Что такое файрвол
Файрвол (иначе, брандмауэр) представляет собой технологический барьер , предназначенный для предотвращения несанкционированного или нежелательного сообщения между компьютерными сетями или хостами
«файрвол» (firewall — «противопожарная стена») был заимствован из пожарной терминологии. В борьбе с пожарами, файрвол представляет собой стену или барьер, созданный для предотвращения распространения огня. Компьютерные программы назвали файрволами, т.к. их работа похожа на работу физического firewall, который препятствует распространению пожара из одной области в другую.
Файрволы — это тип программного обеспечения или же физическое устройство, которое занимает место «посредника» между вашим компьютером и сетью Интернет.
Целью является контроль и наблюдение за Интернет-соединениями путем анализа каждого бита данных, передаваемых и получаемых от компьютера и программ. Брандмауэр рассматривает все соединения и блокирует те из них, которые не отвечают указанным критериям безопасности.
Брандмауэр также может действовать в качестве прокси-сервера, что означает, что весь трафик будет передаваться через другой сервер, прежде чем он достигнет вашего компьютера.
Возникновение файрволов
Как известно, Всемирная Сеть Интернет была создана для обмена информацией. Когда Интернет только возник, по-видимому, не было особой необходимости в построении систем безопасности. Обмен информацией происходил через частные линии. Доступ к этим частным линиям предоставлялся в конкретной точке входа в сеть, которая охранялась вооруженными охранниками. Это была сетевая безопасность в прошлом.
Однако, к 1980 году Интернет, как мы знаем, стал публичным, а первые хакеры начали свои кибер-атаки, создавая необходимость в брандмауэрах и антивирусной защите. Сегодня в Интернете существует множество сайтов с информацией о товарах, услугах и прочих вопросах, а люди могут взаимодействовать друг с другом посредством чатов и социальных сетей.
К сожалению, есть сайты и люди с «недобрыми» намерениями в Интернете, чтобы делать вредоносные вещи, например, красть личную информацию или контролировать компьютер для рассылки спама. Установка файрвола — это лучшая линия обороны против этих атак. Когда firewall правильно установлен и настроен, он будет фильтровать весь трафик, как входящий, так и исходящий.
Файрвол и его особенности
Как известно, компьютеры подключены к другим устройствам и Интернету через ряд портов. Компьютеры имеют более 65 тысяч портов , что, по сути, означает, что есть более 65 тысяч способов взломать ваш компьютер! Файрволы надежно закрывают порты, которые не используются на компьютере, а также контролируют активность в часто используемых портах.
Многие брандмауэры, особенно те, которые предназначены для использования дома или в малом бизнесе, интуитивно понятны и сами знают (без настройки), какие программы OK, а какие должны быть заблокированы.
Межсетевые экраны могут быть внедрены в программное и аппаратное обеспечение, или же составлять комбинацию из того и другого.
Большинство современных операционных систем, таких как Microsoft Windows , поставляются с их собственным брандмауэром, который требует минимальной работы по его настройке. В Windows 7, Vista и XP, программные межсетевые экраны уже встроены в операционную систему, в то время, как более ранние версии Windows не имеют их. Компьютеры Macintosh под управлением Mac OS X 10.2 и более поздние версии также имеют встроенный брандмауэр.
Фаерволы сторонних производителей, включая коммерческое программное обеспечение достаточно просты в настройке, но, как правило, являются более мощными, чем те, которые поставляются с ОС. Такие файрволы имеют графический интерфейс пользователя для управления сетевым экраном, а функции программы включают регистрацию, отчетность и автоматическую сигнализацию при заданных пороговых значениях атаки.
Другим типом брандмауэра является аппаратный брандмауэр . Это физическое устройство, которое подключается к компьютеру и настраивается через соединение с ним — с помощью Интернет-браузера или через интерфейс командной строки. Аппаратные межсетевые экраны обычно более дорогие, чем программные, и значительно более сложные по настройке для среднего пользователя.
МЕТОДЫ РАБОТЫ ФАЙРВОЛА
Фильтр пакетов . Файрвол анализирует каждый пакет входящего и исходящего трафика сети, и принимает или отклоняет его на основе заданных пользователем правил. Фильтрация пакетов является достаточно эффективным и прозрачным методом для пользователей, но трудно настраиваемым. Кроме того, он подвержен воздействию IP-спуфинга (прим. — атаки в сети, когда IP-пакеты отправляются хакером в качестве обратного адреса IP-адрес хоста, которому «жертва» доверяет).
Шлюз приложений . Сетевым экраном применяются механизмы безопасности для конкретных приложений, таких как FTP и Telnet-сервера. Это является очень эффективным, но может повлиять на производительность.
