët veprojnë si proxy të mëdhenj të aftë të shkallëzohen për të mbrojtur mjediset dhe organizatat e shpërndara me shumë përdorues dhe vendndodhje.
Firewall në router: linja e parë e mbrojtjes në rrjetin tuaj
Routeri që keni në shtëpi ose në zyrë zakonisht ka një firewall të integruar dhe NAT/PAT . Kjo do të thotë që, si parazgjedhje, askush nuk mund të hapë një lidhje të drejtpërdrejtë nga interneti në pajisjet tuaja të brendshme nëse nuk ka përçim portash, një DMZ aktive ose protokolle të konfiguruara gabimisht si UPnP.
Politika tipike në një router modern është të "mohojë të gjithë trafikun hyrës përveç nëse lejohet shprehimisht ". Kjo përforcohet nga IPv4 NAT/PAT: pajisjet e brendshme përdorin IP private dhe routeri përkthen lidhjet e tyre dalëse në një IP publike. Çdo përpjekje për të filluar komunikimin nga interneti pa një port të hapur ose një rregull paraprak do të refuzohet.
Kjo është arsyeja pse është kaq e rrezikshme të hapësh një DMZ për një PC në rrjetin lokal që nuk e ka firewall-in e vet të konfiguruar siç duhet: ai kompjuter do të jetë plotësisht i ekspozuar ndaj internetit, me të gjitha portat e aksesueshme përveç atyre të ridrejtuara në një makinë tjetër.
Praktikat më të mira themelore për firewall-et e routerit përfshijnë moshapjen e portave që nuk janë rreptësisht të nevojshme, shmangien e përdorimit të DMZ përveç pajisjeve shumë specifike (si një konsol lojërash) dhe çaktivizimin gjithmonë të UPnP për të parandaluar që pajisjet të hapin portet vetë. Hapja manuale e porteve ju jep kontroll të plotë mbi atë që është e ekspozuar.
Gjithashtu, këshillohet që të kontrolloni periodikisht se cilat porta janë të hapura, të mbyllni ato që nuk përdoren më dhe të kufizoni, aty ku është e mundur, IP-të që mund të hyjnë në shërbime të ndjeshme (për shembull, të lejoni SSH vetëm nga një IP specifike administrative dhe jo nga i gjithë interneti).
Opsionet e zakonshme të firewall-it në routerat shtëpiakë dhe të avancuar
Në varësi të markës së routerit tuaj, opsionet e konfigurimit të firewall-it mund të ndryshojnë, por logjika është e ngjashme: profili i sigurisë, rregullat dhe filtrimi shtesë . Le të shohim disa shembuj përfaqësues.
Routerat ASUS
Routerat ASUS integrojnë një firewall të bazuar në iptables . Nga ndërfaqja web, në menynë "Firewall", mund të aktivizoni ose çaktivizoni firewall-in për IPv4 dhe IPv6 (është i aktivizuar si parazgjedhje, siç duhet të jetë) dhe të konfiguroni masa anti-DoS që bllokojnë adresat burimore që bëjnë shumë përpjekje lidhjeje.
Një tjetër opsion i zakonshëm është bllokimi i kërkesave ping (kërkesat ICMP Echo) në ndërfaqen WAN, në mënyrë që routeri juaj të mos përgjigjet (modaliteti i fshehtë). Në mjediset IPv6 , firewall-i është konfiguruar me një politikë shumë kufizuese hyrëse : çdo pajisje ka adresën e vet publike IP, por lidhjet hyrëse të papritura bllokohen, ndërsa lidhjet dalëse lejohen normalisht.
ASUS ofron gjithashtu veçoritë "Filtri LAN në WAN", duke ju lejuar të bllokoni trafikun nga LAN-i juaj në internet bazuar në adresën IP të burimit, adresën IP të destinacionit dhe portet. Përveç kësaj, filtrimi i URL-ve dhe fjalëve kyçe mbështetet nga brenda nga firewall-i për të zbatuar kufizimet.
Routerat Livebox (Livebox Fiber, etj.)
Në routerat Livebox, të përdorur zakonisht nga ofruesit e shërbimeve të internetit, firewall-i menaxhohet nga menyja "Cilësimet e Avancuara > Cilësimet e Firewall-it". Atje mund të zgjidhni nga disa nivele: i ulët, mesatar, i lartë dhe i personalizuar.
