25/01/2024 - TechTrust

Firewall-ul este un sistem de securitate care permite sau blocheaza traficul de retea pe baza unor reguli. Poate proteja un dispozitiv, o retea sau resurse din cloud, controland conexiunile care intra, ies ori circula intre zone cu cerinte diferite de securitate. Intr-o companie, firewall-ul ajuta la stabilirea unor limite clare: cine poate accesa serverul de contabilitate, ce servicii sunt disponibile din internet si cum comunica aplicatiile intre ele. Protectia rezulta din amplasarea corecta, regulile aplicate si administrarea lor continua. Acest ghid explica ce inseamna firewall, cum functioneaza, ce tipuri exista si ce ar trebui verificat intr-o infrastructura de business.

Cum functioneaza un firewall

Cand un laptop comunica cu un server, informatiile sunt transmise prin pachete de date. Firewall-ul compara caracteristicile traficului cu politica de securitate si decide daca permite sau blocheaza comunicatia. In functie de produs si configurare, poate inregistra decizia si declansa o alerta.

O regula poate tine cont de:
• Sursa si destinatie: dispozitivele, adresele IP sau zonele intre care are loc comunicarea.
• Protocol si port: modul in care comunica serviciile si punctul logic de acces la acestea.
• Directie: trafic de intrare, de iesire sau intre segmente interne.
• Starea conexiunii: daca pachetul apartine unei comunicatii deja permise.
• Aplicatie sau identitate: criterii disponibile in solutii care pot identifica aplicatiile si utilizatorii.

De exemplu, un angajat acceseaza prin HTTPS o aplicatie aprobata. Un firewall cu inspectie de stare, numit si stateful, urmareste conexiunea initiata si poate permite raspunsurile asociate, conform politicii. Acest lucru nu inseamna ca permite orice conexiune noua din internet catre laptop. Un firewall de noua generatie poate adauga verificari la nivelul aplicatiei. Totusi, o conexiune acceptata pe un anumit port nu garanteaza ca toate datele transportate sunt inofensive.

Care este rolul firewall-ului intr-o companie

Limitarea accesului la servicii

Nu toate serviciile interne trebuie sa fie accesibile din internet. O aplicatie destinata clientilor poate necesita acces public, in timp ce baza sa de date si interfata de administrare trebuie accesate numai prin trasee controlate. Regulile de firewall ajuta la exprimarea acestor diferente.

Separarea zonelor de retea

Reteaua angajatilor, Wi-Fi-ul pentru vizitatori, serverele si dispozitivele IoT pot avea politici distincte. De exemplu, vizitatorii pot avea acces la internet fara acces la serverele interne. Aceasta abordare se numeste segmentare si poate limita deplasarea unui atacator intre sisteme.

Simpla creare a unor VLAN-uri nu garanteaza izolarea: comunicatiile dintre ele trebuie sa fie controlate prin politicile echipamentelor care le interconecteaza.

Controlul comunicatiilor de iesire

Un dispozitiv compromis poate incerca sa comunice cu infrastructura unui atacator. Filtrarea de iesire poate restrictiona asemenea conexiuni, daca destinatia sau comportamentul este identificat si politica permite blocarea. Eficienta depinde de capabilitatile activate si de vizibilitatea asupra traficului.

Informatii pentru administrare

Jurnalele pot ajuta echipa IT sa identifice conexiuni refuzate, modificari de configurare si cauzele unor probleme de acces. Centralizarea si analiza lor fac parte din administrarea securitatii. Colectarea datelor trebuie insotita de reguli clare privind alertele si responsabilitatea de raspuns.

Ce tipuri de firewall exista

Pentru a intelege diferentele dintre solutii, trebuie separate doua criterii: unde ruleaza firewall-ul si cum inspecteaza traficul. Un firewall hardware poate avea functii NGFW, iar un NGFW poate fi implementat ca masina virtuala.

Tipuri dupa modul de implementare

• Firewall pe dispozitiv sau host-based. Ruleaza pe un laptop, desktop ori server si controleaza traficul acelui sistem. Windows Firewall este un exemplu. Poate aplica reguli in functie de aplicatie si de profilul retelei, inclusiv cand laptopul este folosit in afara biroului.
• Firewall hardware. Este un echipament fizic amplasat la o limita de retea, de exemplu intre sediu si internet. Poate controla mai multe segmente, daca traficul respectiv trece prin el.
• Firewall virtual. Ruleaza ca instanta software intr-un mediu virtualizat sau in cloud. Amplasarea si rutarea trebuie proiectate astfel incat fluxurile vizate sa ajunga la firewall.
• Firewall oferit ca serviciu. Functiile sunt furnizate printr-un serviciu administrat, uneori denumit Firewall as a Service, prescurtat FWaaS. Politicile si modul de conectare a utilizatorilor sau retelelor determina ce trafic este protejat.

