6 Best Practices for Secure Network Firewall Configuration

Een firewall is een netwerkbeveiligingsstructuur die uw netwerk kan helpen beschermen door het netwerkverkeer te bewaken en buitenstaanders te verhinderen om op basis van vooraf bepaalde regels ongeoorloofde toegang te verkrijgen tot privégegevens op uw computersysteem. Een netwerkfirewall werpt een barrière op tussen een vertrouwd netwerk en een niet-vertrouwd netwerk.

Meer nog, een netwerkfirewall blokkeert niet alleen niet-vertrouwd verkeer, maar blokkeert ook kwaadaardige software die uw computer kan infecteren, terwijl hij legitiem verkeer doorlaat. Netwerkfirewalls dienen meestal als de eerste verdedigingslinie in de beveiliging van uw thuisnetwerk.

8 Soorten firewalls

Er zijn verschillende soorten firewalls; ze worden echter normaal gesproken gecategoriseerd als ofwel een hostgebaseerd systeem of een netwerkgebaseerd systeem. Evenzo kunnen netwerkfirewallbeveiligingsapparaten niet-firewallfuncties bieden, waaronder een virtueel privénetwerk (VPN) of een dynamisch hostconfiguratieprotocol (DHCP). Hieronder volgen de meest voorkomende typen firewalls.

Packet-filtering firewalls

Dit is het oudste en meest elementaire
type dat een controlepunt creëert voor pakketten die tussen computers worden overgedragen. Pakketten worden gefilterd op bron- en bestemmingsprotocol, IP-adres, bestemmingspoorten en andere oppervlakte-informatie zonder het pakket te openen om de inhoud te inspecteren.

Als het informatiepakket niet aan de inspectienorm voldoet, wordt het gedropt. Dit soort firewalls is niet erg arbeidsintensief. Ze zijn echter relatief gemakkelijk te omzeilen in vergelijking met firewalls met een robuustere inspectiebevoegdheid.

Gateways op circuitniveau

In tegenstelling tot firewalls die pakketten filteren, zijn gateways op circuitniveau zeer resource-intensief. Dit type firewall werkt door de TCP (Transmission Control Protocol) handshake te controleren. De TCP handshake is een controle om er zeker van te zijn dat het sessiepakket van een authentieke bron afkomstig is.

Circuit-level gateways zijn simplistische typen firewalls die bedoeld zijn om snel en eenvoudig verkeer te weigeren of goed te keuren zonder veel rekenkracht te verbruiken. Dit type firewall inspecteert echter niet het pakket zelf. Als een pakket malware bevat, maar wel de juiste TCP-handshake, zou het er doorheen komen.

Application-level gateways/ Layer 7

Proxy-firewalls draaien op de applicatieniveau-laag om inkomend verkeer tussen de netwerkbron en uw netwerk te filteren. Deze firewalltypen worden geleverd via een cloudgebaseerde oplossing of andere proxysystemen. Proxy firewalls kijken naar zowel het pakket als het TCP handshake protocol. Hoewel, het kan ook deep-layer pakketinspecties uitvoeren om te valideren dat het geen malware bevat.

Het grote voordeel van applicatielaagfiltering is dat het specifieke toepassingen en protocollen kan begrijpen, waaronder Hyper-Text Transfer Protocol (HTTP), Domain Name System (DNS), of File Transfer Protocol (FTP).

Stateful inspection firewalls

Stateful inspection firewalls voegen zowel TCP-handshake-authenticatie als pakketinspectie samen om netwerkbeveiliging tot stand te brengen dan wat pakket-filterende firewalls of gateways op circuitniveau alleen kunnen garanderen. Dit type firewall vertraagt echter de overdracht van authentieke pakketten, in tegenstelling tot de andere twee architecturen.

Cloud-firewalls

Het belangrijkste voordeel van cloud-gebaseerde firewalls is dat ze verbazingwekkend eenvoudig met uw organisatie kunnen worden geschaald. Cloud-firewalls worden ook wel firewall-as-a-service (FaaS) genoemd. Cloud-firewalls worden beschouwd als vergelijkbaar met proxy-firewalls, omdat cloudservers vaak worden ingezet in een firewallopstelling.

Hardware-firewalls

Dit type firewall implementeert een fysiek apparaat dat zich gedraagt als een verkeersrouter om verkeersverzoeken en gegevenspakketten te controleren voordat ze worden verbonden met de server van het netwerk.

Software-firewalls

Dit omvat elke firewall die op een lokaal systeem is geïnstalleerd in plaats van een afzonderlijk stuk hardware of een cloudgebaseerde oplossing. Software firewalls zijn uiterst nuttig bij het tot stand brengen van defense-in-depth door verschillende netwerkeindpunten van elkaar te scheiden.

Next-gen firewalls

‘Next-generation’ firewalls omvatten de meeste van de nieuw uitgebrachte firewall producten. Hoewel er niet veel consensus is over wat een next-gen firewall kenmerkt, omvatten enkele gemeenschappelijke kenmerken TCP-handshake-inspectie, deep-packet-inspectie en surface-level-inspectiepakketten.

Hoe een veilige firewall configureren en beheren?