Niveli "i ulët" i filtrimit praktikisht nuk ofron asnjë filtrim (përtej asaj që është thelbësore për NAT) dhe është menduar për përdoruesit e përparuar që i japin përparësi fleksibilitetit mbi sigurinë. Niveli "mesëm" i filtrimit, i cili zakonisht është parazgjedhur, heq të gjitha lidhjet hyrëse dhe lejon trafikun dalës, përveç shërbimeve shumë specifike si NetBIOS.
Profili "i lartë" është më kufizuesi: lejon vetëm lidhje dalëse me shërbime standarde të përcaktuara mirë dhe bllokon lidhjet hyrëse të papritura. Modaliteti "i personalizuar" i lejon përdoruesit të vendosë rregulla specifike dhe është menduar për administratorët që dinë çfarë po bëjnë; me konfigurim të dobët, mund të bllokoni shërbime legjitime ose të lini dobësi të konsiderueshme.
Routerat AVM FRITZ!Box
Pajisjet FRITZ!Box kanë një firewall mjaft gjithëpërfshirës. Në pamjen e avancuar, nën menynë "Internet > Filtra", mund të aktivizoni modalitetin e fshehtë për të shmangur reagimin ndaj ping-eve në WAN dhe për të bllokuar portat e ndjeshme si 25 (SMTP i paenkriptuar), NetBIOS ose Teredo nëse nuk janë në përdorim.
Në mjediset NAT, është thelbësore të rishikohen rregullisht cilësimet e ridrejtimit të portave dhe të mbyllen të gjitha ato që nuk nevojiten më për të parandaluar që shërbimet e vjetruara të bëhen pika hyrjeje. Shërbimet e menaxhimit në distancë të FRITZ!Box duhet të çaktivizohen gjithashtu nëse nuk janë thelbësore; në vend të kësaj, është më e sigurt të qaseni në router përmes një VPN dhe, pasi të jeni brenda rrjetit, ta menaxhoni atë duke përdorur adresën e tij private IP.
FRITZ!Box ofron gjithashtu akses në distancë të bazuar në IPsec dhe lidhje VPN nga një vend në tjetrin. Kjo është një mënyrë e mirë për të shmangur ekspozimin e shërbimeve direkt në internet dhe për të detyruar të gjithë aksesin në distancë përmes një kanali të enkriptuar dhe të kontrolluar.
Firewall-et e gjeneratës së ardhshme (NGFW) dhe siguria e përparuar
Në mjediset e korporatave, firewall-et e gjeneratës së ardhshme, siç është gama FortiGate, shkojnë shumë përtej filtrimit të thjeshtë të portave. Këto pajisje integrojnë veçori të përparuara të rrjetëzimit dhe siguri të thellë në një platformë të vetme, duke zvogëluar nevojën për pajisje të shumta të ndara.
FortiGate, për shembull, bazohet në sistemin operativ FortiOS dhe përfshin SD-WAN, ZTNA (Zero Trust Access), integrimin e WLAN dhe LAN, inspektimin e thellë të trafikut të enkriptuar, IPS , filtrimin e kategorive të uebit dhe aftësitë analitike të bazuara në IA përmes shërbimeve FortiGuard.
Këto NGFW zakonisht mbështeten në një arkitekturë ASIC të personalizuar , duke mundësuar performancë shumë të lartë dhe efikasitet të përmirësuar të energjisë, edhe kur inspektojnë vëllime të mëdha trafiku të enkriptuar. Për më tepër, ato janë të integruara në atë që njihet si "Security Fabric": një rrjetë sigurie që përfshin rrjetet, pikat fundore dhe retë kompjuterike, me politika të unifikuara të menaxhuara nga platforma si FortiManager.
Çelësi i kësaj qasjeje është që e gjithë sipërfaqja e rrjetit të mbulohet me politika të qëndrueshme : nga perimetri deri në pikën fundore, duke përfshirë mjediset hibride dhe ato në cloud. Kjo lehtëson një reagim të shpejtë ndaj kërcënimeve në zhvillim, segmenton rrjetet komplekse dhe ofron dukshmëri të plotë në ngjarjet e trafikut dhe sigurisë.
Hapat për të hartuar dhe konfiguruar një firewall rrjeti të strukturuar mirë
Kur flasim për firewall-e në rrjetet e ndërmarrjeve (fizike ose virtuale), nuk mjafton thjesht të lidhim pajisjet dhe të lëmë cilësimet fillestare. Një konfigurim i paracaktuar i zonave, adresave IP dhe politikave është i nevojshëm për të lejuar kontrollin e detajuar të trafikut.
