Firewall

Zasada jest prosta: domyślnie zamknięte

Serwer udostępnia różne usługi: stronę, pocztę, bazę danych, zdalne logowanie. Bez zapory każda z nich jest widoczna dla całego świata i codziennie odwiedzana przez automaty szukające niedomkniętych drzwi. Firewall odwraca tę logikę - blokuje wszystko poza wyjątkami, które sam wskażesz. Strona zostaje otwarta dla wszystkich, bo taki jest jej sens, ale panel administracyjny czy baza danych są dostępne tylko z określonych adresów IP albo wyłącznie przez VPN.

Zapora sieciowa a WAF

Klasyczna zapora patrzy na to, kto się łączy i z czym - nie zagląda do środka ruchu. To za mało wobec ataków wymierzonych w samą stronę, bo one przychodzą zwykłym, dozwolonym kanałem. Tym zajmuje się WAF, czyli zapora aplikacyjna: analizuje treść zapytań i wychwytuje próby wstrzyknięcia kodu, masowe próby logowania czy podejrzane wzorce zachowań. WAF bywa elementem pakietu razem z siecią CDN i wtedy działa jeszcze zanim ruch dotrze do Twojego serwera.

Gdzie w firmie stoją zapory

• Na routerze lub urządzeniu brzegowym, na styku firmowej sieci z internetem.
• Na samym serwerze albo VPS-ie - to najważniejsza warstwa, jeśli macie własną maszynę.
• W panelu hostingu, gdzie zwykle da się ograniczyć dostęp do panelu i zablokować wybrane kraje.
• Przed stroną, jako filtr aplikacyjny chroniący przed atakami i zalewem botów.
• Na komputerach pracowników, w postaci zapory wbudowanej w system.

Czego zapora nie załatwi

Firewall pilnuje drzwi, ale nie sprawdza, kogo sam wpuszczasz. Nie naprawi nieaktualnej wtyczki z luką, nie pomoże przy słabym haśle administratora i nie cofnie skutków złośliwego kodu, który trafił na stronę legalną drogą. Dlatego zapora jest jedną z warstw, obok aktualizacji, mocnego uwierzytelniania i sprawdzonych kopii zapasowych. Sensowna kolejność jest zresztą odwrotna niż się wydaje: najpierw działający backup, potem reszta.