Firewall to monitorowana i kontrolowana granica między siecią a resztą Internetu. Jej celem jest ochrona sieci przed cyberzagrożeniami oraz złośliwym lub niechcianym ruchem sieciowym. Zapora sieciowa to pierwsza linia obrony. Można ją traktować jako potężny mur wokół firmy, chroniący zasoby cyfrowe przed cyberzagrożeniami.
Czym jest Firewall (zapora sieciowa)?
Reguły firewall (zapory sieciowej) regulują, jaki ruch może przechodzić przez sieć. Cały ruch sieciowy próbuje dotrzeć do celu identyfikowanego za pomocą adresu protokołu internetowego (IP) i portu. Istnieją setki portów, każdy jest numerowany i każdy, formalnie lub umownie, ma określone przeznaczenie.
To musisz wiedzieć:
- Zapora sieciowa jest niezbędna do ochrony sieci przed cyberzagrożeniami poprzez kontrolowanie ruchu przychodzącego i wychodzącego w oparciu o określone reguły.
- Tradycyjne zapory sieciowe wykorzystują filtrowanie pakietów, aby przepuszczać tylko zatwierdzony ruch, blokując jednocześnie cały pozostały, co podkreśla potrzebę prawidłowej konfiguracji w celu zapewnienia skuteczności.
- Zapory sieciowe nowej generacji oferują zwiększone bezpieczeństwo poprzez analizę zawartości pakietów sieciowych. Umożliwia to bardziej precyzyjną kontrolę nad wykorzystaniem aplikacji i pomaga zmniejszyć ryzyko wystąpienia różnych zagrożeń.
- Różne typy zapór sieciowych, takie jak zapory aplikacji internetowych, zapory baz danych i zapory chmurowe, zaspokajają specyficzne potrzeby bezpieczeństwa i oferują dostosowaną ochronę dla różnych obszarów sieci.
- Utrzymanie skutecznej zapory sieciowej wymaga regularnych aktualizacji, starannej konfiguracji i ścisłego przestrzegania procedur bezpieczeństwa, aby uniknąć typowych błędów, które mogą prowadzić do powstania luk w zabezpieczeniach.
Różne rodzaje ruchu sieciowego korzystają z portów dedykowanych do tego typu ruchu:
- Ruch sieciowy protokołu Hyper-Text Transport Protocol (HTTP) będzie domyślnie korzystał z portu 80.
- Bezpieczny protokół HTTP (HTTPS) będzie korzystał z portu 443.
- E-maile dostarczane za pośrednictwem protokołu SMTP (Simple Mail Transfer Protocol) będą korzystały z portu 25.
- E-maile dostarczane za pośrednictwem protokołu IMAP (Internet Message Access Protocol) będą korzystały z portu 143.
- Pracownicy zdalni, którzy chcą połączyć się z Twoim biurem, mogą korzystać z protokołu RDP (Remote Desktop Protocol), obsługiwanego przez port 3389.
Wszystkie te porty wymagają reguł, aby zapora sieciowa mogła egzekwować politykę bezpieczeństwa dotyczącą ruchu wchodzącego i wychodzącego z sieci. Nacisk na bezpieczeństwo zazwyczaj kładziony jest na ruch wchodzący do sieci, ale zapora sieciowa może równie dobrze kontrolować ruch wychodzący z sieci.
Istnieje wiele różnych typów zapór sieciowych. Zwrócimy uwagę na różnice między głównymi grupami zapór sieciowych. Rozważymy tutaj tylko zapory sieciowe sprzętowe, a nie programowe, takie jak osobista zapora sieciowa wbudowana w system Microsoft Windows.
Tradycyjny Firewall
Firewall (zapory sieciowe) filtrujące pakiety to te, które opisaliśmy powyżej. Zapewniają one ochronę, uniemożliwiając dostęp do sieci firmowej niechcianemu ruchowi – składającemu się z wielu małych pakietów informacji – oraz podejrzanym połączeniom. Działają poprzez stosowanie zestawu reguł do ruchu i portów oraz zezwalanie lub blokowanie dostępu zgodnie z tymi regułami.
Jedyny ruch dozwolony przez zaporę to ruch spełniający warunki reguł oparte na kryteriach takich jak adres IP źródłowy, adres IP docelowy, numer portu i protokół. Wszystkie pozostałe są blokowane.
Te zapory są bardzo skuteczne – pod warunkiem, że są poprawnie skonfigurowane. Większość udanych naruszeń zapór wynika z błędnej konfiguracji reguł zapory lub nieaktualnego oprogramowania sprzętowego. Należy pamiętać, że im bardziej zaawansowana zapora, tym bardziej skomplikowana jest jej konfiguracja.
