Firewall Protection: How Does a Firewall Protect the Network?
防火牆保護可讓組織在內部網路與不受信任的外部來源之間建立安全屏障。任何跨越此邊界的資料封包都會被仔細檢查，以評估其對內部網路可能造成的危險。任何違反防火牆內建規則的連線都會被標記為不安全連線，其連線也會被中斷 - 只允許安全連線。
防火牆保護如何運作？
由於任何防火牆的關鍵機制都在於其防火牆規則的建立和執行，因此值得將該工具分解為其核心元件。
代理服務
防止已驗證的安全裝置與開放網際網路直接連線，是建立安全網路的關鍵。為了達到這個目標，目前許多企業都會安裝防火牆作為代理服務。
這會透過防火牆路由所有要求。
由於它扮演中介角色，因此其保護範圍能夠普遍適用於所有內部裝置。
封包過濾
在網路中，資料被組織成封包。
由於前述的代理設定，這些資料封包會先傳送至防火牆，再由防火牆的「允許」清單進行檢查。這包括可以識別惡意資料的資訊。如果資料封包符合定義威脅的參數，封包會被丟棄。
規則考試
一旦資料封包到達防火牆，就會根據既定規則進行評估。每條規則都會列出允許資料的特定標準，如果封包不符合標準，就會被丟棄。這些規則允許在不同的網路和組織之間進行深入的客製化。
最受歡迎的規則類型之一是存取控制規則 - 這些規則定義允許哪些流量通過。存取控制規則是基於資料封包中的資料片段：
- IP 位址
- 連接埠號碼
- 協議
(因為它們都是容易取得的資料點，可讓可疑活動被找出並加以預防)。
決策執行
這是防火牆對規則採取行動的機制：根據規則，封包要麼被傳送到請求的伺服器，要麼在失敗時被丟棄。
Logging
由於防火牆會持續將封包與其相關規則集比較，因此每個允許或拒絕的決定都會記錄在自己的記錄檔中。這些都是名副其實的安全資料金礦，最好能在企業更廣泛的安全生態系統中使用。
畢竟，沒有任何單一的安全工具是萬靈丹，其他工具如安全資訊與事件管理 (Security Information Event Management) 軟體可以結合防火牆日誌與其他安全資料來評估其健康狀況。
4 防火牆保護最佳實務
防火牆是強大的安全工具，但知道如何應用和維護規則集是發揮其潛力的關鍵。
#1: 加強和設定您的防火牆
加固和保護防火牆的程序早在部署到網路之前就開始了。您需要確切瞭解哪些裝置是可驗證的安全裝置，以及哪些裝置是必要的。
這使得基礎結構的網路圖對於瞭解網路結構非常重要，因為它提供了各種元件之間連接的視覺表示。
掌握了這一點，就有可能設計出加固的防火牆。
首先，必須確保只有授權的管理員才能存取。首先要保持防火牆更新為最新的韌體，以防範已知的弱性。 在將防火牆部署到生產環境之前，應該適當地設定防火牆以符合安全最佳實務。
與傳統的安全管理有許多重疊的地方：
- 預設帳號和密碼必須停用或變更，以防止未經授權的存取嘗試
- 管理員帳戶應使用強大的獨特密碼，以進一步加強安全性
- 應避免共用使用者帳戶。
如果有多位管理員需要存取權限，最好針對每位管理員的特定職責，建立具有限制權限的獨立帳戶。
此方法可將風險降至最低，並確保問責性。
#2: 定期更新防火牆規則
良好的規則基礎對任何防火牆來說都是至關重要的：這也是為什麼大多數防火牆供應商在實施時都會包含內建、普遍適用的規則集的原因。
但是，不要低估針對您自己的應用程式和架構微調這些規則的影響。
這應該在網路圖表的範圍內進行：優先處理最高風險的應用程式和使用者，然後開始建立防火牆規則集。請記住，大多數防火牆會先循環檢查自訂規則，然後才進入預設規則。
一旦設定好規則後，請監控它們的功效，並留意它們的嚴格程度：過度放任的存取控制清單風險極高，而過於嚴格的限制則會讓使用者被鎖在必要的資源之外。
#3：依賴狀態檢查
Check Point 在 90 年代後期首次開發出狀態檢測，它是指防火牆可以從個別封包縮小到評估更大範圍的情況。
狀態檢測會隨著時間監控通訊封包，分析傳入和傳出的流量。它會追蹤要求特定類型回覆的傳出封包，如果傳入封包符合預期的回覆，就允許傳入封包通過。
這種類型的防火牆會密切注意所有作用中的會話，並驗證每個封包，不過確切的方法取決於防火牆技術和使用中的通訊協定。
#4: 將日誌用於警示機制
日誌是重要的資料，可建立所有出站和入站流量的路徑。這提供了寶貴的洞察力：
- 交通模式
- 來源與目的地 IP 位址的異常現象
- Potential 脆弱性。
這些資料可以提供給未來規則集的調整。日誌只有在可執行時才有意義。將防火牆記錄連接到分析引擎，可以發現奇怪的行為模式，而即時警示也有助於確保迅速採取行動。
更進一步，Check Point's 次世代防火牆
傳統防火牆只著重於基本流量過濾，而NGFW則結合了標準防火牆功能與下列功能：
- 應用程式管控
- 入侵防禦系統（IPS）
- 進階威脅防護
Check PointNGFW 採用Check Point ThreatCloud 所提供的即時威脅情資，能夠識別和緩解新興的網路威脅。 此外，它還支援深度封包檢查，可檢查標頭層級以外的資料，以偵測隱藏的惡意軟體或未經授權的活動。
這些都是 NGFW 的關鍵元件 - 若要深入瞭解此主題，請參閱我們的 NGFW 購買指南。Check Point NGFW 的突出功能之一是能夠根據使用者身份和群組角色控制應用程式。
Explore this deep access management with a demo to see how Check Point can keep your environment safe.
