- Kinokontrol ng firewall ang trapiko sa network sa pamamagitan ng paglalapat ng mga patakaran batay sa mga IP address, port, protocol, at application upang harangan ang hindi awtorisadong pag-access.
- Ang kombinasyon ng router firewall, operating system at, kung naaangkop, NGFW at segmentation ay nagbibigay ng mabisang depensa nang malaliman.
- Ang wastong pagdidisenyo ng mga network zone, ACL, at record, at pagsubok sa configuration gamit ang mga security test, ay mahalaga sa mga corporate environment.
- Ang hindi pagpapagana ng firewall para sa kaginhawahan ay naglalantad sa sistema sa mga seryosong panganib; ang tamang paraan ay ang magtakda ng mga partikular na patakaran at panatilihin itong laging aktibo.
Sa anumang modernong network, mula sa Wi-Fi sa bahay hanggang sa imprastraktura ng isang malaking negosyo, ang firewall ang unang linya ng depensa laban sa mga pag-atake, hindi awtorisadong pag-access, at mga pagtagas ng data. Kung walang wastong configuration, parang iniiwan mong nakabukas ang iyong pintuan sa harap: maaaring walang mangyari... hangga't hindi ito nangyayari.
Gayunpaman, maraming mga gumagamit at maging ang ilang mga organisasyon ang nagpapatakbo ng kanilang mga firewall gamit ang mga default na setting, nang hindi talaga nauunawaan kung ano ang ginagawa ng mga ito o kung paano ayusin ang mga ito . Dito makikita mo ang isang komprehensibo at napaka-praktikal na gabay sa kung ano ang isang firewall, kung paano ito i-configure sa Windows, macOS, Linux, mga router, at mga kapaligiran ng server, pati na rin ang mga advanced na pinakamahusay na kasanayan (NGFW, segmentation, logging, mga karagdagang tool) upang maiangkop mo ang antas ng proteksyon sa iyong kapaligiran nang hindi nalulula.
Ano ang isang firewall at bakit ito napakahalaga?
Ang firewall ay isang sistemang sumusuri sa trapikong pumapasok at lumalabas sa iyong network o device at nagpapasya kung ano ang papayagan at kung ano ang haharangan batay sa isang hanay ng mga patakaran. Ang trapikong ito ay binubuo ng mga data packet na naglalakbay gamit ang iba't ibang mga protocol (TCP, UDP, ICMP, atbp.) at mga port.
Simple lang ang ideya: ang firewall ay nagsisilbing pansala at harang sa pagitan ng device o internal network at ng internet . Sinusuri nito kung saan nanggagaling ang isang packet, saan ito papunta, kung aling port ang ginagamit nito, at kung anong uri ng nilalaman ang dala nito. Kung tumutugma ito sa isang pinapayagang tuntunin, hinahayaan nito itong makalusot; kung hindi, hinaharangan nito ito. Ang lohikang ito ay nag-aalok ng malinaw na mga bentahe: mas mataas na seguridad, mas mababang posibilidad ng impeksyon ng malware, at mas malaking kontrol sa kung ano ang papasok at kung ano ang lalabas.
Isipin ang iyong firewall bilang ang pintuan ng iyong digital na tahanan : ikaw ang magpapasya kung sino ang papapasukin mo, kung sino ang hindi mo papasukin, at kung aling mga bahagi ng bahay ang maaaring bisitahin ng bawat bisita. Bukod pa rito, hindi lamang pinipigilan ng firewall ang mga pag-atake; pinapayagan ka rin nitong paghigpitan ang pag-access sa ilang mga website o application na, bagama't hindi nakakapinsala, ay ayaw mong gamitin (halimbawa, social media sa isang corporate environment).
Sa totoong mundo, makakakita tayo ng dalawang pangunahing uri ng mga firewall: mga software firewall (isinama sa operating system o naka-install bilang isang programa) at mga hardware firewall (mga nakalaang device, kadalasang isinama sa mga propesyonal o enterprise router). Bukod pa rito, may mga next-generation firewall (NGFW) , na pinagsasama ang ilang patong ng advanced na seguridad, malalim na inspeksyon ng packet, IPS, at mga tampok sa segmentasyon at pagkontrol ng aplikasyon.
Mga uri ng firewall na maaaring makaharap mo
Sa loob ng payong ng "firewall" ay mayroong ilang teknolohiya na may iba't ibang pamamaraan. Ang pag-unawa sa mga ito ay makakatulong sa iyo na malaman kung ano ang iyong tinitingnan kapag tiningnan mo ang configuration ng iyong router, ang iyong operating system, o isang enterprise NGFW.
