Co to jest zapora sieciowa? Co robi i jak działa?

Zapora sieciowa to system bezpieczeństwa przeznaczony do monitorowania i kontrolowania przychodzącego i wychodzącego ruchu sieciowego na podstawie określonych reguł bezpieczeństwa. Działa jak bariera między zaufaną siecią wewnętrzną a niezaufanymi sieciami zewnętrznymi, takimi jak internet, chroniąc w ten sposób przed nieautoryzowanym dostępem i innymi cyberzagrożeniami(nowe okno).

Niezależnie od tego, czy chronisz sieć domową, konfigurację biura(nowe okno) domowego, czy sieć korporacyjną z tysiącami punktów końcowych, obowiązuje ta sama podstawowa zasada:

Zapora sieciowa decyduje o tym, co zostaje wpuszczone, co wypuszczone, a co zablokowane.

W tym poradniku przyjrzymy się następującym kwestiom:

• Jak działa zapora sieciowa?
• Co robi zapora sieciowa?
• Zapora sieciowa a antywirus: jaka jest różnica?
• Dlaczego zapora sieciowa jest ważna?
• Krótka historia zapór sieciowych
• Rodzaje zapór sieciowych
• Jak współdziałają ze sobą sieci VPN i zapory sieciowe?
• Jak wybrać i wdrożyć zaporę sieciową w swojej firmie
• Czego nie potrafi zapora sieciowa
• FAQ

Jak działa zapora sieciowa?

Wyobraź sobie, że Twój dom to lokalna sieć prywatna (LAN) — czyli wszystkie urządzenia w Twoim domu, które łączą się z modemem/routerem podłączonym do internetu. Zapora sieciowa działa jak ochroniarz przy drzwiach Twojego domu. Wpuszcza zaufanych gości (bezpieczne dane), blokuje obcych (niebezpieczne dane) i ma na oku wszystkich w środku, aby upewnić się, że zachowują się odpowiednio.

Ochroniarz ma listę gości (zbiór reguł), która określa, kto może wejść do domu. Na przykład przyjaciele i rodzina są na liście, ale obcy i podejrzane osoby już nie.

Gdy ktoś podchodzi do drzwi, ochroniarz prosi o dowód tożsamości (sprawdza pakiet danych — jednostkę danych przesyłaną przez sieć). Ochroniarz sprawdza ważne szczegóły, takie jak nazwisko (adres IP(nowe okno)) i powód wizyty (numer protokołu/portu). Jeśli dana osoba (pakiet danych) znajduje się na liście gości, ochroniarz ją wpuszcza. Jeśli danej osoby nie ma na liście lub wygląda ona podejrzanie, ochroniarz ją odprawia.

Po wejściu do środka ochroniarz pilnuje gości, aby nie wchodzili do niedozwolonych pomieszczeń (wrażliwych części sieci). Jeśli ktoś spróbuje uzyskać dostęp do tych pomieszczeń bez pozwolenia, zostanie wyprowadzony.

Zapory sieciowe często działają w obu kierunkach. Oznacza to, że filtrują zarówno ruch przychodzący, jak i wychodzący, nie tylko uniemożliwiając osobom w internecie łączenie się z ograniczonymi zasobami lokalnymi, ale także uniemożliwiając lokalnym użytkownikom łączenie się z określonymi zasobami w internecie. Niektóre zapory działają tylko dla ruchu wychodzącego.

Zapora wychodząca może uniemożliwić lokalnemu urządzeniu połączenie się z adresem IP powiązanym ze złośliwym oprogramowaniem lub może służyć do cenzurowania treści. Szkoła może używać zapory sieciowej, aby uniemożliwić uczniom dostęp do mediów społecznościowych, a restrykcyjny rząd może używać zapór sieciowych do blokowania treści, które uzna za niepożądane ze względów społecznych, religijnych, kulturowych lub politycznych (takich jak Wielka Chińska Zapora Sieciowa(nowe okno)).

Ta sama logika „ochroniarza” ma zastosowanie również w środowisku biznesowym, aczkolwiek często na znacznie większą skalę. Zamiast jednego domu wyobraź sobie biurowiec, centrum danych i grupę pracowników zdalnych łączących się ze swoich domów. Firmowa zapora sieciowa (lub, częściej, kilka zapór współpracujących ze sobą) musi konsekwentnie egzekwować tę samą listę gości dla nich wszystkich.