Прокси-сервер . Брандмауэр перехватывает все соединения, входящие и исходящие из сети. Прокси-сервер эффективно скрывает истинные сетевые адреса.
Файрволы являются первой линией обороны для защиты частной информации. Для большей безопасности, ваши данные могут быть зашифрованы . Предприятия с интрасетью устанавливают фаерволы для предотвращения несанкционированного доступа к собственным информационным ресурсам.
Если у вас есть высокоскоростное подключение к Интернету в вашем доме, то вам необходим брандмауэр. Небольшая домашняя сеть имеет много тех же проблем безопасности, что и большая корпоративная сеть. Вы можете использовать брандмауэр для защиты домашней сети и семьи от вредоносных веб-сайтов и потенциальных хакеров.
ФАЙРВОЛ И АНТИВИРУС
Большинство компьютерных пользователей только сейчас начинает понимать важность безопасности компьютера. Также важно для пользователей ПК понять разницу между межсетевыми экранами и антивирусной защитой. В отличие от традиционных преступлений, краж и вторжения в частную жизнь в физическом мире, кибер-банды и кибер-преступники составляют новые и современные риски безопасности.
Можно так сказать, что, в отличие от брандмауэра, который действует, как компьютерный «швейцар» , антивирус работает как «вышибала» . Брандмауэр встречает на входе, однако если что-то проникло внутрь — за дело уже вступает антивирус-вышибала.
Лучшие антивирусные программные решения работают в фоновом режиме для мониторинга всех аспектов работы компьютера. Когда антивирус находит что-нибудь подозрительное, он показывает место, где он это нашел и предупреждает пользователя компьютера.
Теперь, когда Интернет достиг подросткового возраста, кибер-преступники начали использовать spyware (шпионов), cookies, веб-сайты и Интернет-браузеры для атаки компьютеров .
Стоит отметить, что идеальной защитой компьютера эксперты признали использование высокопроизводительного сетевого маршрутизатора со встроенным firewall.
What is a Firewall and How Does It Work?
Posted August 20, 2015
Introduction
A firewall is a system that provides network security by filtering incoming and outgoing network traffic based on a set of user-defined rules. In general, the purpose of a firewall is to reduce or eliminate the occurrence of unwanted network communications while allowing all legitimate communication to flow freely. In most server infrastructures, firewalls provide an essential layer of security that, combined with other measures, prevent attackers from accessing your servers in malicious ways.
This guide will discuss how firewalls work, with a focus on stateful software firewalls, such as iptables and FirewallD, as they relate to cloud servers. We’ll start with a brief explanation of TCP packets and the different types of firewalls. Then we’ll discuss a variety of topics that a relevant to stateful firewalls. Lastly, we will provide links to other tutorials that will help you set up a firewall on your own server.
TCP Network Packets
Before discussing the different types of firewalls, let’s take a quick look at what Transport Control Protocol (TCP) network traffic looks like.
TCP network traffic moves around a network in packets, which are containers that consist of a packet header—this contains control information such as source and destination addresses, and packet sequence information—and the data (also known as a payload). While the control information in each packet helps to ensure that its associated data gets delivered properly, the elements it contains also provides firewalls a variety of ways to match packets against firewall rules.
It is important to note that successfully receiving incoming TCP packets requires the receiver to send outgoing acknowledgment packets back to the sender. The combination of the control information in the incoming and outgoing packets can be used to determine the connection state (e.g. new, established, related) of between the sender and receiver.
Types of Firewalls
Let’s quickly discuss the three basic types of network firewalls: packet filtering (stateless), stateful, and application layer.
Packet filtering, or stateless, firewalls work by inspecting individual packets in isolation. As such, they are unaware of connection state and can only allow or deny packets based on individual packet headers.
Stateful firewalls are able to determine the connection state of packets, which makes them much more flexible than stateless firewalls. They work by collecting related packets until the connection state can be determined before any firewall rules are applied to the traffic.
Application firewalls go one step further by analyzing the data being transmitted, which allows network traffic to be matched against firewall rules that are specific to individual services or applications. These are also known as proxy-based firewalls.
In addition to firewall software, which is available on all modern operating systems, firewall functionality can also be provided by hardware devices, such as routers or firewall appliances. Again, our discussion will be focused on stateful software firewalls that run on the servers that they are intended to protect.
Firewall Rules
As mentioned above, network traffic that traverses a firewall is matched against rules to determine if it should be allowed through or not. An easy way to explain what firewall rules looks like is to show a few examples, so we’ll do that now.