Ang unang grupo ay binubuo ng mga packet -filtering firewall . Lumilikha ang mga ito ng mga control point sa mga router o switch at nagsasagawa ng isang simpleng pagsusuri sa bawat packet batay sa source IP address, destination IP address, port, at protocol. Mabilis ang mga ito, ngunit hindi nila sinusuri nang malalim ang nilalaman.
At mayroon ding mga circuit-level gateway firewall , na nakatuon sa pag-apruba o pagtanggi sa mga koneksyon batay sa estado ng sesyon, nang hindi sinusuri nang detalyado ang bawat packet. Ang mga ito ay napakaepektibo, ngunit hindi gaanong epektibo sa pag-detect ng mga kumplikadong banta.
Pinagsasama ng mga stateful inspection firewall ang impormasyon ng packet at pagsubaybay sa koneksyon ng TCP. Nagpapanatili ang mga ito ng isang talahanayan ng mga aktibong sesyon at pinapatunayan na ang trapiko ay tumutugma sa isang pinapayagang daloy, na nagbibigay ng mas matibay na proteksyon kaysa sa simpleng static filtering.
Mayroon din kaming mga application-level gateway o proxy firewall . Gumagana ang mga ito sa application layer at sinisiyasat ang HTTP, FTP, at iba pang trapiko, na nagbibigay-daan para sa mga detalyadong patakaran batay sa uri ng application o maging sa nilalaman. Ang pamamaraang ito ang bumubuo sa batayan ng maraming cloud firewall at mga tool para sa malalim na pag-inspeksyon ng trapiko.
Ang mga next-generation firewall (NGFW) ay nagsasama ng malalim na inspeksyon, pagkontrol ng aplikasyon, mga function ng intrusion prevention system (IPS), pag-filter ng kategorya sa web, advanced na pagsusuri ng file, at parami nang parami ang mga kakayahan na nakabatay sa AI. Maaari itong i-deploy bilang pisikal na kagamitan, virtual machine, o mga serbisyo sa cloud.
Bukod pa rito, batay sa kanilang lokasyon, maaari nating makilala ang pagkakaiba sa pagitan ng mga software firewall (sa bawat PC, server, o device) at mga hardware firewall (mga nakalaang appliances sa perimeter ng network). Bukod pa rito, may mga cloud firewall , na kumikilos bilang malalaking proxy na may kakayahang mag-scale upang protektahan ang mga distributed environment at mga organisasyon na may maraming user at lokasyon.
Firewall sa router: ang unang linya ng depensa sa iyong network
Ang router na mayroon ka sa bahay o sa opisina ay karaniwang may built-in na firewall at NAT/PAT . Nangangahulugan ito na, bilang default, walang makakapagbukas ng direktang koneksyon mula sa internet patungo sa iyong mga internal na device maliban kung mayroong port forwarding, isang aktibong DMZ, o mga maling na-configure na protocol tulad ng UPnP.
Ang karaniwang patakaran sa isang modernong router ay ang "tanggihan ang lahat ng papasok na trapiko maliban kung tahasang pinapayagan ." Ito ay pinatitibay ng IPv4 NAT/PAT: ang mga panloob na device ay gumagamit ng mga pribadong IP, at isinasalin ng router ang kanilang mga papalabas na koneksyon sa isang pampublikong IP. Anumang pagtatangka na simulan ang komunikasyon mula sa internet nang walang bukas na port o isang dati nang panuntunan ay tatanggihan.
Kaya naman lubhang mapanganib na magbukas ng DMZ sa isang PC sa lokal na network na walang maayos na naka-configure na sariling firewall: ang computer na iyon ay ganap na maa-access sa Internet, kung saan lahat ng port ay maa-access maliban sa mga na-redirect sa ibang makina.
Kabilang sa mga pangunahing pinakamahusay na kagawian para sa mga firewall ng router ang hindi pagbubukas ng mga port na hindi naman talaga kinakailangan, pag-iwas sa paggamit ng DMZ maliban sa mga partikular na device (tulad ng game console), at palaging pag-disable ng UPnP upang maiwasan ang mga device na magbukas ng mga port nang mag-isa. Ang manu-manong pagbubukas ng mga port ay nagbibigay sa iyo ng kumpletong kontrol sa kung ano ang nakalantad.
Maipapayo rin na pana-panahong suriin kung aling mga port ang bukas, isara ang mga hindi na ginagamit, at limitahan, kung maaari, ang mga IP na maaaring maka-access sa mga sensitibong serbisyo (halimbawa, ang pagpapahintulot sa SSH mula lamang sa isang partikular na administratibong IP at hindi mula sa buong Internet).
Mga karaniwang opsyon sa firewall sa mga router sa bahay at mga advanced na router
Depende sa brand ng iyong router, maaaring mag-iba ang mga opsyon sa configuration ng firewall, ngunit pareho ang lohika: profile ng seguridad, mga panuntunan, at karagdagang pag-filter . Tingnan natin ang ilang representatibong halimbawa.
