LÜTFEN DİKKAT: Bunu bir alev savaşına sokmakla ilgilenmiyorum! Pek çok insanın bu konuda güçlü bir şekilde inanç duyduğunu anlıyorum, çünkü küçük bir kısmı, güvenlik duvarı çözümlerine çok fazla çaba harcadıklarından ve ayrıca zorunluluklarına inanmaktan bıktıkları için.

Ancak, güvenlik konusunda uzman olan kişilerin cevaplarını arıyorum . Bunun önemli bir soru olduğuna inanıyorum ve bu sorunun cevabı sadece kendimden ve çalıştığım şirketten daha fazla yarar sağlayacak. Sunucu ağımızı birkaç yıldır ödün vermeden, hiçbir güvenlik duvarı olmadan çalıştırıyorum. Biz güvenlik uzlaşmalar hiçbiri var olan bir güvenlik duvarı ile önlenebilirdi.

Sanırım burada uzun süredir çalışıyorum çünkü "sunucular" derken, "gizli iç fatura veritabanları" değil, her zaman "halka sunulan hizmetler" anlamına geliyor. Bu nedenle, herhangi bir kural olurdu herhangi bir güvenlik duvarı var bütün internete erişimine izin vermek gerekir. Ayrıca, kamuya açık erişim sunucularımızın tümü ofisimizden ayrı özel bir veri merkezindedir.

Başka biri de benzer bir soru sordu ve cevabım olumsuz sayılara oylandı. Bu beni oy kullananların cevabımı gerçekten anlamadıklarına ya da şu anda yaptığım şeyi yapacak kadar güvenliği anlamadıklarına inanmamı sağlıyor.

Bu benim sunucu güvenliğine olan yaklaşımım:

1. Sunucumu İnternete bağlamadan önce işletim sistemimin güvenlik kurallarına uyun .

2. SSH'ye (ve diğer yönetim hizmetlerine) erişimi az sayıda IP adresine sınırlamak için TCP sarmalayıcıları kullanın.

3. Munin ile bu sunucunun durumunu izleyin . Ve Munin-node’a özgü korkunç güvenlik sorunlarını varsayılan konfigürasyonunda düzeltin.

4. Nmap sunucumu eşleştir (ayrıca sunucumu İnternete bağlamadan önce). Bu sunucunun güvenlik duvarını kuracak olsam, bu, gelen bağlantıların sınırlandırılması gereken bağlantı noktalarının tam kümesi olmalıdır.

5. Sunucuyu sunucu odasına kurun ve halka açık bir IP adresi verin.

6. İşletim sistemimin güvenlik güncellemeleri özelliğini kullanarak sistemi güvende tutun.

Benim felsefem (ve sorunun temeli), güçlü ana bilgisayar tabanlı güvenliğin güvenlik duvarının gerekliliğini ortadan kaldırmasıdır. Genel güvenlik felsefesi, bir güvenlik duvarınız olsa bile, güçlü bir ana bilgisayar tabanlı güvenliğin gerekli olduğunu söylüyor ( güvenlik kurallarına bakınız ). Bunun nedeni, kamu hizmetlerini bir sunucuya ileten bir güvenlik duvarının, bir saldırganın hiçbir güvenlik duvarı olmadığı kadar olanak sağlamasıdır. Bu savunmasız olan hizmetin kendisidir ve bu hizmeti tüm İnternet'e sunmak, operasyonunun bir gereği olduğundan, erişimi kısıtlamak bu değildir.

Orada ise şunlardır bütün internet yoluyla erişilebilir gerekmez sunucuda kullanılabilir bağlantı noktaları, o yazılım 1. adımda kapatılması gerekiyordu ve bir saldırganın başarıyla savunmasız yazılım aracılığıyla sunucuya girmeye Should adım 4. tarafından doğrulandı ve bir portu kendileri açtıklarında, saldırgan, rastgele bir portta giden bir bağlantı yaparak herhangi bir güvenlik duvarını kolayca yenebilir (ve yapabilir). Güvenlik noktası, başarılı bir saldırıdan sonra kendinizi savunmak değildir - bu zaten mümkün değildir - saldırganları ilk etapta dışarıda tutmaktır.

