- Заштитни зид (фајервол) контролише мрежни саобраћај применом правила заснованих на ИП адресама, портовима, протоколима и апликацијама како би блокирао неовлашћени приступ.
- Комбинација заштитног зида рутера, оперативног система и, где је применљиво, NGFW-а и сегментације пружа ефикасну дубинску одбрану.
- Правилно пројектовање мрежних зона, ACL-ова и записа, као и тестирање конфигурације безбедносним тестовима, кључно је у корпоративним окружењима.
- Онемогућавање заштитног зида ради лакшег коришћења излаже систем озбиљним ризицима; исправан приступ је постављање одређених правила и његово стално активирање.
У свакој модерној мрежи, од кућног Wi-Fi-ја до инфраструктуре великог предузећа, заштитни зид (фајервол) је прва линија одбране од напада, неовлашћеног приступа и цурења података. Без одговарајуће конфигурације, то је као да оставите улазна врата одшкринута: ништа се можда неће десити... док се то не деси.
Упркос томе, многи корисници, па чак и неке организације, имају своје заштитне зидове који раде са подразумеваним подешавањима, без заиста разумевања шта раде или како да их прилагоде . Овде ћете пронаћи свеобухватан и веома практичан водич о томе шта је заштитни зид, како га конфигурисати на Windows, macOS, Linux, рутерима и серверским окружењима, као и напредне најбоље праксе (NGFW, сегментација, евидентирање, додатни алати) како бисте могли да прилагодите ниво заштите свом окружењу без преоптерећења.
Шта је заштитни зид (фајервол) и зашто је толико важан?
Заштитни зид (фајервол) је систем који анализира саобраћај који улази и излази из ваше мреже или уређаја и одлучује шта да дозволи, а шта да блокира на основу скупа правила. Овај саобраћај се састоји од пакета података који путују користећи различите протоколе (TCP, UDP, ICMP, итд.) и портове.
Идеја је једноставна: заштитни зид делује као филтер и баријера између уређаја или интерне мреже и интернета . Проверава одакле пакет долази, куда иде, који порт користи и коју врсту садржаја носи. Ако се подудара са дозвољеним правилом, пропушта га; ако не, блокира га. Ова логика нуди јасне предности: већу безбедност, мању вероватноћу инфекције злонамерним софтвером и већу контролу над оним што улази, а шта излази.
Замислите свој заштитни зид као улазна врата вашег дигиталног дома : ви одлучујете кога пуштате унутра, кога не пуштате напоље и које делове куће сваки гост може посетити. Штавише, заштитни зид не само да зауставља нападе; он вам такође омогућава да ограничите приступ одређеним веб локацијама или апликацијама које, иако нису злонамерне, не желите да се користе (на пример, друштвене мреже у корпоративном окружењу).
У стварном свету налазимо две главне врсте заштитних зидова (фајервола): софтверски заштитни зидови (интегрисани у оперативни систем или инсталирани као програм) и хардверски заштитни зидови (наменски уређаји, често интегрисани у професионалне или пословне рутере). Поред тога, постоје и заштитни зидови следеће генерације (NGFW) , који комбинују неколико слојева напредне безбедности, дубинску инспекцију пакета, IPS и функције сегментације и контроле апликација.
Врсте заштитних зидова на које можете наићи
У оквиру кровног термина „фајервол“ (firewall) постоји неколико технологија са различитим приступима. Њихово разумевање вам помаже да знате шта гледате када проверавате конфигурацију рутера, оперативни систем или NGFW предузећа.
Прву групу чине заштитни зидови (firewall) који филтрирају пакете . Они креирају контролне тачке на рутерима или свичевима и врше једноставну проверу сваког пакета на основу изворне IP адресе, одредишне IP адресе, порта и протокола. Брзи су, али не анализирају садржај детаљно.
Затим, ту су и заштитни зидови на нивоу кола , који се фокусирају на одобравање или одбијање веза на основу стања сесије, без детаљног прегледа сваког пакета. Они су веома ефикасни, али мање ефикасни у откривању сложених претњи.
