Uma firewall filtra o tráfego de rede. Posiciona-se entre as redes e decide o que passa. As regras definem o tráfego permitido e o bloqueado com base em endereços IP, portas, protocolos e assinaturas de aplicações. Um filtro de pacotes básico analisa os cabeçalhos. Um firewall com estado rastreia as ligações e compreende o contexto. Uma firewall de última geração inspeciona os dados da camada de aplicação, identifica utilizadores e bloqueia ameaças. Cada geração acrescenta recursos e complexidade.

Os firewalls, por si só, não são suficientes. Bloqueiam tráfego malicioso conhecido e impõem segmentação. Não impedem os e-mails de phishing que enganam o utilizador para clicar num link. Não impedem um atacante com credenciais válidas que se liga através de uma porta permitida. Não inspecionam o tráfego encriptado, a menos que estejam configurados para o desencriptar, o que levanta preocupações com a privacidade e o desempenho. Os firewalls funcionam melhor como parte de uma defesa por camadas. A segmentação de rede limita o movimento lateral. A deteção de intrusão captura o que a firewall não deteta. A segurança de endpoints lida com as ameaças que conseguem passar. Um firewall com regras permissivas é pior que inútil. Cria uma falsa sensação de segurança. Reveja as regras regularmente. Remova aquelas que ninguém se lembra de ter adicionado. A definição padrão deve ser "negar".

Tipos de firewall

• Filtro de pacotes — inspeciona os cabeçalhos, de forma rápida e simples.
• Com estado — acompanha o estado da ligação, mais contexto.
• Camada de aplicação — inspeciona as cargas úteis, mais lentamente, mas com maior profundidade.
• Próxima geração — combina firewall, IPS e controlo de aplicações.

Uma firewall é uma cerca. Impede a entrada de tráfego legítimo e a entrada de intrusos ocasionais. Ele não impede alguém que tenha a chave.