En firewall filtrerer netværkstrafik. Den sidder mellem netværk og bestemmer, hvad der slipper igennem. Regler definerer tilladt og afvist trafik baseret på IP-adresser, porte, protokoller og applikationssignaturer. Et grundlæggende pakkefilter ser på headere. En stateful firewall sporer forbindelser og forstår kontekst. En næstegenerations firewall inspicerer data på applikationslaget, identificerer brugere og blokerer trusler. Hver generation tilføjer kapacitet og kompleksitet.

Firewalls er ikke nok i sig selv. De stopper kendt dårlig trafik og håndhæver segmentering. De stopper ikke phishing-e-mails, der narrer en bruger til at klikke på et link. De stopper ikke en angriber, der har gyldige legitimationsoplysninger og opretter forbindelse via en tilladt port. De inspicerer ikke krypteret trafik, medmindre de er konfigureret til at dekryptere den, hvilket giver anledning til bekymring for privatlivets fred og ydeevne. Firewalls fungerer bedst som en del af et lagdelt forsvar. Netværkssegmentering begrænser lateral bevægelse. Indtrængningsdetektion fanger det, firewallen overser. Endpoint-sikkerhed håndterer trusler, der slipper igennem. En firewall med tilladte regler er værre end ubrugelig. Det skaber en falsk følelse af sikkerhed. Gennemgå regler regelmæssigt. Fjern dem, som ingen husker at have tilføjet. Standardindstillingen bør være afvis.

Firewalltyper

• Pakkefilter — inspicerer headere, hurtigt og enkelt
• Stateful — sporer forbindelsestilstand, mere kontekst
• Applikationslag — inspicerer nyttelast, langsommere men dybere
• Næste generation — kombinerer firewall, IPS og applikationskontrol

En firewall er et hegn. Den holder ærlig trafik inde og tilfældige angribere ude. Den stopper ikke nogen med en nøgle.