防火牆用於過濾網路流量。它位於網路之間，決定哪些流量可以通過。規則根據 IP 位址、連接埠、協定和應用程式簽章定義允許和拒絕的流量。基本的包過濾器會檢查資料包頭部。有狀態防火牆會追蹤連線並理解上下文。新一代防火牆會檢查應用層資料、識別使用者並阻止威脅。每一代防火牆的功能和複雜性都在增加。

單靠防火牆是不夠的。它們可以阻止已知的惡意流量並強制執行網路分段，但無法阻止誘騙用戶點擊連結的釣魚郵件，也無法阻止擁有有效憑證並透過允許連接埠連接的攻擊者。除非配置為解密，否則防火牆不會檢查加密流量，而解密會引發隱私和效能問題。防火牆作為多層防禦體系的一部分才能發揮最佳效果。網路分段可以限制橫向移動，入侵偵測可以捕捉防火牆遺漏的威脅，而端點安全則可以處理突破防線的威脅。設定寬鬆規則的防火牆弊大於利，它會造成虛假的安全感。應定期審查規則，刪除那些無人記得新增的規則。預設規則應設定為“拒絕”。

防火牆類型

• 資料包過濾器－檢查資料包頭部，快速簡單
• 有狀態的 — 追蹤連線狀態，提供更多上下文信息
• 應用層－檢查有效載荷，速度較慢但深度更深。
• 下一代——整合了防火牆、入侵防禦系統和應用控制功能

防火牆就像一道柵欄，它能阻止合法流量通過，也能阻止一般攻擊者入侵。但它無法阻止擁有密鑰的人。