- En brandvägg kontrollerar nätverkstrafik genom att tillämpa regler baserade på IP-adresser, portar, protokoll och applikationer för att blockera obehörig åtkomst.
- Kombinationen av routerns brandvägg, operativsystem och, där så är tillämpligt, NGFW och segmentering ger ett effektivt djupgående försvar.
- Att korrekt utforma nätverkszoner, ACL:er och poster, och testa konfigurationen med säkerhetstester, är avgörande i företagsmiljöer.
- Att inaktivera brandväggen för enkelhets skull utsätter systemet för allvarliga risker; rätt tillvägagångssätt är att ställa in specifika regler och hålla den alltid aktiv.
I alla moderna nätverk, från hem-Wi-Fi till stora företagsinfrastrukturer, är brandväggen den första försvarslinjen mot attacker, obehörig åtkomst och dataläckor. Utan korrekt konfiguration är det som att lämna ytterdörren på glänt: ingenting kan hända ... förrän det händer.
Trots detta har många användare och till och med vissa organisationer sina brandväggar igång med standardinställningarna, utan att egentligen förstå vad de gör eller hur man justerar dem. Här hittar du en omfattande och mycket praktisk guide om vad en brandvägg är, hur man konfigurerar den i Windows, macOS, Linux, routrar och servermiljöer, samt avancerade bästa praxis (NGFW, segmentering, loggning, extra verktyg) så att du kan skräddarsy skyddsnivån till din miljö utan att bli överväldigad.
Vad är en brandvägg och varför är den så viktig?
En brandvägg är ett system som analyserar trafiken som kommer in i och ut ur ditt nätverk eller din enhet och bestämmer vad som ska tillåtas och vad som ska blockeras baserat på en uppsättning regler. Denna trafik består av datapaket som färdas med olika protokoll (TCP, UDP, ICMP, etc.) och portar.
Idén är enkel: brandväggen fungerar som ett filter och en barriär mellan enheten eller det interna nätverket och internet . Den kontrollerar var ett paket kommer ifrån, vart det är på väg, vilken port det använder och vilken typ av innehåll det innehåller. Om det matchar en tillåten regel släpper den igenom det; om inte blockerar den det. Denna logik erbjuder tydliga fördelar: större säkerhet, lägre sannolikhet för infektion med skadlig kod och större kontroll över vad som går in och vad som går ut.
Föreställ dig din brandvägg som ytterdörren till ditt digitala hem : du bestämmer vem du släpper in, vem du håller ute och vilka delar av huset varje gäst kan besöka. Dessutom stoppar en brandvägg inte bara attacker; den låter dig också begränsa åtkomsten till vissa webbplatser eller applikationer som, även om de inte är skadliga, du inte vill använda (till exempel sociala medier i en företagsmiljö).
I den verkliga världen hittar vi två huvudtyper av brandväggar: programvarubrandväggar (integrerade i operativsystemet eller installerade som ett program) och hårdvarubrandväggar (dedikerade enheter, ofta integrerade i professionella eller företagsroutrar). Dessutom finns nästa generations brandväggar (NGFW) , som kombinerar flera lager av avancerad säkerhet, djup paketinspektion, IPS och funktioner för applikationssegmentering och kontroll.
Typer av brandväggar du kan stöta på
Inom paraplybegreppet "brandvägg" finns det flera tekniker med olika tillvägagångssätt. Att förstå dem hjälper dig att veta vad du tittar på när du kontrollerar din routers konfiguration, ditt operativsystem eller en företags-NGFW.
Den första gruppen består av paketfiltrerande brandväggar . Dessa skapar kontrollpunkter på routrar eller switchar och utför en enkel kontroll av varje paket baserat på käll-IP-adress, destinations-IP-adress, port och protokoll. De är snabba, men de analyserar inte innehållet på djupet.
Sedan finns det gateway- brandväggar på kretsnivå , som fokuserar på att godkänna eller neka anslutningar baserat på sessionstillståndet, utan att inspektera varje paket i detalj. De är mycket effektiva, men mindre effektiva på att upptäcka komplexa hot.