Suppose you have a server with this list of firewall rules that apply to incoming traffic:
- Accept new and established incoming traffic to the public network interface on port 80 and 443 (HTTP and HTTPS web traffic)
- Drop incoming traffic from IP addresses of the non-technical employees in your office to port 22 (SSH)
- Accept new and established incoming traffic from your office IP range to the private network interface on port 22 (SSH)
Note that the first word in each of these examples is either “accept”, “reject”, or “drop”. This specifies the action that the firewall should do in the event that a piece of network traffic matches a rule. Accept means to allow the traffic through, reject means to block the traffic but reply with an “unreachable” error, and drop means to block the traffic and send no reply. The rest of each rule consists of the condition that each packet is matched against.
As it turns out, network traffic is matched against a list of firewall rules in a sequence, or chain, from first to last. More specifically, once a rule is matched, the associated action is applied to the network traffic in question. In our example, if an accounting employee attempted to establish an SSH connection to the server they would be rejected based on rule 2, before rule 3 is even checked. A system administrator, however, would be accepted because they would match only rule 3.
Default Policy
It is typical for a chain of firewall rules to not explicitly cover every possible condition. For this reason, firewall chains must always have a default policy specified, which consists only of an action (accept, reject, or drop).
Suppose the default policy for the example chain above was set to drop. If any computer outside of your office attempted to establish an SSH connection to the server, the traffic would be dropped because it does not match the conditions of any rules.
If the default policy were set to accept, anyone, except your own non-technical employees, would be able to establish a connection to any open service on your server. This would be an example of a very poorly configured firewall because it only keeps a subset of your employees out.
Incoming and Outgoing Traffic
As network traffic, from the perspective of a server, can be either incoming or outgoing, a firewall maintains a distinct set of rules for either case. Traffic that originates elsewhere, incoming traffic, is treated differently than outgoing traffic that the server sends. It is typical for a server to allow most outgoing traffic because the server is usually, to itself, trustworthy. Still, the outgoing rule set can be used to prevent unwanted communication in the case that a server is compromised by an attacker or a malicious executable.
In order to maximize the security benefits of a firewall, you should identify all of the ways you want other systems to interact with your server, create rules that explicitly allow them, then drop all other traffic. Keep in mind that the appropriate outgoing rules must be in place so that a server will allow itself to send outgoing acknowledgements to any appropriate incoming connections. Also, as a server typically needs to initiate its own outgoing traffic for various reasons—for example, downloading updates or connecting to a database—it is important to include those cases in your outgoing rule set as well.
Writing Outgoing Rules
Suppose our example firewall is set to drop outgoing traffic by default. This means our incoming accept rules would be useless without complementary outgoing rules.
To complement the example incoming firewall rules (1 and 3), from the Firewall Rules section, and allow proper communication on those addresses and ports to occur, we could use these outgoing firewall rules:
- Accept established outgoing traffic to the public network interface on port 80 and 443 (HTTP and HTTPS)
- Accept established outgoing traffic to the private network interface on port 22 (SSH)
Note that we don’t need to explicitly write a rule for incoming traffic that is dropped (incoming rule 2) because the server doesn’t need to establish or acknowledge that connection.
Firewall Software and Tools
Now that we’ve gone over how firewalls work, let’s take a look at common software packages that can help us set up an effective firewall. While there are many other firewall-related packages, these are effective and are the ones you will encounter the most.
Iptables
Iptables is a standard firewall included in most Linux distributions by default (a modern variant called nftables will begin to replace it). It is actually a front end to the kernel-level netfilter hooks that can manipulate the Linux network stack. It works by matching each packet that crosses the networking interface against a set of rules to decide what to do.
To learn how to implement a firewall with iptables, check out these links:
UFW, which stands for Uncomplicated Firewall, is an interface to iptables that is geared towards simplifying the process of configuring a firewall.
FirewallD
FirewallD is a complete firewall solution available by default on CentOS 7 servers. Incidentally, FirewallD uses iptables to configure netfilter.
To learn more about using FirewallD, check out this tutorial: How To Configure FirewallD to Protect Your CentOS 7 Server.
If you’re running CentOS 7 but prefer to use iptables, follow this tutorial: How To Migrate from FirewallD to Iptables on CentOS 7.
Fail2ban
Fail2ban is an intrusion prevention software that can automatically configure your firewall to block brute force login attempts and DDOS attacks.
To learn more about Fail2ban, check out these links:
Conclusion
Now that you understand how firewalls work, you should look into implementing a firewall that will improve your security of your server setup by using the tutorials above.
If you want to learn more about how firewalls work, check out these links: