防火墙用于过滤网络流量。它位于网络之间，决定哪些流量可以通过。规则根据 IP 地址、端口、协议和应用程序签名定义允许和拒绝的流量。基本的包过滤器会检查数据包头部。有状态防火墙会跟踪连接并理解上下文。下一代防火墙会检查应用层数据、识别用户并阻止威胁。每一代防火墙的功能和复杂性都在增加。

单靠防火墙是不够的。它们可以阻止已知的恶意流量并强制执行网络分段，但无法阻止诱骗用户点击链接的钓鱼邮件，也无法阻止拥有有效凭据并通过允许端口连接的攻击者。除非配置为解密，否则防火墙不会检查加密流量，而解密会引发隐私和性能问题。防火墙作为多层防御体系的一部分才能发挥最佳效果。网络分段可以限制横向移动，入侵检测可以捕获防火墙遗漏的威胁，而端点安全则可以处理突破防线的威胁。设置宽松规则的防火墙弊大于利，它会造成虚假的安全感。应定期审查规则，删除那些无人记得添加的规则。默认规则应设置为“拒绝”。

防火墙类型

• 数据包过滤器——检查数据包头部，快速简便
• 有状态的 — 跟踪连接状态，提供更多上下文信息
• 应用层——检查有效载荷，速度较慢但深度更深。
• 下一代——集成了防火墙、入侵防御系统和应用控制功能

防火墙就像一道栅栏，它能阻止合法流量通过，也能阻止普通攻击者入侵。但它无法阻止拥有密钥的人。