Сигурна конфигурация на firewall за фирми

Какво всъщност защитава firewall-ът

Firewall-ът контролира кой трафик може да влиза, излиза или преминава между отделни части на фирмената мрежа. Той проверява връзките спрямо предварително зададени правила и разрешава само необходимата комуникация. Това може да включва достъп на служители до интернет, връзки към облачни платформи, комуникация между сървъри, VPN връзки за дистанционни потребители и достъп на външни доставчици до конкретни системи.

Съществената дума е „необходимата“. В много фирми настройките се натрупват с години: отворен порт за старо приложение, временно правило за доставчик, широк достъп за тестова среда или изключение, направено при спешен инцидент. Когато никой не преглежда тези правила, временните решения остават постоянни и увеличават повърхността за атака.

Съвременният firewall може да предлага и допълнителни функции като предотвратяване на прониквания, филтриране на уеб съдържание, контрол на приложенията, антивирусна проверка на трафика и защита на VPN връзките. Те са полезни, но не компенсират лошо дефинираните основни правила. Неправилната политика за достъп не става сигурна само защото е активирана допълнителна функция.

Принципът, върху който стъпва сигурната конфигурация на firewall

Най-надеждният подход е „deny by default“: всичко е забранено, освен ако няма конкретна бизнес причина да бъде разрешено. Това не значи, че служителите ще бъдат ограничени в работата си. Значи, че всеки разрешен достъп има собственик, цел и обхват.

Например, ако външен партньор трябва да достига до счетоводна система, правилото не бива да разрешава достъп от целия интернет до цялата вътрешна мрежа. Добрата практика е достъпът да се ограничи до конкретен източник, конкретна VPN връзка, определен потребител или група, конкретна система и необходим порт. Колкото по-точно е правилото, толкова по-лесно се контролира и одитира.

Тук има и реален баланс. Прекалено строгата конфигурация, направена без познаване на бизнес процесите, може да прекъсне критична работа. Прекалено широките правила намаляват сигурността. Затова настройването не трябва да е еднократна техническа задача, а съгласуван процес между IT екипа, собствениците на системи и ръководството.

Започнете с карта на трафика и системите

Преди да се създават или премахват правила, трябва да е ясно какво реално използва организацията. Това включва интернет връзки, офис локации, облачни ресурси, сървъри, Wi-Fi мрежи, VPN потребители, IP телефония, камери, принтери и устройства за гости. Не всяко устройство е еднакво критично и не всяко трябва да има еднакъв достъп.

Полезно е да се идентифицират системите, които обработват лични данни, финансова информация, клиентски записи или производствени процеси. При тях рискът от неправомерен достъп е по-висок и правилата трябва да бъдат особено прецизни. Тази видимост подпомага и изискванията по GDPR, ISO 27001 и NIS2, когато са приложими за организацията.

Разделете мрежата според риска

Една плоска мрежа позволява на проблем в едно устройство да се разпространи лесно към останалите. Ако заразен лаптоп има свободен достъп до файлов сървър, счетоводна система и резервни копия, последствията могат да бъдат сериозни.

Сегментацията ограничава този риск. Служебните компютри, сървърите, гост Wi-Fi мрежата, IP телефоните, IoT устройствата и системите за видеонаблюдение следва да бъдат отделени логически, когато архитектурата го позволява. Между тези сегменти firewall-ът разрешава само необходимите връзки. Гостите например не трябва да виждат вътрешни ресурси, а камерите не се нуждаят от достъп до финансовите системи.

Сегментацията изисква планиране и понякога инвестиция в подходяща мрежова инфраструктура. В замяна тя ограничава страничното придвижване на нападател и улеснява локализирането на инцидент.

Правила, които често създават слабости

Няколко типа настройки заслужават специално внимание. Те често са създадени с добра цел, но остават без контрол след промяна в средата.

