Tembok Api: Penyaringan Paket vs Generasi Berikutnya

Firewall adalah perangkat keamanan jaringan (perangkat keras atau perangkat lunak) yang memantau dan mengendalikan lalu lintas masuk serta keluar berdasarkan aturan yang telah ditentukan. Firewall berada di antara jaringan internal tepercaya dan jaringan eksternal yang tidak tepercaya, serta bertindak sebagai penjaga gerbang. Firewall merupakan kontrol perimeter dasar, tetapi serangan modern yang menggunakan kanal terenkripsi atau pergerakan lateral di dalam zona tepercaya menunjukkan alasan firewall saja tidak memadai dan harus dipadukan dengan lapisan pertahanan lainnya.

Firewall penyaringan paket (juga disebut firewall tanpa status) memeriksa setiap paket secara terpisah berdasarkan bidang header: IP sumber, IP tujuan, port sumber, port tujuan, dan protokol. Firewall ini menerapkan aturan izinkan/tolak sederhana yang disebut ACL (Access Control Lists). Karena setiap paket diperiksa secara independen, firewall ini tidak dapat melacak apakah sebuah paket merupakan bagian dari sesi yang telah dibuat, sehingga rentan terhadap serangan yang memalsukan nilai header yang diharapkan atau mengeksploitasi kerentanan yang melibatkan banyak paket.

Firewall inspeksi berstatus mempertahankan tabel status yang melacak koneksi aktif. Saat sebuah paket tiba, firewall memeriksa apakah paket tersebut termasuk dalam sesi yang sudah dibuat. Dengan demikian, lalu lintas balasan dapat lewat secara otomatis tanpa aturan eksplisit. Firewall berstatus jauh lebih aman daripada penyaring paket karena dapat mendeteksi paket yang bukan bagian dari sesi yang valid — seperti paket ACK yang tidak diminta dan digunakan dalam pemindaian tersembunyi — serta dapat menerapkan kebijakan pada tingkat koneksi.

Firewall generasi berikutnya (NGFW) menambahkan inspeksi paket mendalam dan pemahaman aplikasi di luar pelacakan berstatus. NGFW dapat mengidentifikasi aplikasi yang menghasilkan lalu lintas — bukan hanya portnya — menggunakan penguraian protokol dan pembelajaran mesin. Kemampuan utama NGFW mencakup kontrol aplikasi (memblokir Dropbox apa pun portnya), integrasi identitas pengguna (aturan yang dikaitkan dengan grup AD), IPS terintegrasi, dan inspeksi SSL/TLS. Vendor yang menyediakannya antara lain Palo Alto Networks, Fortinet, Check Point, dan Cisco Firepower.

Aturan firewall dievaluasi dalam urutan dari atas ke bawah — aturan pertama yang cocok akan menang. Artinya, aturan yang lebih spesifik harus ditempatkan sebelum aturan yang lebih umum. Aturan tolak semua implisit di bagian bawah memblokir lalu lintas apa pun yang tidak diizinkan secara eksplisit. Kesalahan umum mencakup menempatkan aturan izinkan yang luas sebelum penolakan spesifik, pembayangan (aturan tidak pernah cocok karena aturan sebelumnya selalu cocok terlebih dahulu), serta lupa mengizinkan lalu lintas balasan atau pesan kesalahan ICMP yang diperlukan aplikasi.

WAF (Web Application Firewall) beroperasi pada Layer 7 dan dirancang khusus untuk melindungi aplikasi web dari serangan seperti injeksi SQL, XSS, dan CSRF. Berbeda dari NGFW yang melindungi lalu lintas jaringan secara luas, WAF memahami semantik HTTP dan HTTPS — termasuk memeriksa URL, header, cookie, dan isi permintaan. WAF dapat beroperasi dalam mode deteksi (mencatat tetapi tidak memblokir) atau mode pencegahan (memblokir permintaan berbahaya). AWS WAF, Cloudflare, dan Imperva adalah solusi komersial yang umum.

Karena sebagian besar lalu lintas kini dienkripsi dengan HTTPS, ancaman dapat bersembunyi di dalam sesi TLS. Inspeksi SSL/TLS (juga disebut intersepsi SSL atau dekripsi) memungkinkan NGFW bertindak sebagai proksi man-in-the-middle: firewall mengakhiri koneksi TLS client, memeriksa teks biasa, lalu mengenkripsinya kembali menuju tujuan. Hal ini memungkinkan pemindaian malware dan DLP di dalam terowongan terenkripsi. Sertifikat firewall harus dipercaya oleh client, biasanya didistribusikan melalui Group Policy ke perangkat perusahaan.

Firewall paling efektif jika ditempatkan pada batas kepercayaan. Desain umum menempatkan firewall perimeter antara internet dan DMZ, serta firewall internal antara DMZ dan jaringan internal. Hal ini menciptakan subnet tersaring tempat server yang menghadap publik (web, mail) diisolasi. Dengan demikian, jika server tersebut disusupi, penyerang tidak dapat langsung menjangkau sistem internal. Desain modern juga menempatkan firewall di antara segmen internal untuk membatasi pergerakan lateral.

IDS (Intrusion Detection System) memantau lalu lintas dan menghasilkan peringatan saat mengidentifikasi pola mencurigakan, tetapi tidak memblokir lalu lintas. IPS (Intrusion Prevention System) berada secara inline dan dapat secara aktif menjatuhkan paket berbahaya atau mereset koneksi secara waktu nyata. Sebagian besar NGFW modern menyertakan IPS terintegrasi. Metode deteksi mencakup berbasis tanda tangan (mencocokkan pola serangan yang telah diketahui) dan berbasis anomali (mendeteksi penyimpangan dari dasar pembelajaran).

Perangkat UTM (Unified Threat Management) mengonsolidasikan berbagai fungsi keamanan ke dalam satu perangkat: firewall, IPS, antivirus, VPN, penyaringan web, dan terkadang keamanan email. UTM populer di bisnis kecil hingga menengah karena menyederhanakan pengelolaan dan mengurangi biaya. Konsekuensinya, satu perangkat menjadi satu titik kegagalan dan mungkin tidak menawarkan kinerja atau kedalaman seperti solusi khusus. Istilah UTM sebagian besar telah digantikan oleh NGFW dalam konteks perusahaan.

Ujian Security+ menguji kemampuan Anda dalam memilih jenis firewall yang tepat untuk skenario tertentu. Penyaringan paket cepat, tetapi tanpa status dan mudah dihindari. Inspeksi berstatus melacak sesi dan menjadi standar dasar untuk jaringan modern. NGFW menambahkan pemahaman aplikasi, identitas pengguna, dan IPS terintegrasi — pilihan yang tepat untuk perimeter perusahaan. WAF secara khusus melindungi aplikasi web HTTP pada Layer 7. Selalu sesuaikan kontrol dengan ancamannya: WAF tidak akan menghentikan pemindaian port, dan penyaring paket tidak akan menghentikan injeksi SQL.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa firewall penyaringan paket tidak memiliki status dan mengevaluasi setiap paket hanya berdasarkan bidang header, firewall berstatus melacak status koneksi untuk mengizinkan lalu lintas balasan dan mendeteksi paket anomali, sedangkan firewall generasi berikutnya menambahkan pemahaman aplikasi, identitas pengguna, dan IPS terintegrasi untuk inspeksi yang lebih mendalam. Selanjutnya, kita akan membahas segmentasi jaringan dan VLANs.