En brandvägg filtrerar nätverkstrafik. Den placeras mellan nätverk och bestämmer vad som ska passera. Regler definierar tillåten och nekad trafik baserat på IP-adresser, portar, protokoll och applikationssignaturer. Ett grundläggande paketfilter tittar på headers. En tillståndskänslig brandvägg spårar anslutningar och förstår sammanhang. Nästa generations brandvägg inspekterar data på applikationslagret, identifierar användare och blockerar hot. Varje generation lägger till kapacitet och komplexitet.

Brandväggar räcker inte ensamma. De stoppar känd dålig trafik och upprätthåller segmentering. De stoppar inte nätfiskemejl som lurar en användare att klicka på en länk. De stoppar inte en angripare som har giltiga inloggningsuppgifter och ansluter via en tillåten port. De inspekterar inte krypterad trafik om de inte är konfigurerade att dekryptera den, vilket väcker problem med integritet och prestanda. Brandväggar fungerar bäst som en del av ett lager-på-lager-försvar. Nätverkssegmentering begränsar lateral rörelse. Intrångsdetektering fångar upp det som brandväggen missar. Endpoint-säkerhet hanterar hot som tar sig igenom. En brandvägg med tillåtande regler är värre än värdelös. Den skapar en falsk känsla av säkerhet. Granska regler regelbundet. Ta bort de som ingen minns att man lagt till. Standardinställningen bör vara neka.

Brandväggstyper

• Paketfilter — inspekterar rubriker, snabbt och enkelt
• Stateful — spårar anslutningstillstånd, mer kontext
• Applikationslager — inspekterar nyttolaster, långsammare men djupare
• Nästa generation — kombinerar brandvägg, IPS och applikationskontroll

En brandvägg är ett staket. Den håller ärlig trafik inne och tillfälliga angripare ute. Den stoppar inte någon med en nyckel.