Заштитни зидови са провером стања комбинују информације о пакетима са праћењем TCP везе. Они одржавају табелу активних сесија и проверавају да ли се саобраћај подудара са дозвољеним током, пружајући робуснију заштиту од једноставног статичког филтрирања.
Такође имамо пролазне зидове на нивоу апликације или прокси заштитне зидове (firewalls) . Они раде на нивоу апликације и инспектирају HTTP, FTP и други саобраћај, омогућавајући веома прецизне политике на основу типа апликације или чак садржаја. Овај приступ чини основу многих заштитних зидова у облаку и алата за дубинску инспекцију саобраћаја.
Заштитни зидови следеће генерације (NGFW) интегришу дубинску инспекцију, контролу апликација, функције система за спречавање упада (IPS), филтрирање веб категорија, напредну анализу датотека и све више могућности засноване на вештачкој интелигенцији. Могу се применити као физичка опрема, виртуелне машине или клауд сервиси.
Штавише, на основу њихове локације, можемо разликовати софтверске заштитне зидове (на сваком рачунару, серверу или уређају) и хардверске заштитне зидове (наменски уређаји на периметру мреже). Поред тога, постоје и облачни заштитни зидови , који делују као велики проксији способни за скалирање како би заштитили дистрибуирана окружења и организације са много корисника и локација.
Заштитни зид на рутеру: прва линија одбране у вашој мрежи
Рутер који имате код куће или у канцеларији обично има уграђени заштитни зид (фајервол) и NAT/PAT . То значи да, подразумевано, нико не може да отвори директну везу са интернета до ваших интерних уређаја осим ако нема прослеђивања портова, активне DMZ или погрешно конфигурисаних протокола попут UPnP-а.
Типична политика на модерном рутеру је да „забрани сав долазни саобраћај осим ако није експлицитно дозвољено “. Ово је појачано IPv4 NAT/PAT-ом: интерни уређаји користе приватне IP адресе, а рутер преводи њихове одлазне везе на јавну IP адресу. Сваки покушај покретања комуникације са интернета без отвореног порта или постојећег правила биће одбијен.
Зато је толико опасно отворити DMZ за рачунар у локалној мрежи који нема правилно конфигурисан сопствени заштитни зид: тај рачунар ће бити потпуно изложен интернету, са свим доступним портовима осим оних који су преусмерени на другу машину.
Основне најбоље праксе за заштитне зидове рутера укључују неотварање портова који нису строго неопходни, избегавање употребе DMZ осим за веома специфичне уређаје (као што је играчка конзола) и увек онемогућавање UPnP-а како би се спречило да уређаји сами отварају портове. Ручно отварање портова вам даје потпуну контролу над оним што је изложено.
Такође је препоручљиво периодично проверавати који су портови отворени, затварати оне који се више не користе и ограничавати, где је то могуће, ИП адресе које могу приступити осетљивим сервисима (на пример, дозвољавање ССХ-а само са одређене административне ИП адресе, а не са целог интернета).
Уобичајене опције заштитног зида на кућним и напредним рутерима
У зависности од марке вашег рутера, опције конфигурације заштитног зида могу да варирају, али логика је слична: безбедносни профил, правила и додатно филтрирање . Погледајмо неке репрезентативне примере.
ASUS рутери
ASUS рутери интегришу заштитни зид (firewall) базиран на iptables-у . Са веб интерфејса, у менију „Firewall“, можете омогућити или онемогућити заштитни зид за IPv4 и IPv6 (подразумевано је омогућен, као што би требало да буде) и конфигурисати анти-DoS мере које блокирају изворне адресе које покушавају превише пута да се повежу.
Још једна уобичајена опција је блокирање пинг захтева (ICMP Echo-захтева) ка WAN интерфејсу, тако да ваш рутер не одговара (прикривени режим). У IPv6 окружењима , заштитни зид је конфигурисан са веома рестриктивном политиком долазног саобраћаја : сваки уређај има своју јавну IP адресу, али неочекиване долазне везе су блокиране, док су одлазне везе нормално дозвољене.