Co robi zapora sieciowa?

Zapora sieciowa pełni trzy kluczowe funkcje:

1. Filtrowanie ruchu sieciowego

Zapory sieciowe analizują pakiety danych w celu ustalenia, czy powinny zostać wpuszczone, czy zablokowane na podstawie określonych kryteriów, takich jak adresy IP, numery portów, protokoły i treść.

2. Egzekwowanie zbiorów reguł

Administratorzy konfigurują zapory sieciowe za pomocą zbiorów reguł definiujących, który ruch sieciowy jest dozwolony, a który odrzucony. Reguły te opierają się na zasadach bezpieczeństwa określających dozwolone i niedozwolone działania.

3. Monitorowanie i logowanie

Zapory sieciowe mogą stale monitorować ruch sieciowy i rejestrować ważne wydarzenia, zapewniając administratorom sieci cenny wgląd w aktywność sieciową i potencjalne zagrożenia bezpieczeństwa.

Zapora sieciowa a antywirus: jaka jest różnica?

W przypadku mniejszych organizacji, które posiadają już oprogramowanie antywirusowe, częstym dylematem jest decyzja, czy zapora sieciowa jest również warta uwzględnienia w budżecie na bezpieczeństwo. W większości przypadków odpowiedź brzmi „tak”, ponieważ narzędzia te chronią przed różnymi rzeczami.

Zakres

• Zapora sieciowa chroni sieć, decydując przede wszystkim o tym, jaki ruch sieciowy może do niej wejść lub ją opuścić.
• Oprogramowanie antywirusowe chroni poszczególne urządzenia, skanując znajdujące się na nich pliki i procesy pod kątem znanych sygnatur złośliwego oprogramowania lub podejrzanych zachowań.

Co przechwytują

• Zapora sieciowa może zablokować próbę połączenia, zanim w ogóle dotrze ono do urządzenia.
• Oprogramowanie antywirusowe radzi sobie z zagrożeniami, które zdążyły już dotrzeć do urządzenia. Przykładem może być złośliwy plik pobrany przez dozwolone wcześniej połączenie.

Kiedy działają

• Zapory sieciowe działają na obrzeżach sieci, w czasie rzeczywistym, bezpośrednio na ruchu sieciowym.
• Narzędzia antywirusowe działają zazwyczaj po fakcie, skanując pliki lub uruchomione procesy pod kątem śladów naruszenia bezpieczeństwa.

Choć oba te narzędzia pomagają chronić przed złośliwymi zagrożeniami, obejmują one różne etapy ataku. Zapora sieciowa przede wszystkim ogranicza ilość danych docierających do Twoich urządzeń, podczas gdy oprogramowanie antywirusowe wychwytuje to, co zdoła się przedostać.

Dlaczego zapora sieciowa jest ważna?

Korzystanie z zapory sieciowej ma kilka zalet:

• Zwiększa bezpieczeństwo poprzez identyfikowanie i blokowanie potencjalnych zagrożeń, zanim przedostaną się do sieci
• Chroni wrażliwe informacje
• Pomaga w spełnianiu wymogów regulacyjnych i wymogów dotyczących zgodności
• Pomaga kontrolować i optymalizować ruch sieciowy

Zapory sieciowe mogą być wdrażane jako granica między siecią wewnętrzną a internetem (co jest znane jako brzegowa zapora sieciowa) lub wewnątrz sieci w celu ochrony określonych segmentów i/lub zasobów w tej sieci (co jest znane jako wewnętrzna zapora sieciowa).

Zapory sieciowe w chmurze, znane również jako zapora sieciowa jako usługa(nowe okno) (FWaaS), są hostowane w chmurze i zapewniają ochronę opartą na zaporze sieciowej dla infrastruktury chmurowej. Takie zapory sieciowe są zarządzane przez dostawców usług chmurowych.

W przypadku firm zapory sieciowe są również często podstawowym wymogiem, a ne opcjonalnym dodatkiem. Wiele struktur zgodności i zasad dotyczących cyberubezpieczeń wymaga wdrożenia jakiejś formy sieciowej zapory sieciowej, zanim uznają one organizację za odpowiednio chronioną.

