- Брандмауер контролює мережевий трафік, застосовуючи правила на основі IP-адрес, портів, протоколів і програм для блокування несанкціонованого доступу.
- Поєднання брандмауера маршрутизатора, операційної системи та, де це можливо, NGFW та сегментації забезпечує ефективний глибоко ешалоновану захист.
- Правильне проектування мережевих зон, ACL та записів, а також тестування конфігурації за допомогою тестів безпеки є ключовими в корпоративному середовищі.
- Вимкнення брандмауера для зручності наражає систему на серйозні ризики; правильний підхід полягає у встановленні певних правил і постійному його увімкненні.
У будь-якій сучасній мережі, від домашнього Wi-Fi до інфраструктури великого підприємства, брандмауер є першою лінією захисту від атак, несанкціонованого доступу та витоку даних. Без належного налаштування це як залишити вхідні двері відчиненими: нічого не може статися… доки це не станеться.
Незважаючи на це, багато користувачів і навіть деякі організації використовують свої брандмауери з налаштуваннями за замовчуванням, не розуміючи, що вони роблять або як їх налаштувати . Тут ви знайдете вичерпний та дуже практичний посібник про те, що таке брандмауер, як його налаштувати в Windows, macOS, Linux, маршрутизаторах та серверних середовищах, а також передові рекомендації (NGFW, сегментація, ведення журналу, додаткові інструменти), щоб ви могли налаштувати рівень захисту відповідно до свого середовища, не перевантажуючись.
Що таке брандмауер і чому він такий важливий?
Брандмауер – це система, яка аналізує трафік, що входить і виходить з вашої мережі чи пристрою , і вирішує, що дозволяти, а що блокувати на основі набору правил. Цей трафік складається з пакетів даних, які передаються за допомогою різних протоколів (TCP, UDP, ICMP тощо) і портів.
Ідея проста: брандмауер діє як фільтр і бар'єр між пристроєм або внутрішньою мережею та Інтернетом . Він перевіряє, звідки надходить пакет, куди він прямує, який порт використовує та який тип контенту він містить. Якщо він відповідає дозволеному правилу, він пропускає його; якщо ні, то блокує. Така логіка пропонує очевидні переваги: більшу безпеку, меншу ймовірність зараження шкідливим програмним забезпеченням та кращий контроль над тим, що входить і що виходить.
Уявіть собі свій брандмауер як вхідні двері вашого цифрового дому : ви вирішуєте, кого впускати, кого не пускати та які зони будинку може відвідувати кожен гість. Крім того, брандмауер не лише зупиняє атаки, він також дозволяє обмежити доступ до певних веб-сайтів або програм, які, хоча й не є шкідливими, ви не хочете використовувати (наприклад, соціальні мережі в корпоративному середовищі).
У реальному світі ми зустрічаємо два основних типи брандмауерів: програмні брандмауери (інтегровані в операційну систему або встановлені як програма) та апаратні брандмауери (спеціалізовані пристрої, часто інтегровані в професійні або корпоративні маршрутизатори). Крім того, існують брандмауери наступного покоління (NGFW) , які поєднують кілька рівнів розширеної безпеки, глибоку перевірку пакетів, IPS, а також функції сегментації та контролю додатків.
Типи брандмауерів, з якими ви можете зіткнутися
У рамках загального терміну «брандмауер» існує кілька технологій з різними підходами. Їх розуміння допоможе вам зрозуміти, що саме ви бачите, перевіряючи конфігурацію маршрутизатора, операційну систему або корпоративний мережевий екран NGFW.
Перша група складається з брандмауерів з фільтрацією пакетів . Вони створюють контрольні точки на маршрутизаторах або комутаторах і виконують просту перевірку кожного пакета на основі IP-адреси джерела, IP-адреси призначення, порту та протоколу. Вони швидкі, але не аналізують вміст глибоко.
Також існують брандмауери шлюзів на рівні каналів , які зосереджені на схваленні або відхиленні з'єднань на основі стану сеансу, без детальної перевірки кожного пакета. Вони дуже ефективні, але менш ефективні у виявленні складних загроз.
