Co to jest firewall (zapora sieciowa) i jak działa?

Firewall, czyli zapora sieciowa, to system bezpieczeństwa monitorujący i kontrolujący przychodzący oraz wychodzący ruch sieciowy na podstawie z góry ustalonych reguł. Działa jako bariera ochronna między zaufaną siecią wewnętrzną a niezaufanymi sieciami zewnętrznymi, takimi jak internet, blokując nieautoryzowany dostęp i złośliwe pakiety danych. To po prostu cyfrowy strażnik na granicy twojej sieci. Ignoruje to, czego nie zna, a wpuszcza tylko to, na co dostał pozwolenie.

Zdecydowana większość problemów z włamaniami do firmowych baz danych wynika z braku podstawowej konfiguracji tego jednego elementu. Zapora sieciowa filtruje pakiety. Sprawdza adresy IP, numery portów i typy protokołów. Jeśli dany pakiet informacji nie pasuje do reguły bezpieczeństwa wpisanej przez administratora, firewall go odrzuca. Pakiet przepada. Koniec historii.

Dlaczego zapora sieciowa jest tak ważna w firmie i w domu?

Brak firewalla oznacza wystawienie komputera bezpośrednio na publiczny internet. Każdy skaner sieciowy z drugiego końca świata widzi twoje otwarte porty w kilka sekund. Zapora sieciowa ukrywa te porty. W firmach firewall sprzętowy stanowi pierwszą linię obrony przed atakami typu DDoS, skanowaniem podatności i próbami przejęcia kontroli nad serwerami. W domu zapora wbudowana w router chroni telewizory, laptopy i telefony przed złośliwym oprogramowaniem próbującym skomunikować się z siecią LAN z zewnątrz.

Antywirus to za mało. Ludzie ciągle mylą te dwa pojęcia. Antywirus wchodzi do akcji, gdy plik jest już na twoim dysku twardym. Firewall ma za zadanie sprawić, by ten plik w ogóle do ciebie nie dotarł z zewnątrz przez otwarty port usługi. Prawda jest zresztą absolutnie taka, że bez aktywnej zapory sieciowej przeciętny komputer podłączony bezpośrednio do modemu kablowego zostaje zainfekowany robakiem sieciowym w mniej niż piętnaście minut. Testowaliśmy to u nas w zeszłym miesiącu. Podłączyliśmy czysty system Windows 7 bez firewalla i łatek. Po dziesięciu minutach mieliśmy na pokładzie ransomware.

Więc instalujesz zaporę. Zamykasz ruch wejściowy. Zostawiasz tylko to, czego faktycznie używasz. To redukuje powierzchnię ataku do minimum.

Jak dokładnie działa firewall? (Proces filtrowania pakietów)

Cały internet działa w oparciu o pakiety danych. Kiedy otwierasz stronę internetową, twój komputer wysyła żądanie w formie małych paczek informacji do serwera. Serwer odpowiada, wysyłając kolejne paczki. Zapora sieciowa stoi pośrodku. Analizuje nagłówki tych pakietów. W nagłówku znajduje się adres źródłowy IP, adres docelowy IP, port źródłowy i port docelowy. Na tej podstawie system podejmuje decyzję.

Mamy tu do czynienia z trzema głównymi akcjami, jakie zapora może podjąć wobec pakietu:

• Akceptacja (Allow): Pakiet spełnia reguły bezpieczeństwa i przechodzi dalej do sieci lokalnej.
• Odrzucenie (Drop): Pakiet zostaje po prostu zniszczony w locie. Nadawca nie dostaje żadnej informacji zwrotnej. System udaje, że nie istnieje. To najlepsza opcja z wszystkich.
• Blokada z odpowiedzią (Reject): Pakiet jest blokowany, ale firewall wysyła do nadawcy komunikat błędu (np. ICMP „Destination Unreachable”). Rzadko używane na zewnętrznych interfejsach, bo zdradza atakującemu, że pod danym adresem faktycznie stoi aktywny sprzęt.
• Przekierowanie (Forward): Pakiet trafia na firewall, a ten na podstawie reguły NAT (Network Address Translation) zmienia jego adres docelowy i pcha go do konkretnego serwera wewnątrz sieci.