Un firewall de la sediu nu verifica automat comunicatiile unui laptop care acceseaza direct internetul de acasa. In mod similar, instalarea unei solutii cloud nu ii trimite implicit intregul trafic al companiei.

Tipuri dupa metoda de inspectie

Inspectia de stare si proxy-ul sunt mecanisme diferite, iar produsele moderne pot combina mai multe metode. Un NGFW poate include prevenirea intruziunilor, controlul aplicatiilor si integrarea cu informatii despre amenintari. Denumirea comerciala trebuie verificata in raport cu functiile activate.

Firewall vs antivirus vs WAF vs VPN

Aceste tehnologii raspund unor nevoi diferite si pot functiona impreuna.

Antivirusul poate analiza fisiere si comportamente, iar EDR ofera informatii si actiuni pentru investigarea incidentelor. Un firewall de retea nu inlocuieste aceste functii de pe endpoint.
Un WAF, adica Web Application Firewall, se concentreaza pe traficul web. Poate inspecta cereri HTTP si, intr-o implementare care gestioneaza corespunzator TLS, traficul HTTPS. Un firewall care doar permite conexiuni spre portul 443 nu ofera automat protectie WAF.

VPN-ul protejeaza traseul comunicatiei, insa accesul utilizatorului trebuie limitat la resursele necesare. Un cont conectat prin VPN nu ar trebui sa primeasca implicit acces la toate sistemele companiei.

Ce nu poate garanta un firewall

Protectie completa impotriva ransomware-ului

Un firewall poate reduce expunerea si poate bloca anumite comunicatii malitioase. Ransomware-ul poate insa ajunge intr-un sistem prin alte cai, inclusiv prin conturi compromise sau fisiere executate de utilizatori.
Protectia trebuie completata cu actualizari, autentificare multifactor, securitate pe endpoint si copii de siguranta protejate. Restaurarea datelor trebuie testata, pentru a verifica daca activitatea poate fi reluata dupa un incident.

Citirea automata a intregului trafic HTTPS

Criptarea TLS ascunde continutul comunicatiei fata de intermediarii care nu il pot decripta. Firewall-ul poate aplica unele controale fara sa citeasca acel continut, insa analiza detaliata a cererilor sau fisierelor necesita un mecanism de inspectie adecvat.
Inspectia TLS trebuie planificata in functie de compatibilitatea aplicatiilor, certificate, confidentialitate si resursele disponibile. Unele fluxuri necesita exceptii. Activarea optiunii pe echipament, fara pregatirea dispozitivelor si testarea aplicatiilor, poate intrerupe comunicatii legitime.

Protectie nelimitata impotriva DDoS

Unele firewall-uri includ mecanisme de limitare si detectare a atacurilor. Daca un atac DDoS volumetric satureaza conexiunea inainte ca traficul sa ajunga la echipamentul local, filtrarea locala nu poate recupera capacitatea acelei conexiuni. Pot fi necesare masuri in infrastructura furnizorului sau servicii dedicate de mitigare.

Securitate doar prin NAT

NAT modifica adresele folosite in comunicatii si este frecvent prezent pe routere. Nu inlocuieste o politica de firewall. Regulile de filtrare si redirectionarile de porturi trebuie evaluate separat, inclusiv cand exista conectivitate IPv6.

Exemplu de reguli firewall pentru o firma

Sa presupunem ca o companie are laptopuri, o aplicatie interna, o baza de date si Wi-Fi pentru vizitatori. Politica de acces poate fi descrisa pornind de la fluxurile necesare activitatii.
Tabelul este un exemplu conceptual. Nu reprezinta o configuratie completa si nu poate fi aplicat fara verificarea infrastructurii.

Intr-o implementare reala, aceste categorii sunt inlocuite cu obiecte si adrese concrete. Sunt necesare si reguli pentru servicii precum DNS, sincronizarea orei, actualizari sau backup, in functie de arhitectura. Politica pentru vizitatori trebuie sa permita separat accesul la internet si serviciile necesare acestuia.
Principiul deny by default inseamna ca traficul care nu este permis explicit este blocat. Aplicarea lui trebuie pregatita si testata; o regula restrictiva introdusa fara inventarierea dependentelor poate opri un proces legitim.
Pentru administrarea de la distanta, proiecteaza un traseu controlat, cu autentificare puternica si permisiuni limitate. CISA recomanda evitarea expunerii directe a serviciilor RDP pe internet.

Cum alegi un firewall pentru compania ta

Alegerea incepe cu aplicatiile si fluxurile companiei. Numarul de angajati, luat separat, nu descrie volumul de trafic, numarul de conexiuni sau necesitatea de inspectie.