Mga ASUS Router
Ang mga ASUS router ay nagsasama ng isang firewall na nakabatay sa iptables . Mula sa web interface, sa menu na "Firewall", maaari mong paganahin o huwag paganahin ang firewall para sa IPv4 at IPv6 (ito ay naka-enable bilang default, gaya ng nararapat) at i-configure ang mga hakbang na anti-DoS na humaharang sa mga source address na gumagawa ng napakaraming pagtatangka sa koneksyon.
Ang isa pang karaniwang opsyon ay ang pagharang sa mga ping request (ICMP Echo-request) sa WAN interface, para hindi tumugon ang iyong router (stealth mode). Sa mga IPv6 environment , ang firewall ay naka-configure gamit ang isang napakahigpit na inbound policy : ang bawat device ay may kanya-kanyang pampublikong IP address, ngunit ang mga hindi inaasahang papasok na koneksyon ay hinaharangan, habang ang mga papalabas na koneksyon ay karaniwang pinapayagan.
Nag-aalok din ang ASUS ng mga feature na "LAN to WAN Filter", na nagbibigay-daan sa iyong harangan ang trapiko mula sa iyong LAN papunta sa internet batay sa source IP address, destination IP address, at mga port. Bukod pa rito, sinusuportahan ng firewall ang URL at keyword filtering sa loob upang ipatupad ang mga paghihigpit.
Mga Livebox Router (Livebox Fiber, atbp.)
Sa mga Livebox router, na karaniwang ginagamit ng mga internet service provider, ang firewall ay pinamamahalaan mula sa menu na "Advanced Settings > Firewall Settings". Doon ay maaari kang pumili mula sa iba't ibang antas: low, medium, high, at custom.
Ang antas ng "mababang" pagsala ay halos walang iniaalok na pagsala (lampas sa mahalaga para sa NAT) at inilaan para sa mga advanced na user na inuuna ang flexibility kaysa sa seguridad. Ang antas ng "katamtaman" na pagsala, na karaniwang siyang default, ay nagbabawas sa lahat ng papasok na koneksyon at nagpapahintulot sa papalabas na trapiko maliban sa mga partikular na serbisyo tulad ng NetBIOS.
Ang "mataas" na profile ang pinakamahigpit: pinapayagan lamang nito ang mga papalabas na koneksyon sa mga mahusay na tinukoy na karaniwang serbisyo at hinaharangan ang mga hindi inaasahang papasok na koneksyon. Ang "custom" mode ay nagbibigay-daan sa user na magtakda ng mga partikular na patakaran at inilaan para sa mga administrator na alam ang kanilang ginagawa; sa mahinang configuration, maaari mong harangan ang mga lehitimong serbisyo o mag-iwan ng mga makabuluhang kahinaan.
Mga AVM FRITZ!Box Router
Ang mga FRITZ!Box device ay mayroong medyo komprehensibong firewall. Sa advanced view, sa ilalim ng menu na "Internet > Filters", maaari mong i-activate ang stealth mode upang maiwasan ang pagtugon sa mga ping sa WAN at harangan ang mga sensitibong port tulad ng 25 (unencrypted SMTP), NetBIOS, o Teredo kung hindi ginagamit ang mga ito.
Sa mga NAT environment, mahalagang regular na suriin ang mga setting ng port forwarding at isara ang anumang hindi na kailangan upang maiwasan ang mga lumang serbisyo na maging mga entry point. Dapat ding i-disable ang mga remote management service ng FRITZ!Box kung hindi naman ito mahalaga; sa halip, mas ligtas na i-access ang router sa pamamagitan ng VPN at, kapag nasa loob na ng network, pamahalaan ito gamit ang pribadong IP address nito.
Nag-aalok din ang FRITZ!Box ng IPsec-based remote access at mga site-to-site VPN connection. Isa itong magandang paraan para maiwasan ang direktang paglalantad ng mga serbisyo sa internet at mapilitan ang lahat ng remote access sa pamamagitan ng isang naka-encrypt at kontroladong channel.
Mga firewall ng susunod na henerasyon (NGFW) at advanced na seguridad
Sa mga kapaligirang pangkorporasyon, ang mga susunod na henerasyon ng firewall, tulad ng hanay ng FortiGate, ay higit pa sa simpleng pag-filter ng port. Pinagsasama ng mga device na ito ang mga advanced na tampok sa networking at malalim na seguridad sa iisang platform, na binabawasan ang pangangailangan para sa maraming magkakahiwalay na device.
Halimbawa, ang FortiGate ay batay sa operating system ng FortiOS at isinasama ang SD-WAN, ZTNA (Zero Trust Access), integrasyon ng WLAN at LAN, malalim na inspeksyon ng naka-encrypt na trapiko, IPS , pag-filter ng kategorya ng web, at mga kakayahan sa analytics na nakabatay sa AI sa pamamagitan ng mga serbisyo ng FortiGuard.