Брандмауери з перевіркою стану поєднують інформацію про пакети з відстеженням TCP-з'єднань. Вони ведуть таблицю активних сеансів і перевіряють, чи відповідає трафік дозволеному потоку, забезпечуючи надійніший захист, ніж проста статична фільтрація.
Також існують шлюзи рівня додатків або проксі-брандмауери . Вони працюють на рівні додатків та перевіряють HTTP, FTP та інший трафік, що дозволяє встановлювати дуже детальні політики на основі типу додатка або навіть контенту. Цей підхід є основою багатьох хмарних брандмауерів та інструментів глибокої перевірки трафіку.
Брандмауери наступного покоління (NGFW) інтегрують глибоку перевірку, контроль програм, функції системи запобігання вторгненням (IPS), фільтрацію веб-категорій, розширений аналіз файлів і все частіше можливості на основі штучного інтелекту. Їх можна розгортати як фізичне обладнання, віртуальні машини або хмарні сервіси.
Крім того, залежно від їхнього розташування, ми можемо розрізняти програмні брандмауери (на кожному ПК, сервері чи пристрої) та апаратні брандмауери (виділені пристрої на периметрі мережі). Крім того, існують хмарні брандмауери , які діють як великі проксі-сервери, здатні масштабуватися для захисту розподілених середовищ та організацій з багатьма користувачами та місцями розташування.
Брандмауер на маршрутизаторі: перша лінія захисту у вашій мережі
Роутер, який у вас є вдома або в офісі, зазвичай має вбудований брандмауер та NAT/PAT . Це означає, що за замовчуванням ніхто не може відкрити пряме з’єднання з Інтернету з вашими внутрішніми пристроями, якщо немає переадресації портів, активної DMZ або неправильно налаштованих протоколів, таких як UPnP.
Типова політика сучасного маршрутизатора полягає в тому, щоб «заборонити весь вхідний трафік, якщо це явно не дозволено ». Це підкріплюється IPv4 NAT/PAT: внутрішні пристрої використовують приватні IP-адреси, а маршрутизатор перетворює їхні вихідні з’єднання на публічні IP-адреси. Будь-яка спроба ініціювати зв’язок з Інтернету без відкритого порту або попередньо існуючого правила буде відхилена.
Ось чому так небезпечно відкривати DMZ для ПК в локальній мережі, який не має належним чином налаштованого власного брандмауера: цей комп'ютер буде повністю відкритий для Інтернету, з усіма доступними портами, крім тих, що перенаправлені на інший комп'ютер.
Основні рекомендації щодо брандмауерів маршрутизаторів включають невідкриття портів, які не є абсолютно необхідними, уникнення використання DMZ, за винятком дуже специфічних пристроїв (наприклад, ігрової консолі), та постійне вимикання UPnP, щоб запобігти самостійному відкриттю портів пристроями. Ручне відкриття портів дає вам повний контроль над тим, що викривається.
Також бажано періодично перевіряти, які порти відкриті, закривати ті, що більше не використовуються, та обмежувати, де це можливо, IP-адреси, які можуть отримувати доступ до конфіденційних сервісів (наприклад, дозволяючи SSH лише з певної адміністративної IP-адреси, а не з усього Інтернету).
Поширені параметри брандмауера на домашніх та розширених маршрутизаторах
Залежно від марки вашого маршрутизатора, параметри конфігурації брандмауера можуть відрізнятися, але логіка схожа: профіль безпеки, правила та додаткова фільтрація . Розглянемо кілька репрезентативних прикладів.
Роутери ASUS
Маршрутизатори ASUS інтегрують брандмауер на основі iptables . У веб-інтерфейсі, в меню «Брандмауер», ви можете ввімкнути або вимкнути брандмауер для IPv4 та IPv6 (він увімкнено за замовчуванням, як і повинно бути) та налаштувати заходи захисту від DoS, які блокують адреси джерел, що здійснюють забагато спроб підключення.
Іншим поширеним варіантом є блокування запитів ping (ICMP Echo-запитів) до інтерфейсу WAN, щоб ваш маршрутизатор не відповідав (прихований режим). У середовищах IPv6 брандмауер налаштовано з дуже обмежувальною політикою вхідного зв'язку : кожен пристрій має власну публічну IP-адресу, але неочікувані вхідні з'єднання блокуються, тоді як вихідні з'єднання дозволені в звичайному режимі.