ASUS такође нуди функције „LAN to WAN Filter“, које вам омогућавају да блокирате саобраћај са ваше LAN мреже ка интернету на основу изворне IP адресе, одредишне IP адресе и портова. Поред тога, заштитни зид интерно подржава филтрирање URL-ова и кључних речи како би се спровела ограничења.
Лајвбокс рутери (Лајвбокс Фибер, итд.)
На Livebox рутерима, које често користе интернет провајдери, заштитни зид се управља из менија „Напредна подешавања > Подешавања заштитног зида“. Тамо можете бирати између неколико нивоа: низак, средњи, висок и прилагођени.
„Низак“ ниво филтрирања практично не нуди филтрирање (осим онога што је неопходно за NAT) и намењен је напредним корисницима којима је флексибилност важнија од безбедности. „Средњи“ ниво филтрирања, који је обично подразумевани, прекида све долазне везе и дозвољава одлазни саобраћај осим за веома специфичне сервисе попут NetBIOS-а.
„Висок“ профил је најрестриктивнији: дозвољава само одлазне везе ка добро дефинисаним стандардним сервисима и блокира неочекиване долазне везе. „Прилагођени“ режим омогућава кориснику да подеси одређена правила и намењен је администраторима који знају шта раде; лошом конфигурацијом можете блокирати легитимне сервисе или оставити значајне рањивости.
AVM FRITZ!Box рутери
FRITZ!Box уређаји имају прилично свеобухватан заштитни зид. У напредном приказу, у менију „Интернет > Филтери“, можете активирати скривени режим како бисте избегли одговарање на пингове на WAN мрежи и блокирали осетљиве портове као што су 25 (нешифровани SMTP), NetBIOS или Teredo ако се не користе.
У NAT окружењима, кључно је редовно проверавати подешавања прослеђивања портова и затварати она која више нису потребна како би се спречило да застареле услуге постану улазне тачке. FRITZ!Box-ове сопствене услуге даљинског управљања такође треба онемогућити ако нису неопходне; уместо тога, безбедније је приступити рутеру путем VPN-а и, када се једном нађете унутар мреже, управљати њиме користећи његову приватну IP адресу.
FRITZ!Box такође нуди даљински приступ заснован на IPsec-у и VPN везе између локација. Ово је добар начин да се избегне директно излагање услуга интернету и да се сав даљински приступ спроведе путем шифрованог и контролисаног канала.
Заштитни зидови следеће генерације (NGFW) и напредна безбедност
У корпоративним окружењима, заштитни зидови следеће генерације, као што је FortiGate серија, иду далеко даље од једноставног филтрирања портова. Ови уређаји интегришу напредне мрежне функције и дубоку безбедност на једној платформи, смањујући потребу за бројним одвојеним уређајима.
На пример, FortiGate је базиран на FortiOS оперативном систему и укључује SD-WAN, ZTNA (Zero Trust Access), WLAN и LAN интеграцију, дубинску инспекцију шифрованог саобраћаја, IPS , филтрирање веб категорија и аналитичке могућности засноване на вештачкој интелигенцији путем FortiGuard услуга.
Ови NGFW-ови се обично ослањају на прилагођену ASIC архитектуру , што омогућава веома високе перформансе и побољшану енергетску ефикасност, чак и приликом прегледа великих количина шифрованог саобраћаја. Штавише, интегрисани су у оно што је познато као „безбедносна структура“: безбедносна мрежа која обухвата мреже, крајње тачке и облаке, са обједињеним политикама којима се управља са платформи попут FortiManager-а.
Кључ овог приступа је да је цела површина мреже покривена конзистентним политикама : од периметра до крајње тачке, укључујући хибридна и облачна окружења. Ово олакшава брз одговор на нове претње, сегментира сложене мреже и пружа потпуну видљивост саобраћаја и безбедносних догађаја.
Кораци за дизајнирање и конфигурисање добро структурираног мрежног заштитног зида
Када говоримо о заштитним зидовима (фајерволима) у пословним мрежама (физичким или виртуелним), није довољно само укључити опрему и оставити подразумевана подешавања. Неопходна је унапред дизајнирана конфигурација зона, ИП адреса и политика како би се омогућила фина контрола саобраћаја.