Ang mga NGFW na ito ay karaniwang umaasa sa isang pasadyang arkitektura ng ASIC , na nagbibigay-daan sa napakataas na pagganap at pinahusay na kahusayan sa enerhiya, kahit na iniinspeksyon ang malalaking volume ng naka-encrypt na trapiko. Bukod pa rito, isinama ang mga ito sa tinatawag na "Security Fabric": isang security mesh na sumasaklaw sa mga network, endpoint, at cloud, na may mga pinag-isang patakaran na pinamamahalaan mula sa mga platform tulad ng FortiManager.
Ang susi sa pamamaraang ito ay ang buong ibabaw ng network ay sakop ng mga pare-parehong patakaran : mula sa perimeter hanggang sa endpoint, kabilang ang mga hybrid at cloud na kapaligiran. Pinapadali nito ang mabilis na pagtugon sa mga umuusbong na banta, hinahati-hati ang mga kumplikadong network, at nagbibigay ng kumpletong kakayahang makita ang trapiko at mga kaganapan sa seguridad.
Mga hakbang sa pagdidisenyo at pag-configure ng isang mahusay na istrukturang network firewall
Kapag pinag-uusapan natin ang mga firewall sa mga enterprise network (pisikal o virtual), hindi sapat ang basta pagkabit lang ng kagamitan at pag-iwan sa mga default na setting. Kinakailangan ang isang paunang dinisenyong configuration ng mga zone, IP address, at mga patakaran upang mapahintulutan ang maayos na pagkontrol sa trapiko.
Disenyo ng mga firewall zone at iskema ng IP addressing
Ang unang hakbang ay ang pagtukoy sa mga asset ng network (mga server, mahahalagang aplikasyon, workstation, IoT device, POS system, VoIP, atbp.) at pagpangkat-pangkatin ang mga ito ayon sa kanilang tungkulin, antas ng sensitivity, at mga pangangailangan sa pag-access . Sa halip na iisang patag na network kung saan magkakaugnay ang lahat, mga segment o zone ang nilikha.
Karaniwang tumutukoy ng DMZ (demilitarized zone) para sa mga server na nakalantad sa internet, tulad ng web, email, VPN, o mga pampublikong API server. Sa mga sonang ito, ang access sa internet ay limitado lamang sa mga talagang kinakailangan. Ang mga internal server, tulad ng mga database, management system, workstation, at mga voice o point-of-sale device, ay inilalagay sa mga internal zone na may mas mahigpit na mga patakaran sa seguridad.
Kapag gumagamit ng IPv4, mahalagang gumamit ng mga pribadong hanay ng address para sa lahat ng panloob na network at i-configure ang NAT upang ma-access ng mga panloob na device ang internet kung kinakailangan. Habang binubuo ang imprastraktura, ginagamit ang mga switch na may suporta sa VLAN upang mapanatili ang Layer 2 na lohikal na paghihiwalay sa pagitan ng mga segment.
Kapag malinaw na ang istruktura ng zone at plano ng IP addressing, ang mga kaukulang zone ay gagawin sa firewall at itatalaga sa mga pisikal na interface o subinterface . Ang pagmamapang ito ay mahalaga upang matiyak na ang mga panuntunan ng firewall ay nailalapat nang tama sa pagitan ng mga zone.
I-configure ang mga listahan ng kontrol sa pag-access (ACL)
Dahil natukoy na ang mga sona, oras na para lumikha ng mga patakaran na nagdidikta kung ano ang maaaring makipag-ugnayan sa ano . Ang mga patakarang ito ay ipinapatupad bilang mga ACL (access control list), kung saan ang trapikong pinapayagan (o tinanggihan) sa pagitan ng mga sona ay tinukoy nang detalyado hangga't maaari.
Ang mga Access Control List (ACL) ay inilalapat bawat interface o subinterface ng firewall, at pinakamahusay na pinuhin ang pinagmulang IP address, patutunguhang IP address, at mga port nang tumpak hangga't maaari . Sa madaling salita, mas mainam na payagan ang "server na ito sa port na ito sa database na ito" kaysa sa "buong network na ito sa lahat ng port sa kabilang network."
Isang napakahalagang tuntunin ang "deny all" sa dulo ng bawat ACL. Tinitiyak ng mahigpit na patakarang ito na ang anumang trapikong hindi tahasang sakop ay naharang . Kasunod nito, ang mga papasok at palabas na ACL ay inilalapat sa bawat interface, na inaayos ang pag-uugali ayon sa direksyon ng trapiko.