Açık limanların yanı sıra başka güvenlik hususları olduğu da önerildi - ama bana sadece inancını savunmak gibi geliyor. Herhangi bir işletim sistemi / TCP yığını güvenlik açığı, güvenlik duvarının var olup olmamasına (bağlantı noktalarının doğrudan o işletim sistemine / TCP yığınına iletilmesinin gerçeğine bağlı olarak) da savunmasız olmalıdır. Benzer şekilde, güvenlik duvarınızı yönlendirici üzerinde bulundurmanın aksine (kendisi de her iki yerde de) sunucuda çalıştırmak gereksiz yere karmaşıklık katıyor gibi görünmektedir. "Güvenlik katmanlarda gelir" felsefesini anlıyorum, ancak X kontrplak katmanlarını birbiri üzerine istifleyerek ve daha sonra hepsine bir delik açarak bir çatı oluşturmak gibi bir nokta var. Başka bir kontrplak tabakası o delikten sızıntıları durduramaz.

Dürüst olmak gerekirse, bir güvenlik duvarının sunucular için herhangi bir kullanım olduğunu görmenin tek yolu, tüm sunuculara bilinen saldırganlarla yapılan tüm bağlantıları engelleyen dinamik kurallara sahip olmasıdır - spam için RBL'ler gibi (tesadüfen, posta sunucumuzun yaptığı şey de budur) . Ne yazık ki, bunu yapan hiçbir güvenlik duvarı bulamıyorum. Bir sonraki en iyi şey bir IDS sunucusudur, ancak saldırganın önce gerçek sunucularınıza saldırmadığını ve saldırganların saldırmadan önce tüm ağınızı araştırmak için uğraştıklarını varsayar . Ayrıca, bunların çok sayıda yanlış pozitif ürettiği de bilinmektedir.

Güvenlik duvarının avantajları:

1. Giden trafiği filtreleyebilirsiniz.
2. Katman 7 güvenlik duvarları (IPS) bilinen uygulama güvenlik açıklarına karşı koruma sağlayabilir.
3. Her bir makinede o bağlantı noktasını dinleyen veya TCP Sarmalayıcıları kullanarak erişimi engelleyen bir servis olmadığından emin olmak yerine, belirli bir IP adres aralığını ve / veya bağlantı noktasını merkezi olarak engelleyebilirsiniz .
4. Güvenlik duvarları, ikinci savunma hattını sağlayacağından daha az güvenlikli kullanıcılar / yöneticilerle uğraşmanız gerektiğinde yardımcı olabilir. Bunlar olmadan, ev sahiplerinin güvenli olduğundan kesinlikle emin olmak gerekir, bu da tüm yöneticilerden iyi bir güvenlik anlayışı gerektirir.
5. Güvenlik duvarı günlükleri, merkezi günlükleri sağlar ve dikey taramaları tespit etmede yardımcı olur. Güvenlik duvarı günlükleri, bazı kullanıcı / istemcilerin tüm sunucularınızın aynı bağlantı noktasına düzenli aralıklarla bağlanmaya çalışıp çalışmadığını belirlemede yardımcı olabilir. Bunu güvenlik duvarı olmadan yapmak için, merkezi bir görünüm elde etmek için çeşitli sunuculardan / ana bilgisayarlardan gelen günlükleri birleştirmeniz gerekir.
6. Güvenlik duvarları ayrıca koruma sağlayan ek olarak spam / anti-virüs modülleriyle birlikte gelir.
7. İşletim sisteminden bağımsız güvenlik. Ana bilgisayar işletim sistemine bağlı olarak, ana bilgisayarı güvenli hale getirmek için farklı teknikler / yöntemler gerekir. Örneğin, TCP Sarıcıları Windows makinelerinde bulunmayabilir.