Krótka historia zapór sieciowych

Zapory sieciowe jako koncepcja pojawiły się po raz pierwszy pod koniec lat 80. i od tego czasu przeszły przez cztery główne generacje:

Zapory sieciowe filtrują pakiety (bezstanowe): najwcześniejsza forma.

Stanowe zapory sieciowe: dodały możliwość śledzenia stanu aktywnych połączeń zamiast oceniania każdego pakietu w izolacji.

Zapory sieciowe proxy (poziomu aplikacji): dodały pełną inspekcję zawartości ruchu sieciowego, a nie tylko nagłówków.

Zapory sieciowe nowej generacji (NGFW): łączą powyższe funkcje z możliwościami takimi jak głęboka inspekcja pakietów (DPI)(nowe okno), zapobieganie włamaniom oraz rozpoznawanie aplikacji, co składa się na większość tego, co jest dziś sprzedawane jako „zapora sieciowa” w kontekście przedsiębiorstw.

Rodzaje zapór sieciowych

Zapory sieciowe występują w różnych rodzajach, a każdy z nich został zaprojektowany z myślą o zaspokojeniu innych potrzeb związanych z bezpieczeństwem i zapewnieniu różnych poziomów ochrony.

Czym jest zapora sieciowa filtrująca pakiety?

Zapory sieciowe filtrują pakiety badają nagłówki pakietów danych (IP), które zawierają adresy IP źródłowe i docelowe, numery portów oraz informacje o protokole. Następnie stosują reguły oparte na tych nagłówkach, aby zezwolić na pakiety lub je zablokować.

Choć samodzielne zapory sieciowe filtrujące pakiety istnieją w teorii, w rzeczywistości wszystkie zapory sieciowe filtrują pakiety — to najbardziej podstawowa funkcja zapory sieciowej.

Czym jest stanowa zapora sieciowa?

Znane również jako dynamiczne filtrowanie pakietów, te zapory sieciowe śledzą stan aktywnych połączeń i podejmują decyzje w oparciu o stan i kontekst ruchu sieciowego. Badają nagłówki pakietów i utrzymują tabelę stanów, która rejestruje informacje o aktywnych połączeniach.

W przeciwieństwie do bezstanowych zapór sieciowych, które filtrują pakiety wyłącznie na podstawie z góry zdefiniowanych reguł oraz informacji zawartych w nagłówkach pakietów (takich jak adresy IP i numery portów), stanowe zapory sieciowe śledzą stan aktywnych sesji i wykorzystują te informacje do podejmowania bardziej świadomych decyzji o zezwoleniu na ruch sieciowy lub jego zablokowaniu.

Tabela stanów zawiera informacje takie jak źródłowe i docelowe adresy IP, numery portów oraz bieżący stan połączenia. Dzięki zrozumieniu kontekstu połączenia stanowe zapory sieciowe mogą podejmować bardziej zaawansowane decyzje. Mogą na przykład rozpoznać, czy pakiet jest częścią istniejącego, legalnego połączenia, czy też jest to niechciany pakiet, który może być częścią ataku.

Prawie wszystkie rzeczywiste zapory sieciowe to stanowe zapory sieciowe. Mogą one oferować dodatkowe funkcjonalności, o czym dowiesz się poniżej, ale są one prawie niezmiennie ulepszeniem stanowej zapory sieciowej.

Czym jest zapora sieciowa proxy?

Zapory sieciowe proxy działają jako pośrednicy między Tobą a internetem. Składają żądania w Twoim imieniu, badają cały pakiet danych (nagłówek i ładunek) i, jeśli zostaną uznane za bezpieczne, wysyłają dane do miejsca docelowego.

Zapory sieciowe proxy najlepiej sprawdzają się w środowiskach, w których kluczowa jest głęboka inspekcja danych aplikacji, takich jak sieci firmowe przetwarzające poufne informacje.

Teoretycznie zapory sieciowe proxy poprawiają wydajność i zmniejszają zużycie przepustowości. Często jednak stoi to w sprzeczności z faktem, że mogą być one skomplikowane i zasobożerne, stając się tym samym wąskim gardłem, które spowalnia wydajność sieci.

Czym jest zapora sieciowa nowej generacji (NGFW)?