Magandang ideya na huwag paganahin ang pampublikong pag-access sa mga interface ng pamamahala ng firewall at tiyaking subukan hindi lamang kung gumagana ang mga application, kundi pati na rin kung ang mga hindi gustong trapiko ay epektibong naharang . Halimbawa, dapat mong beripikahin na ang mga tampok sa pagkontrol sa antas ng application (pagharang sa kategorya ng web, advanced na pagsusuri ng file, IPS, atbp.) ay gumagana ayon sa inaasahan.
I-configure ang mga karagdagang serbisyo at log
Maraming firewall ang nagbibigay-daan sa iyong paganahin ang mga karagdagang serbisyo tulad ng DHCP, NTP, o IPS nang direkta sa device. Paganahin lamang ang mga serbisyong aktwal mong gagamitin; i-disable ang iba pa upang mabawasan ang iyong pag-atake.
Ang isa pang kritikal na aspeto ay ang configuration ng logging. Upang sumunod sa mga regulasyon tulad ng PCI DSS , ang firewall ay dapat magpadala ng detalyadong mga log sa isang logging server o SIEM, na sumasaklaw sa mga aspeto tulad ng kung sino ang nag-a-access sa system, mula saan, patungo sa anong serbisyo, at ano ang resulta. Ang PCI DSS, halimbawa, ay nagtatakda ng mga partikular na kinakailangan sa mga seksyon 10.2 at 10.3 tungkol sa nilalaman ng mga log na ito.
Maaaring mataas ang dami ng mga log, ngunit ito lamang ang paraan upang masuri ang access at matukoy ang mga pattern o anomalya ng pag-atake . Maipapayo na magtakda ng mga patakaran para sa pagpapanatili, pag-ikot, at pagsubaybay sa mga kaganapang ito upang mabilis na makatugon kapag tila may mali.
Masusing subukan ang configuration
Bago mag-deploy ng bagong configuration ng firewall, o pagkatapos ng isang malaking pagbabago, mahalagang patunayan na hinaharangan nito ang dapat nitong gawin at pinapayagan ang kinakailangan . Kabilang dito ang mga port scan, pagtatasa ng kahinaan, at pagsubok sa penetration.
Mahalaga ring magkaroon ng mga backup ng configuration sa isang ligtas na lokasyon at subukan ang proseso ng rollback. Bago gumawa ng anumang kritikal na pagbabago, idokumento ang mga nakaplanong pagbabago at tiyaking alam mo kung paano ibalik ang firewall kung may magkamali sa panahon ng maintenance.
Firewall sa mga virtual server network (pribado o pampublikong cloud)
Sa mga platform ng cloud server, karaniwan na mayroong network-level firewall na maaaring i-configure mula sa control panel, bilang karagdagan sa sariling firewall ng operating system at anumang intermediate firewall. Ang pag-unawa sa pagkakasunud-sunod ng paglalapat ng mga ito ay nakakatulong na maiwasan ang mga conflict sa panuntunan.
Kadalasan, ang mga papasok na packet ay unang dumadaan sa network firewall (na pinamamahalaan ng platform), pagkatapos ay sa server firewall (halimbawa, iptables sa Linux o Windows Firewall), at sa huli ay sa pamamagitan ng anumang karagdagang software-based firewalls. Ang papalabas na trapiko ay sumusunod sa kabaligtaran na landas.
Sa ganitong uri ng panel, ang configuration ay karaniwang nakabatay sa mga panuntunan na may pangalan, aksyon (payagan o tanggihan), pinagmulan at patutunguhan (IP, mga saklaw, CIDR, "anumang", "panloob", "panlabas"), pinagmulan at patutunguhang mga port (isang partikular na port, saklaw o "anumang") at protocol (TCP, UDP, pareho o ICMP).
Isang mahalagang detalye ang pagkakasunod-sunod ng mga patakaran : mas mataas ang prayoridad ng isang patakaran sa listahan. Ang panuntunang "deny" na inilalagay bago ang panuntunang "allow" para sa parehong trapiko ay magiging sanhi ng pagharang sa trapikong iyon. Kaya naman kadalasan ay pinapayagan ka nitong baguhin ang pagkakasunod-sunod ng mga patakaran sa pamamagitan ng pag-drag at pag-drop, upang isaayos ang mga prayoridad.
Kung ang firewall ay nasa off mode, lahat ng packet ay papasok at lalabas nang walang filtering. Sa active mode, ang default na gawi ay karaniwang "payagan ang anumang bagay na hindi tumutugma sa anumang panuntunan," bagaman mas ligtas na magtakda ng default na deny policy at payagan lamang ang mga kinakailangan , lalo na sa mga kapaligirang may sensitibong data.
