Το firewall αποτελεί βασικό έλεγχο ασφάλειας δικτύου, αλλά ο ρόλος του συχνά περιγράφεται υπερβολικά απλά ως «φράγμα ανάμεσα στην επιχείρηση και το Internet».
Στην πράξη, ένα firewall ελέγχει τη ροή δικτυακής κίνησης μεταξύ δικτύων ή συστημάτων με διαφορετικές απαιτήσεις ασφάλειας. Μπορεί να χρησιμοποιείται στο όριο με το Internet, μεταξύ εσωτερικών network segments ή ακόμη και σε έναν μεμονωμένο υπολογιστή.
Η αποτελεσματικότητά του εξαρτάται από το πού έχει τοποθετηθεί, ποιες δυνατότητες διαθέτει και, κυρίως, από τους κανόνες και τη συνεχή διαχείρισή του.
Τι είναι ένα Firewall;
Ένα firewall είναι συσκευή ή πρόγραμμα που ελέγχει το network traffic σύμφωνα με καθορισμένη πολιτική.
Ανάλογα με την τεχνολογία και τη διαμόρφωση, μπορεί να εξετάζει διαφορετικά χαρακτηριστικά της επικοινωνίας και να αποφασίζει ποια κίνηση επιτρέπεται ή απορρίπτεται.
Ο στόχος δεν είναι να «μαντεύει» αν κάθε σύνδεση είναι επικίνδυνη. Ο στόχος είναι να επιβάλλει συγκεκριμένους κανόνες για το ποια συστήματα και υπηρεσίες επιτρέπεται να επικοινωνούν.
Network Firewall και Host-Based Firewall
Δεν υπάρχει μόνο ένας τύπος firewall.
Network Firewall
Ένα network firewall ελέγχει traffic που περνά από ένα σημείο του δικτύου. Μπορεί, για παράδειγμα, να βρίσκεται μεταξύ του εταιρικού LAN και του Internet ή μεταξύ διαφορετικών εσωτερικών network zones.
Host-Based Firewall
Ένα host-based firewall λειτουργεί σε συγκεκριμένο endpoint ή server και ελέγχει δικτυακές επικοινωνίες προς ή από αυτό το σύστημα.
Οι δύο προσεγγίσεις δεν είναι απαραίτητα ανταγωνιστικές. Σε μια layered αρχιτεκτονική μπορούν να χρησιμοποιούνται μαζί, ώστε ένας έλεγχος στο network perimeter να μην αποτελεί το μοναδικό σημείο προστασίας.
1. Μην επιτρέπετε περισσότερη πρόσβαση από όση χρειάζεται
Μία από τις σημαντικότερες αρχές firewall policy είναι ότι πρέπει να επιτρέπεται η επικοινωνία που εξυπηρετεί πραγματική επιχειρησιακή ανάγκη και να περιορίζεται η υπόλοιπη.
Αν μια υπηρεσία δεν χρειάζεται να είναι προσβάσιμη από το Internet, δεν υπάρχει λόγος να εκτίθεται απλώς επειδή αυτή είναι η προεπιλεγμένη ρύθμιση.
Οι κανόνες πρέπει να είναι όσο γίνεται συγκεκριμένοι ως προς τις πηγές, τους προορισμούς, τις υπηρεσίες και τις επιτρεπόμενες ροές, σύμφωνα με τις πραγματικές ανάγκες του περιβάλλοντος.
2. Ελέγξτε τόσο το Inbound όσο και το Outbound Traffic
Η ασφάλεια firewall δεν αφορά μόνο τις εισερχόμενες συνδέσεις από το Internet.
Ανάλογα με την αρχιτεκτονική και τον κίνδυνο, μπορεί να χρειάζονται και κανόνες για εξερχόμενη επικοινωνία. Για παράδειγμα, ένας server που δεν χρειάζεται γενική πρόσβαση στο Internet δεν είναι απαραίτητο να μπορεί να επικοινωνεί ανεξέλεγκτα με οποιονδήποτε εξωτερικό προορισμό.