Brandväggar med tillståndskänslig inspektion kombinerar paketinformation med TCP-anslutningsspårning. De upprätthåller en tabell över aktiva sessioner och verifierar att trafiken matchar ett tillåtet flöde, vilket ger ett mer robust skydd än enkel statisk filtrering.
Vi har även applikationsnivågateways eller proxybrandväggar . Dessa fungerar på applikationslagret och inspekterar HTTP, FTP och annan trafik, vilket möjliggör mycket detaljerade policyer baserade på applikationstyp eller till och med innehåll. Denna metod utgör grunden för många molnbrandväggar och verktyg för djupgående trafikinspektion.
Nästa generations brandväggar (NGFW) integrerar djupgående inspektion, applikationskontroll, intrångsskyddssystem (IPS), filtrering av webbkategorier, avancerad filanalys och i allt högre grad AI-baserade funktioner. De kan distribueras som fysisk utrustning, virtuella maskiner eller molntjänster.
Dessutom kan vi, baserat på deras plats, skilja mellan programvarubrandväggar (på varje dator, server eller enhet) och hårdvarubrandväggar (dedikerade apparater vid nätverkets perimeter). Dessutom finns det molnbrandväggar , som fungerar som stora proxyservrar som kan skalas för att skydda distribuerade miljöer och organisationer med många användare och platser.
Brandvägg på routern: den första försvarslinjen i ditt nätverk
Routern du har hemma eller på kontoret har vanligtvis en inbyggd brandvägg och NAT/PAT . Det betyder att ingen som standard kan öppna en direktanslutning från internet till dina interna enheter om det inte finns portvidarebefordran, en aktiv DMZ eller felkonfigurerade protokoll som UPnP.
Den typiska policyn för en modern router är att "neka all inkommande trafik om det inte uttryckligen är tillåtet ". Detta förstärks av IPv4 NAT/PAT: interna enheter använder privata IP-adresser, och routern översätter deras utgående anslutningar till en publik IP. Alla försök att initiera kommunikation från internet utan en öppen port eller en befintlig regel kommer att avvisas.
Det är därför det är så farligt att öppna en DMZ till en dator i det lokala nätverket som inte har en korrekt konfigurerad egen brandvägg: den datorn kommer att vara helt exponerad för internet, med alla portar tillgängliga förutom de som är omdirigerade till en annan maskin.
Grundläggande bästa praxis för routerbrandväggar inkluderar att inte öppna portar som inte är absolut nödvändiga, att undvika användning av DMZ förutom för mycket specifika enheter (som en spelkonsol) och att alltid inaktivera UPnP för att förhindra att enheter öppnar portar på egen hand. Att öppna portar manuellt ger dig fullständig kontroll över vad som exponeras.
Det är också lämpligt att regelbundet kontrollera vilka portar som är öppna, stänga de som inte längre används och, där det är möjligt, begränsa de IP-adresser som kan komma åt känsliga tjänster (till exempel att endast tillåta SSH från en specifik administrativ IP-adress och inte från hela internet).
Vanliga brandväggsalternativ på hemma- och avancerade routrar
Beroende på routermärke kan brandväggskonfigurationsalternativen variera, men logiken är liknande: säkerhetsprofil, regler och ytterligare filtrering . Låt oss titta på några representativa exempel.
ASUS-routrar
ASUS-routrar integrerar en iptables -baserad brandvägg . Från webbgränssnittet, i menyn "Brandvägg", kan du aktivera eller inaktivera brandväggen för IPv4 och IPv6 (den är aktiverad som standard, vilket den borde vara) och konfigurera anti-DoS-åtgärder som blockerar källadresser som gör för många anslutningsförsök.
Ett annat vanligt alternativ är att blockera pingförfrågningar (ICMP Echo-requests) till WAN-gränssnittet, så att din router inte svarar (stealth mode). I IPv6- miljöer är brandväggen konfigurerad med en mycket restriktiv inkommande policy : varje enhet har sin egen offentliga IP-adress, men oväntade inkommande anslutningar blockeras, medan utgående anslutningar tillåts normalt.
ASUS erbjuder även funktioner för "LAN till WAN-filter", vilket gör att du kan blockera trafik från ditt LAN till internet baserat på käll-IP-adress, destinations-IP-adress och portar. Dessutom stöds URL- och nyckelordsfiltrering internt av brandväggen för att upprätthålla restriktioner.