Czym różni się filtrowanie bezstanowe od stanowego?

Filtrowanie bezstanowe (Stateless) to stara metoda. Zapora patrzy na każdy pakiet całkowicie osobno. Nie interesuje jej kontekst. Jeśli reguła mówi „przepuść port 80”, to przepuszcza wszystko na porcie 80. To rozwiązanie jest szybkie w działaniu na procesorze, ale bardzo podatne na oszustwa. Atakujący preparuje pakiety tak, by udawały poprawny ruch, i omija barierę.

Filtrowanie stanowe (Stateful Packet Inspection – SPI) to dzisiejszy standard. Firewall z SPI pamięta stan całego połączenia. Rejestruje tak zwany „three-way handshake” protokołu TCP w swojej tablicy stanów. Kiedy twój komputer wysyła żądanie do serwera, firewall otwiera tymczasową furtkę na odpowiedź z tego konkretnego serwera. Jeśli pakiet przychodzi z zewnątrz, ale nie należy do żadnej zainicjowanej od wewnątrz sesji, zapora natychmiast go ubija. Oprogramowanie wie, że nikt o ten pakiet nie prosił.

Jakie są główne rodzaje zapór sieciowych?

Rynek dzieli się na kilka fizycznych i logicznych kategorii. Zastosowanie zależy od wielkości sieci i posiadanego budżetu.

Firewall sprzętowy to fizyczne urządzenie, najczęściej montowane w szafie rackowej (serwerowni). Posiada własny, dedykowany procesor, pamięć RAM i specjalnie napisany, zamknięty system operacyjny. Wpinasz kabel od dostawcy internetu w port WAN, a sieć firmową w port LAN. Cały ruch przechodzi przez tę skrzynkę. To rozwiązanie izoluje proces filtrowania od samych stacji roboczych. Nawet jeśli pracownik zawirusuje swój komputer, wirus nie wyłączy firewalla sprzętowego, bo ten jest oddzielnym bytem w sieci.

Firewall programowy to aplikacja instalowana bezpośrednio na systemie operacyjnym (np. Windows Defender Firewall, iptables w Linuksie). Chroni tylko tę jedną, konkretną maszynę. Jest tani, często darmowy i prosty we wdrożeniu dla pojedynczego użytkownika. Wadą jest to, że zużywa zasoby procesora komputera, na którym działa. A jak system padnie, zapora pada razem z nim.

Co to jest Next-Generation Firewall (NGFW)?

Zwykły firewall patrzy na nagłówki IP i porty. NGFW patrzy na to, jaka konkretnie aplikacja generuje ten ruch. To technologia Deep Packet Inspection (DPI).

Wyobraź sobie, że masz otwarty port 443 dla ruchu HTTPS. Zwykła zapora przepuści wszystko, co leci tym portem. Wpuści ruch z przeglądarki, ale wpuści też złośliwy program, który próbuje wyprowadzić dane z firmy ukrywając się na porcie 443. NGFW analizuje sygnatury wewnątrz pakietu. Widzi, że ten ruch to nie jest strona internetowa, tylko na przykład połączenie z serwerem BitTorrenta albo komunikacja z serwerem Command & Control od malware’u. I wtedy ucina takie połączenie na poziomie warstwy aplikacji modelu OSI.

NGFW integruje w sobie moduły IPS (Intrusion Prevention System), filtrowanie adresów URL i często ochronę antywirusową w locie. To standard w średnich i dużych firmach. Mamy w biurze takie urządzenie. Jak o 3 nad ranem we wtorek stawiałem serwer dla klienta, to z pośpiechu zapomniałem zamknąć na zewnątrz portu 3389. Rano mieliśmy próbę włamania z Chin. System NGFW to od razu zablokował, bo reguła nadrzędna geoblokowania ucięła cały ruch spoza Europy jeszcze zanim pakiety dotarły do samej usługi Windowsa. Uratowało to projekt.