Дизајнирајте зоне заштитног зида и шему IP адресирања
Први корак је идентификација мрежне имовине (сервера, критичних апликација, радних станица, IoT уређаја, POS система, VoIP-а итд.) и њихово груписање према њиховој функцији, нивоу осетљивости и потребама приступа . Уместо једне, равне мреже где је све међусобно повезано, креирају се сегменти или зоне.
Типично је дефинисати DMZ (демилитаризовану зону) за сервере изложене интернету, као што су веб, имејл, VPN или јавни API сервери. У овим зонама, приступ интернету је ограничен само на оно што је апсолутно неопходно. Интерни сервери, као што су базе података, системи за управљање, радне станице и гласовни или POS уређаји, смештени су у интерне зоне са строжим безбедносним политикама.
Приликом коришћења IPv4, неопходно је користити приватне адресне опсеге за све интерне мреже и конфигурисати NAT тако да интерни уређаји могу приступити интернету када је то потребно. Како се инфраструктура изграђује, користе се свичеви са VLAN подршком за одржавање логичког раздвајања Layer 2 између сегмената.
Када се структура зоне и план IP адресирања јасно дефинишу, одговарајуће зоне се креирају у заштитном зиду (фајерволу) и додељују физичким интерфејсима или подинтерфејсима . Ово мапирање је кључно за осигуравање да се правила заштитног зида (фајервола) правилно примењују између зона.
Конфигуришите листе контроле приступа (ACL)
Када су зоне сада дефинисане, време је да се креирају правила која диктирају шта може са чим да комуницира . Ова правила се имплементирају као ACL-ови (листе контроле приступа), где је саобраћај дозвољен (или забрањен) између зона што је детаљније могуће наведен.
Листе контроле приступа (ACL) се примењују за сваки интерфејс или подинтерфејс заштитног зида, и најбоље је што прецизније подесити изворну IP адресу, одредишну IP адресу и портове . Другим речима, боље је дозволити „овом серверу овај порт на овој бази података“ него „целој овој мрежи све портове на другој мрежи“.
Веома важно правило је да се на крају сваке ACL листе „забрани све“. Ова рестриктивна политика осигурава да се блокира сваки саобраћај који није експлицитно укључен . Након тога, долазне и одлазне ACL листе се примењују на сваки интерфејс, прилагођавајући понашање у складу са смером саобраћаја.
Добра је идеја онемогућити јавни приступ управљачким интерфејсима заштитног зида и проверити не само да ли апликације раде, већ и да ли је нежељени саобраћај ефикасно блокиран . На пример, требало би да проверите да ли функције контроле на нивоу апликације (блокирање веб категорија, напредна анализа датотека, IPS итд.) раде како се очекује.
Конфигуришите додатне услуге и логове
Многи заштитни зидови вам омогућавају да омогућите додатне сервисе попут DHCP-а, NTP-а или IPS-а директно на уређају. Омогућите само оне сервисе које ћете заиста користити; онемогућите остале да бисте смањили површину за напад.
Још један критичан аспект је конфигурација евидентирања. Да би се ускладио са прописима као што је PCI DSS , заштитни зид мора да шаље детаљне евидентирање серверу за евидентирање или SIEM-у, које покривају аспекте као што су ко приступа систему, одакле, којој услузи и са којим резултатом. PCI DSS, на пример, поставља специфичне захтеве у одељцима 10.2 и 10.3 у вези са садржајем ових евидентирања.
Количина логова може бити велика, али то је једини начин да се ревидира приступ и открију обрасци напада или аномалије . Препоручљиво је дефинисати политике за чување, ротацију и праћење ових догађаја како би се могло брзо реаговати када нешто изгледа чудно.
Пажљиво тестирајте конфигурацију
Пре него што примените нову конфигурацију заштитног зида или након веће промене, неопходно је проверити да ли блокира оно што би требало, а дозвољава оно што је неопходно . Ово укључује скенирање портова, процене рањивости и тестирање пенетрације.
Такође је важно имати резервне копије конфигурације на безбедној локацији и тестирати процес враћања на претходно стање. Пре него што направите било какве критичне измене, документујте планиране измене и проверите да ли знате како да вратите заштитни зид ако нешто крене наопако током периода одржавања.