Firewall sa operating system: Windows, macOS at Linux
Bukod sa firewall ng router at anumang cloud-based network firewall, ang bawat modernong sistema ay may sarili nitong layer ng proteksyon. Ang wastong pag-configure nito ay nagbibigay ng malalimang diskarte sa depensa , lalo na kapaki-pakinabang kung ang anumang serbisyo ay nakalantad sa internet o kung ang isang attacker ay makakakuha ng access sa lokal na network.
Windows Firewall: Pangunahin at Advanced na Pag-configure
Sa Windows, sinasala ng built-in na firewall (Windows Defender Firewall o Microsoft Defender Firewall) ang trapiko batay sa mga paunang natukoy at custom na panuntunan . Maaari mo itong tingnan at pamahalaan mula sa Windows Security app, sa ilalim ng seksyong "Firewall at proteksyon ng network".
Ang unang hakbang ay suriin ang aktibong profile ng network: domain, pribado, o pampubliko. Ang isang pribadong network (tulad ng iyong home network) ay may medyo maaasahang kapaligiran at nagpapahintulot ng mas maraming papasok na koneksyon, habang ang isang pampublikong network (tulad ng Wi-Fi ng isang coffee shop) ay may mas mahigpit na mga patakaran at hinaharangan ang halos lahat ng nagmumula sa labas.
Mula sa interface na ito, maaari mong paganahin o huwag paganahin ang firewall para sa bawat uri ng network, bagama't hindi magandang ideya ang pag-disable nito dahil pinapataas nito ang kahinaan sa hindi awtorisadong pag-access . Kung ang isang lehitimong application ay hindi gumagana dahil naka-block ito, ang tamang paraan ay lumikha ng isang exception o magbukas ng isang partikular na port para dito, hindi ang patayin ang buong firewall.
Pinamamahalaan ng mga advanced na setting ang mga papasok at palabas na panuntunan , na tumutukoy kung aling mga koneksyon ang pinapayagan. Inuuri ng Windows ang mga panuntunang ito sa apat na uri: mga panuntunan ng programa (na nagpapahintulot o humaharang sa isang partikular na executable), mga panuntunan ng port (na kumokontrol sa mga partikular na TCP/UDP port), mga paunang natukoy na panuntunan (ibinibigay ng system), at mga pasadyang panuntunan (ang pinaka-flexible, na nagbibigay-daan sa iyong pagsamahin ang programa, port, protocol, at address).
Bukod pa rito, mayroong opsyon na harangan ang lahat ng papasok na koneksyon , kabilang ang mga nasa listahan ng pinapayagan. Kapaki-pakinabang ito kapag kailangan mo ng pinakamataas na seguridad, bagama't maaari itong maging sanhi ng paghinto sa paggana ng mga mahahalagang serbisyo (mga nakabahaging file, remote desktop, atbp.).
Maraming organisasyon ang gumagamit ng mga sentralisadong tool sa pamamahala, tulad ng Ivanti Endpoint Security Solution Agent Configuration . Ang mga tool na ito ay nagbibigay-daan sa mga user na lumikha ng patakaran sa Windows Firewall at i-deploy ito nang maramihan sa mga device na nagpapatakbo ng iba't ibang bersyon ng Windows (XP/2003, Vista, at mas bago), na tumutukoy sa mga papasok/papalabas na panuntunan, mga eksepsiyon, at pag-activate/pagde-deactivate ng firewall bilang bahagi ng mga gawain sa pag-configure o pagkukumpuni.
Tulong, mga utility, at mga kahulugan ng seguridad sa Windows Firewall
Ang detalyadong pag-configure ay maaaring medyo kumplikado, kaya may mga tool na nagpapadali sa mga pang-araw-araw na gawain. Ang TinyWall , halimbawa, ay gumaganap bilang isang management layer sa ibabaw ng Windows firewall at nagbibigay-daan sa iyong baguhin ang mga operating mode (mas mahigpit man o hindi), magpakita ng mga aktibong koneksyon, lumikha ng mga whitelist, at pigilan ang firewall mismo sa pagharang sa mga application na kailangan mo.
Ang isa pang halimbawa ay ang Windows Firewall Control , na isinasama sa system tray at nag-aalok ng mabilisang mga profile (mataas, katamtaman, mababa, walang filter) at isang maginhawang interface para sa pamamahala ng mga panuntunan, pag-import/pag-export ng mga configuration, at pag-activate ng learning mode na nakakakita ng mga programang may digital na lagda upang mas matalinong lumikha ng mga panuntunan.
Sa mga solusyon sa seguridad ng enterprise tulad ng Ivanti Endpoint Security, binibigyang-kahulugan ang mga partikular na banta sa seguridad na may kaugnayan sa Windows Firewall (halimbawa, ST000102 para sa Windows Firewall sa XP/2003). Kasama sa mga kahulugang ito ang mga napapasadyang variable na nagbibigay-daan sa iyong subaybayan kung ang aktwal na configuration ng firewall ay tumutugma sa nais na patakaran at, kung hindi, markahan ang computer bilang mahina at maglunsad ng mga gawain sa pagkukumpuni upang ipatupad ang mga tamang setting.
