Zapory sieciowe mogą działać między sieciami, chronić pojedynczego hosta, filtrować ruch chmurowy lub kontrolować komunikację między obciążeniami aplikacyjnymi.
Decyzje zapory mogą wykorzystywać adresy, porty, protokoły, stan połączenia, informacje o aplikacji, tożsamość lub inny kontekst. Wynik bezpieczeństwa zależy od tego, gdzie kontrola jest umieszczona, jaki ruch może inspekcjonować, jak zarządzane są reguły oraz czy wymagana komunikacja jest zrozumiała.
W praktyce trudną częścią jest zwykle polityka, a nie urządzenie: reguły kumulują się, aż nikt nie pamięta, któremu przepływowi służy każda z nich. Dojrzałe zarządzanie regularnie przegląda reguły, usuwa pozycje przesłonięte i wygasłe, wiąże każde zezwolenie z nazwanym uzasadnieniem biznesowym i właścicielem oraz traktuje zmiany awaryjne jako tymczasowe do czasu ponownego przeglądu.
Najważniejsze punkty
Główny celEgzekwowanie, które komunikacje sieciowe są dozwolone przez granicę.
Dobra praktykaZaczynaj od wymaganych przepływów, stosuj minimalne uprawnienia, dokumentuj właścicielstwo i cel, rejestruj istotne decyzje i usuwaj przestarzałe reguły.
Typowe formyFiltry pakietów, zapory stanowe, proxy aplikacyjne, zapory hostowe, kontrole chmurowe i rozproszone zapory obciążeń.
Istotne ograniczenieDozwolone połączenie może nadal przenosić atak, a zapora nie może chronić ruchu, który ją omija, ani aktywności, która nigdy nie przekracza jej granicy.