Заштитни зид (фајервол) у мрежама виртуелних сервера (приватни или јавни облак)
На платформама cloud сервера, уобичајено је да постоји заштитни зид на нивоу мреже који се може конфигурисати из контролне табле, поред сопственог заштитног зида оперативног система и свих међузаштитних зидова. Разумевање редоследа којим се они примењују помаже у избегавању сукоба правила.
Типично, долазни пакети прво пролазе кроз мрежни заштитни зид (којим управља платформа), затим кроз заштитни зид сервера (на пример, iptables на Linux-у или Windows заштитни зид), и коначно кроз све додатне софтверске заштитне зидове. Одлазни саобраћај прати обрнути пут.
У овој врсти панела, конфигурација се обично заснива на правилима са именом, акцијом (дозволи или забрани), извором и одредиштем (IP, опсези, CIDR, „било који“, „интерни“, „екстерни“), изворним и одредишним портовима (одређени порт, опсег или „било који“) и протоколом (TCP, UDP, оба или ICMP).
Кључни детаљ је редослед правила : што је правило више на листи, то је његов приоритет већи. Правило „одбијање“ постављено испред правила „дозвољавање“ за исти саобраћај довешће до блокирања тог саобраћаја. Зато вам обично дозвољавају да промените редослед правила превлачењем и испуштањем, како бисте подесили приоритете.
Ако је заштитни зид у искљученом режиму, сви пакети улазе и излазе без филтрирања. У активном режиму, подразумевано понашање је обично „дозволи све што не одговара ниједном правилу“, иако је много безбедније поставити подразумевану политику одбијања и дозволити само оно што је неопходно , посебно у окружењима са осетљивим подацима.
Заштитни зид у оперативном систему: Windows, macOS и Linux
Поред заштитног зида рутера и било ког заштитног зида мреже засноване на облаку, сваки модерни систем укључује сопствени слој заштите. Његово правилно конфигурисање пружа приступ дубинској одбрани , посебно користан ако је било који сервис изложен интернету или ако нападач добије приступ локалној мрежи.
Windows заштитни зид: основна и напредна конфигурација
У оперативном систему Windows, уграђени заштитни зид (Windows Defender заштитни зид или Microsoft Defender заштитни зид) филтрира саобраћај на основу унапред дефинисаних и прилагођених правила . Можете га прегледати и управљати њиме из апликације Windows безбедност, у одељку „Заштитни зид и заштита мреже“.
Први корак је провера активног мрежног профила: домен, приватна или јавна. Приватна мрежа (као што је ваша кућна мрежа) претпоставља релативно поуздано окружење и дозвољава више долазних веза, док јавна мрежа (као што је Wi-Fi у кафићу) има строжа правила и блокира скоро све што долази споља.
Са овог интерфејса можете омогућити или онемогућити заштитни зид (фајервол) за сваки тип мреже, мада његово онемогућавање није добра идеја јер повећава рањивост на неовлашћени приступ . Ако легитимна апликација не ради јер је блокирана, исправан приступ је креирање изузетка или отварање одређеног порта за њу, а не искључивање целог заштитног зида (фајервола).
Напредна подешавања управљају правилима за долазне и одлазне везе , која одређују које су везе дозвољене. Windows класификује ова правила у четири типа: правила програма (која дозвољавају или блокирају одређени извршни фајл), правила портова (која контролишу одређене TCP/UDP портове), унапред дефинисана правила (која обезбеђује систем) и прилагођена правила (најфлексибилнија, која вам омогућавају да комбинујете програм, порт, протокол и адресу).
Поред тога, постоји опција за блокирање свих долазних веза , укључујући и оне на листи дозвољених. Ово је корисно када вам је потребна максимална безбедност, иако може проузроковати да основне услуге (дељене датотеке, удаљена радна површина итд.) престану да раде.
