Administrace komentářů

Pokud máte nastaven firewall tak, že jenom blokuje vyloženě škodlivý provoz, se kterým si zařízení za firewallem neumí poradit, budete tam mít jen pár pravidel, nebo dokonce žádné, a nemusíte na konec přidávat zbytečné pravidlo, které ostatní provoz propustí.

Přičemž zařízení připojená do sítě by měla být nakonfigurována tak a měly by na nich být jen takové aplikace, které umožní zařízení vystavit na internetu bez jakéhokoli firewallu, a to zařízení to bez úhony přežije. Pokud to pro nějaké zařízení neplatí, je chyba v něm a měl bych se snažit to opravit především na tom zařízení. V případě linuxového desktopu nebo serveru to může být způsobeno jen nevhodnou konfigurací nebo chybami v aplikacích. Pokud do internetu připojíte linuxový desktop nebo server s nějakou běžnou distribucí, běžně používaným software a nepokazíte na tom konfiguraci, není firewall potřeba. Taková ta mánie, že na každém počítači musí být firewall, je nesmysl, to platilo dříve o Windows, kde běžela ihned po instalaci spousta zbytečných a špatně nakonfigurovaných služeb.

Něco jiného je, když chcete třeba DMZ ochránit firewallem jako další vrstvou obrany a nadefinujete přesná pravidla, že na tom a tom serveru má běžet jedna konkrétní služba, pak má smysl firewall nakonfigurovat opačně, tj. přesně definovaný provoz povolit a vše ostatní zakázat. Podobně když máte za tím firewallem jednoúčelové zařízení, u kterého máte silné podezření, že na tom se síťovou bezpečností nebude moc dobře, ale nemůžete to změnit (typicky různé kamery, televize, ledničky, teploměry...) Pak by ale tato zařízení měla být v oddělené síti a i provoz z vnitřní sítě na ně by měl jít přes firewall. To je dost typická chyba – server se takzvaně ochrání tím, že je povolen provoz jen na vybrané porty, jenže nic nebrání útočníkovi napadnout ten server přes nějaký počítač ve vnitřní síti. Proto jsem psal, že je potřeba nakonfigurovat především bezpečně jednotlivá zařízení, a firewall pak volitelně můžu nasadit jako druhou vrstvu obrany, což ale vyžaduje, abych opravdu věděl, co dělám. Jinak to skončí tím, že někdo „má firewall“, úplně stejně jako sítí neznalý uživatel Windows, a úplně stejně jako tomu uživateli Windows je mu ten firewall na nic, protože jen náhodně blokuje nějaký provoz, ale nemá to vůbec nic společného s tím, zda ten provoz je nebo není nebezpečný.

A Pavlix to třeba odůvodní ještě jinak