Първият проблем са правилата „Any to Any“ - разрешение от всеки източник към всяка дестинация и услуга. Те са удобни при диагностика, но са неподходящи като постоянна политика. Вторият са публикуваните към интернет услуги, особено Remote Desktop Protocol, административни интерфейси, файлови услуги и остарели уеб приложения. Ако такъв достъп е неизбежен, той трябва да преминава през VPN, многофакторна автентикация и ограничения по източник.

Третият проблем са изключенията от проверка на трафика. Понякога дадено приложение изисква специфична настройка, но всяко изключение трябва да бъде документирано, одобрено и преглеждано периодично. Четвъртият е оставеният фабричен или споделен административен достъп. Управлението на firewall-а трябва да е ограничено само до оторизирани администратори, през защитен канал и с индивидуални акаунти.

Управлението на достъпа е част от защитата

Добрите правила не са достатъчни, ако административният достъп до устройството е слаб. Използването на индивидуални акаунти позволява да се проследи кой е направил промяна и кога. Споделените пароли създават проблем не само за сигурността, но и за отчетността при инцидент.

Многофакторната автентикация трябва да бъде стандарт за администраторския достъп, когато платформата я поддържа. Достъпът до управленския интерфейс не бива да е наличен от интернет без ясна необходимост. В повечето случаи по-сигурният модел е управление през отделна административна мрежа или защитен VPN.

Не по-малко важни са актуализациите. Firewall-ът е критична система, но и той има операционна система, уязвимости и софтуерни зависимости. Отлагането на обновленията без оценка на риска може да остави организацията изложена на вече известни атаки. В същото време актуализациите трябва да се планират, тестват при възможност и изпълняват с резервен вариант, за да не се създаде ненужно прекъсване.

Логове, мониторинг и реакция при инцидент

Firewall логовете често се пазят, но не се използват. Това пропуска ценна информация: множество неуспешни опити за вход, необичайни връзки към външни адреси, комуникация между сегменти, която не е част от нормалната работа, или внезапно увеличение на блокирания трафик.

Ефективният мониторинг не означава някой да чете всеки запис ръчно. Означава да има определени сигнали, прагове и отговорност кой ги преглежда. Критичните събития трябва да водят до навременна проверка, а не да останат в дневник, който се разглежда едва след проблем.

Нужен е и ясен процес при промени. Всяко ново правило следва да има заявка, бизнес обосновка, техническо описание, одобрение и срок за преглед. При спешна промяна документацията може да се попълни след това, но не бива да отпада. Така организацията знае защо даден достъп съществува и може уверено да го премахне, когато вече не е необходим.

Колко често трябва да се преглежда конфигурацията

Няма универсален срок за всички компании. Организация с чести промени в приложенията, много дистанционни служители или външни интеграции се нуждае от по-чест преглед. За повечето фирми е разумно правилата да се анализират поне на тримесечие, а при всяка значима промяна - нов офис, нова облачна услуга, смяна на доставчик, внедряване на ERP или нова VPN схема - веднага.

Прегледът трябва да търси не само очевидно опасни правила. Той проверява дали правилата са активни и използвани, дали дублират други настройки, дали описанието им е достатъчно ясно, дали достъпът е ограничен по минимално необходимия начин и дали съответства на текущите бизнес процеси. Неизползваните правила се премахват контролирано, след проверка за зависимост.

В управлявана среда този процес се комбинира с проактивен мониторинг, управление на промени и периодична отчетност. Така ръководството получава ясна представа за състоянието на защитата, а вътрешният IT екип не остава сам с постоянната задача да следи конфигурации, актуализации и сигнали.

Сигурността на firewall-а не е въпрос на една настройка, а на дисциплина в ежедневната работа. Когато достъпът е обоснован, мрежата е сегментирана, промените са контролирани и събитията се наблюдават, фирмата намалява риска без да жертва продуктивността си. Най-добрият следващ ход е конфигурацията да бъде проверена спрямо реалната работа на хората и системите, а не спрямо предположения от времето, когато е била внедрена.