ASUS також пропонує функцію «Фільтр LAN-WAN», яка дозволяє блокувати трафік з вашої локальної мережі до Інтернету на основі IP-адреси джерела, IP-адреси призначення та портів. Крім того, брандмауер підтримує фільтрацію URL-адрес та ключових слів для забезпечення обмежень.
Маршрутизатори Livebox (Livebox Fiber тощо)
На маршрутизаторах Livebox, які зазвичай використовуються інтернет-провайдерами, керування брандмауером здійснюється з меню «Додаткові налаштування > Налаштування брандмауера». Там ви можете вибрати один із кількох рівнів: низький, середній, високий та користувацький.
«Низький» рівень фільтрації практично не пропонує фільтрації (окрім того, що необхідно для NAT) і призначений для досвідчених користувачів, які надають перевагу гнучкості над безпекою. «Середній» рівень фільтрації, який зазвичай є стандартним, скидає всі вхідні з’єднання та дозволяє вихідний трафік, за винятком дуже специфічних служб, таких як NetBIOS.
«Високий» профіль є найбільш обмежувальним: він дозволяє лише вихідні з’єднання з чітко визначеними стандартними службами та блокує неочікувані вхідні з’єднання. «Налаштування» дозволяє користувачеві встановлювати певні правила та призначений для адміністраторів, які знають, що роблять; за поганої конфігурації можна заблокувати легітимні служби або залишити значні вразливості.
Маршрутизатори AVM FRITZ!Box
Пристрої FRITZ!Box оснащені досить потужним брандмауером. У розширеному режимі, в меню «Інтернет > Фільтри», ви можете активувати прихований режим , щоб уникнути відповіді на запити ping у WAN та заблокувати конфіденційні порти, такі як 25 (незашифрований SMTP), NetBIOS або Teredo, якщо вони не використовуються.
У середовищах NAT вкрай важливо регулярно перевіряти налаштування переадресації портів і закривати ті, що більше не потрібні, щоб запобігти перетворенню застарілих служб на точки входу. Власні служби віддаленого керування FRITZ!Box також слід вимикати, якщо вони не є необхідними; натомість безпечніше отримувати доступ до маршрутизатора через VPN і, опинившись у мережі, керувати ним, використовуючи його приватну IP-адресу.
FRITZ!Box також пропонує віддалений доступ на основі IPsec та VPN-з’єднання типу «сайт-сайт». Це гарний спосіб уникнути безпосереднього доступу до сервісів до Інтернету та забезпечити весь віддалений доступ через зашифрований та контрольований канал.
Брандмауери наступного покоління (NGFW) та розширений захист
У корпоративному середовищі брандмауери наступного покоління, такі як лінійка FortiGate, виходять далеко за рамки простої фільтрації портів. Ці пристрої інтегрують розширені мережеві функції та глибокий захист на єдиній платформі, зменшуючи потребу в численних окремих пристроях.
Наприклад, FortiGate базується на операційній системі FortiOS та включає SD-WAN, ZTNA (Zero Trust Access), інтеграцію WLAN та LAN, глибокий аналіз зашифрованого трафіку, IPS , фільтрацію веб-категорій та можливості аналітики на основі штучного інтелекту через сервіси FortiGuard.
Ці NGFW зазвичай базуються на спеціалізованій архітектурі ASIC , що забезпечує дуже високу продуктивність та підвищену енергоефективність навіть під час перевірки великих обсягів зашифрованого трафіку. Крім того, вони інтегровані в так звану «матрицю безпеки»: мережу безпеки, яка охоплює мережі, кінцеві точки та хмари, з уніфікованими політиками, що керуються з таких платформ, як FortiManager.
Ключем до такого підходу є те, що вся поверхня мережі охоплена узгодженими політиками : від периметра до кінцевої точки, включаючи гібридні та хмарні середовища. Це сприяє швидкому реагуванню на нові загрози, сегментує складні мережі та забезпечує повну видимість трафіку та подій безпеки.
Кроки для проектування та налаштування добре структурованого мережевого брандмауера
Коли ми говоримо про брандмауери в корпоративних мережах (фізичних чи віртуальних), недостатньо просто підключити обладнання та залишити налаштування за замовчуванням. Необхідна попередньо розроблена конфігурація зон, IP-адрес та політик, щоб забезпечити точне керування трафіком.
