Файрвол

Що це означає

Міжмережевий екран фільтрує мережевий обмін за правилами: що можна всередину, що назовні і звідки куди. Це може бути пристрій на межі мережі, функція в маршрутизаторі або програма на сервері та на комп’ютері.

Базове правило - заборонити все і дозволити лише необхідне. Зворотне налаштування, коли дозволено все, а забороняються винятки, зручніше і водночас є найчастішою причиною зайвої відкритої служби.

Міжмережевий екран захищає мережу, якою компанія керує сама. Коли бухгалтерія, пошта й документи працюють у хмарі, корпоративний екран їх не захищає: інфраструктуру охороняє постачальник, а на боці компанії лишається передусім керування обліковими записами та входом. Межа, яку треба охороняти, зсувається з офісу до особи користувача.

Як це працює на практиці

У невеликій компанії міжмережевий екран стосується насамперед віддаленого доступу до облікового сервера або до локального сховища. Безпечніше, ніж відкривати порти в інтернет, підключатися через VPN і дозволяти доступ лише з неї.

Правила документують і час від часу переглядають, інакше накопичуються винятки для людей і служб, яких уже немає. Заблоковані спроби потрапляють у журнал, щоб було видно, що відбувається.

Для інтернет-магазину чи вебзастосунку на хостингу використовують і веб-екран застосунків, що фільтрує запити до самого сайту і перехоплює типові атаки на форми та вхід. Зазвичай він входить у послугу постачальника, і його треба лише ввімкнути й налаштувати, а правила перевіряють після кожної великої зміни сайту.

На що звернути увагу

Міжмережевий екран не захищає від фішингу, викраденого пароля і шкідливого вкладення: атака приходить дозволеним каналом. Тому до нього додаються керування доступами, оновлення та перевірка стану тестом на проникнення.

Домашню мережу працівника на віддаленій роботі компанія не контролює. Ноутбук із доступом до зарплат і обліку там захищений лише власним програмним екраном та оновленнями. Якщо користувач їх вимкне, бо в нього щось не працювало, компанія дізнається про це лише після інциденту, і тоді їй доведеться вирішувати ще й повідомлення про витік персональних даних.