Livebox-routrar (Livebox Fiber, etc.)
På Livebox-routrar, som vanligtvis används av internetleverantörer, hanteras brandväggen från menyn "Avancerade inställningar > Brandväggsinställningar". Där kan du välja mellan flera nivåer: låg, medel, hög och anpassad.
Den "låga" filtreringsnivån erbjuder praktiskt taget ingen filtrering (utöver vad som är nödvändigt för NAT) och är avsedd för avancerade användare som prioriterar flexibilitet framför säkerhet. Den "mediuma" filtreringsnivån, som vanligtvis är standard, tar bort alla inkommande anslutningar och tillåter utgående trafik förutom för mycket specifika tjänster som NetBIOS.
Profilen "hög" är den mest restriktiva: den tillåter endast utgående anslutningar till väldefinierade standardtjänster och blockerar oväntade inkommande anslutningar. Läget "anpassat" låter användaren ställa in specifika regler och är avsett för administratörer som vet vad de gör; med dålig konfiguration kan du blockera legitima tjänster eller lämna betydande sårbarheter.
AVM FRITZ!Box-routrar
FRITZ!Box-enheter har en ganska omfattande brandvägg. I den avancerade vyn, under menyn "Internet > Filter", kan du aktivera stealth-läge för att undvika att svara på pings på WAN och blockera känsliga portar som 25 (okrypterad SMTP), NetBIOS eller Teredo om de inte används.
I NAT-miljöer är det avgörande att regelbundet granska inställningarna för portvidarebefordran och stänga alla som inte längre behövs för att förhindra att föråldrade tjänster blir ingångspunkter. FRITZ!Box egna fjärrhanteringstjänster bör också inaktiveras om de inte är nödvändiga; istället är det säkrare att komma åt routern via ett VPN och, när du väl är inne i nätverket, hantera den med dess privata IP-adress.
FRITZ!Box erbjuder även IPsec-baserad fjärråtkomst och plats-till-plats VPN-anslutningar. Detta är ett bra sätt att undvika att exponera tjänster direkt för internet och tvinga all fjärråtkomst via en krypterad och kontrollerad kanal.
Nästa generations brandväggar (NGFW) och avancerad säkerhet
I företagsmiljöer går nästa generations brandväggar, som FortiGate-serien, långt utöver enkel portfiltrering. Dessa enheter integrerar avancerade nätverksfunktioner och djupgående säkerhet på en enda plattform, vilket minskar behovet av många separata enheter.
FortiGate är till exempel baserat på operativsystemet FortiOS och innehåller SD-WAN, ZTNA (Zero Trust Access), WLAN- och LAN-integration, djupgående inspektion av krypterad trafik, IPS , filtrering av webbkategorier och AI-baserade analysfunktioner genom FortiGuard-tjänster.
Dessa NGFW:er förlitar sig vanligtvis på en anpassad ASIC- arkitektur , vilket möjliggör mycket hög prestanda och förbättrad energieffektivitet, även vid inspektion av stora volymer krypterad trafik. Dessutom är de integrerade i det som kallas en "säkerhetsväv": ett säkerhetsnät som spänner över nätverk, slutpunkter och moln, med enhetliga policyer som hanteras från plattformar som FortiManager.
Nyckeln till denna metod är att hela nätverksytan täcks av konsekventa policyer : från perimetern till slutpunkten, inklusive hybrid- och molnmiljöer. Detta underlättar snabba åtgärder mot nya hot, segmenterar komplexa nätverk och ger fullständig insyn i trafik- och säkerhetshändelser.
Steg för att designa och konfigurera en välstrukturerad nätverksbrandvägg
När vi pratar om brandväggar i företagsnätverk (fysiska eller virtuella) räcker det inte att bara koppla in utrustningen och behålla standardinställningarna. En förkonstruerad konfiguration av zoner, IP-adresser och policyer är nödvändig för att möjliggöra finjusterad trafikkontroll.