Bütün bunların ötesinde, eğer güvenlik duvarınız yoksa ve sisteminiz tehlikede ise, nasıl tespit edersiniz? Yerel sistemde 'ps', 'netstat' vb. Komutlarını çalıştırmaya çalışmak, bu ikili dosyalar değiştirilebileceği için güvenilir değildir. Uzaktaki bir sistemden 'nmap', bir saldırganın root kitinin seçilen zamanlarda yalnızca seçilen kaynak IP adreslerinden gelen bağlantıları kabul etmesini sağlayabilmesi nedeniyle koruma garanti edilmez.

Donanım güvenlik duvarları, güvenlik duvarı işletim sistemi / dosyalarını ana işletim sistemi / dosyaları ile karşılaştırıldığında değiştirmenin son derece zor olması nedeniyle bu tür senaryolarda yardımcı olur.

Güvenlik duvarının dezavantajları:

1. İnsanlar güvenlik duvarının güvenliği koruyacağını ve sistemleri düzenli olarak güncellemeyeceğini ve istenmeyen hizmetleri durdurmadığını düşünüyor.
2. Maliyetleri var. Bazen yıllık lisans ücreti ödenmesi gerekir. Özellikle güvenlik duvarında anti-virüs ve anti-spam modülleri varsa.
3. Ek tek başarısızlık noktası. Tüm trafik bir güvenlik duvarından geçerse ve güvenlik duvarı başarısız olursa ağ durur. Yedekli güvenlik duvarlarına sahip olabiliriz, ancak daha sonra maliyetteki önceki nokta daha da güçlendirilir.
4. Durum bilgisi olan izleme, gelen tüm bağlantıları kabul eden halka açık sistemlerde bir değer sağlamaz.
5. Durum bilgisi olan güvenlik duvarları bir DDoS saldırısı sırasında büyük bir tıkanıklık ve çoğu zaman başarısız olan ilk şey, çünkü durum tutmaya ve gelen tüm bağlantıları denetlemeye çalışıyorlar.
6. Güvenlik duvarları şifreli trafiğin içinde göremez. Tüm trafik uçtan uca şifreli olması gerektiğinden , çoğu güvenlik duvarı ortak sunucuların önüne çok az değer katar. Bazı yeni nesil güvenlik duvarlarına TLS'yi sonlandırmak ve trafiğin içini görmek için özel anahtarlar verilebilir, ancak bu, güvenlik duvarının DDoS'ye duyarlılığını daha da artırır ve TLS'nin uçtan uca güvenlik modelini kırar.
7. İşletim sistemleri ve uygulamalar güvenlik duvarlarından güvenlik duvarlarından çok daha hızlı bir şekilde korunuyor. Güvenlik duvarı satıcıları genellikle yıllar boyunca bilinen sorunlara düzeltme eki uygularlar ve bir güvenlik duvarı kümesini yamalamak genellikle birçok hizmet ve giden bağlantı için çalışmama süresi gerektirir.
8. Güvenlik duvarları mükemmel olmaktan uzaktır ve çoğu ünlüdür. Güvenlik duvarları, sadece (genellikle yavaş) bir CPU'ya ek olarak ekstra bir ASIC veya FPGA ile birlikte, bir tür işletim sistemi üzerinde çalışan bir yazılımdır. Güvenlik duvarlarında böcekler var, ancak bunları gidermek için birkaç araç sağladıkları görülüyor. Bu nedenle güvenlik duvarları, bir uygulama yığına karmaşıklık ve eklenmesi zor hatalar ekler.

TCP Sarmalayıcıları tartışmalı olarak ana bilgisayar tabanlı güvenlik duvarı uygulaması olarak adlandırılabilir; ağ trafiğini filtreliyorsunuz.

Saldırganın rastgele bir bağlantı noktasında giden bağlantılar kurduğu nokta için, bir güvenlik duvarı, giden trafiği de denetlemenin bir yolunu sağlar; Düzgün yapılandırılmış bir güvenlik duvarı, giriş ve çıkışları sistemle ilgili riske uygun bir şekilde yönetir.