Розробка зон брандмауера та схеми IP-адресації
Перший крок полягає у визначенні мережевих активів (серверів, критично важливих програм, робочих станцій, пристроїв Інтернету речей, POS-систем, VoIP тощо) та їх групуванні відповідно до їх функції, рівня чутливості та потреб доступу . Замість єдиної плоскої мережі, де все взаємопов'язане, створюються сегменти або зони.
Типовою є визначення DMZ (демілітаризованої зони) для серверів, підключених до Інтернету, таких як веб-сервери, сервери електронної пошти, VPN або публічні API-сервери. У цих зонах доступ до Інтернету обмежений лише тим, що абсолютно необхідно. Внутрішні сервери, такі як бази даних, системи управління, робочі станції та голосові або POS-пристрої, розміщуються у внутрішніх зонах із суворішими політиками безпеки.
Під час використання IPv4 важливо використовувати приватні діапазони адрес для всіх внутрішніх мереж та налаштувати NAT, щоб внутрішні пристрої могли отримувати доступ до Інтернету за потреби. Під час побудови інфраструктури для забезпечення логічного розділення сегментів на другому рівні використовуються комутатори з підтримкою VLAN.
Після того, як структура зон та план IP-адресації визначені, відповідні зони створюються у брандмауері та призначаються фізичним інтерфейсам або підінтерфейсам . Це зіставлення є ключовим для забезпечення правильного застосування правил брандмауера між зонами.
Налаштування списків контролю доступу (ACL)
Після визначення зон настав час створити правила, які визначають, що може взаємодіяти з чим . Ці правила реалізуються у вигляді ACL (списків контролю доступу), де дозволений (або заборонений) трафік між зонами визначається якомога детальніше.
Списки контролю доступу (ACL) застосовуються для кожного інтерфейсу або підінтерфейсу брандмауера, і найкраще якомога точніше налаштувати вихідну IP-адресу, IP-адресу призначення та порти . Іншими словами, краще дозволити «цьому серверу доступ до цього порту в цій базі даних», ніж «всій цій мережі доступ до всіх портів в іншій мережі».
Дуже важливим правилом є "заборона всього" в кінці кожного ACL. Ця обмежувальна політика гарантує, що будь-який трафік, який явно не охоплений, блокується . Згодом до кожного інтерфейсу застосовуються вхідні та вихідні ACL, коригуючи поведінку відповідно до напрямку трафіку.
Варто вимкнути публічний доступ до інтерфейсів керування брандмауером і переконатися, що ви перевірили не лише роботу програм, але й ефективне блокування небажаного трафіку . Наприклад, слід перевірити, чи функції контролю на рівні програм (блокування веб-категорій, розширений аналіз файлів, IPS тощо) працюють належним чином.
Налаштування додаткових служб і журналів
Багато брандмауерів дозволяють увімкнути додаткові служби, такі як DHCP, NTP або IPS, безпосередньо на пристрої. Увімкніть лише ті служби, які ви фактично використовуватимете; вимкніть решту, щоб зменшити площу атаки.
Ще одним критичним аспектом є конфігурація ведення журналу. Щоб відповідати вимогам, таким як PCI DSS , брандмауер повинен надсилати детальні журнали на сервер ведення журналу або SIEM, що охоплюють такі аспекти, як хто отримує доступ до системи, звідки, до якої служби та з яким результатом. PCI DSS, наприклад, встановлює конкретні вимоги в розділах 10.2 та 10.3 щодо вмісту цих журналів.
Обсяг журналів може бути великим, але це єдиний спосіб перевірити доступ і виявити схеми атак або аномалії . Доцільно визначити політики для зберігання, ротації та моніторингу цих подій, щоб мати змогу швидко реагувати, коли щось здається не так.
Ретельно протестуйте конфігурацію
Перед розгортанням нової конфігурації брандмауера або після суттєвих змін важливо перевірити, чи блокує він те, що має, і чи дозволяє те, що необхідно . Це включає сканування портів, оцінку вразливостей та тестування на проникнення.
