8 práticas recomendadas de firewall para proteger a rede
Ter um guia de boas práticas de segurança firewall para proteger a rede pode comunicar aos stakeholders de segurança os objetivos da política de segurança da sua empresa, garantir a conformidade com as regulamentações do setor e melhorar a postura geral de segurança da sua empresa.
A seguir, apresentamos alguns recursos e oito práticas recomendadas de segurança de firewall para você começar sua jornada rumo a uma postura de segurança mais robusta.
#1. Reforce e configure corretamente o firewall
A maioria dos sistemas operacionais de soluções de firewall tudo-em-um são reforçados pelo fornecedor. Se você estiver implementando uma solução firewall de software, certifique-se de que o sistema operacional esteja primeiro atualizado e com a segurança reforçada.
Além de começar com um sistema operacional reforçado, os administradores de segurança também devem garantir que o firewall esteja configurado de forma segura. Guias estão disponíveis em fornecedores e terceiros, como o Center for Internet Security (CIS), que publica o CIS Benchmarks rede dispositivo. Veja também a lista de verificação do firewall SANS.
#2. Planeje a implantação do seu firewall
Os firewalls são uma ferramenta vital para a aplicação dos princípios de segurança de confiança zero . Eles monitoram e controlam o acesso de entrada e saída através dos limites da rede em uma rede macrosegmentada. Isso se aplica tanto à implantação firewall roteado de camada 3 (onde o firewall atua como um gateway conectando várias redes) quanto à implantação firewall bridge de camada 2 (onde o firewall conecta e isola dispositivos dentro de uma única rede).
Ao implantar um firewall, as interfaces de rede do firewall se conectam a essas redes ou zonas. Essas zonas podem então ser usadas para simplificar a política de firewall. Por exemplo, um firewall de perímetro terá uma zona externa conectada à Internet, uma ou mais interfaces internas conectadas à rede interna e, possivelmente, uma conexão de rede DMZ . A política do firewall pode então ser personalizada conforme necessário para adicionar um controle mais granular.
Será necessário gerenciar o firewall. Uma questão importante é: "O firewall também precisará de uma interface de gerenciamento dedicada?" O gerenciamento remoto e o acesso ao console serial devem ser acessíveis somente a partir de uma rede dedicada e segura.
Por fim, um firewall representa um ponto único de falha (SPOF). Implantar dois ou mais desses dispositivos em um cluster de alta disponibilidade (HA) garante a continuidade da segurança caso um deles falhe. Uma opção melhor, que utiliza continuamente os recursos de cada membro do cluster, é uma solução de segurança de rede em hiperescala . Isso também deve ser considerado para áreas onde o fluxo de tráfego apresenta picos sazonais.
#3. Proteja o firewall
Um firewall é um componente vital da infraestrutura de segurança de uma organização e precisa ser protegido contra exploração. Para proteger seu firewall, siga os seguintes passos:
- Desative protocolos inseguros como telnet e SNMP ou use uma configuração SNMP segura.
- Agende backups periódicos da configuração e do banco de dados.
- Habilite a auditoria de alterações do sistema e envie registros via syslog seguro ou outro método para um servidor SIEM externo, seguro e centralizado ou para uma solução de gerenciamento de firewall para fins de análise forense e geração de relatórios.
- Adicione uma regra oculta na política do firewall para esconder o firewall das varreduras de rede.
- Limitar o acesso de gerenciamento a hosts específicos.
- firewalls não são imunes à vulnerabilidade. Consulte o fornecedor para verificar se existem vulnerabilidades conhecidas e patches de segurança que corrigem a vulnerabilidade.
#4. Proteja as contas de usuário.
A apropriação de contas é uma técnica comum usada por agentes de ameaças cibernéticas. Para proteger as contas de usuário no seu firewall, faça o seguinte:
- Renomeie ou altere as contas e senhas padrão.
