Firewall: що це і від чого він насправді захищає

Firewall — це засіб контролю мережевого трафіку: він перевіряє кожне з'єднання між захищеним сегментом і зовнішнім світом та пропускає лише те, що дозволено правилами. Решту блокує. Українська назва — міжмережевий екран, у розмовній мові кажуть «фаервол» або «брандмауер».

Розберімо, що таке фаервол по суті, від яких загроз він убезпечує, а від яких — ні, які його різновиди існують і чому сам собою він ще не робить систему невразливою.

Firewall та інтернет: навіщо бар'єр на межі

Комп'ютер чи сервер, підключений до інтернету, безперервно отримує запити, яких ніхто не очікував: автоматичні сканери обходять адреси й шукають відкриті порти та служби з відомими вразливостями. Якщо на межі бракує фільтра, кожна така служба — від бази даних до панелі керування — доступна будь-кому ззовні.

Саме тут і працює міжмережевий екран. Він оцінює з'єднання за формальними ознаками (звідки, куди, яким портом і протоколом) та ухвалює одне з трьох рішень: пропустити, мовчки відкинути або відхилити зі сповіщенням. Як влаштована ця перевірка й які бувають типи фільтрації — у статті Міжмережевий екран: як працює і які завдання вирішує.

Маршрутизатор, до речі, теж має вбудований екран: саме він приховує ноутбуки й телефони від прямих підключень ззовні. Тому домашня мережа виглядає з інтернету як одна точка, а не як десяток відкритих пристроїв.

Від чого захищає firewall

Від зовнішніх підключень до внутрішніх служб. Бази даних, панелі адміністрування, віддалене керування мають бути закриті для всіх, крім довірених адрес.
Від сканування портів. Це типова розвідка перед атакою: зловмисник шукає, що взагалі відповідає на його запити.
Від несанкціонованого вихідного трафіку. Якщо шкідлива програма вже всередині, правила для вихідних з'єднань заважають їй передати дані назовні чи отримати команди.
Від вільного переміщення зловмисника всередині компанії. Сегментація ізолює критичні ділянки: зламаний робочий комп'ютер не відкриває шлях до серверів із даними.

Найнаочніший приклад ціни питання — відкритий назовні порт віддаленого доступу до сервера. Боти цілодобово перебирають паролі до таких служб, і саме через них найчастіше потрапляють усередину програми-вимагачі. Правило, яке дозволяє підключення лише з кількох робочих адрес, знімає більшу частину цього ризику без додаткових витрат.

Ці чотири завдання й формують базовий рівень мережевої безпеки — усе інше нашаровується згори.

Чого firewall не робить

Межі можливостей варто знати так само добре, як переваги. Цей засіб працює зі з'єднаннями, а не зі змістом того, що ними передають:

не перевіряє файли на шкідливий код — це завдання антивіруса;
не завадить працівникові самому відкрити вкладення з фішингового листа: з'єднання ініціює довірена програма — формально все чисто;
не читає зашифрований вміст — сучасний трафік здебільшого йде через HTTPS, тож без окремої інспекції екран бачить лише факт з'єднання, а не те, що всередині;
не бачить логіки сайту, тож пропустить SQL-ін'єкцію чи XSS усередині начебто звичайного вебзапиту.

Останнє — найпоширеніша хибна надія: сервер із бездоганно налаштованим екраном усе одно зламають через уразливість самого сайту. Для цього рівня потрібен WAF (Web Application Firewall) — спеціалізований захист вебзастосунків.

Ще одна вразлива точка — людський чинник: правила з часом «обростають» тимчасовими дозволами, які ніхто вчасно не скасував, і бар'єр поступово стає формальністю.

Програмний, апаратний і хмарний: де працює засіб

Перший поділ — за способом розгортання.

Програмний firewall — програма на конкретному комп'ютері чи сервері (наприклад, вбудований у Windows брандмауер). Захищає лише той вузол, де встановлений, зате «знає», який застосунок ініціює з'єднання.
Апаратний — окремий пристрій на межі мережі. Прикриває всі вузли за собою одразу й економить ресурси робочих машин; звичний вибір для офісу та дата-центру.
Хмарний (firewall service, FWaaS) — та сама функція у вигляді послуги: трафік проходить через платформу постачальника, а правила задають у вебінтерфейсі. Саме про цю модель ідеться, коли запитують «firewall service — що це».

Домашньому користувачеві вистачає вбудованого екрана та маршрутизатора, невеликому офісу — апаратного пристрою на периметрі, а розподіленій інфраструктурі зручніша хмарна модель. Варіанти радше доповнюють один одного: екран на сервері працює поверх того, що фільтрує трафік на периметрі.

Мережевий і application firewall: на якому рівні перевіряти

Другий поділ — за глибиною аналізу; його часто плутають із першим.

Мережевий (пакетний) оперує адресами, портами й протоколами: він бачить «конверт», але не читає «лист».
Application firewall — екран рівня застосунків. Він розбирає вміст запитів конкретного протоколу й оцінює їх за змістом, а не лише за адресою відправника. WAF — саме такий різновид, орієнтований на HTTP.
NGFW — рішення нового покоління, що поєднують обидва підходи й додають розпізнавання застосунків, виявлення вторгнень та фільтрацію за користувачами.

Глибша перевірка коштує ресурсів і уваги: що складніший аналіз, то більше навантаження та ризик хибних спрацювань, коли легітимний запит помилково блокують. Тому рівень контролю добирають під задачу, а не «про всяк випадок».

Важливий нюанс: «програмний» і «прикладного рівня» — не синоніми. Перше про те, де встановлено засіб, друге — наскільки глибоко він перевіряє трафік. Плутанину з назвами загалом розбираємо в матеріалі Брандмауер, фаервол, файрвол: одна технологія — різні назви.

Як зрозуміти, що екран у вас уже є

Здебільшого його не доводиться купувати — треба ввімкнути й налаштувати те, що вже під рукою:

у Windows і macOS вбудований персональний екран є за замовчуванням;
на Linux-сервері фільтрація вбудована в саму систему — питання лише в заданих правилах;
домашній чи офісний маршрутизатор фільтрує вхідні підключення;
у хостинг-панелі та в хмарного провайдера ту саму роль виконують «групи безпеки» — переліки дозволених портів і адрес;
корпоративний периметр зазвичай тримає окремий апаратний пристрій.

Тож питання майже ніколи не в наявності, а в тому, що саме дозволено правилами.

Що поєднувати з фаерволом

Увімкнений, але налаштований за принципом «дозволити все» бар'єр марний. Базовий орієнтир — «заборонено все, крім явно потрібного»; покрокові налаштування розібрано у статті Як налаштувати фаервол у Windows і на сервері. Поряд працюють антивірус, вчасні оновлення, сегментація та WAF для сайту — кожен закриває свою частину загроз, і результат дає саме сукупність рівнів.

Контроль мережевого доступу — не забаганка окремих компаній, а базовий захід безпеки: у переліку заходів ISO/IEC 27001 йому відповідають безпека мереж, безпека мережевих послуг і розділення мереж. Тобто організація, яка вибудовує систему управління інформаційною безпекою, однаково приходить до тих самих правил фільтрації — просто оформлює їх як частину політики доступу.