A tűzfal egy olyan hálózati biztonsági struktúra, amely a hálózati forgalom felügyelete és a kívülállóknak a számítógépes rendszerben lévő személyes adatokhoz való jogosulatlan hozzáférés megakadályozása révén előre meghatározott szabályok alapján segíthet a hálózat védelmében. A hálózati tűzfal akadályt hoz létre a megbízható és a nem megbízható hálózat között.
A hálózati tűzfal ráadásul nemcsak a nem megbízható forgalmat blokkolja, hanem a számítógépet megfertőző rosszindulatú szoftvereket is, miközben átengedi a jogszerű forgalmat. A hálózati tűzfalak általában az otthoni hálózat biztonságának első védelmi vonalaként szolgálnak.
- 8 A tűzfalak típusai
- Packet-szűrő tűzfalak
- Állomási szintű átjárók
- Alkalmazási szintű átjárók/ 7. réteg
- Stateful inspection tűzfalak
- Felhőalapú tűzfalak
- Hardveres tűzfalak
- Szoftveres tűzfalak
- Újabb generációs tűzfalak
- Hogyan konfiguráljunk és kezeljünk biztonságos tűzfalat?
- 1. A tűzfal biztonságának biztosítása
- 2. Hozzon létre tűzfalzónákat és a hozzájuk tartozó IP-címeket
- 3. Rendelkezzen konfigurált hozzáférés-vezérlési listával (ACL)
- 4. Egyéb tűzfalszolgáltatások konfigurálása a szükséges szabványoknak megfelelően
- 5. Hálózati tűzfal konfigurációs tesztek elvégzése
- 6. Folyamatos tűzfalkezelés
- Kiegészítő tippek a tűzfal biztonságos konfigurálásához
- Kiegészítő tippek a tűzfal biztonságos kezeléséhez
- Tudjon meg többet a biztonságos hálózati tűzfal létrehozásáról
- FAQS
8 A tűzfalak típusai
A tűzfalaknak különböző típusai léteznek; általában azonban vagy host-alapú, vagy hálózati alapú rendszerbe sorolják őket. Hasonlóképpen, a hálózati tűzfal biztonsági készülékek nem tűzfal funkciókat is kínálhatnak, beleértve a virtuális magánhálózatot (VPN) vagy a dinamikus állomáskonfigurációs protokollt (DHCP). A tűzfalak leggyakoribb típusai a következők.
Packet-szűrő tűzfalak
Ez a legrégebbi és legalapvetőbb
típus, amely ellenőrzési pontot hoz létre a számítógépek között továbbított csomagok számára. A csomagokat a forrás- és célprotokoll, az IP-cím, a célportok és más felszíni szintű információk alapján szűrik, anélkül, hogy a csomagot megnyitnák a tartalmának ellenőrzésére.
Ha az információs csomag nem felel meg az ellenőrzési szabványnak, eldobják. Az ilyen típusú tűzfalak nem rendkívül erőforrás-igényesek. Viszonylag könnyen megkerülhetők azonban, ha összehasonlítjuk őket az erősebb vizsgálati kompetenciával rendelkező tűzfalakkal.
Állomási szintű átjárók
A csomagszűrő tűzfalakkal ellentétben az áramköri szintű átjárók rendkívül erőforrás-igényesek. Ez a tűzfaltípus a TCP (Transmission Control Protocol) kézfogás ellenőrzésével működik. A TCP kézfogás egy olyan ellenőrzés, amelynek célja annak biztosítása, hogy a munkamenetcsomag hiteles forrásból származik.
A körszintű átjárók a tűzfalak egyszerűsített típusai, amelyek célja a forgalom gyors és egyszerű megtagadása vagy jóváhagyása anélkül, hogy jelentős számítási erőforrásokat fogyasztanának. Mindazonáltal ez a tűzfaltípus nem vizsgálja magát a csomagot. Ha egy csomag rosszindulatú, de tartalmazza a megfelelő TCP-kézfogást, akkor átmegy rajta.
Alkalmazási szintű átjárók/ 7. réteg
A proxy tűzfalak az alkalmazási szintű rétegben futnak, hogy kiszűrjék a hálózati forrás és az Ön hálózata között bejövő forgalmat. Ezek a tűzfaltípusok felhőalapú megoldáson vagy más proxy-rendszereken keresztül érhetőek el. A proxy tűzfalak a csomagot és a TCP kézfogadási protokollt is vizsgálják. Bár mélyrétegű csomagvizsgálatot is végezhet, hogy ellenőrizze, hogy nincs-e benne rosszindulatú szoftver.
Az alkalmazásszintű szűrés legfőbb előnye, hogy képes megérteni bizonyos alkalmazásokat és protokollokat, például a Hyper-Text Transfer Protocol (HTTP), a Domain Name System (DNS) vagy a File Transfer Protocol (FTP) protokollt.
