Administrace komentářů

Útočník to nemá naopak. Pokud zapomenete na nějaké zařízení nebo protokol, a „omylem“ ho odřízne až výchozí politika na firewallu, útočníkovi to nejspíš moc vadit nebude – protože to, že jste na to zapomněl, zneužije jinak. Například s na to zařízení nebo protokol dostane z jiného počítače v síti.

Výchozí politika tedy před podobnými chybami nechrání, pouze vytváří iluzi ochrany. A to je přesně ten důvod, proč se mi výchozí restriktivní politika nelíbí. Pokud se někdo spokojí s iluzí bezpečnosti, ať si někde něco nakliká, nemusí tomu vůbec rozumět, bude mít pocit, že „má firewall“, a iluze bezpečnosti bude dokonalá (do té doby, než ho někdo hackne). Pokud někomu iluze nestačí, tak se sám rozhodne, kterou politiku použije – ale rozhodně nebude používat restriktivní politiku proto, aby zachytila to, s čím nepočítal. Když už bude mít ve firewallu pojistku proti tomu, že na něco zapomněl, pak takový provoz bude především monitorovat a z toho monitoringu mu okamžitě přijde SMS.

Jinak pokud upravujete firewall na dálku, je dobré si třeba přes at naplánovat za pár minut iptables-restore, který obnoví původní stav. Buď úpravy uděláte správně, ověříte je a naplánovanou úlohu zrušíte, nebo se odříznete a původní stav se za chvíli vrátí automaticky. Taková je zkušenost z doby, kdy na levných serverech žádné KVM over IP nebylo a odříznout si SSH znamenalo udělat si výlet do datacentra. (Slyšel jsem také o hardwarovém řešení – v datacentru měl dotyčný dva servery umístěné proti sobě, a když k jednomu z nich ztratil přístup, vysunul na tom druhém šuplík CD mechaniky, který byl přesně proti tlačítku reset.)