Многе организације користе централизоване алате за управљање, као што је Ivanti Endpoint Security Solution Agent Configuration . Ови алати омогућавају корисницима да креирају политику Windows заштитног зида и да је масовно примене на уређаје који користе различите верзије Windows-а (XP/2003, Vista и новије), дефинишући правила за долазни/одлазни саобраћај, изузетке и активацију/деактивацију заштитног зида као део задатака конфигурације или поправке.
Помоћ, услужни програми и безбедносне дефиниције у Windows заштитном зиду
Детаљна конфигурација може бити донекле компликована, па постоје алати који олакшавају свакодневне задатке. TinyWall , на пример, делује као слој управљања преко Windows заштитног зида и омогућава вам да мењате режиме рада (мање или више рестриктивне), приказујете активне везе, креирате беле листе и спречавате сам заштитни зид да блокира апликације које су вам потребне.
Још један пример је Windows Firewall Control , који се интегрише у системску палету и нуди брзе профиле (висок, средњи, низак, без филтера) и практичан интерфејс за управљање правилима, увоз/извоз конфигурација и активирање режима учења који детектује дигитално потписане програме како би интелигентније креирао правила.
У безбедносним решењима за предузећа као што је Ivanti Endpoint Security, дефинисане су специфичне безбедносне претње повезане са Windows заштитним зидом (на пример, ST000102 за Windows заштитни зид у XP/2003). Ове дефиниције укључују прилагодљиве променљиве које вам омогућавају да пратите да ли стварна конфигурација заштитног зида одговара жељеној политици и, ако не, означите рачунар као рањив и покренете задатке поправке како бисте применили исправна подешавања.
Заштитни зид у macOS-у
На Mac рачунару, заштитни зид се конфигурише у одељку „Системска подешавања“ (или „Системске преференције“ у старијим верзијама), у одељку Мрежа и заштитни зид . Тамо га можете активирати, а затим приступити напредним опцијама да бисте одлучили како да обрађујете долазне везе.
Између осталог, можете блокирати нежељене везе , дозволити само неопходне апликације и услуге, контролисати које одређене апликације могу примати саобраћај и омогућити аутоматско додавање поузданих апликација на листу дозвољених апликација. То је једноставнији систем од Windows-а у погледу детаља портова, али веома ефикасан за просечног корисника.
У корпоративним окружењима, ово је обично допуњено централно управљаним безбедносним политикама, које осигуравају да све Mac машине поштују иста правила у вези са изложеним сервисима и апликацијама којима је дозвољено да примају везе.
Заштитни зид на Линуксу: UFW као једноставна опција
У Линуксу, посебно у дистрибуцијама попут Убунтуа, уобичајено је управљање iptables (или nftables) датотекама помоћу алата који су једноставнији за коришћење. Један од најпопуларнијих је UFW (Uncomplicated Firewall) , који нуди једноставне команде за активирање заштитног зида и дефинисање правила.
Инсталација се врши преко менаџера пакета (на пример, „sudo apt-get install ufw“), и иако је UFW обично подразумевано онемогућен, препоручљиво је проверити његов статус помоћу „sudo ufw status“ пре него што га омогућите. Не омогућавајте га без претходног дефинисања основних правила , јер би то блокирало све долазне везе и могли бисте изгубити удаљени приступ.
Типична правила укључују дозвољавање SSH-а („sudo ufw allow ssh“) за одржавање удаљеног приступа, отварање HTTP и HTTPS протокола („sudo ufw allow http“, „sudo ufw allow https“) за веб сервере , а затим додавање портова по потреби. Када се подесе основна правила, заштитни зид се омогућава помоћу „sudo ufw enable“, а његов статус се проверава помоћу „sudo ufw status“, што приказује листу дозвољених сервиса и портова.
Пошто је Linux већ прилично робустан систем, конфигурисање UFW-а пружа додатни слој безбедности који се топло препоручује , посебно на серверима којима се може приступити са интернета.
Сегментација мреже, политике и спречавање крађе акредитива
Једна од најефикаснијих стратегија за побољшање безбедности је сегментација мреже . Дељењем мреже на сегменте (по функцији, типу уређаја, нивоу ризика), саобраћај из једног сегмента није видљив из другог, смањујући утицај било каквог инцидента.