Firewall nowej generacji
Te zapory sieciowe rozszerzają możliwości standardowej zapory sieciowej. Standardowe zapory sieciowe działają poprzez filtrowanie pakietów i przepuszczanie pakietów spełniających kryteria reguły. Wszystkie pozostałe są filtrowane. Zapora sieciowa nowej generacji wykorzystuje inspekcję pakietów, aby dokładniej przeanalizować rodzaj ruchu.
Jeśli tradycyjna zapora sieciowa to strażnik graniczny, który sprawdza Twoją historię, dokumenty i pyta o cel podróży, zapora sieciowa nowej generacji robi to wszystko, a następnie przeszukuje Twój bagaż. Analizuje zawartość każdego pakietu sieciowego i łączy te informacje z regułami zapory, aby podjąć bardziej świadomą i szczegółową decyzję o przepuszczeniu lub zablokowaniu ruchu.
Na przykład możesz zezwolić pracownikom na korzystanie z internetu w przerwie obiadowej, ale nie chcesz, aby pobierali torrenty ani korzystali z wideorozmów. Zapory sieciowe nowej generacji pozwalają na bardzo precyzyjne określenie sposobu korzystania z aplikacji. Możesz na przykład zezwolić na rozmowy głosowe przez Skype’a, ale nie na przesyłanie plików.
Urządzenia te oferują bardzo wysoki poziom ochrony, dlatego ich posiadanie jest czasami wymogiem koniecznym do uzyskania certyfikacji lub zgodności ze standardami takimi jak Payment Card Industry Data Security Standard (PCI-DSS), Health Insurance Portability and Accountability Act (HIPAA) lub rodzina norm ISO/IEC 27001 Information Security Management.
Szczegółowy poziom kontroli nad przepływem danych do i z sieci pozwala ograniczyć ryzyko wystąpienia szerszej gamy zagrożeń, w tym ze strony niekompetentnych pracowników i niezadowolonych pracowników. Zapora sieciowa nowej generacji zazwyczaj obsługuje również inne funkcje bezpieczeństwa. Mogą być one dostępne od razu lub jako opcjonalne dodatki, czasami w ramach modelu subskrypcji. Wykrywanie włamań, skanowanie w poszukiwaniu złośliwego oprogramowania i inspekcja szyfrowanego ruchu to typowe elementy tych dodatkowych funkcji, często objętych zbiorczym terminem „ochrona bramy”.
Inspekcja pakietu sieciowego zajmuje niewiele czasu. Jednak w przypadku sieci o dużym natężeniu ruchu te niewielkie ilości danych sumują się i mogą powodować opóźnienia w przepustowości. Aby uniknąć degradacji sieci, konieczne może być zastosowanie większej liczby zapór sieciowych i współdzielenia obciążenia lub szybszych, wydajniejszych i droższych urządzeń zbudowanych z myślą o obsłudze dużych ilości danych.
Firewall aplikacji internetowych
Firewall aplikacji internetowych (WAF) zazwyczaj składa się z serwera proxy, który znajduje się pomiędzy aplikacją działającą na serwerze a zdalnymi użytkownikami tej aplikacji, którzy uzyskują do niej dostęp przez Internet. Serwer proxy działa jako pośrednik w przesyłaniu wiadomości, akceptując połączenia od użytkowników i komunikując się z aplikacją na serwerze w ich imieniu. To pośredniczenie w połączeniach zapewnia ochronę przed skanowaniem portów i innymi złośliwymi zagrożeniami, takimi jak ataki z wykorzystaniem błędnie sformatowanych pakietów. Błędnie sformatowane połączenia kończą się niepowodzeniem na serwerze proxy, a nie na serwerze aplikacji.
Zapory sieciowe aplikacji internetowych zapewniają bezpieczny bufor między serwerem aplikacji internetowych, nieszkodliwymi użytkownikami i złośliwymi podmiotami atakującymi.
Zapory sieciowe aplikacji internetowych są zaprojektowane z myślą o prostocie i szybkości działania, z naciskiem na prostotę i szybkość. Wbrew intuicji, prostota sprawia, że są one mniej podatne na ataki i luki w zabezpieczeniach niż same serwery aplikacji internetowych, a także łatwiejsze w utrzymaniu i aktualizacji.
