En brannmur filtrerer nettverkstrafikk. Den sitter mellom nettverk og bestemmer hva som slipper gjennom. Regler definerer tillatt og nektet trafikk basert på IP-adresser, porter, protokoller og applikasjonssignaturer. Et grunnleggende pakkefilter ser på overskrifter. En tilstandsbasert brannmur sporer tilkoblinger og forstår kontekst. En neste generasjons brannmur inspiserer data på applikasjonslaget, identifiserer brukere og blokkerer trusler. Hver generasjon legger til funksjonalitet og kompleksitet.

Brannmurer er ikke nok alene. De stopper kjent dårlig trafikk og håndhever segmentering. De stopper ikke phishing-e-poster som lurer en bruker til å klikke på en lenke. De stopper ikke en angriper som har gyldig legitimasjon og kobler seg til over en tillatt port. De inspiserer ikke kryptert trafikk med mindre de er konfigurert til å dekryptere den, noe som gir bekymringer om personvern og ytelse. Brannmurer fungerer best som en del av et lagdelt forsvar. Nettverkssegmentering begrenser lateral bevegelse. Inntrengingsdeteksjon fanger opp det brannmuren overser. Endepunktsikkerhet håndterer trusler som slipper gjennom. En brannmur med tillatte regler er verre enn ubrukelig. Den skaper en falsk følelse av sikkerhet. Gjennomgå reglene regelmessig. Fjern de som ingen husker å ha lagt til. Standardverdien bør være nekt.

Brannmurtyper

• Pakkefilter – inspiserer overskrifter, raskt og enkelt
• Stateful – sporer tilkoblingsstatus, mer kontekst
• Applikasjonslag – inspiserer nyttelaster, saktere men dypere
• Neste generasjon – kombinerer brannmur, IPS og applikasjonskontroll

En brannmur er et gjerde. Den holder ærlig trafikk inne og tilfeldige angripere ute. Den stopper ikke noen med en nøkkel.