Ово је посебно релевантно код IoT уређаја, који често раде на старијим, рањивим системима. Њихово постављање у VLAN мреже или изоловане зоне и строго ограничавање њиховог приступа минимизира ризик од квара IP камере или сензора који угрожава целу корпоративну мрежу.
Још једно кључно питање је оптимизација политика заштитног зида (фајервола) . Додавање правила без њиховог прегледа доводи до хаотичног нагомилавања, сукоба и готово неуправљивог заштитног зида. Идеално би било да пређете са правила заснованих на портовима на правила заснована на апликацијама, са јасним увидом у то које услуге су дозвољене или забрањене, и да их периодично прегледате како бисте уклонили застареле уносе.
Неки напредни заштитни зидови укључују функције за спречавање крађе корпоративних акредитива . Они скенирају покушаје пријављивања (корисничко име и лозинка) и упоређују их са интерним листама налога организације, блокирајући њихову употребу на екстерним сајтовима као што су друштвене мреже или услуге које нису повезане са пословањем. Такође могу да приказују упозорења кориснику која објашњавају ризике поновног коришћења пословних акредитива.
Ове врсте контрола не само да заустављају директне нападе, већ служе и као алат за подизање свести о безбедности , чинећи утицај навика коришћења лозинки ван корпоративног окружења видљивијим за запослене.
Шта се дешава ако онемогућите заштитни зид (и зашто не би требало)
Уобичајено је да неко ко има проблема са апликацијом или онлајн игром покуша да онемогући заштитни зид „да види да ли то решава проблем “. И да, понекад то решава непосредни проблем, али отвара врата мноштву ризика који нису одмах очигледни.
Без заштитног зида (фајервола), систем је изложен спољним претњама као што су злонамерни софтвер, тројанци, вируси и други напади који се могу инсталирати без икаквих препрека. Нападачи могу покушати да скенирају портове рутера и, ако су и NAT правила лабава, пронаћи слабо заштићене сервисе и користити их као улазне тачке.
Заштитни зид (фајервол) такође контролише одлазне податке : без њега, свака злонамерна апликација би имала слободу да шаље осетљиве информације спољном свету. Штавише, многе апликације се ослањају на заштитни зид за баферовање напада скенирања портова или мањих DDoS напада; његово онемогућавање елиминише тај бафер.
Ако апликација не ради због заштитног зида (фајервола), професионално решење није да га искључите, већ да креирате посебно правило које дозвољава потребан саобраћај , проверите да ли рутер треба да отвори неке портове и ускладите правила тако да не дође до сукоба између локалног заштитног зида (фајервола) и заштитног зида мрежне опреме.
Коегзистенција више заштитних зидова: рутера и рачунара истовремено
Када имате један заштитни зид (фајервол) на рутеру, а други на рачунару (на пример, Windows заштитни зид), сав долазни саобраћај прво пролази кроз рутер, а затим кроз рачунар. Ова двослојна безбедност, када је правилно конфигурисана, повећава укупну безбедност јер квар у једном слоју може бити надокнађен другим.
Међутим, морате бити опрезни са недоследним правилима . Ако рутер блокира порт који заштитни зид рачунара дозвољава или обрнуто, можете пронаћи сервисе који не раде и нећете бити сигурни који од два слоја узрокује проблем.
У пракси, најразумнији приступ је да заштитни зид рутера делује као примарна периметарска баријера , дозвољавајући само оно што је заиста потребно да уђе са интернета, док заштитни зид рачунара контролише саобраћај између уређаја на локалној мрежи и сваку сумњиву одлазну комуникацију. Ово, у комбинацији са добро конфигурисаним NAT-ом и избегавањем прекомерне употребе DMZ и UPnP, пружа веома робустан ниво заштите за кућно или мало канцеларијско окружење.
На крају крајева, разумевање како различити заштитни зидови (рутер, оперативни систем, облак, корпоративни NGFW) раде и како су повезани омогућава вам да доносите информисаније одлуке: које сервисе изложити, где сегментирати, које логове чувати и како прилагодити правила да бисте одржали равнотежу између безбедности и употребљивости на вашој мрежи и уређајима.