Zapory sieciowe nowej generacji (NGFW) łączą tradycyjne funkcje zapór sieciowych z dodatkowymi funkcjonalnościami, takimi jak głęboka inspekcja pakietów, systemy zapobiegania włamaniom (IPS) oraz inspekcja zaszyfrowanego ruchu sieciowego. Mogą one identyfikować i kontrolować aplikacje, wykrywać zaawansowane zagrożenia i zapobiegać im, a także egzekwować zasady bezpieczeństwa.

Zapory sieciowe nowej generacji są wysoce skuteczne w identyfikowaniu i powstrzymywaniu zaawansowanych zagrożeń oraz zapewniają kompleksowe bezpieczeństwo poprzez integrację wielu funkcji bezpieczeństwa. Są jednak droższe i bardziej skomplikowane w zarządzaniu, co sprawia, że najlepiej nadają się dla organizacji wymagających zaawansowanych funkcji bezpieczeństwa do ochrony przed wyrafinowanymi cyberzagrożeniami.

Czym jest zapora sieciowa typu UTM (Unified Threat Management)?

Zapory sieciowe UTM integrują różne usługi bezpieczeństwa — na przykład różne typy zapór sieciowych, oprogramowanie antywirusowe i wykrywanie włamań — aby zapewnić całościowe podejście do bezpieczeństwa sieci.

Choć brakuje im zaawansowanych funkcji i elastyczności wyspecjalizowanych rozwiązań bezpieczeństwa, takich jak zapory sieciowe NGFW, zapory sieciowe UTM są często uważane za opłacalne rozwiązanie dla małych i średnich firm, ponieważ upraszczają zarządzanie bezpieczeństwem poprzez konsolidację wielu funkcji ochronnych.

Czym jest zapora sieciowa z translacją adresów sieciowych (NAT)?

Zapory sieciowe NAT modyfikują informacje o adresach sieciowych w nagłówkach pakietów IP podczas transmisji, dzięki czemu wiele urządzeń w sieci lokalnej może udostępniać jeden publiczny adres IP. Są one często używane przez domowe routery i biurowe serwery bramy LAN, za pośrednictwem których lokalne urządzenia łączą się z internetem.

Zapory sieciowe NAT dodają warstwę bezpieczeństwa poprzez ukrywanie wewnętrznych adresów IP, ale zazwyczaj są używane w połączeniu z innymi typami zapór sieciowych w celu zapewnienia bardziej kompleksowej ochrony.

Czym jest zapora sieciowa aplikacji internetowych (WAF)?

Zapora sieciowa aplikacji internetowych (WAF) to wyspecjalizowana zapora sieciowa zaprojektowana do ochrony aplikacji internetowych poprzez filtrowanie i monitoring ruchu sieciowego HTTP/HTTPS między aplikacją internetową a internetem. Zapory WAF pomagają chronić aplikacje internetowe przed różnymi atakami, takimi jak wstrzykiwanie kodu SQL (SQL injection), skryptowanie dłużne (cross-site scripting — XSS) i inne typowe exploity sieciowe, poprzez kontrolowanie i filtrowanie ruchu sieciowego przychodzącego.

Czym jest ludzka zapora sieciowa?

„Ludzka zapora sieciowa” to analogia odnosząca się do wspólnego wysiłku pracowników organizacji mającego na celu stworzenie linii obrony przed zagrożeniami cyberbezpieczeństwa. Koncepcja ta podkreśla stanowisko, jakie ludzka świadomość i zachowanie zajmują w zwiększaniu bezpieczeństwa organizacji, uzupełniając mechanizmy obrony technologicznej, takie jak zapory sieciowe, oprogramowanie antywirusowe i systemy wykrywania włamań.

Jak współdziałają ze sobą sieci VPN i zapory sieciowe?

VPN(nowe okno) tworzy zaszyfrowany tunel między Twoim urządzeniem a serwerem VPN.

Uniemożliwia to jakiejkolwiek zaporze sieciowej znajdującej się między serwerem VPN(nowe okno) a Twoim urządzeniem na interakcję z Twoimi danymi, dzięki czemu dane wewnątrz tunelu VPN po prostu omijają zaporę sieciową. Dotyczy to zapór sieciowych na domowych modemach/routerach i biurowych serwerach korporacyjnych.