Designa brandväggszoner och IP-adresseringsschema
Det första steget är att identifiera nätverkstillgångar (servrar, kritiska applikationer, arbetsstationer, IoT-enheter, POS-system, VoIP, etc.) och gruppera dem efter funktion, känslighetsnivå och åtkomstbehov . Istället för ett enda, platt nätverk där allt är sammankopplat skapas segment eller zoner.
Det är vanligt att definiera en DMZ (demilitariserad zon) för servrar som är exponerade för internet, såsom webb-, e-post-, VPN- eller publika API-servrar. I dessa zoner är internetåtkomst begränsad till endast det som är absolut nödvändigt. Interna servrar, såsom databaser, hanteringssystem, arbetsstationer och röst- eller kassaenheter, placeras i interna zoner med strängare säkerhetspolicyer.
När man använder IPv4 är det viktigt att använda privata adressintervall för alla interna nätverk och konfigurera NAT så att interna enheter kan komma åt internet vid behov. Allt eftersom infrastrukturen byggs används switchar med VLAN-stöd för att upprätthålla logisk lager 2-separation mellan segment.
När zonstrukturen och IP-adresseringsplanen är tydliga skapas motsvarande zoner i brandväggen och tilldelas fysiska gränssnitt eller undergränssnitt . Denna mappning är nyckeln till att säkerställa att brandväggsregler tillämpas korrekt mellan zoner.
Konfigurera åtkomstkontrolllistor (ACL:er)
Med zonerna nu definierade är det dags att skapa regler som dikterar vad som kan kommunicera med vad . Dessa regler implementeras som ACL:er (åtkomstkontrollistor), där den trafik som tillåts (eller nekas) mellan zoner specificeras så detaljerat som möjligt.
Åtkomstkontrolllistor (ACL:er) tillämpas per brandväggsgränssnitt eller undergränssnitt, och det är bäst att finjustera käll-IP-adressen, destinations-IP-adressen och portarna så exakt som möjligt . Med andra ord är det bättre att tillåta "denna server till den här porten på den här databasen" än "hela det här nätverket till alla portar på det andra nätverket".
En mycket viktig regel är att "neka alla" i slutet av varje ACL. Denna restriktiva policy säkerställer att all trafik som inte uttryckligen täcks blockeras. Därefter tillämpas inkommande och utgående ACL:er på varje gränssnitt, vilket justerar beteendet enligt trafikens riktning.
Det är en bra idé att inaktivera offentlig åtkomst till brandväggens hanteringsgränssnitt och se till att testa inte bara att applikationerna fungerar, utan också att oönskad trafik blockeras effektivt . Du bör till exempel verifiera att kontrollfunktioner på applikationsnivå (webbkategoriblockering, avancerad filanalys, IPS, etc.) fungerar som förväntat.
Konfigurera ytterligare tjänster och loggar
Många brandväggar låter dig aktivera ytterligare tjänster som DHCP, NTP eller IPS direkt på enheten. Aktivera bara de tjänster du faktiskt kommer att använda; inaktivera resten för att minska din attackyta.
En annan viktig aspekt är loggkonfigurationen. För att följa regler som PCI DSS måste brandväggen skicka detaljerade loggar till en loggserver eller SIEM, vilka täcker aspekter som vem som har åtkomst till systemet, varifrån, till vilken tjänst och med vilket resultat. PCI DSS, till exempel, anger specifika krav i avsnitt 10.2 och 10.3 gällande innehållet i dessa loggar.
Loggvolymen kan vara hög, men det är det enda sättet att granska åtkomst och upptäcka attackmönster eller avvikelser . Det är lämpligt att definiera policyer för att behålla, rotera och övervaka dessa händelser för att kunna reagera snabbt när något verkar fel.
Testa konfigurationen noggrant
Innan en ny brandväggskonfiguration distribueras, eller efter en större förändring, är det viktigt att validera att den blockerar det den ska och tillåter det som behövs . Detta inkluderar portsökningar, sårbarhetsbedömningar och penetrationstester.
Det är också viktigt att ha säkerhetskopior av konfigurationen på en säker plats och att testa återställningsprocessen. Innan du gör några kritiska ändringar, dokumentera de planerade modifieringarna och kontrollera att du vet hur du återställer brandväggen om något går fel under underhållsfönstret.