Stateful inspection tűzfalak
A Stateful inspection tűzfalak a TCP handshake-hitelesítést és a csomagvizsgálatot is egyesítik a hálózati biztonság megteremtéséhez, mint amit a csomagszűrő tűzfalak vagy az áramköri szintű átjárók önmagukban képesek garantálni. Bár ez a tűzfaltípus a másik két architektúrával ellentétben lelassítja a hiteles csomagok átvitelét.
Felhőalapú tűzfalak
A felhőalapú tűzfalak legfontosabb előnye, hogy elképesztően könnyen skálázható a szervezetével. A felhőalapú tűzfalakat tűzfal mint szolgáltatásnak (FaaS) is nevezik. A felhőalapú tűzfalakat a proxy tűzfalakhoz hasonlónak tekintik, mivel a felhőalapú kiszolgálókat gyakran tűzfal-konfigurációban telepítik.
Hardveres tűzfalak
A tűzfalak ezen típusa olyan fizikai eszközt valósít meg, amely a forgalmi útválasztóhoz hasonlóan viselkedik a forgalmi kérések és adatcsomagok ellenőrzése érdekében, mielőtt a hálózat szerveréhez csatlakoznának.
Szoftveres tűzfalak
Ezek közé tartozik minden olyan tűzfal, amelyet egy különálló hardverdarab vagy felhőalapú megoldás helyett egy helyi rendszerre telepítettek. A szoftveres tűzfalak rendkívül hasznosak a mélységi védelem kialakításakor azáltal, hogy elkülönített hálózati végpontokat választanak el egymástól.
Újabb generációs tűzfalak
Az “új generációs” tűzfalak közé tartozik a legtöbb újonnan megjelent tűzfaltermék. Bár nincs nagy egyetértés abban, hogy mi jellemzi az újgenerációs tűzfalat, néhány közös jellemző a TCP kézfogás-ellenőrzés, a mélycsomag-ellenőrzés és a felületi szintű csomagellenőrzés.
Hogyan konfiguráljunk és kezeljünk biztonságos tűzfalat?
Számos megfelelő tűzfalszabvány létezik, amelyeket a számítógépes hálózat védelmének biztosítása érdekében telepíthetünk. Ettől függetlenül a következő lépések a választott tűzfalplatformtól függetlenül kulcsfontosságúak.
1. A tűzfal biztonságának biztosítása
A tűzfal biztonságának biztosítása az első lépés a biztonságos tűzfal konfigurálásához és kezeléséhez. Soha ne engedje, hogy a tűzfal olyan műveleteket hajtson végre, amelyek nem megfelelően biztosítottak, ehelyett:
- Tiltsa le az egyszerű hálózatkezelési protokollt (SNMP)
- Nevezze át, tiltsa le vagy törölje az összes alapértelmezett felhasználói fiókot, és módosítsa az összes alapértelmezett jelszót
- Hozzon létre további rendszergazdai fiókokat a hatáskörök alapján, különösen, ha több rendszergazda fogja kezelni a tűzfalat.
2. Hozzon létre tűzfalzónákat és a hozzájuk tartozó IP-címeket
Minél több zónát hoz létre, annál biztonságosabb lesz a hálózata. Mielőtt hozzáfogna értékes eszközeinek védelméhez, meg kell határoznia, hogy melyek ezek az eszközök, majd meg kell terveznie hálózati struktúráját, hogy a hálózatokat funkcionalitásuk és érzékenységük alapján pozícionálja.
Miután megtervezte a biztonságos struktúrát és létrehozta a megfelelő IP-címstruktúrát, teljesen felkészült a tűzfalzónák felépítésére és a tűzfal interfészeinek és/vagy alinterfészeinek hozzárendelésére.
3. Rendelkezzen konfigurált hozzáférés-vezérlési listával (ACL)
A hálózati zónák kialakítása és a tűzfalinterfészekhez való hozzárendelése után a következő lépés annak meghatározása, hogy az egyes zónákon milyen forgalomnak kell be- és kiáramlania. Ezt a hozzáférés-vezérlési listák (ACL-ek) tennék lehetővé. Használjon kimenő és bejövő ACL-eket a hálózati tűzfal minden egyes interfészéhez és alinterfészéhez, hogy csak a jóváhagyott forgalmat engedje be és ki az egyes zónákból.
4. Egyéb tűzfalszolgáltatások konfigurálása a szükséges szabványoknak megfelelően
A tűzfalnak a behatolásmegelőző rendszerként (IPS), hálózati időprotokollként (NTP), DHCP-ként stb. való működésétől függően konfigurálhatja a szükséges szolgáltatásokat, és letilthatja az összes további, az Ön számára nem releváns szolgáltatást.
A tűzfal megfelelő konfigurálásához konzultálnia kell a PCI DSS követelményeivel, és teljesítenie kell a PCI DSS 10.2-10.3. pontjainak követelményeit, hogy megfelelően tudjon jelentést tenni a naplózási kiszolgálónak.
