6 Best Practices for Secure Network Firewall Configuration

En firewall er en netværkssikkerhedsstruktur, der kan hjælpe med at beskytte dit netværk ved at overvåge netværkstrafikken og blokere for uvedkommende fra at få uautoriseret adgang til private data på dit computersystem baseret på forudbestemte regler. En netværksfirewall etablerer en barriere mellem et net, der er tillid til, og et net, der ikke er tillid til.

En netværksfirewall blokerer desuden ikke kun for trafik, der ikke er tillid til, men blokerer også skadelig software, der kan inficere din computer, mens den lader legitim trafik passere. Netværksfirewalls fungerer normalt som den første forsvarslinje i sikkerheden på dit hjemmenetværk.

8 Typer af firewalls

Der findes forskellige typer af firewalls; de kategoriseres dog normalt som enten et værtsbaseret system eller et netværksbaseret system. Ligeledes kan netværksfirewall-sikkerhedsapparater tilbyde ikke-firewall-funktioner, herunder VPN (Virtual Private Network) eller DHCP (Dynamic Host Configuration Protocol). Følgende er de mest almindelige typer firewalls.

Pakkefiltrerende firewalls

Dette er den ældste og mest grundlæggende
type, der skaber et kontrolpunkt for pakker, der overføres mellem computere. Pakkerne filtreres efter kilde- og destinationsprotokol, IP-adresse, destinationsporte og andre oplysninger på overfladeniveau uden at åbne pakken for at inspicere dens indhold.

Hvis informationspakken ikke opfylder inspektionsstandarden, droppes den. Disse typer firewalls er ikke ekstremt ressourcekrævende. De er dog relativt nemme at omgå sammenlignet med firewalls med en mere robust inspektionskompetence.

Gateways på kredsløbsniveau

I modsætning til pakkefiltrerende firewalls er gateways på kredsløbsniveau ekstremt ressourcekrævende. Denne firewalltype fungerer ved at verificere TCP-håndslaget (Transmission Control Protocol). TCP-håndslaget er en kontrol, der skal sikre, at sessionspakken er fra en autentisk kilde.

Gateways på kredsløbsniveau er forenklede typer firewalls, der er beregnet til hurtigt og enkelt at afvise eller godkende trafik uden at bruge betydelige computerressourcer. Denne firewalltype inspicerer ikke desto mindre ikke selve pakken. Hvis en pakke har malware, men indeholder den rigtige TCP-handshake, vil den passere igennem.

Gateways på applikationsniveau/lag 7

Proxy firewalls kører på laget på applikationsniveau for at filtrere indgående trafik mellem netværkskilden og dit netværk. Disse firewalltyper leveres via en cloudbaseret løsning eller andre proxysystemer. Proxyfirewalls ser både på pakken og TCP-håndshakeprotokollen. Selv om den også kan foretage deep-layer-pakkeinspektioner for at bekræfte, at den ikke har malware.

Den store fordel ved filtrering i applikationslaget er, at den kan forstå specifikke applikationer og protokoller, herunder Hyper-Text Transfer Protocol (HTTP), Domain Name System (DNS) eller File Transfer Protocol (FTP).

Stateful inspection firewalls

Stateful inspection firewalls sammensmelter både TCP handshake-godkendelse og pakkeinspektion for at etablere netværkssikkerhed end det, som pakkefiltrerende firewalls eller gateways på kredsløbsniveau kan garantere alene. Selv om denne firewalltype bremser overførslen af autentiske pakker i modsætning til de to andre arkitekturer.

Cloud firewalls

Den vigtigste fordel ved cloud-baserede firewalls er, at det er utrolig nemt at skalere med din organisation. Firewalls i skyen kaldes også for firewall-as-a-service (FaaS). Cloud firewalls betragtes som svarende til proxy firewalls, fordi cloud-servere ofte implementeres i en firewallopsætning.

Hardware firewalls

Denne type firewall implementerer en fysisk enhed, der opfører sig på samme måde som en trafikrouter for at kontrollere trafikanmodninger og datapakker, før de forbindes til netværkets server.

Softwarefirewalls

Dette omfatter enhver firewall, der er installeret på et lokalt system i stedet for et særskilt stykke hardware eller en cloud-baseret løsning. Softwarefirewalls er yderst fordelagtige, når der skal etableres forsvar i dybden ved at adskille forskellige netværksendpunkter fra hinanden.

Næste generations firewalls

“Næste generations” firewalls omfatter de fleste af de nyligt udgivne firewallprodukter. Der er ikke meget enighed om, hvad der kendetegner en næste generations firewall, men nogle fælles funktioner omfatter TCP handshake-inspektion, deep-packet-inspektion og inspektion af pakker på overfladeniveau.