Brandvägg i virtuella servernätverk (privata eller publika moln)
På molnserverplattformar är det vanligt att ha en brandvägg på nätverksnivå som kan konfigureras från kontrollpanelen, utöver operativsystemets egen brandvägg och eventuella mellanliggande brandväggar. Att förstå i vilken ordning dessa tillämpas hjälper till att undvika regelkonflikter.
Vanligtvis passerar inkommande paket först genom nätverkets brandvägg (som hanteras av plattformen), sedan genom serverns brandvägg (till exempel iptables på Linux eller Windows-brandvägg) och slutligen genom eventuella ytterligare programvarubaserade brandväggar. Utgående trafik följer den omvända vägen.
I den här typen av panel baseras konfigurationen vanligtvis på regler med namn, åtgärd (tillåt eller neka), källa och destination (IP, intervall, CIDR, "valfri", "intern", "extern"), käll- och destinationsportar (en specifik port, intervall eller "valfri") och protokoll (TCP, UDP, båda eller ICMP).
En viktig detalj är reglernas ordning : ju högre upp en regel är i listan, desto högre prioritet har den. En "neka"-regel som placeras före en "tillåt"-regel för samma trafik kommer att blockera den trafiken. Det är därför de vanligtvis tillåter dig att ändra ordningen på reglerna genom att dra och släppa, för att justera prioriteringar.
Om brandväggen är i avstängt läge kommer alla paket in och ut utan filtrering. I aktivt läge är standardbeteendet vanligtvis att "tillåta allt som inte matchar någon regel", även om det är mycket säkrare att ställa in en standardpolicy för nekande och bara tillåta det som är nödvändigt , särskilt i miljöer med känsliga data.
Brandvägg i operativsystemet: Windows, macOS och Linux
Utöver routerns brandvägg och eventuella molnbaserade nätverksbrandväggar inkluderar varje modernt system sitt eget skyddslager. Att konfigurera det korrekt ger ett djupgående försvar , särskilt användbart om någon tjänst exponeras för internet eller om en angripare får tillgång till det lokala nätverket.
Windows-brandväggen: Grundläggande och avancerad konfiguration
I Windows filtrerar den inbyggda brandväggen (Windows Defender Firewall eller Microsoft Defender Firewall) trafik baserat på fördefinierade och anpassade regler . Du kan visa och hantera den från appen Windows Säkerhet, under avsnittet "Brandvägg och nätverksskydd".
Det första steget är att kontrollera den aktiva nätverksprofilen: domän, privat eller offentlig. Ett privat nätverk (som ditt hemnätverk) förutsätter en relativt tillförlitlig miljö och tillåter fler inkommande anslutningar, medan ett offentligt nätverk (som ett kafés Wi-Fi) har strängare regler och blockerar nästan allt som kommer utifrån.
Från det här gränssnittet kan du aktivera eller inaktivera brandväggen för varje nätverkstyp, men det är inte en bra idé att inaktivera den eftersom det ökar sårbarheten för obehörig åtkomst . Om ett legitimt program inte fungerar eftersom det är blockerat, är rätt tillvägagångssätt att skapa ett undantag eller öppna en specifik port för det, inte att stänga av hela brandväggen.
Avancerade inställningar hanterar inkommande och utgående regler , som avgör vilka anslutningar som är tillåtna. Windows klassificerar dessa regler i fyra typer: programregler (som tillåter eller blockerar en specifik körbar fil), portregler (som styr specifika TCP/UDP-portar), fördefinierade regler (som tillhandahålls av systemet) och anpassade regler (de mest flexibla, så att du kan kombinera program, port, protokoll och adress).
Dessutom finns det ett alternativ att blockera alla inkommande anslutningar , inklusive de som finns på listan över tillåtna anslutningar. Detta är användbart när du behöver maximal säkerhet, även om det kan orsaka att viktiga tjänster (delade filer, fjärrskrivbord etc.) slutar fungera.