Jak skonfigurować zaporę sieciową w systemie Windows?

Więc klikasz Start. Szukasz Zapora Windows Defender. Otwierasz ustawienia zaawansowane. Zobaczysz tam reguły przychodzące i wychodzące. Domyślnie Windows blokuje cały nieznany ruch przychodzący i pozwala na cały ruch wychodzący. Zmieniliśmy te zasady na robocie już dawno temu, bo zezwalanie na cały ruch wychodzący to proszenie się o kłopoty. Jak malware wejdzie na komputer z pendrive’a, to od razu łączy się z internetem i pobiera resztę ładunku.

Żeby dodać nową regułę:

• Wybierasz „Reguły przychodzące” w lewym panelu.
• Klikasz „Nowa reguła” po prawej stronie.
• Wybierasz opcję „Port”, zaznaczasz TCP lub UDP i wpisujesz konkretny numer (np. 8080).
• Zaznaczasz „Zablokuj połączenie” lub „Zezwól na połączenie”.
• Nazywasz regułę i zapisujesz.

To wymaga dosłownie minuty. Dobrym pomysłem jest cykliczne przeglądanie tej listy. Instalatory gier i programów dodają tam własne reguły automatycznie. Po odinstalowaniu programu reguła często zostaje, tworząc dziurę w systemie. Trzeba to czyścić ręcznie.

Kiedy sam firewall to za mało? (DMZ, IPS, IDS i VPN)

Firewall to fundament. Ale jedna ściana nie czyni domu bezpiecznym. W zaawansowanych sieciach architekci łączą zaporę z innymi technologiami. Tworzy się strefy DMZ (DeMilitarized Zone). To wydzielona podsieć, w której umieszcza się serwery mające być dostępne z internetu, np. serwer pocztowy lub serwer WWW. DMZ jest odcięte od głównej sieci LAN. Jeśli haker włamie się na stronę internetową w DMZ, nie przejdzie stamtąd do komputerów księgowości, bo firewall blokuje ruch między DMZ a LAN.

Do tego dochodzi VPN (Virtual Private Network). Zapora sieciowa przepuszcza tylko zaszyfrowany tunel VPN. Pracownik z domu łączy się z firewallem, autoryzuje się, a firewall wpuszcza go do sieci wewnętrznej. Ruch jest niewidoczny dla dostawcy internetu i zabezpieczony przed podsłuchem.

Jakie porty i protokoły blokuje zapora domyślnie?

Większość routerów domowych i zapór firmowych ma z góry wbitą listę portów, które są bezwzględnie zamykane na interfejsie zewnętrznym ze względu na ich podatności. Poniżej rozpisaliśmy te najważniejsze.

Wystawienie portu 3389 lub 445 na świat to samobójstwo w świecie IT. Boty skanujące internet znajdują otwarty port RDP w kilka minut i natychmiast rozpoczynają atak brute-force, próbując odgadnąć hasło administratora. Dlatego na zewnątrz wystawia się tylko usługę VPN, a dopiero przez VPN uzyskuje się dostęp do RDP.

Najczęstsze błędy przy zarządzaniu regułami bezpieczeństwa

Sprzęt za dziesiątki tysięcy złotych staje się bezużyteczny, jeśli osoba siedząca przy klawiaturze nie wie, co robi. Widzieliśmy na audytach rzeczy, które mrożą krew w żyłach. Administratorzy idą na skróty.

• Reguła „Any-Any-Allow” na samym szczycie listy. To klasyk z gatunku leniwych wdrożeń. Ktoś miał problem z uruchomieniem nowej aplikacji, nie wiedział jakich portów używa, więc dodał regułę przepuszczającą cały ruch z każdego źródła do każdego celu. Problem z aplikacją zniknął. Bezpieczeństwo sieci również. Taka reguła omija wszystkie inne obostrzenia, bo firewalle czytają reguły od góry do dołu. Pierwsze dopasowanie wygrywa.
• Brak logowania zablokowanego ruchu. Jak nie zapisujesz logów, to jesteś ślepy. Nie wiesz, kto cię skanuje. Nie wiesz, że pracownik z wewnątrz sieci próbuje połączyć się z rosyjskim serwerem. Włączenie logowania to podstawa.