Aplikacje internetowe, z definicji, są projektowane z myślą o dostępie z Internetu, a popularna aplikacja może odbierać ogromne ilości ruchu. Dla niektórych organizacji jest to wystarczający powód, aby rozdzielić potrzeby związane z korporacyjnymi zaporami sieciowymi i posiadać zaporę dedykowaną dla sieci oraz zaporę aplikacji webowych dla ruchu aplikacji webowych. Zapora sieciowa obsługująca duży ruch webowy jest tańsza niż zapora sieciowa obsługująca duży ruch.
Firewall baz danych
Są to wyspecjalizowane zapory sieciowe aplikacji internetowych, dostosowane do potrzeb aplikacji bazodanowych skierowanych do Internetu. Ich konstrukcja obejmuje funkcje, które wykrywają i neutralizują ataki specyficzne dla baz danych, takie jak SQL injection i cross-site scripting (XSS). Wycieki danych to złe wieści dla wszystkich, powodując utratę reputacji, utratę zaufania do użytkowników i możliwe kary nakładane przez organy nadzoru. Zrozumiałe jest, że konieczne jest podjęcie wszelkich uzasadnionych kroków w celu ochrony baz danych i zawartych w nich danych.
Zapory sieciowe baz danych zazwyczaj zawierają panel, który umożliwia przeglądanie, analizowanie i raportowanie ruchu i dostępu do baz danych. W zależności od charakteru danych w bazie danych, może to pomóc w wykazaniu zgodności ze standardami i innymi wymogami regulacyjnymi.
Firewall w chmurze
Najprościej można je opisać jako zapory sieciowe jako usługę. Są to hostowane w chmurze zapory sieciowe dostarczane przez wyspecjalizowanych dostawców. Charakteryzują się wysoką dostępnością, skalowalnością, są w stanie obsłużyć ogromne wzrosty ruchu i mogą oferować pewien stopień ochrony przed atakami typu „odmowa usługi” (DoS). Są one konserwowane i konfigurowane przez specjalistów od zapór sieciowych, dzięki czemu nie potrzebujesz specjalistów w swojej firmie.
Zmiany lokalne są minimalne, często polegają jedynie na przekierowaniu ruchu z routerów firmowych do zapory sieciowej w chmurze. Użytkownicy zdalni lub mobilni mogą łączyć się z nią za pośrednictwem wirtualnej sieci prywatnej (VPN) lub używając jej jako serwera proxy sieciowego.
Zapory sieciowe w chmurze są szczególnie przydatne w organizacjach z wieloma lokalizacjami. Każda lokalizacja może być chroniona tą samą technologią zapory sieciowej bez konieczności kierowania całego ruchu przez centralną zaporę sieciową na miejscu lub zakupu, konfiguracji i wdrażania wielu zapór sieciowych w całym środowisku IT.
Zapory kontenerowe
Zapory kontenerowe zostały zaprojektowane specjalnie z myślą o wyzwaniach związanych z wirtualizacją przetwarzania poza siedzibą firmy w kontenerach. Działają one bardzo podobnie do tradycyjnych zapór sieciowych, ale muszą radzić sobie z dodatkową złożonością związaną z obsługą zarówno ruchu w środowisku kontenerowym, jak i ruchu przychodzącego z nieskonteneryzowanego świata zewnętrznego oraz ruchu sieciowego wysyłanego do tego nieskonteneryzowanego świata zewnętrznego.
Ponieważ większość hiperwizorów kontenerowych działa w systemie Linux, możliwe jest zainstalowanie zapory programowej na wielu kontenerach. Jednak w przypadku administrowania większą liczbą kontenerów niż kilka, narzut związany z utrzymaniem zapory dla każdego z nich staje się nie do utrzymania.
Zapory sieciowe segmentujące sieć
Zapora segmentująca sieć służy do ochrony pododdziałów w sieci korporacyjnej, które zostały wydzielone w celu obsługi obszarów funkcjonalnych, zespołów, działów lub innych wymagań segregacyjnych. Często służą one do wewnętrznego oddzielenia obszarów przetwarzających poufne dane, takie jak dane kart płatniczych. Wraz z innymi środkami, takimi jak fizyczna kontrola dostępu, mogą stanowić część ochrony wymaganej do spełnienia standardu takiego jak PCI-DSS.
Są one również wdrażane na granicach podsieci, działając jak grodzie w łodzi podwodnej. W przypadku naruszenia bezpieczeństwa w jednym obszarze mogą pomóc powstrzymać lub spowolnić rozprzestrzenianie się włamania lub infekcji.
Zapory sieciowe segmentujące sieć są najbardziej przydatne dla dużych organizacji lub firm z rozległymi i złożonymi granicami sieci, które są trudne do zabezpieczenia.