Dizajnoni zonat e firewall-it dhe skemën e adresimit IP
Hapi i parë është identifikimi i aseteve të rrjetit (servera, aplikacione kritike, stacione pune, pajisje IoT, sisteme POS, VoIP, etj.) dhe grupimi i tyre sipas funksionit, nivelit të ndjeshmërisë dhe nevojave të aksesit . Në vend të një rrjeti të vetëm, të sheshtë ku gjithçka është e ndërlidhur, krijohen segmente ose zona.
Është tipike të përcaktohet një DMZ (zonë e demilitarizuar) për serverat e ekspozuar ndaj internetit, siç janë serverat e internetit, email-it, VPN-së ose API-ve publike. Në këto zona, qasja në internet është e kufizuar vetëm në atë që është absolutisht e nevojshme. Serverat e brendshëm, siç janë bazat e të dhënave, sistemet e menaxhimit, stacionet e punës dhe pajisjet zanore ose të pikave të shitjes, vendosen në zona të brendshme me politika më të rrepta sigurie.
Kur përdorni IPv4, është thelbësore të përdorni diapazone adresash private për të gjitha rrjetet e brendshme dhe të konfiguroni NAT në mënyrë që pajisjet e brendshme të mund të hyjnë në internet kur është e nevojshme. Ndërsa ndërtohet infrastruktura, përdoren çelësa me mbështetje VLAN për të ruajtur ndarjen logjike të Shtresës 2 midis segmenteve.
Pasi të jenë të qarta struktura e zonës dhe plani i adresimit IP, zonat përkatëse krijohen në firewall dhe u caktohen ndërfaqeve ose nënndërfaqeve fizike . Ky përputhje është thelbësore për të siguruar që rregullat e firewall-it të zbatohen saktë midis zonave.
Konfiguro listat e kontrollit të aksesit (ACL)
Me zonat e përcaktuara tashmë, është koha të krijohen rregullat që diktojnë se çfarë mund të komunikojë me çfarë . Këto rregulla zbatohen si ACL (lista të kontrollit të aksesit), ku trafiku i lejuar (ose i mohuar) midis zonave specifikohet me sa më shumë detaje të jetë e mundur.
Listat e Kontrollit të Qasjes (ACL) aplikohen për çdo ndërfaqe ose nënndërfaqe të firewall-it, dhe është më mirë të konfiguroni adresën IP të burimit, adresën IP të destinacionit dhe portet sa më saktë që të jetë e mundur . Me fjalë të tjera, është më mirë të lejoni "këtë server në këtë port në këtë bazë të dhënash" sesa "të gjithë këtë rrjet në të gjitha portet në rrjetin tjetër".
Një rregull shumë i rëndësishëm është të "mohosh të gjitha" në fund të çdo ACL-je. Kjo politikë kufizuese siguron që çdo trafik që nuk mbulohet në mënyrë të qartë të bllokohet . Më pas, ACL-të hyrëse dhe dalëse aplikohen në secilën ndërfaqe, duke rregulluar sjelljen sipas drejtimit të trafikut.
Është një ide e mirë të çaktivizoni aksesin publik në ndërfaqet e menaxhimit të firewall-it dhe të siguroheni që të testoni jo vetëm që aplikacionet po funksionojnë, por edhe që trafiku i padëshiruar është bllokuar në mënyrë efektive . Për shembull, duhet të verifikoni që veçoritë e kontrollit në nivel aplikacioni (bllokimi i kategorive të uebit, analiza e avancuar e skedarëve, IPS, etj.) po funksionojnë siç pritet.
Konfiguro shërbime dhe regjistra shtesë
Shumë firewall-e ju lejojnë të aktivizoni shërbime shtesë si DHCP, NTP ose IPS direkt në pajisje. Aktivizoni vetëm ato shërbime që do t'i përdorni realisht; çaktivizoni pjesën tjetër për të zvogëluar sipërfaqen e sulmit.