Τα outbound controls πρέπει να σχεδιάζονται προσεκτικά ώστε να υποστηρίζουν τις νόμιμες λειτουργίες, updates και άλλες απαιτούμενες υπηρεσίες χωρίς περιττή έκθεση.
3. Χρησιμοποιήστε το Firewall και για Network Segmentation
Ένα firewall δεν χρειάζεται να βρίσκεται μόνο μεταξύ του Internet και του εσωτερικού δικτύου.
Μπορεί να χρησιμοποιείται μαζί με VLANs, ACLs και άλλα network controls για τη δημιουργία ορίων μεταξύ διαφορετικών κατηγοριών συστημάτων.
Για παράδειγμα, μια επιχείρηση μπορεί να έχει διαφορετικά segments για:
- εταιρικούς υπολογιστές,
- servers,
- guest Wi-Fi,
- IoT ή άλλες λιγότερο έμπιστες συσκευές,
- administrative ή management systems.
Ο διαχωρισμός δεν έχει αξία μόνο επειδή δημιουργήθηκαν διαφορετικά VLANs. Χρειάζονται κατάλληλοι κανόνες που καθορίζουν ποια επικοινωνία επιτρέπεται μεταξύ των zones.
Η σωστή segmentation μπορεί να περιορίσει την πρόσβαση σε σημαντικά assets και να δυσκολέψει την ανεξέλεγκτη lateral movement μετά από μια αρχική παραβίαση.
4. Προστατεύστε τις υπηρεσίες που είναι εκτεθειμένες στο Internet
Κάθε υπηρεσία που δημοσιεύεται προς το Internet πρέπει να έχει σαφή επιχειρησιακό λόγο ύπαρξης.
Ελέγξτε ποια ports και services είναι πραγματικά απαραίτητα και αφαιρέστε παλιούς κανόνες για συστήματα ή εφαρμογές που δεν χρησιμοποιούνται πλέον.
Για δημόσιες υπηρεσίες μπορεί επίσης να χρειάζεται κατάλληλη αρχιτεκτονική διαχωρισμού από το εσωτερικό LAN, ανάλογα με την υποδομή και την κρισιμότητά τους.
Το γεγονός ότι μια σύνδεση περνά από firewall δεν σημαίνει από μόνο του ότι η εφαρμογή πίσω από αυτή είναι ασφαλής. Το ίδιο το σύστημα πρέπει να ενημερώνεται και να προστατεύεται.
5. Προσέξτε ιδιαίτερα το Remote Access
VPN gateways και άλλες υπηρεσίες απομακρυσμένης πρόσβασης αποτελούν σημαντικά σημεία ελέγχου, επειδή επιτρέπουν σύνδεση από εξωτερικά δίκτυα προς εταιρικούς πόρους.
Δημοσιεύστε μόνο τις υπηρεσίες remote access που πραγματικά χρειάζονται, διατηρήστε τις ενημερωμένες και προστατεύστε τους σχετικούς λογαριασμούς με κατάλληλη αυθεντικοποίηση και MFA.
Αποφύγετε να εκθέτετε απευθείας administrative υπηρεσίες στο Internet όταν δεν υπάρχει τεκμηριωμένη ανάγκη και ασφαλής σχεδιασμός.
6. Προστατεύστε το Management Interface του Firewall
Το ίδιο το firewall αποτελεί κρίσιμο security asset. Αν κάποιος αποκτήσει μη εξουσιοδοτημένη administrative πρόσβαση, μπορεί να αλλάξει τους κανόνες που προστατεύουν το δίκτυο.
Η πρόσβαση στη διαχείριση πρέπει να περιορίζεται σε εξουσιοδοτημένους administrators και από κατάλληλα trusted δίκτυα ή management systems.
Αποφύγετε Internet-accessible management interfaces όταν δεν υπάρχει πραγματική ανάγκη. Χρησιμοποιήστε ισχυρή αυθεντικοποίηση, ασφαλή management protocols και MFA όπου υποστηρίζεται και είναι κατάλληλο.
