Vad är en brandvägg?
En brandvägg är vakten mellan ett nätverk och omvärlden. Den granskar trafiken som vill in och ut, och släpper bara igenom det som reglerna tillåter. För en verksamhet är den ofta den första försvarslinjen mot angrepp utifrån.
Men en brandvägg gör inte allt. Den stoppar oönskad nätverkstrafik, inte ett phishingmejl som en anställd klickar på. Modern brandväggsteknik gör dessutom betydligt mer än att öppna och stänga portar, och var den placeras i nätverket avgör hur mycket den faktiskt skyddar.
Vad en brandvägg gör
En brandvägg arbetar efter ett regelverk. Varje paket som passerar jämförs mot reglerna, som avgör om trafiken ska släppas fram eller blockeras utifrån avsändare, mottagare, port och protokoll.
Grundprincipen i en väl uppsatt brandvägg är att neka som standard. Allt som inte uttryckligen är tillåtet stoppas, i stället för tvärtom. På så sätt öppnar verksamheten bara de vägar som faktiskt behövs och håller resten stängt. Brandväggen är därmed en grundläggande del av verksamhetens IT-säkerhet.
Från paketfilter till next generation
Brandväggar har utvecklats i flera steg. De första var enkla paketfilter som bara tittade på avsändare, mottagare och port, ett paket i taget.
Nästa steg var stateful inspection, där brandväggen håller reda på pågående uppkopplingar och förstår om ett paket hör till en redan godkänd session. Dagens next generation-brandväggar, NGFW, går längre än så. De kan titta in i själva trafiken, känna igen vilken applikation som används och blockera kända angrepp i farten.
Vad en NGFW ser
En modern brandvägg gör mer än att öppna och stänga portar. Den samlar flera funktioner i en och samma enhet:
- Djup paketinspektion, som granskar innehållet och inte bara adressuppgifterna.
- Applikationskontroll, som skiljer på tjänster även när de delar samma port.
- Inbyggt intrångsskydd, IPS, som stoppar kända attackmönster.
- URL- och innehållsfiltrering, som blockerar skadliga eller olämpliga sajter.
Det är de här funktionerna som gör att en NGFW fångar sådant som ett rent portfilter missar.
Hårdvara, mjukvara och moln
En brandvägg kan vara en fysisk enhet i serverrummet, en mjukvara på en enskild server eller dator, eller en tjänst i molnet. De fyller delvis olika roller.
Nätverksbrandväggen skyddar gränsen mot internet och mellan zoner, medan en värdbaserad brandvägg skyddar en enskild maskin. När verksamheten flyttar system till molnet följer funktionen med dit, som en molnbrandvägg framför de molntjänster som används.
Var brandväggen sitter
Placeringen avgör vad brandväggen kan skydda. Den klassiska platsen är i ytterkanten, mellan det interna nätet och internet.
Men en brandvägg gör nytta även inne i nätverket. Genom att dela upp nätet i zoner, till exempel en DMZ för tjänster som nås utifrån, kan en verksamhet hindra att ett angrepp sprider sig fritt om någon väl tar sig in. I känsliga miljöer går man ännu längre och delar nätet i många små segment, så att den som tar sig in i en del inte automatiskt når resten. Den här segmenteringen hör till modernt nätverksskydd och är något som regelverk som NIS2 lyfter fram.
Vad en brandvägg inte skyddar mot
Det är lätt att tro att en brandvägg räcker. Den gör mycket, men den har tydliga gränser.
En brandvägg stoppar inte ett mejl med skadlig kod som en anställd öppnar, och den hjälper sällan mot hot som redan finns på insidan. Den ser heller inte in i krypterad trafik om den inte är satt att göra det. Därför är brandväggen ett lager bland flera, inte hela skyddet. Den fungerar bäst tillsammans med övrig cybersäkerhet som antivirus, uppdateringar och utbildad personal.
Regelverket måste skötas
En brandvägg är inte klar när den är installerad. Reglerna växer med tiden, och gamla öppningar som ingen längre behöver blir säkerhetshål.
Därför ska regelverket gås igenom med jämna mellanrum, så att onödiga regler tas bort och loggarna följs upp. En brandvägg med hundratals bortglömda regler ger en falsk trygghet, eftersom ingen längre vet vad som egentligen är öppet.
Att välja och sätta upp
Börja med vad som ska skyddas och hur nätet ser ut. En mindre verksamhet klarar sig ofta med en NGFW i kanten, medan en större behöver segmentering och flera brandväggar.
Se sedan till att någon äger regelverket över tid. En brandvägg är bara så bra som de regler den körs med, och de behöver skötas lika noga som tekniken köps in.
Global