- Exija autenticação multifator (MFA) e/ou defina uma política de senhas fortes (senhas complexas com letras maiúsculas e minúsculas, caracteres especiais e números, com 12 caracteres ou mais, e impeça a reutilização de senhas).
- Utilize o controle de acesso baseado em funções (RBAC) para administradores de firewall. Delegue e limite o acesso de acordo com a necessidade do usuário (ou seja, permita apenas acesso de leitura para auditores e crie funções e contas de acesso dedicadas para equipes de DevSecOps).
#5. Zona de Bloqueio: Acesso ao Tráfego Autorizado
A função principal de um firewall é impor e monitorar o acesso para segmentação de rede.
O firewall pode inspecionar e controlar o tráfego norte/sul através de um limite de rede. Nesse caso de uso de macrosegmentação, as zonas são grupos amplos como Wi-Fi externo, interno, DMZ e para convidados. Eles também podem ser grupos de negócios em redes internas separadas, como centro de dados, RH e finanças, ou um piso de produção em uma fábrica que utiliza o Sistema de Controle Industrial (ICS).
Um firewall implantado em uma Nuvem virtualizada, privada ou pública, pode inspecionar o tráfego entre servidores individuais ou aplicativos que mudam dinamicamente à medida que as instâncias são criadas. Nesse caso de uso de microsegmentação , as zonas podem ser definidas por aplicativos, como aplicativos da web ou bancos de dados. A função do servidor virtual pode ser definida por uma etiqueta e usada dinamicamente em uma política de firewall sem intervenção humana, reduzindo as chances de erros de configuração manual.
Tanto na implantação macro quanto na micro, o firewall controla o acesso definindo uma regra de política firewall , que define amplamente o acesso com base na origem e no destino do tráfego. O serviço ou a porta utilizada pelo aplicativo também podem ser definidos. Por exemplo, as portas 80 e 443 são portas padrão para tráfego web. Em um servidor web, somente o acesso a essas portas deve ser permitido, e todas as outras portas devem ser bloqueadas. Este é um caso em que é possível adicionar o tráfego permitido à lista de permissões.
O tráfego de saída de uma organização para a Internet é mais problemático para uma política de segurança de lista branca, porque é quase impossível dizer quais portas são necessárias para o acesso à Internet. Uma abordagem mais comum para uma política de segurança de saída é a lista negra, onde o tráfego malicioso conhecido é bloqueado e todo o resto é permitido por meio de uma regra de política de firewall do tipo "aceitar tudo".
Para detectar sites maliciosos conhecidos, recursos de segurança adicionais podem ser ativados no Firewall de última geração (NGFW), além dos controles de IP e porta. Isso inclui filtragem URL e controle de aplicativos. Por exemplo, isso pode ser usado para permitir o acesso ao Facebook, mas bloquear os jogos do Facebook.
#6. Garanta que a política e o uso do firewall estejam em conformidade com os padrões.
Os regulamentos têm requisitos específicos para firewalls. Qualquer prática recomendada de segurança deve estar em conformidade com esses requisitos e pode exigir a adição de controles de segurança adicionais a qualquer firewall implantado. Os requisitos de exemplo incluem o uso de redes virtuais privadas (VPNs) para criptografar dados em trânsito, antivírus para prevenir malware conhecido e sistemas de detecção e prevenção de intrusões (IDS/IPS) para detectar quaisquer tentativas de intrusão na rede.
Por exemplo, o PCI DSS exige controles de firewall baseados em zonas entre zonas confiáveis e não confiáveis. Isso inclui o uso de uma DMZ e um firewall de perímetro entre toda a rede sem fio e os ambientes de dados do titular do cartão. Alguns requisitos adicionais do PCI DSS incluem:
- Utilize medidas anti-spoofing para detectar e bloquear a entrada de endereços IP de origem falsificados na rede. Por exemplo, bloqueie o tráfego de entrada na interface externa com um endereço de origem igual a um dos servidores de rede internos.
