Brandväggar som trafikens grindvakter

En grundläggande princip för brandväggar är implicit nekande: allt som inte uttryckligen tillåts blockeras som standard. Om ingen regel tillåter en viss typ av trafik nekar brandväggen den alltså. Denna standardinställning, där allt nekas, är mycket säkrare än att tillåta allt och blockera undantag, eftersom ett bortglömt regelverk då leder till ett stängt (säkert) i stället för ett öppet (exponerat) läge.

De enklaste brandväggarna utför tillståndslös paketfiltrering: de bedömer varje paket för sig utifrån huvudfält som IP-adress och port, utan att minnas tidigare trafik. Tillståndslös filtrering är snabb men begränsad, eftersom den inte kan avgöra om ett paket ingår i en befintlig, legitim kommunikation eller är ett oombett försök att ta sig in.

Bättre brandväggar använder tillståndsfull inspektion och spårar aktiva anslutningars tillstånd i en tabell. När Er dator inleder en kommunikation kommer brandväggen ihåg den och tillåter automatiskt motsvarande svar, samtidigt som den blockerar oombedd inkommande trafik som inte ingår i en känd session. Tillståndsfulla brandväggar är standard i dag eftersom de är både smartare och säkrare än tillståndslösa.

En brandvägg av nästa generation (NGFW) går längre genom att granska trafik på applikationslagret. Den kan identifiera specifika applikationer, filtrera efter användare, blockera skadlig kod och inkludera funktioner för intrångsskydd. NGFW:er ser inte bara portar och IP-adresser utan även vad trafiken faktiskt innehåller, vilket möjliggör detaljerad styrning, till exempel att tillåta webbsurfning men blockera en riskfylld app på samma port.

Brandväggar placeras på två sätt:

• Nätverksbrandvägg — skyddar ett helt nätverk vid dess gräns, ofta som en särskild nätverksenhet.
• Värdbrandvägg — programvara på en enskild enhet, till exempel brandväggen som är inbyggd i Windows eller Linux.

Genom att använda båda får Ni ett lagerindelat skydd: nätverksbrandväggen skyddar omkretsen, medan värdbrandväggar skyddar varje enhet individuellt.

Brandväggar placeras vid förtroendegränser — framför allt mellan det interna nätverket och internet. En vanlig utformning använder en DMZ (demilitariserad zon), ett buffertnätverk för offentligt åtkomliga servrar som webb- eller e-postservrar, avskilt från det interna LAN-nätverket genom brandväggsregler. På så sätt förblir det interna nätverket skyddat bakom ytterligare ett lager även om en offentlig server utsätts för intrång.

Brandväggar utför många säkerhetsuppgifter:

• Blockera oombedda inkommande anslutningar från internet.
• Begränsa utgående trafik till godkända tjänster.
• Segmentera interna zoner från varandra.
• Logga trafik för övervakning och incidenthantering.

Tillsammans gör dessa användningsområden brandväggen central för att upprätthålla en organisations säkerhetspolicy.

Brandväggar kombineras ofta med detektionssystem. Ett IDS (Intrusion Detection System) övervakar trafik och varnar vid misstänkt aktivitet, men blockerar den inte. Ett IPS (Intrusion Prevention System) sitter inline och kan aktivt blockera upptäckta hot. En brandvägg tillämpar regler för att tillåta eller neka, medan IDS/IPS letar efter angreppsmönster i trafik som redan har tillåtits. Moderna NGFW:er innehåller ofta IPS-funktioner och kombinerar därmed åtkomstkontroll med blockering av hot.

Inför provet ska Ni veta att en brandvägg tillåter eller nekar trafik enligt regler baserade på IP-adress, port och protokoll, tillämpar implicit nekande och kan vara tillståndslös eller tillståndsfull, medan NGFW:er dessutom förstår applikationer. Förstå skillnaden mellan nätverks- och värdbrandväggar samt vilken roll en DMZ har för offentliga servrar. Brandväggen är den säkerhetsvakt som styr vilken trafik som får passera en nätverksgräns.

Ni har lärt Er att en brandvägg tillåter eller nekar trafik enligt en regeluppsättning baserad på IP-adress, port och protokoll, där implicit nekande blockerar allt som inte är tillåtet. Tillståndslösa filter bedömer varje paket för sig, medan tillståndsfulla brandväggar spårar anslutningar och tillåter legitima svar, vilket gör dem till standard. NGFW:er tillför förståelse av applikationslagret och intrångsskydd. Brandväggar finns som nätverksenheter eller värdprogramvara, placeras vid förtroendegränser och använder en DMZ för att isolera offentligt åtkomliga servrar.