Hvordan konfigurerer og administrerer man en sikker firewall?

Der er flere passende firewallstandarder, som du kan implementere for at sikre forsvaret af computernetværk. Ikke desto mindre er de følgende trin afgørende, uanset hvilken firewallplatform du vælger.

1. Sørg for, at din firewall er sikker

Sikring af din firewall er det første skridt for at konfigurere og administrere en sikker firewall. Tillad aldrig din firewall at udføre handlinger, der ikke er ordentligt sikret, men i stedet:

• Disabler Simple Network Management Protocol (SNMP)
• Nævn, deaktiver eller slet enhver standardbrugerkonto, og ændr alle dine standardadgangskoder
• Opret yderligere administratorkonti baseret på ansvarsområder, især hvis flere administratorer skal administrere din firewall.

2. Opret dine firewallzoner og de tilsvarende IP-adresser

Desto flere zoner du opretter, jo mere sikkert bliver dit netværk. Før du går i gang med at forsvare dine værdifulde aktiver, skal du identificere, hvad disse aktiver er, og derefter planlægge din netværksstruktur for at placere netværkene ud fra deres funktionalitet og følsomhed.

Når du har designet en sikker struktur og oprettet den tilsvarende IP-adresse-struktur, er du fuldt ud forberedt til at arkitektonisere dine firewallzoner og tildele dem til firewallgrænsefladerne og/eller undergrænsefladerne.

3. Har en konfigureret adgangskontrolliste (ACL’er)

Når du har oprettet dine netværkszoner og allokeret dem til deres firewallgrænseflader, er det næste skridt at bestemme, hvilken trafik der skal strømme ind og ud af hver zone. Dette vil blive gjort muligt ved hjælp af adgangskontrollister (ACL’er). Brug både udgående og indgående ACL’er til hver grænseflade og undergrænseflade på din netværksfirewall for kun at tillade godkendt trafik ind og ud af hver zone.

4. Konfigurer andre firewalltjenester til de nødvendige standarder

Afhængigt af din firewalls evne til at fungere som IPS (Intrusion Prevention System), NTP (Network Time Protocol), DHCP osv. kan du konfigurere de tjenester, du har brug for, og deaktivere alle de yderligere tjenester, som ikke er relevante for dig.

Du skal konsultere PCI DSS-kravene og opfylde kravene til 10.2 til 10.3 i PCI DSS for at konfigurere din firewall til at rapportere korrekt til din logføringsserver.

5. Udfør test af netværksfirewallkonfigurationen

Du skal teste din firewall for at verificere, at din firewall fungerer som forventet. Du bør inkludere både penetrationstest og sårbarhedsscanning for at teste din firewallkonfiguration. Husk altid at tage backup af din firewallkonfiguration.

6. Konstant firewallstyring

Når din firewallkonfiguration er færdig, skal du sikre en sikker firewallstyring. For at gøre dette effektivt, skal du

• Udføre sårbarhedsscanninger
• Overvåge logfiler
• Gennemse firewallreglerne regelmæssigt
• Holde firmware opdateret
• Dokumenter fremskridt

Supplerende tips til sikker konfiguration af en firewall

1. Opfyld standardforskrifter såsom NIST, PCI DSS, ISO, og NERC
2. Før hyppige ændringer af firewallkonfigurationen
3. Blokér trafik som standard, og overvåg brugeradgangen
4. Opret og brug kun en sikker forbindelse
5. Streamline konfigurationsændringerne og eliminér konfigurationshuller
6. Test din firewallkonfiguration konstant
7. Registrer alle konfigurationsændringer i real-time

Supplerende tips til sikker forvaltning af en firewall

1. Har en klart defineret plan for forvaltning af firewallændringer
2. Test virkningen af ændringen af firewallpolitikken
3. Rens op og optimer firewallregelbasen
4. opdatér jævnligt firewallsoftware
5. Centraliser firewalladministrationen for multi-vendor firewalls

Lær mere om at skabe en sikker netværksfirewall

The Certified Network Defender (CND) er et certificeringsprogram, der skaber kyndige netværksadministratorer, der er veluddannede til at identificere, forsvare, reagere og afhjælpe alle netværksrelaterede sårbarheder og angreb. CND-certificeringsprogrammet omfatter praktiske laboratorier, der er bygget op gennem bemærkelsesværdig netværkssikkerhedssoftware, værktøjer og teknikker, som vil give den certificerede netværksadministrator reelle og opdaterede færdigheder inden for netværkssikkerhedsteknologier og -operationer. Klik her for at få flere oplysninger om EC-Councils CND-program.

FAQS