Firewall sa macOS
Sa isang Mac, ang firewall ay kino-configure mula sa "Mga Setting ng System" (o "Mga Kagustuhan sa System" sa mga mas lumang bersyon), sa loob ng seksyong Network at Firewall . Doon mo ito maa-activate at pagkatapos ay ma-access ang mga advanced na opsyon upang magpasya kung paano pangasiwaan ang mga papasok na koneksyon.
Bukod sa iba pang mga bagay, maaari mong harangan ang mga hindi hinihinging koneksyon , payagan lamang ang mga mahahalagang app at serbisyo, kontrolin kung aling mga partikular na application ang maaaring makatanggap ng trapiko, at paganahin ang awtomatikong pagdaragdag ng mga pinagkakatiwalaang app sa pinapayagang listahan. Ito ay isang mas simpleng sistema kaysa sa Windows sa mga tuntunin ng detalye ng port, ngunit napakaepektibo para sa karaniwang gumagamit.
Sa mga kapaligirang pangkorporasyon, kadalasan itong kinukumpleto ng mga patakaran sa seguridad na pinamamahalaan nang sentralisado, na tinitiyak na ang lahat ng mga makina ng Mac ay sumusunod sa parehong mga patakaran patungkol sa mga nakalantad na serbisyo at mga application na pinapayagang makatanggap ng mga koneksyon.
Firewall sa Linux: UFW bilang isang simpleng opsyon
Sa Linux, lalo na sa mga distribusyon tulad ng Ubuntu, karaniwan nang pamahalaan ang mga iptable (o nftable) gamit ang mga tool na mas madaling gamitin. Isa sa mga pinakasikat ay ang UFW (Uncomplicated Firewall) , na nag-aalok ng mga direktang utos para sa pag-activate ng firewall at pagtukoy ng mga panuntunan.
Ang pag-install ay ginagawa sa pamamagitan ng package manager (halimbawa, “sudo apt-get install ufw”), at bagama't ang UFW ay karaniwang naka-disable bilang default, ipinapayong suriin ang status nito gamit ang “sudo ufw status” bago ito paganahin. Huwag itong paganahin nang hindi muna tinutukoy ang mga pangunahing tuntunin , dahil haharangan nito ang lahat ng papasok na koneksyon at maaari mong mawala ang malayuang access.
Kabilang sa mga karaniwang tuntunin ang pagpapahintulot sa SSH (“sudo ufw allow ssh”) na magpanatili ng malayuang pag-access, pagbubukas ng HTTP at HTTPS (“sudo ufw allow http”, “sudo ufw allow https”) para sa mga web server , at pagkatapos ay pagdaragdag ng mga port kung kinakailangan. Kapag naitakda na ang mga pangunahing tuntunin, ang firewall ay pinagana gamit ang “sudo ufw enable” at ang katayuan nito ay sinusuri gamit ang “sudo ufw status”, na nagpapakita ng listahan ng mga pinapayagang serbisyo at port.
Dahil ang Linux ay isa nang medyo matatag na sistema, ang pagkakaroon ng UFW na naka-configure ay nagbibigay ng karagdagang patong ng seguridad na lubos na inirerekomenda , lalo na sa mga server na naa-access mula sa Internet.
Pagse-segment ng network, mga patakaran, at pag-iwas sa pagnanakaw ng kredensyal
Isa sa mga pinakaepektibong estratehiya para sa pagpapabuti ng seguridad ay ang segmentasyon ng network . Sa pamamagitan ng paghahati ng network sa mga segment (ayon sa function, uri ng device, antas ng panganib), ang trapiko mula sa isang segment ay hindi makikita mula sa isa pa, na binabawasan ang epekto ng anumang insidente.
Ito ay lalong mahalaga sa mga IoT device, na kadalasang tumatakbo sa mga luma at mahinang sistema. Ang paglalagay ng mga ito sa mga VLAN o mga nakahiwalay na sona at mahigpit na paglilimita sa kanilang access ay nagpapaliit sa panganib ng pagkabigo ng isang IP camera o sensor na makakaapekto sa buong corporate network.
Isa pang mahalagang isyu ay ang pag-optimize ng patakaran sa firewall . Ang pagdaragdag ng mga panuntunan nang hindi sinusuri ang mga ito ay humahantong sa magulong pagbuo, mga conflict, at halos hindi na mapamahalaan na firewall. Sa isip, dapat kang lumipat mula sa mga panuntunang nakabatay sa port patungo sa mga panuntunang nakabatay sa application, nang may malinaw na pagtingin sa kung aling mga serbisyo ang pinapayagan o tinatanggihan, at pana-panahong suriin ang mga ito upang alisin ang mga hindi na ginagamit na entry.
