什麼是防火牆軟體？
部署防火牆的兩種主要方式是作為在主機上運行的應用程式的防火牆軟體或作為在專用網路裝置上運行的硬體防火牆。防火牆軟體廣泛用於運行 Windows、macOS 和其他類 Unix 作業系統的個人和公司筆記型電腦。
防火牆軟體也可在可以部署在專用硬體上的防火牆發行版中使用，但在本次討論中，我們根據防火牆的部署方式（即在主機上部署還是作為專用網路裝置）來區分軟體防火牆和硬體防火牆。
防火牆軟體如何運作？
除了 Windows、macOS 和 Linux 軟體防火牆之外，IoT（物聯網）裝置中還嵌入了防火牆，特別是那些基於 Linux 並使用 iptables 實用程式的裝置。
當防火牆軟體安裝在主機（例如 Windows）上時，它可以做出細化到應用程式層級的精細網路存取決策。例如，可以允許 Web 伺服器應用程式在 HTTP 流量的標準 TCP 連接埠上接收入站連線：連接埠 80 (HTTP) 和 443 (HTTPS)。
僅允許正常網路操作所需的選定服務通過防火牆，並且可以根據設定檔設定策略。例如，網域設定檔可能用於連接到組織網域控制器，私有設定檔用於在家中連接時，公用設定檔用於連接到公用且不受保護的網路（如當地咖啡店的無線網路）時。
安全性原則規則通常為每個設定檔預先定義，並可視需要自訂。 依預設，允許所有輸出連線。 由於裝置的數量，如果產品設計中不包含此功能，則集中管理防火牆軟體策略將會很困難。
防火牆軟體的特點
基於軟體的防火牆應具有一些共同的功能，包括：
- 佔用空間小：防火牆軟體與其他應用程式一起在主機上運行，因此它必須能夠與這些應用程式共存。這意味著共用磁碟空間、運算和其他系統資源
- 安全：作為一種安全產品，防火牆本身必須是安全的，並且其他應用程式或使用者無法存取。這可能意味著在主機平台上加強使用者存取控制，以限制本機組態變更。 這同樣適用於解除安裝、安裝或停止防火牆進程的權限。
- 成本：通常，防火牆軟體包含在主機產品中，因此防火牆軟體本身不需要付費。但是，中央管理或進階威脅防護等附加功能可能會收取費用。
軟體防火牆與硬體防火牆
不同的部署位置意味著軟體防火牆和硬體防火牆之間的功能集略有不同。兩者都具有相同的核心防火牆功能，但它們控制的內容略有不同。
網路等級
硬體防火牆部署在網路上，使其能夠提供網路級功能，例如：
- 路由：硬體防火牆作為邊界裝置將網路的一部分與另一部分分隔開。這意味著它們可以在路由模式下部署，並參與路由決策。 這使得它們能夠扮演路由器的角色，並決定封包通過哪條網路路徑到達目的地。
- 網路位址轉換（NAT）：硬體防火牆可以充當兩類網路之間的閘道器；例如，從專用網路到公共網路。硬體防火牆的常見功能是能夠將專用網路隱藏在公共可路由位址空間之外。這會儲存 IP 位址並隱藏內部位址，從而提供成本和安全性優勢。
- 集中管理：硬體防火牆將大量電腦分開，因此在部署和管理方面也可以從規模經濟中獲益。
主機層級功能
軟體防火牆通常在主機上運行，為它們提供某些功能，例如：
- 精細的應用程式層級存取：主機可以更精細地控制主機上允許的應用程式以及這些應用程式的網路存取。
- 與 EDR 整合：防火牆軟體可能是整合安全套件的一部分，用於監視主機是否有勒索軟體威脅或帶外攻擊（例如來自惡意 USB 裝置的攻擊）。裝置內監控提供了豐富的資料來源，可以幫助應對威脅。
- 裝置安全性：防火牆軟體隨裝置一起旅行。當裝置是與使用者一起旅行的筆記型電腦時，防火牆不會留在公司網路上，並且仍然積極執行公司策略。
防火牆軟體的主要優點
與硬體防火牆相比，軟體防火牆具有以下主要優勢：
- 精細安全：軟體防火牆提供主機網路存取的直接裝置層級和應用程式控制；入站和出站。
- 行動安全：軟體防火牆隨裝置而行；當用戶旅行或在家工作時，無論在線上或離線。
- 改進的可見性：軟體防火牆可深入了解網路活動，可供端點偵測和回應 (EDR)解決方案使用。
哪種防火牆軟體適合您？
軟體防火牆和硬體防火牆之間的選擇應取決於防火牆的保護目的。如果您有行動裝置或在家工作的用戶，那麼防火牆軟體可能是比硬體防火牆更好的選擇。另一方面，如果您有遠端站點，那麼可以用作周界閘道器的硬體防火牆是合理的選擇。
如果您需要保護遠端使用者和遠端站點，但不需要精細的裝置級存取或精細的站點級存取控制，請考慮第三種選擇：部署在 SASE 中的防火牆即服務 (FWaaS) （安全存取服務邊緣）模型。如果您需要保護私有或公有雲基礎架構的安全，請考慮雲端防火牆。
現今的現代次世代防火牆 (NGFW)為您提供適合任何部署選擇的解決方案。要了解有關如何選擇防火牆的更多信息，請查看此NGFW 購買指南。我們也歡迎您申請免費演示，親自了解 Check Point NGFW 的功能。
反映意見