Також важливо мати резервні копії конфігурації в безпечному місці та протестувати процес відкату. Перш ніж вносити будь-які критичні зміни, задокументуйте заплановані модифікації та переконайтеся, що ви знаєте, як відновити брандмауер, якщо щось піде не так під час періоду обслуговування.
Брандмауер у мережах віртуальних серверів (приватна або публічна хмара)
На хмарних серверних платформах зазвичай використовується брандмауер мережевого рівня, який можна налаштувати з панелі керування, окрім власного брандмауера операційної системи та будь-яких проміжних брандмауерів. Розуміння порядку їх застосування допомагає уникнути конфліктів правил.
Зазвичай вхідні пакети спочатку проходять через мережевий брандмауер (керований платформою), потім через брандмауер сервера (наприклад, iptables у Linux або брандмауер Windows) і, нарешті, через будь-які додаткові програмні брандмауери. Вихідний трафік йде зворотним шляхом.
У цьому типі панелі конфігурація зазвичай базується на правилах з назвою, дією (дозволити чи заборонити), джерелом та призначенням (IP, діапазони, CIDR, "будь-який", "внутрішній", "зовнішній"), портами джерела та призначення (певний порт, діапазон або "будь-який") та протоколом (TCP, UDP, обидва або ICMP).
Ключовою деталлю є порядок правил : чим вище правило у списку, тим вищий його пріоритет. Правило «заборонити», розміщене перед правилом «дозволити» для того самого трафіку, призведе до блокування цього трафіку. Саме тому зазвичай можна змінювати порядок правил шляхом перетягування, щоб налаштувати пріоритети.
Якщо брандмауер вимкнено, всі пакети входять і виходять без фільтрації. В активному режимі поведінка за замовчуванням зазвичай полягає в тому, щоб «дозволити все, що не відповідає жодному правилу», хоча набагато безпечніше встановити політику заборони за замовчуванням і дозволяти лише те, що необхідно , особливо в середовищах з конфіденційними даними.
Брандмауер в операційній системі: Windows, macOS та Linux
Окрім брандмауера маршрутизатора та будь-якого хмарного мережевого брандмауера, кожна сучасна система має власний рівень захисту. Правильне його налаштування забезпечує глибокий захист , особливо корисний, якщо будь-який сервіс піддається впливу Інтернету або якщо зловмисник отримує доступ до локальної мережі.
Брандмауер Windows: базова та розширена конфігурація
У Windows вбудований брандмауер (брандмауер Захисника Windows або Брандмауер Захисника Microsoft) фільтрує трафік на основі попередньо визначених і налаштованих правил . Ви можете переглядати та керувати ним у програмі «Безпека Windows» у розділі «Захист брандмауера та мережі».
Перший крок – перевірити активний мережевий профіль: доменний, приватний чи публічний. Приватна мережа (наприклад, ваша домашня мережа) передбачає відносно надійне середовище та дозволяє більше вхідних з’єднань, тоді як публічна мережа (наприклад, Wi-Fi у кав’ярні) має суворіші правила та блокує майже все, що надходить ззовні.
З цього інтерфейсу ви можете вмикати або вимикати брандмауер для кожного типу мережі, хоча його вимикання не є гарною ідеєю, оскільки це збільшує вразливість до несанкціонованого доступу . Якщо легітимна програма не працює, оскільки вона заблокована, правильним підходом є створення винятку або відкриття для неї певного порту, а не вимикання всього брандмауера.
Додаткові налаштування керують правилами вхідного та вихідного зв’язку , які визначають, які з’єднання дозволені. Windows класифікує ці правила на чотири типи: правила програм (які дозволяють або блокують певний виконуваний файл), правила портів (які керують певними портами TCP/UDP), попередньо визначені правила (надаються системою) та користувацькі правила (найгнучкіші, що дозволяють поєднувати програму, порт, протокол та адресу).
Крім того, є опція блокування всіх вхідних з’єднань , включаючи ті, що знаходяться у списку дозволених. Це корисно, коли вам потрібна максимальна безпека, хоча це може призвести до перебоїв у роботі важливих служб (спільних файлів, віддаленого робочого столу тощо).