Ang ilang mga advanced na firewall ay may kasamang mga tampok upang maiwasan ang pagnanakaw ng mga kredensyal ng korporasyon . Ini-scan ng mga ito ang mga pagtatangka sa pag-login (username at password) at ini-cross-reference ang mga ito sa mga panloob na listahan ng mga account ng organisasyon, hinaharangan ang paggamit ng mga ito sa mga panlabas na site tulad ng social media o mga serbisyong walang kaugnayan sa negosyo. Maaari rin silang magpakita ng mga babala sa user na nagpapaliwanag ng mga panganib ng muling paggamit ng mga kredensyal sa trabaho.
Ang mga ganitong uri ng kontrol ay hindi lamang pumipigil sa mga direktang pag-atake, kundi nagsisilbi rin itong kasangkapan sa kamalayan sa seguridad , na ginagawang mas nakikita ng mga empleyado ang epekto ng mga gawi sa paggamit ng password sa labas ng kapaligiran ng korporasyon.
Ano ang mangyayari kung i-disable mo ang firewall (at bakit hindi mo dapat gawin ito)
Karaniwan para sa isang taong may problema sa isang application o online game na subukang i-disable ang firewall "para makita kung maaayos nito ." At oo, kung minsan ay nalulutas nito ang agarang problema, ngunit nagbubukas ito ng pinto sa maraming panganib na hindi agad nakikita.
Kung walang firewall, ang sistema ay nalalantad sa mga panlabas na banta tulad ng malware, Trojan, virus, at iba pang mga pag-atake na maaaring i-install nang walang anumang hadlang. Maaaring subukang i-scan ng mga attacker ang mga port ng router at, kung maluwag din ang mga patakaran ng NAT, maghanap ng mga serbisyong hindi gaanong protektado at gamitin ang mga ito bilang mga entry point.
Kinokontrol din ng firewall ang papalabas na data : kung wala ito, malayang makakapagpadala ng sensitibong impormasyon ang anumang malisyosong application sa labas ng mundo. Bukod pa rito, maraming application ang umaasa sa firewall upang i-buffer ang mga pag-atake sa pag-scan ng port o maliliit na pag-atake ng DDoS; ang pag-disable nito ay nag-aalis ng buffer na iyon.
Kung hindi gumagana ang isang app dahil sa firewall, ang propesyonal na solusyon ay hindi ang pagpatay nito, kundi ang paglikha ng isang partikular na panuntunan na nagpapahintulot sa kinakailangang trapiko , suriin kung kailangang magbukas ang router ng anumang port, at ihanay ang mga panuntunan upang walang mga conflict sa pagitan ng lokal na firewall at ng firewall ng kagamitan sa network.
Pagkakaroon ng sabay-sabay na paggamit ng maraming firewall: router at PC
Kapag mayroon kang firewall sa iyong router at isa pa sa iyong PC (halimbawa, ang Windows firewall), lahat ng papasok na trapiko ay dumadaan muna sa router at pagkatapos ay sa iyong computer. Ang dual-layer security na ito, kapag maayos na na-configure, ay nagpapataas ng pangkalahatang seguridad dahil ang isang pagkabigo sa isang layer ay maaaring mapunan ng isa pa.
Gayunpaman, kailangan mong maging maingat sa mga hindi pare-parehong patakaran . Kung hinaharangan ng router ang isang port na pinapayagan ng firewall ng PC, o kabaliktaran, maaari kang makakita ng mga serbisyong hindi gumagana at hindi ka sigurado kung alin sa dalawang layer ang sanhi ng problema.
Sa pagsasagawa, ang pinaka-makatwirang paraan ay ang firewall ng router na magsilbing pangunahing harang sa paligid , na nagpapahintulot lamang sa mga talagang kailangang pumasok mula sa internet, habang ang firewall ng PC ay kumokontrol sa trapiko sa pagitan ng mga device sa LAN at anumang kahina-hinalang papalabas na komunikasyon. Ito, kasama ang isang mahusay na na-configure na NAT at pag-iwas sa labis na paggamit ng DMZ at UPnP, ay nagbibigay ng isang napakalakas na antas ng proteksyon para sa isang kapaligiran sa bahay o maliit na opisina.
Sa huli, ang pag-unawa kung paano gumagana at kung paano magkakaugnay ang iba't ibang firewall (router, operating system, cloud, corporate NGFW) ay nagbibigay-daan sa iyong gumawa ng mas matalinong mga desisyon: kung anong mga serbisyo ang ipapakita, saan ise-segment, kung anong mga log ang itatago, at kung paano isaayos ang mga patakaran upang mapanatili ang balanse sa pagitan ng seguridad at usability sa iyong network at mga device.
