#firewall

Firewall to urządzenie albo program, który stoi na drodze ruchu sieciowego i rozstrzyga, co przepuścić, a co zatrzymać. Najbliższy obraz to portier z listą przy wejściu na imprezę zamkniętą. Nie ocenia, czy ktoś jest miłym człowiekiem, tylko sprawdza, czy jest na liście, i porównuje po kolei, aż trafi na pasujący wpis. Cała reszta tego tekstu wynika ze słów „po kolei" i „na liście".

Jak czytana jest lista reguł

Reguła opisuje cztery rzeczy: skąd połączenie idzie, dokąd, jaka to usługa i co z tym zrobić. Reguły są uporządkowane, a decyzję podejmuje pierwsza pasująca. To znaczy, że kolejność zmienia wynik: reguła zezwalająca umieszczona nad regułą blokującą sprawia, że ta druga nigdy się nie wykona, choć obie widnieją w konfiguracji i obie wyglądają na aktywne.

Na końcu listy stoi zwykle domyślne odrzucenie, czyli zasada, że wszystko, co nie zostało wcześniej dopuszczone, jest blokowane. Ten pojedynczy zapis odróżnia sieć zaprojektowaną od sieci obudowanej wyjątkami.

Stanowość, czyli pamięć o rozmowie

Prosty filtr ocenia każdy pakiet osobno. Firewall stanowy zapamiętuje nawiązane połączenia i przepuszcza odpowiedzi na ruch, który sam wypuścił, nie wymagając osobnej reguły w drugą stronę.

W praktyce wychodzi z tego rzecz następująca: komputer w biurze może otworzyć stronę w internecie, choć żadna reguła nie zezwala internetowi na łączenie się z tym komputerem. Odpowiedź wraca w ramach rozmowy, którą zapoczątkowała firma. Dlatego prawidłowo ustawiony firewall jest niesymetryczny: bardzo swobodny w kierunku wychodzącym i bardzo skąpy w przychodzącym.

Wersja sprzętowa i programowa

Firewall sprzętowy stoi na styku sieci firmowej z internetem i chroni wszystko, co jest za nim, także urządzenia bez własnej ochrony, takie jak drukarki i kamery. Nie widzi jednak ruchu między komputerami wewnątrz biura ani tego, co robi laptop wyniesiony do domu.

Firewall programowy pracuje na pojedynczym komputerze, towarzyszy mu wszędzie i widzi ruch, którego brama nigdy nie zobaczy. Za to nie ochroni urządzeń, na których nie da się go zainstalować.

Te dwa nie zastępują się nawzajem i w firmie działają jednocześnie, co bywa źródłem zamieszania przy diagnozowaniu problemów: połączenie zablokowane może być na jednym z dwóch poziomów i sprawdza się oba.

Czego firewall nie robi

Nie jest antywirusem. Kontroluje połączenia, a nie zawartość pliku, który pracownik świadomie pobierze i uruchomi. Nowsze urządzenia dokładają wprawdzie sprawdzanie zawartości i filtrowanie stron, ale to osobne funkcje działające na osobnych zasadach.

Nie zatrzyma też ruchu, który wygląda na zwykłą pracę: fałszywej strony logowania otwartej w przeglądarce ani wysłanego przelewu. Większość tego, co dziś dotyka małe firmy, wchodzi przez otwarte na oścież połączenie wychodzące, czyli przez drzwi, które firewall ma obowiązek przepuszczać.

Lista, która rośnie latami

Największym zagrożeniem dla takiej konfiguracji jest jej własna historia. Reguły dopisywane przez kolejne osoby tworzą listę, w której nikt nie potrafi wskazać wpisów zbędnych, bo każdy powstał w odpowiedzi na realny problem, tyle że opis tego problemu nigdzie nie został zapisany.

Najgroźniejszy jest wyjątek dodany na jeden dzień, żeby coś ruszyło przed końcem tygodnia. Zwykle otwiera więcej, niż wymagała sytuacja, bo w pośpiechu łatwiej dopuścić cały zakres adresów niż jeden. I zostaje na lata, bo cofnięcie go wymaga pewności, że nic od niego nie zależy.

Lekarstwo jest organizacyjne, nie techniczne: każda reguła ma mieć komentarz z datą, powodem i osobą, która o nią prosiła, a raz w roku ktoś przechodzi listę i pyta, czy powód nadal istnieje. Firewall bez takiego przeglądu po pięciu latach jest dokumentem historycznym opisującym problemy, których już nie ma.

Kiedy firewall nie jest odpowiedzią

Nie pomoże firmie, która całą pracę przeniosła do usług chmurowych i nie trzyma w biurze niczego poza komputerami, bo nie ma tam wtedy ruchu przychodzącego do kontrolowania. Ochrona przenosi się wtedy na tożsamość i na urządzenia. Potrzeby bezpiecznego dostępu z domu też nie zamyka, bo do tego służy kanał szyfrowany, a wystawienie pulpitu zdalnego prosto do internetu i obudowanie go regułami pozostaje jedną z najczęstszych przyczyn udanych włamań.