5. Hálózati tűzfal konfigurációs tesztek elvégzése
Tesztelnie kell a tűzfalat, hogy meggyőződjön arról, hogy a tűzfal az elvárásoknak megfelelően működik. A tűzfal-konfiguráció teszteléséhez a behatolásvizsgálatot és a sebezhetőségi vizsgálatot is be kell vonnia. Ne feledje, hogy mindig készítsen biztonsági másolatot a tűzfal konfigurációjáról.
6. Folyamatos tűzfalkezelés
A tűzfal konfigurációjának befejezése után gondoskodnia kell a tűzfal biztonságos kezeléséről. Ennek hatékony elvégzéséhez, kell
- Sérülékenységvizsgálatokat végeznie
- Naplókat figyelnie
- Tűzfalszabályokat rendszeresen felülvizsgálnia
- Fenn kell tartania a firmware frissítését
- Dokumentálja az előrehaladást
.
Kiegészítő tippek a tűzfal biztonságos konfigurálásához
- Teljesítheti a szabványos szabályozási előírásokat, mint például a NIST, PCI DSS, ISO, és NERC
- Végezzen gyakori tűzfal-konfigurációs módosításokat
- Blokkolja a forgalmat alapértelmezés szerint, és figyelje a felhasználói hozzáférést
- Kizárólag biztonságos kapcsolatot hozzon létre és használjon
- Szabályozza a konfigurációs módosításokat és szüntesse meg a konfigurációs kiskapukat
- Tesztelje folyamatosan a tűzfal-konfigurációt
- Rögzítsen minden konfigurációs módosítást valós időben
- .időben
Kiegészítő tippek a tűzfal biztonságos kezeléséhez
- Készítsen világosan meghatározott tűzfalváltoztatási tervet
- Tesztelje a tűzfalszabályzat módosításának hatását
- Tisztítsa és optimalizálja a tűzfal szabálybázisát
- Folyamatosan frissítse a tűzfalszoftvert
- Tömbösítse a tűzfalkezelést a többszörös tűzfalváltoztatáshoz
- Tömbösítse a tűzfalkezelést
- Folyamatosan frissítse a tűzfalszoftvereket
- Tömbösítse a többszörösvendor tűzfalakhoz
Tudjon meg többet a biztonságos hálózati tűzfal létrehozásáról
A Certified Network Defender (CND) egy olyan tanúsítási program, amely olyan hozzáértő hálózati rendszergazdákat hoz létre, akik jól képzettek az azonosításban, a hálózattal kapcsolatos sebezhetőségek és támadások felismerésére, kivédésére, megvédésére és mérséklésére. A CND tanúsítási program magában foglalja a nevezetes hálózatbiztonsági szoftvereken, eszközökön és technikákon keresztül felépített gyakorlati laboratóriumokat, amelyek a tanúsított hálózati rendszergazdát valós és naprakész ismeretekkel látják el a hálózatbiztonsági technológiákról és műveletekről. Kattintson ide az EC-Council CND programjáról szóló további információkért.
FAQS
- Minden tűzfalszabályt rögzíteni kell, hogy felismerhető legyen, milyen műveletre szánták a szabályt
- Mielőtt bármilyen tűzfalszabályt hozzáadna vagy módosítana, létre kell hoznia egy hivatalos módosítási eljárást
- Előre minden forgalmat blokkoljon, és csak bizonyos forgalmat engedélyezzen a felismert szolgáltatásokhoz
- Pontos és egyértelmű tűzfalszabályok beállítása
- Meghatározása explicit eldobási szabály (Cleanup Rule)
- Auditálja a naplókat
- Gondoskodjon a régi tűzfalszabályok felülvizsgálatáról és szükség esetén törléséről
- Gondoskodjon arról, hogy a kritikus erőforrásokat minden más előtt biztosítsa
- Mindig emlékezzen arra, hogy különbség van a periméter biztonsága és a belső biztonság között
- Ne adjon szabad kezet minden VPN felhasználónak a teljes belső hálózatra.
- Szervezze az internet-stílusú határokat a partner extranetek számára
- Virtuális határokat hozhat létre
- Automatikusan felügyelheti a biztonsági politikát
- Megalapozza a biztonsági döntéseket
- Kikapcsolhatja az üres hálózatot. szolgáltatásokat
- Kiküszöbölni az illegális vezeték nélküli hozzáférési pontokat és biztonságos vezeték nélküli hozzáférést létrehozni
- Biztonságos látogatói hozzáférést kialakítani
Mégis szükség van a tűzfalszabályok felülvizsgálatára a biztonsági szabályzat értékeléséhez és az elavult szolgáltatások, szabályok megszüntetéséhez, a szabályoknak való megfeleléshez és a teljesítmény érdekében történő újrapozícionáláshoz. Egymás után végig kell lépni a tűzfalszabályokon, hogy megbizonyosodjon arról, hogy azok a megfelelő sorrendben vannak. A hálózati biztonsági tisztviselő vagy a tűzfal gyakran a tűzfalszabályok felülvizsgálatát végzi.