Τα default administrative credentials πρέπει να αλλάζουν και οι λογαριασμοί που δεν χρειάζονται πλέον να αφαιρούνται ή να απενεργοποιούνται.
7. Διατηρήστε το Firewall ενημερωμένο
Firewalls, routers και security appliances χρησιμοποιούν firmware ή λογισμικό που επίσης μπορεί να περιέχει ευπάθειες.
Η επιχείρηση πρέπει να γνωρίζει ποιο μοντέλο και ποια έκδοση χρησιμοποιεί, να παρακολουθεί την επίσημη τεκμηρίωση και τα security advisories του κατασκευαστή και να εφαρμόζει τις κατάλληλες ενημερώσεις σύμφωνα με οργανωμένη διαδικασία.
Εξοπλισμός που έχει φτάσει στο τέλος της υποστήριξής του χρειάζεται αξιολόγηση, ιδιαίτερα όταν δεν λαμβάνει πλέον security fixes.
8. Ενεργοποιήστε κατάλληλο Logging
Ένα firewall μπορεί να παρέχει σημαντικές πληροφορίες για επιτρεπόμενες και απορριφθείσες επικοινωνίες, administrative actions και άλλα security-relevant events.
Το logging πρέπει να διαμορφώνεται ώστε να παρέχει χρήσιμη ορατότητα χωρίς να δημιουργεί τεράστιο όγκο δεδομένων που κανείς δεν εξετάζει.
Ανάλογα με το περιβάλλον, μπορεί να χρειάζεται κεντρική συλλογή logs και alerts για γεγονότα όπως:
- επαναλαμβανόμενες αποτυχημένες προσπάθειες σύνδεσης,
- αλλαγές στους firewall rules,
- administrative logins,
- ασυνήθιστη εισερχόμενη ή εξερχόμενη κίνηση,
- security alerts που παράγει η συσκευή.
Τα logs πρέπει επίσης να προστατεύονται από μη εξουσιοδοτημένη αλλαγή ή διαγραφή σύμφωνα με τις ανάγκες της επιχείρησης.
9. Επανεξετάζετε τους Firewall Rules
Ένα συχνό operational πρόβλημα δεν είναι η απουσία firewall, αλλά η συσσώρευση παλιών κανόνων.
Μια προσωρινή εξαίρεση μπορεί να παραμείνει για χρόνια, μια εφαρμογή μπορεί να έχει αποσυρθεί ή ένα σύστημα να έχει αλλάξει διεύθυνση και ρόλο.
Για αυτό οι κανόνες πρέπει να επανεξετάζονται περιοδικά και μετά από σημαντικές αλλαγές στην υποδομή.
Για κάθε σημαντική εξαίρεση είναι χρήσιμο να είναι γνωστό γιατί υπάρχει, ποιο σύστημα εξυπηρετεί και ποιος είναι υπεύθυνος για αυτή.
10. Διατηρήστε ασφαλές Backup της διαμόρφωσης
Όπου υποστηρίζεται, διατηρήστε ασφαλές backup της firewall configuration ώστε η επιχείρηση να μπορεί να επαναφέρει ελεγχόμενα τη συσκευή μετά από αστοχία, λανθασμένη αλλαγή ή αντικατάσταση εξοπλισμού.
Τα configuration backups πρέπει να προστατεύονται κατάλληλα, επειδή μπορεί να περιέχουν ευαίσθητες πληροφορίες για τη δικτυακή αρχιτεκτονική, τους κανόνες και άλλες ρυθμίσεις.
Τι δεν μπορεί να κάνει ένα Firewall μόνο του;
Το firewall είναι σημαντικό επίπεδο άμυνας, αλλά δεν αποτελεί ολοκληρωμένη στρατηγική κυβερνοασφάλειας.
Δεν αντικαθιστά:
- endpoint protection,
- ασφαλή identities και MFA,
- patch και vulnerability management,
- email και phishing protection,
- προστατευμένα backups,
- security monitoring και incident response,
- εκπαίδευση εργαζομένων.