Një aspekt tjetër kritik është konfigurimi i regjistrimit. Për t'u përputhur me rregullore të tilla si PCI DSS , firewall duhet të dërgojë regjistrime të detajuara në një server regjistrimi ose SIEM, duke mbuluar aspekte të tilla si kush hyn në sistem, nga ku, në cilin shërbim dhe me çfarë rezultati. PCI DSS, për shembull, përcakton kërkesa specifike në seksionet 10.2 dhe 10.3 në lidhje me përmbajtjen e këtyre regjistrimeve.
Vëllimi i regjistrave mund të jetë i lartë, por është e vetmja mënyrë për të audituar aksesin dhe për të zbuluar modelet ose anomalitë e sulmit . Këshillohet të përcaktohen politika për ruajtjen, rrotullimin dhe monitorimin e këtyre ngjarjeve, në mënyrë që të jetë në gjendje të reagohet shpejt kur diçka duket e gabuar.
Testoni me kujdes konfigurimin
Përpara se të vendosni një konfigurim të ri të firewall-it, ose pas një ndryshimi të madh, është thelbësore të vërtetoni që ai bllokon atë që duhet dhe lejon atë që është e nevojshme . Kjo përfshin skanimet e porteve, vlerësimet e cenueshmërisë dhe testimin e depërtimit.
Është gjithashtu thelbësore të keni kopje rezervë të konfigurimit në një vend të sigurt dhe të testoni procesin e rikthimit. Para se të bëni ndonjë ndryshim kritik, dokumentoni modifikimet e planifikuara dhe verifikoni nëse dini si ta rivendosni firewall-in nëse diçka shkon keq gjatë dritares së mirëmbajtjes.
Firewall në rrjetet e serverëve virtualë (cloud privat ose publik)
Në platformat e serverëve cloud, është e zakonshme të kesh një firewall në nivel rrjeti që mund të konfigurohet nga paneli i kontrollit, përveç firewall-it të vetë sistemit operativ dhe çdo firewall-i të ndërmjetëm. Të kuptuarit e rendit në të cilin zbatohen këto ndihmon në shmangien e konflikteve të rregullave.
Zakonisht, paketat hyrëse kalojnë së pari përmes murit të zjarrit të rrjetit (i menaxhuar nga platforma), pastaj përmes murit të zjarrit të serverit (për shembull, iptables në Linux ose Windows Firewall) dhe së fundmi përmes çdo muri zjarri shtesë të bazuar në softuer. Trafiku dalës ndjek rrugën e kundërt.
Në këtë lloj paneli, konfigurimi zakonisht bazohet në rregulla me emër, veprim (lejo ose moho), burim dhe destinacion (IP, diapazone, CIDR, "çdo", "i brendshëm", "i jashtëm"), porta burimi dhe destinacioni (një port specifik, diapazon ose "çdo") dhe protokoll (TCP, UDP, të dyja ose ICMP).
Një detaj kyç është rendi i rregullave : sa më lart të jetë një rregull në listë, aq më i lartë është prioriteti i tij. Një rregull "mohim" i vendosur përpara një rregulli "lejoj" për të njëjtin trafik do të shkaktojë bllokimin e atij trafiku. Kjo është arsyeja pse ato zakonisht ju lejojnë të rirenditni rregullat duke zvarritur dhe lëshuar, për të rregulluar prioritetet.
Nëse muri i zjarrit është në modalitetin e fikur, të gjitha paketat hyjnë dhe dalin pa filtruar. Në modalitetin aktiv, sjellja e parazgjedhur zakonisht është "të lejosh çdo gjë që nuk përputhet me asnjë rregull", megjithëse është shumë më e sigurt të vendosësh një politikë të parazgjedhur mohimi dhe të lejosh vetëm atë që është e nevojshme , veçanërisht në mjedise me të dhëna të ndjeshme.
Firewall në sistemin operativ: Windows, macOS dhe Linux
Përveç murit mbrojtës të routerit dhe çdo muri mbrojtës të rrjetit të bazuar në cloud, çdo sistem modern përfshin shtresën e vet të mbrojtjes. Konfigurimi i duhur i tij ofron një qasje të thellë mbrojtjeje , veçanërisht e dobishme nëse ndonjë shërbim është i ekspozuar ndaj internetit ose nëse një sulmues fiton akses në rrjetin lokal.
Firewall i Windows: Konfigurimi Bazë dhe i Avancuar
Në Windows, muri i integruar i zjarrit (Windows Defender Firewall ose Microsoft Defender Firewall) filtron trafikun bazuar në rregulla të paracaktuara dhe të personalizuara . Mund ta shikoni dhe menaxhoni atë nga aplikacioni Windows Security, nën seksionin "Muri i zjarrit dhe mbrojtja e rrjetit".