Er zijn verschillende geschikte firewallstandaarden die u kunt implementeren om de verdediging van computernetwerken te garanderen. Niettemin zijn de volgende stappen van cruciaal belang, ongeacht het firewall-platform dat u selecteert.

1. Zorg ervoor dat uw firewall veilig is

Het beveiligen van uw firewall is de eerste stap voor het configureren en beheren van een veilige firewall. Sta nooit toe dat uw firewall acties uitvoert die niet goed beveiligd zijn, in plaats daarvan:

• Simpel netwerkbeheerprotocol (SNMP)
• Benoem, schakel uit of verwijder elke standaardgebruikersaccount en wijzig al uw standaardwachtwoorden
• Stel extra beheerdersaccounts in op basis van verantwoordelijkheden, vooral als meerdere beheerders uw firewall zullen beheren.

2. Maak uw firewall-zones en bijbehorende IP-adressen

Hoe meer zones u instelt, hoe veiliger uw netwerk zal worden. Voordat u overgaat tot het verdedigen van uw waardevolle activa, moet u vaststellen wat deze activa zijn en vervolgens uw netwerkstructuur plannen om netwerken te positioneren op basis van hun functionaliteit en gevoeligheid.

Nadat u een veilige structuur hebt ontworpen en de overeenkomstige IP-adresstructuur hebt gemaakt, bent u volledig voorbereid om uw firewallzones te ontwerpen en deze toe te wijzen aan de firewallinterfaces en/of sub-interfaces.

3. Beschikken over een geconfigureerde toegangscontrolelijst (ACL’s)

Nadat u uw netwerkzones hebt vastgesteld en ze aan hun firewall interfaces hebt toegewezen, is de volgende stap om te bepalen welk verkeer in en uit elke zone moet stromen. Dit wordt mogelijk gemaakt door toegangscontrole lijsten (ACLs). Gebruik zowel uitgaande als binnenkomende ACL’s voor elke interface en sub-interface op uw netwerkfirewall om alleen goedgekeurd verkeer in en uit elke zone toe te laten.

4. Configureer andere firewall diensten naar de vereiste standaarden

Afhankelijk van de mogelijkheden van uw firewall om op te treden als een inbraakpreventiesysteem (IPS), netwerk tijdprotocol (NTP), DHCP, enzovoort, kunt u de diensten configureren die u nodig hebt en alle bijkomende diensten uitschakelen die voor u niet relevant zijn.

U moet de PCI DSS-vereisten raadplegen en voldoen aan de vereisten voor 10.2 tot en met 10.3 van de PCI DSS om uw firewall zo te configureren dat deze op de juiste manier aan uw loggingserver rapporteert.

5. Voer netwerkfirewallconfiguratietests uit

U moet uw firewall testen om te controleren of uw firewall werkt zoals verwacht. U moet zowel penetratietests als kwetsbaarheidsscans uitvoeren om uw firewallconfiguratie te testen. Vergeet niet om altijd een back-up te maken van uw firewall-configuratie.

6. Constant Firewall-beheer

Nadat uw firewall-configuratie is voltooid, moet u zorgen voor veilig firewall-beheer. Om dit effectief te doen, moet u

• Scans op kwetsbaarheden uitvoeren
• Logs controleren
• Regelmatig firewall-regels controleren
• Firmware up-to-date houden
• Vooruitgang documenteren

Aanvullende tips voor het veilig configureren van een firewall

1. Voldoe aan standaard regelgevende mandaten zoals NIST, PCI DSS, ISO, en NERC
2. Voer frequente wijzigingen in de firewallconfiguratie
3. Blokkeer standaard verkeer en bewaak gebruikerstoegang
4. Stel en gebruik alleen een beveiligde verbinding
5. Stroomlijn de configuratiewijzigingen en elimineer hiaten in de configuratie
6. Blijf uw firewallconfiguratie voortdurend testen
7. Registreer alle configuratiewijzigingen in real-time

Registreer alle wijzigingen in de configuratie in real-time .tijd

Aanvullende tips voor veilig beheer van een firewall

1. Heb een duidelijk gedefinieerd plan voor het beheer van firewallwijzigingen
2. Test de impact van de wijziging van het firewallbeleid
3. Schoon de rule base van de firewall op en optimaliseer deze
4. Werk de firewallsoftware regelmatig bij
5. Centraliseer het beheer van firewalls van meerdere leveranciers
6. Centraliseer het beheer van firewalls van meerdere leveranciers

Lees meer over het maken van een veilige netwerk firewall

De Certified Network Defender (CND) is een certificeringsprogramma dat slimme netwerkbeheerders creëert die goed getraind zijn in het identificeren, verdedigen, reageren en verminderen van alle netwerk-gerelateerde kwetsbaarheden en aanvallen. Het CND-certificeringsprogramma omvat hands-on labs met behulp van bekende netwerkbeveiligingssoftware, -tools en -technieken die de gecertificeerde netwerkbeheerder realistische en actuele vaardigheden verschaffen op het gebied van netwerkbeveiligingstechnologieën en -activiteiten. Klik hier voor meer informatie over EC-Council’s CND programma.

FAQS