Για παράδειγμα, ένας χρήστης μπορεί να συνδεθεί σε μια νόμιμα επιτρεπόμενη cloud υπηρεσία χρησιμοποιώντας κλεμμένα credentials. Το γεγονός ότι η επικοινωνία πέρασε κανονικά από το firewall δεν σημαίνει ότι το firewall μπορούσε από μόνο του να αποτρέψει την κατάχρηση του λογαριασμού.
Χρειάζεται μια μικρή επιχείρηση ακριβό Enterprise Firewall;
Όχι απαραίτητα. Το κατάλληλο firewall εξαρτάται από την πραγματική υποδομή και τις απαιτήσεις της επιχείρησης.
Κατά την επιλογή λύσης εξετάστε:
- τον αριθμό χρηστών και το αναμενόμενο network traffic,
- τις Internet-facing και remote-access υπηρεσίες,
- την ανάγκη για segmentation,
- τις δυνατότητες logging και monitoring,
- τον τρόπο ασφαλούς administration,
- την υποστήριξη και το lifecycle του προϊόντος,
- τις πραγματικές security λειτουργίες που χρειάζεται το περιβάλλον.
Οι εμπορικές ονομασίες και τα feature lists δεν αντικαθιστούν τη σωστή αρχιτεκτονική και configuration.
Firewall Checklist για Μικρές Επιχειρήσεις
- Γνωρίζουμε ποιο firewall προστατεύει κάθε σημαντικό network boundary.
- Επιτρέπεται μόνο η δικτυακή επικοινωνία που χρειάζεται πραγματικά.
- Έχουμε ελέγξει τόσο inbound όσο και απαραίτητα outbound rules.
- Οι Internet-facing υπηρεσίες είναι καταγεγραμμένες και απαραίτητες.
- Το management interface δεν είναι άσκοπα εκτεθειμένο.
- Οι administrator λογαριασμοί είναι περιορισμένοι και προστατευμένοι.
- Το firmware ή software του firewall ενημερώνεται.
- Υπάρχει κατάλληλο logging και κάποιος εξετάζει τα σημαντικά alerts.
- Οι κανόνες επανεξετάζονται και παλιές εξαιρέσεις αφαιρούνται.
- Υπάρχει ασφαλές configuration backup όπου υποστηρίζεται.
- Το firewall λειτουργεί μαζί με segmentation, endpoint, identity και άλλα security controls.
Το Firewall είναι πολιτική και διαχείριση, όχι απλώς μια συσκευή
Η αγορά ενός firewall δεν αρκεί για να προστατεύσει μια επιχείρηση. Η πραγματική αξία του βρίσκεται στους κανόνες που εφαρμόζει, στα network boundaries που προστατεύει και στη συνεχή διαχείρισή του.
Ένα σωστά σχεδιασμένο firewall policy περιορίζει την περιττή επικοινωνία, προστατεύει κρίσιμα τμήματα του δικτύου και παρέχει χρήσιμη ορατότητα για ύποπτη δραστηριότητα.
Παράλληλα, πρέπει να αποτελεί μέρος μιας layered στρατηγικής μαζί με identities, endpoints, updates, monitoring, backups και incident response.
Πώς μπορεί να βοηθήσει η DataShield.gr;
Η DataShield.gr μπορεί να αξιολογήσει τη δικτυακή αρχιτεκτονική και τις βασικές firewall ρυθμίσεις μιας επιχείρησης, εντοπίζοντας περιττή έκθεση, παλιούς κανόνες, προβλήματα segmentation, management access και logging.
Οι κατάλληλες αλλαγές εξαρτώνται από τον υπάρχοντα εξοπλισμό, τις εφαρμογές, τις απομακρυσμένες συνδέσεις και τις πραγματικές επιχειρησιακές ανάγκες.
Επικοινωνήστε με τη DataShield.gr για μια αρχική αξιολόγηση της ασφάλειας του εταιρικού δικτύου σας.