Dowiedz się więcej o tym, jak działają sieci VPN(nowe okno)

Aby zaadresować ten problem, większość dostawców VPN (w tym Proton VPN) wdraża zapory sieciowe na swoich serwerach, aby chronić swoich klientów. Na przykład serwery Proton VPN używają stanowych zapór sieciowych do odrzucania wszystkich przychodzących połączeń ruchu sieciowego, które nie zostały zainicjowane przez Ciebie.

Jeśli chcesz zezwolić na niezainicjowane połączenia przychodzące (na przykład podczas korzystania z sieci torrent(nowe okno)), oferujemy funkcję przekierowania portów(nowe okno), która tworzy wyłom w zaporze sieciowej. Wiąże się to z pewnym ryzykiem dla bezpieczeństwa(nowe okno), ale przekierowanie portów jest aktywne tylko wtedy, gdy zdecydujesz się je włączyć.

Aplikacje VPN używają również reguł zapory sieciowej (i podobnych operacji specyficznych dla platformy), aby zapobiegać wyciekom DNS i IPv6(nowe okno).

Dowiedz się, jak sprawdzić, czy Twoja sieć VPN działa(nowe okno)

Sieci VPN i zapory sieciowe używane do cenzurowania treści

Ponieważ zaszyfrowane połączenie VPN uniemożliwia zaporom sieciowym badanie i filtrowanie ruchu sieciowego VPN, usługi takie jak Proton VPN są wysoce skuteczne w omijaniu zapór sieciowych(nowe okno), których celem jest blokowanie treści w sieci.

Jak wybrać i wdrożyć zaporę sieciową dla swojej firmy

W przypadku gospodarstwa domowego lub małego biura jedna zapora sieciowa (zwykle wbudowana w router lub system operacyjny) jest ogólnie wystarczająca do zaspokojenia Twoich potrzeb w zakresie bezpieczeństwa. Firmy muszą jednak często myśleć o zaporach sieciowych w kilku różnych środowiskach jednocześnie. Odpowiednia konfiguracja zależy od tego, co podlega ochronie:

Siedziba główna / kampus: obwodowa zapora sieciowa chroniąca główną sieć biurową, często wraz z wewnętrznymi zaporami sieciowymi, które oddzielają wrażliwe obszary (takie jak finanse, HR, inżynieria) od reszty sieci.

Oddziały: mniejsze, odległe lokalizacje często potrzebują własnej zapory sieciowej, zamiast polegać wyłącznie na siedzibie głównej. Jest to szczególnie ważne, jeśli łączą się one bezpośrednio z internetem, a nie przez centralny węzeł.

Centra danych: zapory sieciowe w centrach danych zazwyczaj muszą obsługiwać duży ruch sieciowy i często są wdrażane wraz z segmentacją sieci, aby ograniczyć ewentualne naruszenie do małej części infrastruktury.

Środowiska chmurowe i wielochmurowe: Tradycyjne fizyczne zapory sieciowe nie współgrają dobrze z infrastrukturą chmurową. W takich przypadkach przydatne są zapory sieciowe jako usługa (FWaaS). Skalują się one wraz z dostawcą chmury, zamiast wymagać fizycznego sprzętu.

Pracownicy zdalni i hybrydowi: Pracownicy łączący się z sieci domowych lub publicznych sieci Wi-Fi znajdują się całkowicie poza tradycyjnym obwodem biurowej zapory sieciowej. Zazwyczaj problem ten rozwiązuje się za pomocą kombinacji zapór sieciowych punktów końcowych, sieci VPN (zarówno tradycyjnych konfiguracji, w których firma ma własne serwery VPN, jak i nowoczesnych rozwiązań stron trzecich korzystających z dedykowanych serwerów) oraz metod dostępu do sieci opartych na zabezpieczeniach typu zero-trust (w przypadku większych organizacji).

Oto kilka praktycznych pytań, które warto sobie zadać podczas oceny zapór sieciowych dla Twojej firmy:

Czy musi kontrolować zaszyfrowany ruch sieciowy? Coraz większa część szkodliwego ruchu sieciowego jest zaszyfrowana, więc jeśli zapora sieciowa nie może przeprowadzić inspekcji TLS/SSL poprzez odszyfrowanie, sprawdzenie i ponowne zaszyfrowanie ruchu sieciowego HTTPS przy użyciu własnego zaufanego certyfikatu, jest ona w praktyce ślepa na dużą kategorię zagrożeń.

