Межсетевой экран фильтрует сетевой трафик. Он располагается между сетями и решает, что проходит через него. Правила определяют разрешенный и запрещенный трафик на основе IP-адресов, портов, протоколов и сигнатур приложений. Базовый пакетный фильтр анализирует заголовки. Межсетевой экран с отслеживанием состояния отслеживает соединения и понимает контекст. Межсетевой экран следующего поколения проверяет данные на уровне приложений, идентифицирует пользователей и блокирует угрозы. Каждое поколение добавляет новые возможности и усложняет систему.

Сами по себе межсетевые экраны недостаточны. Они блокируют заведомо вредоносный трафик и обеспечивают сегментацию. Однако они не останавливают фишинговые письма, которые обманом заставляют пользователя перейти по ссылке. Они не останавливают злоумышленника, имеющего действительные учетные данные и подключающегося через разрешенный порт. Они не проверяют зашифрованный трафик, если не настроены на его расшифровку, что вызывает опасения по поводу конфиденциальности и производительности. Межсетевые экраны лучше всего работают в составе многоуровневой защиты. Сегментация сети ограничивает горизонтальное перемещение. Система обнаружения вторжений выявляет то, что межсетевой экран пропускает. Защита конечных точек обрабатывает угрозы, которые все же проникают. Межсетевой экран с разрешительными правилами хуже, чем бесполезен. Он создает ложное чувство безопасности. Регулярно проверяйте правила. Удаляйте те, которые никто не помнит, что добавлял. По умолчанию должно быть установлено правило «запретить».

Типы межсетевых экранов

• Фильтр пакетов — проверяет заголовки, быстро и просто.
• С сохранением состояния — отслеживает состояние соединения, предоставляет больше контекста.
• Прикладной уровень — проверяет полезные нагрузки, медленнее, но глубже.
• Новое поколение — объединяет межсетевой экран, систему предотвращения вторжений (IPS) и контроль приложений.

Брандмауэр — это забор. Он не пропускает честный трафик и не пускает случайных злоумышленников. Он не остановит того, у кого есть ключ.