Många organisationer använder centraliserade hanteringsverktyg, till exempel Ivanti Endpoint Security Solution Agent Configuration . Dessa verktyg låter användare skapa en Windows-brandväggspolicy och distribuera den i massor till enheter som kör olika versioner av Windows (XP/2003, Vista och senare), och definiera regler för inkommande/utgående trafik, undantag och aktivering/avaktivering av brandväggar som en del av konfigurations- eller reparationsuppgifter.
Hjälp, verktyg och säkerhetsdefinitioner i Windows-brandväggen
Detaljerad konfiguration kan vara något komplicerad, så det finns verktyg som gör vardagliga uppgifter enklare. TinyWall fungerar till exempel som ett hanteringslager över Windows-brandväggen och låter dig ändra driftslägen (mer eller mindre restriktiva), visa aktiva anslutningar, skapa vitlistor och förhindra att själva brandväggen blockerar program du behöver.
Ett annat exempel är Windows Firewall Control , som integreras i systemfältet och erbjuder snabba profiler (hög, medel, låg, inget filter) och ett bekvämt gränssnitt för att hantera regler, importera/exportera konfigurationer och aktivera ett inlärningsläge som upptäcker digitalt signerade program för att skapa regler mer intelligent.
I företagssäkerhetslösningar som Ivanti Endpoint Security definieras specifika säkerhetshot relaterade till Windows-brandväggen (till exempel ST000102 för Windows-brandväggen i XP/2003). Dessa definitioner inkluderar anpassningsbara variabler som låter dig spåra om den faktiska brandväggskonfigurationen matchar önskad policy och, om inte, markera datorn som sårbar och starta reparationsuppgifter för att framtvinga korrekta inställningar.
Brandvägg i macOS
På en Mac konfigureras brandväggen från "Systeminställningar" (eller "Systeminställningar" i äldre versioner), i avsnittet Nätverk och brandvägg . Där kan du aktivera den och sedan komma åt avancerade alternativ för att bestämma hur inkommande anslutningar ska hanteras.
Bland annat kan du blockera oönskade anslutningar , endast tillåta viktiga appar och tjänster, kontrollera vilka specifika applikationer som kan ta emot trafik och aktivera automatisk tillägg av betrodda appar till listan över tillåtna. Det är ett enklare system än Windows vad gäller portdetaljer, men mycket effektivt för den genomsnittliga användaren.
I företagsmiljöer kompletteras detta vanligtvis av centralt hanterade säkerhetspolicyer, som säkerställer att alla Mac-maskiner följer samma regler gällande exponerade tjänster och applikationer som tillåts ta emot anslutningar.
Brandvägg på Linux: UFW som ett enkelt alternativ
I Linux, särskilt i distributioner som Ubuntu, är det vanligt att hantera iptables (eller nftables) med hjälp av mer användarvänliga verktyg. Ett av de mest populära är UFW (Uncomplicated Firewall) , som erbjuder enkla kommandon för att aktivera brandväggen och definiera regler.
Installationen görs via pakethanteraren (till exempel "sudo apt-get install ufw"), och även om UFW vanligtvis är inaktiverat som standard, är det lämpligt att kontrollera dess status med "sudo ufw status" innan du aktiverar det. Aktivera det inte utan att först definiera de grundläggande reglerna , eftersom det skulle blockera alla inkommande anslutningar och du kan förlora fjärråtkomst.
Typiska regler inkluderar att tillåta SSH ("sudo ufw allow ssh") att upprätthålla fjärråtkomst, öppna HTTP och HTTPS ("sudo ufw allow http", "sudo ufw allow https") för webbservrar och sedan lägga till portar efter behov. När de grundläggande reglerna är inställda aktiveras brandväggen med "sudo ufw enable" och dess status kontrolleras med "sudo ufw status", vilket visar listan över tillåtna tjänster och portar.
Eftersom Linux redan är ett ganska robust system, ger konfigurering av UFW ett extra säkerhetslager som starkt rekommenderas , särskilt på servrar som är åtkomliga från internet.
Nätverkssegmentering, policyer och förebyggande av stöld av autentiseringsuppgifter
En av de mest effektiva strategierna för att förbättra säkerheten är nätverkssegmentering . Genom att dela upp nätverket i segment (efter funktion, enhetstyp, risknivå) syns inte trafik från ett segment från ett annat, vilket minskar effekterna av eventuella incidenter.