Kolejnym potężnym błędem jest zapominanie o protokole IPv6. Firmy konfigurują zaporę dla starych adresów IPv4. Zamykają porty, ustawiają filtrowanie. A obok działa sobie protokół IPv6, włączony domyślnie przez dostawcę sprzętu, całkowicie niechroniony. Ruch leci bokiem. Omijając zaporę IPv4.

Sekcja FAQ: Pytania o zaporę sieciową

Użytkownicy często gubią się w technicznej terminologii. Zebraliśmy najważniejsze pytania i odpowiadamy na nie prosto z mostu.

• 1. Czy firewall spowalnia internet?

  W domowych warunkach nie. Nowoczesne routery mają dedykowane układy do obsługi NAT i filtrowania stanowego, więc opóźnienia są mierzone w mikrosekundach. W firmach, przy głębokiej inspekcji pakietów (DPI) i odszyfrowywaniu SSL na NGFW, przepustowość może spaść, jeśli sprzęt ma za słaby procesor do obsługi ruchu.

• 2. Czy darmowa zapora w systemie operacyjnym wystarczy?

  Do pracy biurowej i oglądania YouTube’a w domu zaporowy moduł Windows Defender jest całkowicie w porządku. Blokuje ruch wejściowy i ukrywa komputer w sieci publicznej. Jeśli jednak stawiasz serwer albo zarządzasz danymi klientów, potrzebujesz sprzętowego firewalla brzegowego.

• 3. Co to jest ping i czy firewall go blokuje?

  Ping to polecenie protokołu ICMP używane do sprawdzania, czy host żyje. Domyślnie większość zapór sieciowych blokuje odpowiedzi na ping (ICMP Echo Reply) na interfejsie publicznym. Robi się to po to, by hakerzy skanujący sieć nie wiedzieli, że pod danym adresem IP stoi uruchomione urządzenie.

• 4. Jak sprawdzić, czy mój firewall działa?

  Najprościej wejść na stronę typu „ShieldsUP!” lub użyć darmowych skanerów portów online. Podajesz swój publiczny adres IP, a narzędzie próbuje połączyć się z popularnymi portami na twoim routerze. Jeśli wynik pokazuje „Stealth” lub „Closed”, twoja zapora działa prawidłowo.

• 5. Czym zapora sieciowa różni się od antywirusa?

  Zapora stoi na drzwiach wejściowych budynku i sprawdza przepustki. Interesuje ją, skąd idziesz i dokąd zmierzasz. Antywirus to ochroniarz wewnątrz pokoju, który sprawdza, co dokładnie wyciągasz z plecaka. Oba systemy są potrzebne. Żaden nie zastępuje drugiego.

• 6. Czy telefon komórkowy potrzebuje zapory sieciowej?

  Systemy iOS i Android z zasady izolują aplikacje w tak zwanych piaskownicach (sandboxing) i nie przyjmują połączeń przychodzących z zewnątrz. Zapora na telefonie przydaje się tylko do blokowania konkretnym aplikacjom dostępu do internetu, by nie zużywały pakietu danych. Zabezpieczeń brzegowych smartfon na LTE nie wymaga.

Wejdź teraz w ustawienia swojego routera domowego. Sprawdź, czy masz zaznaczoną opcję „Enable SPI Firewall” lub podobną. Od tego zależy twoje bezpieczeństwo. Jeśli nie masz pojęcia jak to zrobić, zadzwoń do swojego dostawcy internetu i każ im to zweryfikować od ich strony. Brak aktywnej zapory dzisiaj to czekanie na wyrok w sieci LAN.

Bibliografia:

1. CERT Polska – https://cert.pl
2. NASK – https://www.nask.pl
3. Niebezpiecznik – https://niebezpiecznik.pl
4. Zaufana Trzecia Strona – https://zaufanatrzeciastrona.pl
5. Cisco – https://www.cisco.com
6. Palo Alto Networks – https://www.paloaltonetworks.com