Hapi i parë është të kontrolloni profilin aktiv të rrjetit: domen, privat ose publik. Një rrjet privat (si rrjeti juaj shtëpiak) supozon një mjedis relativisht të besueshëm dhe lejon më shumë lidhje hyrëse, ndërsa një rrjet publik (si Wi-Fi i një kafeneje) ka rregulla më të rrepta dhe bllokon pothuajse çdo gjë që vjen nga jashtë.
Nga kjo ndërfaqe, mund të aktivizoni ose çaktivizoni firewall-in për secilin lloj rrjeti, megjithëse çaktivizimi i tij nuk është një ide e mirë sepse rrit cenueshmërinë ndaj aksesit të paautorizuar . Nëse një aplikacion i ligjshëm nuk funksionon sepse është i bllokuar, qasja e saktë është të krijoni një përjashtim ose të hapni një port specifik për të, jo të çaktivizoni të gjithë firewall-in.
Cilësimet e avancuara menaxhojnë rregullat hyrëse dhe dalëse , të cilat përcaktojnë se cilat lidhje lejohen. Windows i klasifikon këto rregulla në katër lloje: rregullat e programit (të cilat lejojnë ose bllokojnë një skedar të caktuar ekzekutues), rregullat e portit (të cilat kontrollojnë porte specifike TCP/UDP), rregullat e paracaktuara (të ofruara nga sistemi) dhe rregullat e personalizuara (më fleksibilet, që ju lejojnë të kombinoni programin, portin, protokollin dhe adresën).
Përveç kësaj, ekziston një opsion për të bllokuar të gjitha lidhjet hyrëse , duke përfshirë ato në listën e lejuar. Kjo është e dobishme kur keni nevojë për siguri maksimale, megjithëse mund të shkaktojë ndërprerjen e funksionimit të shërbimeve thelbësore (skedarë të ndarë, desktop në distancë, etj.).
Shumë organizata përdorin mjete të centralizuara menaxhimi, të tilla si Konfigurimi i Agjentit të Zgjidhjes së Ivanti Endpoint . Këto mjete u lejojnë përdoruesve të krijojnë një politikë të Firewall-it të Windows dhe ta vendosin atë në masë në pajisje që përdorin versione të ndryshme të Windows (XP/2003, Vista dhe më të reja), duke përcaktuar rregulla hyrëse/dalëse, përjashtime dhe aktivizim/çaktivizim të firewall-it si pjesë e detyrave të konfigurimit ose riparimit.
Ndihmë, shërbime dhe përkufizime sigurie në Firewall-in e Windows-it
Konfigurimi i detajuar mund të jetë disi i ndërlikuar, kështu që ka mjete që i bëjnë detyrat e përditshme më të lehta. TinyWall , për shembull, vepron si një shtresë menaxhimi mbi firewall-in e Windows-it dhe ju lejon të ndryshoni mënyrat e funksionimit (pak a shumë kufizuese), të shfaqni lidhje aktive, të krijoni lista të bardha dhe të parandaloni vetë firewall-in nga bllokimi i aplikacioneve që ju nevojiten.
Një shembull tjetër është Windows Firewall Control , i cili integrohet në tabaka e sistemit dhe ofron profile të shpejta (të larta, mesatare, të ulëta, pa filtër) dhe një ndërfaqe të përshtatshme për menaxhimin e rregullave, importimin/eksportin e konfigurimeve dhe aktivizimin e një modaliteti mësimor që zbulon programet e nënshkruara dixhitalisht për të krijuar rregulla në mënyrë më inteligjente.
Në zgjidhjet e sigurisë së ndërmarrjeve si Ivanti Endpoint Security, përcaktohen kërcënime specifike të sigurisë që lidhen me Windows Firewall (për shembull, ST000102 për Windows Firewall në XP/2003). Këto përkufizime përfshijnë variabla të personalizueshme që ju lejojnë të gjurmoni nëse konfigurimi aktual i firewall-it përputhet me politikën e dëshiruar dhe, nëse jo, ta shënoni kompjuterin si të cenueshëm dhe të nisni detyra riparimi për të zbatuar cilësimet e sakta.