Багато організацій використовують централізовані інструменти керування, такі як Ivanti Endpoint Security Solution Agent Configuration . Ці інструменти дозволяють користувачам створювати політику брандмауера Windows та масово розгортати її на пристроях з різними версіями Windows (XP/2003, Vista та пізніших версій), визначаючи правила вхідного/вихідного зв’язку, винятки та активацію/деактивацію брандмауера як частину завдань конфігурації або відновлення.
Довідка, утиліти та визначення безпеки у брандмауері Windows
Детальне налаштування може бути дещо складним, тому існують інструменти, які спрощують повсякденні завдання. Наприклад, TinyWall діє як рівень управління над брандмауером Windows і дозволяє змінювати режими роботи (більш-менш обмежувальні), відображати активні з’єднання, створювати білі списки та запобігати блокуванню потрібних вам програм самим брандмауером.
Іншим прикладом є засіб керування брандмауером Windows , який інтегрується в системний трей і пропонує швидкий доступ до профілів (високий, середній, низький, без фільтра) та зручний інтерфейс для керування правилами, імпорту/експорту конфігурацій та активації режиму навчання, який виявляє програми з цифровим підписом для більш інтелектуального створення правил.
У корпоративних рішеннях безпеки, таких як Ivanti Endpoint Security, визначено конкретні загрози безпеці, пов’язані з брандмауером Windows (наприклад, ST000102 для брандмауера Windows у XP/2003). Ці визначення містять налаштовувані змінні, які дозволяють відстежувати, чи відповідає фактична конфігурація брандмауера бажаній політиці, і, якщо ні, позначати комп’ютер як вразливий і запускати завдання відновлення, щоб застосувати правильні налаштування.
Брандмауер у macOS
На Mac брандмауер налаштовується в розділі «Системні налаштування» (або «Системні параметри» у старіших версіях) у розділі «Мережа та брандмауер» . Там ви можете активувати його, а потім отримати доступ до додаткових параметрів, щоб вирішити, як обробляти вхідні з’єднання.
Серед іншого, ви можете блокувати небажані з’єднання , дозволяти лише необхідні програми та служби, контролювати, які конкретні програми можуть отримувати трафік, та ввімкнути автоматичне додавання довірених програм до списку дозволених. Це простіша система, ніж Windows, з точки зору деталізації портів, але дуже ефективна для пересічного користувача.
У корпоративному середовищі це зазвичай доповнюється централізовано керованими політиками безпеки, які гарантують, що всі комп'ютери Mac дотримуються однакових правил щодо відкритих служб і програм, яким дозволено отримувати з'єднання.
Брандмауер у Linux: UFW як простий варіант
У Linux, особливо в дистрибутивах, таких як Ubuntu, поширеною є практика керування iptables (або nftables) за допомогою зручніших інструментів. Одним з найпопулярніших є UFW (Uncomplicated Firewall) , який пропонує прості команди для активації брандмауера та визначення правил.
Встановлення виконується через менеджер пакетів (наприклад, «sudo apt-get install ufw»), і хоча UFW зазвичай вимкнено за замовчуванням, перед увімкненням рекомендується перевірити його стан за допомогою «sudo ufw status». Не вмикайте його без попереднього визначення основних правил , оскільки це заблокує всі вхідні з’єднання, і ви можете втратити віддалений доступ.
Типові правила включають дозвіл SSH («sudo ufw allow ssh») для підтримки віддаленого доступу, відкриття HTTP та HTTPS («sudo ufw allow http», «sudo ufw allow https») для веб-серверів , а потім додавання портів за потреби. Після встановлення основних правил брандмауер вмикається за допомогою «sudo ufw enable», а його стан перевіряється за допомогою «sudo ufw status», який відображає список дозволених служб і портів.
Оскільки Linux вже є досить надійною системою, налаштування UFW забезпечує додатковий рівень безпеки, що дуже рекомендується , особливо на серверах, доступних з Інтернету.
Сегментація мережі, політики та запобігання крадіжці облікових даних
Однією з найефективніших стратегій підвищення безпеки є сегментація мережі . Завдяки розділенню мережі на сегменти (за функцією, типом пристрою, рівнем ризику), трафік з одного сегмента не видно з іншого, що зменшує вплив будь-якого інциденту.