Verifica urmatoarele criterii:
1. Acoperirea infrastructurii. Identifica sediile, serverele, utilizatorii de la distanta si resursele cloud care trebuie protejate.
2. Capabilitatile necesare. Stabileste daca sunt necesare controlul aplicatiilor, IPS, filtrarea web sau integrarea cu alte sisteme de securitate.
3. Performanta cu functiile active. Solicita dimensionarea pentru inspectia si decriptarea pe care le vei folosi. Aceste operatii consuma resurse si pot reduce debitul disponibil.
4. Administrarea si monitorizarea. Verifica vizibilitatea asupra regulilor, jurnalelor, modificarilor si alertelor, precum si posibilitatea de recuperare a configuratiei.

In evaluarea comerciala, cere separat costurile pentru echipament sau serviciu, abonamente, suport, implementare si administrare. Ofertele devin comparabile cand includ aceeasi acoperire si aceleasi functii.
Inaintea achizitiei, formuleaza cateva scenarii de acceptanta: aplicatiile critice functioneaza, vizitatorii nu acceseaza serverele interne, administrarea este restrictionata, iar alertele ajung la echipa responsabila.

Aceste verificari leaga alegerea tehnica de activitatea companiei.

Cum verifici daca firewall-ul este activ in Windows 11
Pentru o verificare de baza:
1. Deschide meniul Start si cauta aplicatia Securitate Windows / Windows Security.
2. Acceseaza Firewall si protectie de retea / Firewall & network protection.
3. Identifica profilul activ: domeniu, privat sau public.
4. Verifica daca protectia firewall este activata pentru acel profil si ce furnizor o gestioneaza.

Pe un calculator administrat de companie, politicile organizatiei pot limita modificarile. Daca o aplicatie este blocata, solicita verificarea unei exceptii precise pentru aplicatia sau serviciul necesar. Microsoft recomanda aceasta abordare in locul dezactivarii generale a firewall-ului.

Starea „activ” confirma functionarea protectiei, insa nu demonstreaza ca toate regulile sunt potrivite companiei. Pentru aceasta sunt necesare verificari ale accesului permis si blocat.
Cum se administreaza corect un firewall

O politica utila trebuie sa ramana usor de explicat. Pentru fiecare regula, echipa IT ar trebui sa poata spune ce proces sustine, cine are nevoie de acces si in ce conditii regula poate fi retrasa.
Ca procedura de lucru, poti folosi urmatorii pasi:
1. Documenteaza fluxurile necesare aplicatiilor inainte de modificarea accesului.
2. Restrictioneaza administrarea echipamentului si foloseste conturi cu drepturi adecvate.
3. Pastreaza versiuni protejate ale configuratiei si o metoda de revenire la starea anterioara.
4. Stabileste ce evenimente genereaza alerte si cine le investigheaza.
5. Testeaza atat functionarea serviciului aprobat, cat si refuzarea accesului nepermis.
6. Revizuieste regulile cand se schimba aplicatiile, furnizorii sau responsabilitatile utilizatorilor.

De exemplu, dupa eliminarea unei integrari intre doua aplicatii, verificarea ar trebui sa includa si retragerea accesului de retea creat pentru acea integrare. Altfel, o nevoie temporara poate lasa in urma o permisiune permanenta.

Aceasta disciplina ajuta si la depanare: cand o aplicatie nu comunica, echipa poate urmari fluxul asteptat, regula aplicata si modificarile recente, fara sa deschida inutil accesul catre intregul sistem.

Intrebari frecvente despre firewall

Mai am nevoie de firewall pe laptop daca exista unul la birou?

Da, cele doua pot oferi protectie in puncte diferite. Firewall-ul de pe laptop controleaza conexiunile dispozitivului, inclusiv pe alte retele. Cel de la birou controleaza fluxurile care il traverseaza. Configuratiile trebuie administrate coerent.

Firewall-ul inlocuieste antivirusul?

Nu. Filtrarea comunicatiilor si analiza malware-ului pe dispozitiv au roluri distincte. Chiar daca un NGFW include functii de analiza a fisierelor, protectia endpoint-ului ramane necesara pentru activitatile si amenintarile locale.

Este suficient firewall-ul din router?

Depinde de functiile disponibile si de nevoile infrastructurii. Verifica daca poate aplica politicile necesare, daca ofera monitorizare si daca acopera traseele de trafic relevante. Prezenta unui router nu demonstreaza automat existenta unei protectii adecvate.

Firewall-ul poate incetini conexiunea?

Da, in anumite conditii. Inspectia avansata si decriptarea consuma resurse, iar dimensionarea insuficienta poate afecta performanta. Solutia trebuie evaluata cu functiile necesare activate si cu un trafic reprezentativ.

Am nevoie de firewall daca folosesc aplicatii in cloud?

Controalele trebuie alese dupa arhitectura. O aplicatie SaaS, o masina virtuala administrata de companie si un site public au cerinte diferite. In cloud, protectia depinde de politicile aplicate resurselor si de traseul efectiv al traficului.

Vrei sa verifici cum este protejata infrastructura companiei tale? Contacteaza echipa TechTrust pentru administrare si securizare IT, cu reguli de acces adaptate aplicatiilor si proceselor companiei tale.