Firewall në macOS
Në një Mac, muri i zjarrit konfigurohet nga "Cilësimet e Sistemit" (ose "Preferencat e Sistemit" në versionet më të vjetra), brenda seksionit Rrjeti dhe Muri i Zjarrit . Atje mund ta aktivizoni dhe më pas të keni akses në opsionet e avancuara për të vendosur se si të trajtoni lidhjet hyrëse.
Ndër të tjera, mund të bllokoni lidhjet e padëshiruara , të lejoni vetëm aplikacionet dhe shërbimet thelbësore, të kontrolloni se cilat aplikacione specifike mund të marrin trafik dhe të aktivizoni shtimin automatik të aplikacioneve të besuara në listën e lejuar. Është një sistem më i thjeshtë se Windows për sa i përket detajeve të portave, por shumë efektiv për përdoruesin mesatar.
Në mjediset e korporatave, kjo zakonisht plotësohet nga politika sigurie të menaxhuara në mënyrë qendrore, të cilat sigurojnë që të gjitha makinat Mac të ndjekin të njëjtat rregulla në lidhje me shërbimet dhe aplikacionet e ekspozuara që lejohen të marrin lidhje.
Firewall në Linux: UFW si një opsion i thjeshtë
Në Linux, veçanërisht në shpërndarje si Ubuntu, është e zakonshme të menaxhohen iptables (ose nftables) duke përdorur mjete më miqësore për përdoruesit. Një nga më të njohurat është UFW (Uncomplicated Firewall) , i cili ofron komanda të thjeshta për aktivizimin e firewall-it dhe përcaktimin e rregullave.
Instalimi bëhet përmes menaxherit të paketave (për shembull, “sudo apt-get install ufw”), dhe megjithëse UFW zakonisht është i çaktivizuar si parazgjedhje, këshillohet të kontrolloni statusin e tij me “sudo ufw status” përpara se ta aktivizoni. Mos e aktivizoni pa përcaktuar më parë rregullat bazë , pasi kjo do të bllokonte të gjitha lidhjet hyrëse dhe mund të humbisni aksesin në distancë.
Rregullat tipike përfshijnë lejimin e SSH (“sudo ufw allow ssh”) për të ruajtur aksesin në distancë, hapjen e HTTP dhe HTTPS (“sudo ufw allow http”, “sudo ufw allow https”) për serverat web dhe më pas shtimin e portave sipas nevojës. Pasi të jenë vendosur rregullat bazë, firewall-i aktivizohet me “sudo ufw enable” dhe statusi i tij kontrollohet me “sudo ufw status”, i cili shfaq listën e shërbimeve dhe porteve të lejuara.
Meqenëse Linux është tashmë një sistem mjaft i fuqishëm, konfigurimi i UFW ofron një shtresë shtesë sigurie që rekomandohet shumë , veçanërisht në serverat e aksesueshëm nga interneti.
Segmentimi i rrjetit, politikat dhe parandalimi i vjedhjes së kredencialeve
Një nga strategjitë më efektive për përmirësimin e sigurisë është segmentimi i rrjetit . Duke e ndarë rrjetin në segmente (sipas funksionit, llojit të pajisjes, nivelit të rrezikut), trafiku nga një segment nuk është i dukshëm nga një tjetër, duke zvogëluar ndikimin e çdo incidenti.
Kjo është veçanërisht e rëndësishme me pajisjet IoT, të cilat shpesh funksionojnë në sisteme të vjetra dhe të cenueshme. Vendosja e tyre në VLAN ose zona të izoluara dhe kufizimi i rreptë i aksesit të tyre minimizon rrezikun e një defekti në një kamerë ose sensor IP që kompromenton të gjithë rrjetin e korporatës.
Një çështje tjetër kyçe është optimizimi i politikave të firewall-it . Shtimi i rregullave pa i shqyrtuar ato çon në akumulime kaotike, konflikte dhe një firewall pothuajse të pakontrollueshëm. Idealisht, duhet të kaloni nga rregullat e bazuara në porta në rregullat e bazuara në aplikacione, me një pamje të qartë se cilat shërbime lejohen ose refuzohen, dhe t'i rishikoni ato periodikisht për të hequr hyrjet e vjetruara.