Це особливо актуально для пристроїв Інтернету речей, які часто працюють на старих, вразливих системах. Розміщення їх у віртуальних локальних мережах (VLAN) або ізольованих зонах та суворе обмеження їх доступу мінімізує ризик збою IP-камери або датчика, що може поставити під загрозу всю корпоративну мережу.
Ще однією ключовою проблемою є оптимізація політики брандмауера . Додавання правил без їх перевірки призводить до хаотичного накопичення, конфліктів та майже некерованого брандмауера. В ідеалі, вам слід перейти від правил на основі портів до правил на основі програм, чітко бачити, які служби дозволені або заборонені, та періодично переглядати їх, щоб видалити застарілі записи.
Деякі розширені брандмауери містять функції для запобігання крадіжці корпоративних облікових даних . Вони сканують спроби входу (ім'я користувача та пароль) та зіставляють їх із внутрішніми списками облікових записів організації, блокуючи їх використання на зовнішніх сайтах, таких як соціальні мережі або сервіси, не пов'язані з бізнесом. Вони також можуть відображати попередження користувачеві, що пояснюють ризики повторного використання робочих облікових даних.
Такі типи контролю не лише зупиняють прямі атаки, але й служать інструментом підвищення обізнаності про безпеку , роблячи вплив звичок використання паролів поза корпоративним середовищем більш помітним для співробітників.
Що станеться, якщо вимкнути брандмауер (і чому не слід цього робити)
Часто трапляється, що хтось, у кого виникають проблеми з програмою чи онлайн-грою, намагається вимкнути брандмауер, «щоб перевірити, чи вирішить це проблему ». І так, іноді це вирішує безпосередню проблему, але відкриває двері для низки ризиків, які не одразу очевидні.
Без брандмауера система піддається зовнішнім загрозам, таким як шкідливе програмне забезпечення, трояни, віруси та інші атаки , які можуть бути встановлені без жодних бар'єрів. Зловмисники можуть спробувати сканувати порти маршрутизатора та, якщо правила NAT також слабкі, знайти погано захищені служби та використовувати їх як точки входу.
Брандмауер також контролює вихідні дані : без нього будь-яка шкідлива програма мала б повну свободу надсилати конфіденційну інформацію у зовнішній світ. Крім того, багато програм покладаються на брандмауер для буферизації атак сканування портів або незначних DDoS-атак; його вимкнення усуває цей буфер.
Якщо програма не працює через брандмауер, професійне рішення полягає не в тому, щоб його вимкнути, а у створенні спеціального правила, яке дозволяє необхідний трафік , перевірці, чи потрібно маршрутизатору відкривати якісь порти, та узгодженні правил, щоб не було конфліктів між локальним брандмауером та брандмауером мережевого обладнання.
Співіснування кількох брандмауерів: маршрутизатора та ПК одночасно
Коли на вашому маршрутизаторі є брандмауер, а на ПК — ще один (наприклад, брандмауер Windows), весь вхідний трафік спочатку проходить через маршрутизатор, а потім через ваш комп’ютер. Такий дворівневий захист, за умови правильного налаштування, підвищує загальну безпеку, оскільки збій на одному рівні може бути компенсований іншим.
Однак, слід бути обережним з несумісними правилами . Якщо маршрутизатор блокує порт, дозволений брандмауером ПК, або навпаки, ви можете виявити служби, які не працюють, і не знати, який із двох рівнів спричиняє проблему.
На практиці найрозумнішим підходом є використання брандмауера маршрутизатора як основного периметрального бар'єру , пропускаючи лише те, що дійсно необхідно, з Інтернету, тоді як брандмауер ПК контролює трафік між пристроями в локальній мережі та будь-яке підозріле вихідне повідомлення. Це, у поєднанні з добре налаштованим NAT та уникненням надмірного використання DMZ та UPnP, забезпечує дуже надійний рівень захисту для домашнього середовища або невеликого офісу.
Зрештою, розуміння того, як працюють різні брандмауери (маршрутизатор, операційна система, хмара, корпоративний NGFW) та як вони пов'язані між собою, дозволяє приймати більш обґрунтовані рішення: які сервіси розкривати, де сегментувати, які журнали зберігати та як налаштувати правила для підтримки балансу між безпекою та зручністю використання у вашій мережі та на пристроях.