Detta är särskilt relevant för IoT-enheter, som ofta körs på äldre och sårbara system. Att placera dem i VLAN eller isolerade zoner och strikt begränsa deras åtkomst minimerar risken för att ett fel i en IP-kamera eller sensor äventyrar hela företagets nätverk.
En annan viktig fråga är optimering av brandväggspolicyer . Att lägga till regler utan att granska dem leder till kaotiska uppbyggnader, konflikter och en nästan ohanterlig brandvägg. Helst bör du migrera från portbaserade regler till applikationsbaserade regler, med tydlig insyn i vilka tjänster som tillåts eller nekas, och granska dem regelbundet för att ta bort föråldrade poster.
Vissa avancerade brandväggar inkluderar funktioner för att förhindra stöld av företagsuppgifter . De skannar inloggningsförsök (användarnamn och lösenord) och jämför dem med interna listor över organisationens konton, vilket blockerar deras användning på externa webbplatser som sociala medier eller tjänster som inte är relaterade till verksamheten. De kan också visa varningar till användaren som förklarar riskerna med att återanvända arbetsuppgifter.
Den här typen av kontroller stoppar inte bara direkta attacker, utan fungerar också som ett verktyg för säkerhetsmedvetenhet , vilket gör effekterna av lösenordsanvändningsvanor utanför företagsmiljön mer synliga för anställda.
Vad händer om du inaktiverar brandväggen (och varför du inte borde göra det)
Det är vanligt att någon som har problem med en applikation eller ett onlinespel försöker inaktivera brandväggen "för att se om det löser problemet. " Och ja, ibland löser det det omedelbara problemet, men det öppnar dörren för en mängd risker som inte är omedelbart uppenbara.
Utan en brandvägg är systemet exponerat för externa hot som skadlig kod, trojaner, virus och andra attacker som kan installeras utan några hinder. Angripare kan försöka skanna routerportar och, om NAT-reglerna också är slappa, hitta dåligt skyddade tjänster och använda dem som ingångspunkter.
En brandvägg kontrollerar även utgående data : utan den skulle alla skadliga program ha fritt spelrum att skicka känslig information till omvärlden. Dessutom förlitar sig många program på brandväggen för att buffra portskanningsattacker eller mindre DDoS-attacker; om den inaktiveras elimineras den bufferten.
Om en app inte fungerar på grund av brandväggen är den professionella lösningen inte att stänga av den, utan att skapa en specifik regel som tillåter nödvändig trafik , kontrollera om routern behöver öppna några portar och justera reglerna så att det inte finns några konflikter mellan den lokala brandväggen och nätverksutrustningens brandvägg.
Samexistens av flera brandväggar: router och dator samtidigt
När du har en brandvägg på din router och en annan på din dator (till exempel Windows-brandväggen) passerar all inkommande trafik först genom routern och sedan genom din dator. Denna dubbla säkerhetsnivå ökar, när den är korrekt konfigurerad, den totala säkerheten eftersom ett fel i ett lager kan kompenseras av det andra.
Du måste dock vara försiktig med inkonsekventa regler . Om routern blockerar en port som datorns brandvägg tillåter, eller vice versa, kan du hitta tjänster som inte fungerar och vara osäker på vilket av de två lagren som orsakar problemet.
I praktiken är det mest förnuftiga tillvägagångssättet att routerns brandvägg fungerar som den primära perimeterbarriären och endast tillåter det som verkligen behöver komma in från internet, medan datorns brandvägg kontrollerar trafiken mellan enheter på nätverket och all misstänkt utgående kommunikation. Detta, i kombination med en välkonfigurerad NAT och undvikande av överdriven användning av DMZ och UPnP, ger en mycket robust skyddsnivå för en hemmiljö eller ett litet kontor.
I slutändan, om du förstår hur olika brandväggar (router, operativsystem, moln, företags-NGFW) fungerar och är länkade samman, kan du fatta mer välgrundade beslut: vilka tjänster som ska exponeras, var de ska segmenteras, vilka loggar som ska sparas och hur du justerar reglerna för att upprätthålla en balans mellan säkerhet och användbarhet i ditt nätverk och dina enheter.