Jak się nią zarządza? Zarządzanie kilkoma osobnymi pulpitami zapór sieciowych w różnych biurach, na kontach chmurowych i zdalnych punktach końcowych nie skaluje się dobrze. Centralne zarządzanie zyskuje na znaczeniu w miarę rozwoju organizacji.

Jaki jest koszt wydajnościowy? Głębsza inspekcja (taka jak DPI) wymaga większej mocy obliczeniowej. Warto dowiedzieć się, jak zapora sieciowa radzi sobie z włączonymi wszystkimi funkcjami bezpieczeństwa.

Czy została niezależnie przetestowana? Deklaracje dostawcy dotyczące wydajności i bezpieczeństwa warto zweryfikować za pomocą niezależnych testów, zamiast brać je za pewnik. To ta sama zasada, którą należy zastosować przy ocenie każdego produktu chroniącego bezpieczeństwo lub prywatność.

Czego zapora sieciowa nie potrafi

Zapory sieciowe są kluczowym elementem bezpieczeństwa sieci, ale nigdy nie miały działać same. Jednym ze sposobów na zrozumienie tego, co potrafią, jest jasne określenie tego, czego zrobić nie mogą:

Neutralizowanie zagrożeń, które już znajdują się w Twojej sieci

Jeśli złośliwe oprogramowanie przedostanie się przez dozwolony kanał, taki jak załącznik do wiadomości e-mail, zainfekowana aktualizacja lub własne urządzenie użytkownika, zapora sieciowa na obrzeżach sieci niewiele może z tym zrobić. W takich sytuacjach kluczowe znaczenie mają program antywirusowy, wykrywanie na punktach końcowych oraz wewnętrzna segmentacja.

Kompensowanie błędów ludzkich

Zapora sieciowa nie naprawi braku zdrowego rozsądku u ludzi. Sytuacja, w której ktoś dał się podejść za pomocą inżynierii społecznej lub próby wyłudzenia informacji i przekazał swoje hasło, nie jest problemem związanym z filtrowaniem ruchu sieciowego.

Filtrowanie zaszyfrowanego ruchu sieciowego, którego nie skonfigurowano do inspekcji

Dla przykładu, ruch sieciowy przesyłany przez VPN celowo nie może być kontrolowany przez zaporę sieciową. Właśnie dlatego sieci VPN są skuteczne zarówno w ochronie prywatności, jak i w omijaniu cenzurujących zapór sieciowych (patrz wyżej).

Działać skutecznie w przypadku błędnie skonfigurowanych reguł

Zapora sieciowa jest tylko tak dobra, jak reguły, które otrzyma. Zbyt pobłażliwy zestaw reguł (lub taki, który nie został zaktualizowany wraz ze zmianami w sieci) może pozostawić krytyczne luki w Twojej obronie, mimo że zapora sieciowa jest technicznie „na swoim miejscu”.

Nic z tego nie oznacza, że zapory sieciowe nie są niezbędne. Oznacza to jedynie, że musisz postrzegać je i wdrażać jako jedną z wielu warstw, obok zapory sieciowej, antywirusa, VPN i szkoleń dla pracowników, a nie jako jedyny punkt obrony.

Podsumowanie: Zapory sieciowe i sieci VPN uzupełniają się wzajemnie

Zapory sieciowe są niezbędnym elementem bezpieczeństwa sieci. Prawie wszystkie zapory sieciowe to stanowe zapory sieciowe, występujące w różnych wariantach, które oferują określone funkcje i korzyści dostosowane do konkretnych potrzeb i środowisk bezpieczeństwa.

Usługi VPN na szeroką skalę korzystają z zapór sieciowych, aby zapewnić bezpieczeństwo zarówno własnym systemom, jak i urządzeniom klientów, będąc jednocześnie skutecznym sposobem na omijanie zapór sieciowych, których celem jest cenzurowanie treści online.

W przypadku firm zaporę sieciową najlepiej postrzegać jako jedną z warstw szerszej konfiguracji bezpieczeństwa, do stosowania obok narzędzi takich jak VPN, oprogramowanie antywirusowe i szkolenia budujące świadomość pracowników, a nie jako ich zamiennik.

Najczęściej zadawane pytania