Disa firewall-e të avancuara përfshijnë veçori për të parandaluar vjedhjen e kredencialeve të korporatës . Ato skanojnë përpjekjet e hyrjes (emrin e përdoruesit dhe fjalëkalimin) dhe i krahasojnë ato me listat e brendshme të llogarive të organizatës, duke bllokuar përdorimin e tyre në faqet e jashtme, siç janë mediat sociale ose shërbimet që nuk lidhen me biznesin. Ato gjithashtu mund t'i shfaqin paralajmërime përdoruesit duke i shpjeguar rreziqet e ripërdorimit të kredencialeve të punës.
Këto lloje kontrollesh jo vetëm që ndalojnë sulmet e drejtpërdrejta, por shërbejnë edhe si një mjet ndërgjegjësimi për sigurinë , duke e bërë ndikimin e zakoneve të përdorimit të fjalëkalimeve jashtë mjedisit të korporatës më të dukshëm për punonjësit.
Çfarë ndodh nëse e çaktivizoni firewall-in (dhe pse nuk duhet ta bëni)
Është e zakonshme që dikush që ka probleme me një aplikacion ose lojë online të provojë të çaktivizojë murin e zjarrit "për të parë nëse kjo e rregullon ". Dhe po, ndonjëherë zgjidh problemin e menjëhershëm, por hap derën për një mori rreziqesh që nuk janë menjëherë të dukshme.
Pa një firewall, sistemi është i ekspozuar ndaj kërcënimeve të jashtme si malware, trojanët, viruset dhe sulme të tjera që mund të instalohen pa asnjë pengesë. Sulmuesit mund të përpiqen të skanojnë portet e ruterit dhe, nëse ka edhe rregulla të dobëta NAT, të gjejnë shërbime të mbrojtura dobët dhe t'i përdorin ato si pika hyrjeje.
Një firewall kontrollon gjithashtu të dhënat dalëse : pa të, çdo aplikacion keqdashës do të kishte liri të plotë për të dërguar informacione të ndjeshme në botën e jashtme. Për më tepër, shumë aplikacione mbështeten në firewall për të ruajtur në memorje sulmet e skanimit të portave ose sulmet e vogla DDoS; çaktivizimi i tij eliminon atë memorje.
Nëse një aplikacion nuk funksionon për shkak të murit të zjarrit, zgjidhja profesionale nuk është ta çaktivizoni atë, por të krijoni një rregull specifik që lejon trafikun e nevojshëm , të kontrolloni nëse routeri duhet të hapë ndonjë portë dhe të harmonizoni rregullat në mënyrë që të mos ketë konflikte midis murit të zjarrit lokal dhe murit të zjarrit të pajisjeve të rrjetit.
Bashkëjetesa e disa firewall-eve: router dhe PC në të njëjtën kohë
Kur keni një firewall në router dhe një tjetër në PC (për shembull, firewall-in e Windows), i gjithë trafiku hyrës kalon së pari përmes routerit dhe më pas përmes kompjuterit tuaj. Kjo siguri me dy shtresa, kur konfigurohet siç duhet, rrit sigurinë e përgjithshme sepse një dështim në njërën shtresë mund të kompensohet nga tjetra.
Megjithatë, duhet të jeni të kujdesshëm me rregullat jokonsistente . Nëse ruteri bllokon një port që lejon firewall-i i kompjuterit, ose anasjelltas, mund të gjeni shërbime që nuk funksionojnë dhe të mos jeni të sigurt se cila nga dy shtresat po shkakton problemin.
Në praktikë, qasja më e arsyeshme është që muri i zjarrit i ruterit të veprojë si barriera kryesore e perimetrit , duke lejuar vetëm atë që duhet vërtet të hyjë nga interneti, ndërsa muri i zjarrit i PC-së kontrollon trafikun midis pajisjeve në LAN dhe çdo komunikim dalës të dyshimtë. Kjo, e kombinuar me një NAT të konfiguruar mirë dhe duke shmangur përdorimin e tepërt të DMZ dhe UPnP, ofron një nivel shumë të fuqishëm mbrojtjeje për një mjedis shtëpie ose zyre të vogël.
Në fund të fundit, të kuptuarit se si funksionojnë dhe lidhen së bashku firewall-e të ndryshme (router, sistem operativ, cloud, NGFW i korporatës) ju lejon të merrni vendime më të informuara: cilat shërbime të ekspozoni, ku të segmentoni, cilat regjistra të mbani dhe si të përshtatni rregullat për të ruajtur një ekuilibër midis sigurisë dhe përdorshmërisë në rrjetin dhe pajisjet tuaja.