- Não divulgar endereços IP privados e informações de roteamento a terceiros não autorizados usando Tradução de Endereços (NAT) e removendo anúncios de rotas para redes privadas.
- A cada seis meses, revise quaisquer regras desnecessárias, desatualizadas ou incorretas e assegure-se de que todos os conjuntos de regras permitam apenas serviços e portas autorizados.
- Criptografe a transmissão de dados do titular do cartão em redes públicas e abertas.
- Instale os patches de segurança fornecidos pelo fornecedor. Instale as atualizações de segurança críticas no prazo de um mês após o lançamento. (Considerando a rapidez com que os agentes maliciosos exploram vulnerabilidades conhecidas, as empresas podem querer alterar isso para atualizar quando uma correção estiver disponível.) Um NGFW que atualiza automaticamente as assinaturas IPS pode proteger toda a rede de vulnerabilidades recém-anunciadas.
- Devem existir processos para limitar o acesso com base na necessidade de conhecimento e de acordo com as responsabilidades do cargo.
- Rastrear e monitorar todo o acesso a recursos de rede e dados do titular do cartão.
- Utilizando tecnologia de sincronização de tempo, sincronize todos os relógios e horários críticos do sistema.
- Teste regularmente os sistemas e processos de segurança.
#7. Teste para verificar a política e identificar riscos
Com uma política de segurança mais abrangente, pode ser difícil visualizar como ela processaria uma nova conexão. Existem ferramentas para realizar análises de caminhos e elas podem estar presentes no sistema de gerenciamento de segurança para buscar e encontrar regras.
Além disso, alguns sistemas de gerenciamento de segurança emitem avisos quando um objeto duplicado é criado ou não instalam uma política que contenha uma regra que oculte outra. Teste regularmente sua política para verificar se ela funciona conforme o esperado na identificação de objetos não utilizados e duplicados.
As políticas de firewall são normalmente aplicadas em ordem de cima para baixo e podem ser otimizadas movendo as regras de maior ocorrência para posições mais altas na ordem de inspeção. Inspecione regularmente a política para otimizar o desempenho do seu firewall.
Por fim, realize testes de penetração regularmente para identificar quaisquer riscos e medidas de segurança adicionais que possam ser necessárias, além do firewall, para proteger sua organização.
#8. Audite o software ou firmware e os registros.
Auditorias regulares são essenciais para garantir que o software e o firmware estejam corretos e atualizados e que os registros estejam configurados e operacionais corretamente. Algumas das melhores práticas para essas auditorias incluem:
- Estabeleça um plano formal de controle de mudanças para modificar a política de segurança, garantindo que a segurança não seja comprometida.
- Regras com qualquer valor definido na origem, destino ou porta podem representar brechas na política de segurança. Sempre que possível, altere-os para adicionar a origem, o destino ou o serviço específico que é o objetivo da regra.
- Crie seções ou camadas para adicionar uma hierarquia à política de segurança, facilitando a revisão.
- Adicione regras de limpeza no final da seção ou camada que correspondam à intenção da camada (ou seja, permitir tudo ou negar tudo).
- Adicione comentários e nomes às regras para ajudar a identificar a finalidade original de cada uma.
- Habilite o registro de logs para melhor rastrear fluxos de rede e aumentar a visibilidade para investigações forenses e geração de relatórios.
- Analise regularmente os registros e relatórios de auditoria para verificar quem alterou a política do firewall.
Recomendações para otimização da política do Check Point
A Check Point oferece diversos recursos para ajudar na configuração do seu NGFW da Check Point. Para uma discussão preliminar sobre a política de firewall da Check Point, consulte este artigo de suporte sobre Construção e Otimização de Bases de Regras. Além disso, se você é novo no Check Point, confira o Check Point para Iniciantes da Comunidade CheckMates.
Para obter informações mais detalhadas sobre como gerenciar melhor sua solução Check Point, faça um de nossos cursos de e-learning gratuitos. Você também pode solicitar uma demode NGFW ou de gerenciamento de segurança.