Herhangi bir TCP güvenlik açığının bir güvenlik duvarı tarafından nasıl hafifletilmediği konusunda, güvenlik duvarlarının nasıl çalıştığını bilmiyorsunuz. Cisco, belirli işletim sistemleri sorunlarına neden olacak şekilde oluşturulmuş paketleri tanımlayan, indirilebilecek bir dizi kurala sahiptir. Snort'u alıp doğru kural kümesiyle çalıştırmaya başlarsanız, bu tür bir konuda da uyarılırsınız. Ve tabii ki, Linux iptables kötü niyetli paketleri filtreleyebilir.

Temel olarak, bir güvenlik duvarı proaktif bir korumadır. Proaktif olmaktan uzaklaştıkça, problemi önlemek yerine, kendinizi bir probleme tepki gösterdiğiniz bir durumda bulacaksınız. Korumanızı sınırda yoğunlaştırmak, özel bir güvenlik duvarında olduğu gibi, her yerde kuralları çoğaltmak yerine merkezi bir boğulma noktasına sahip olduğunuz için yönetimi kolaylaştırır.

Ancak hiçbir şeyin kesin bir çözüm olması gerekmez. Genelde iyi bir güvenlik çözümü, sınırda bir güvenlik duvarınızın, cihazdaki TCP paketleyicilerin ve muhtemelen dahili yönlendiriciler için bazı kuralların bulunduğu çok katmanlı bir çözümdür. Genellikle ağı Internet'ten korumalı ve düğümleri birbirinden korumalısınız. Bu çok katmanlı yaklaşım, birçok kontrplak levhadan bir delik açmak gibi değildir, daha çok bir çift kapı koymak gibidir, böylece bir davetsiz misafirin kırmak için iki kilidi vardır; Buna fiziksel güvenlikte bir adam tuzağı denir ve çoğu binanın bir nedeni vardır. :)

(" Güvenlik Duvarı Olmadan Yaşam " okumak isteyebilirsiniz )

Şimdi: Artık hiçbir yamanın yayınlanmadığı eski bir sisteme ne dersiniz? Yapmanız gereken zamanda yamaları N makinelerine uygulayamamaya ve aynı zamanda bunları ağdaki daha az düğümde (güvenlik duvarları) uygulayamaya ne dersiniz?

Güvenlik duvarının varlığı veya ihtiyacını tartışmanın bir anlamı yok. Asıl önemli olan, bir güvenlik politikası uygulamanız gerektiğidir. Bunu yapmak için, hangi araçları uygulayacaksa onu kullanacak ve yönetmenize, genişletmenize ve geliştirmenize yardımcı olacaktır. Bunu yapmak için güvenlik duvarları gerekiyorsa, sorun değil. Gerekirse bu da iyi. Asıl mesele, güvenlik politikanızın çalışır durumda ve doğrulanabilir bir şekilde uygulanması.

Açıklamalarınızın çoğu, bir güvenlik duvarına olan ihtiyacı reddediyor gibi görünüyor, ancak bir tanesini ayarlamak için çok az zaman dışında bir taneye sahip olduğunuzu göremiyorum.

Çok az şey kelimenin kesin bir anlamı olan bir "zorunluluktur". Güvenlik, yapabileceğiniz tüm ablukaları ayarlamak hakkında daha fazla. Sunucunuza girmek için gereken daha fazla iş, daha az başarılı saldırı şansı demektir. Makinelerinize zorla girmek için başka bir yerden daha fazla iş yapmak istiyorsunuz. Bir güvenlik duvarı eklemek daha fazla iş yapar.

Bence anahtar kullanım güvenlik açısından fazlalıktır. Başka bir güvenlik duvarı artısı, reddedilen isteklere yanıt vermek yerine herhangi bir bağlantı noktasına bağlanma girişimlerini bırakmanızdır; bu, saldırgan için nmaplama işleminin biraz daha elverişsiz olmasını sağlar.

Sorunuzun pratik notunda benim için en önemlisi, SSH, ICMP ve diğer dahili servisleri yerel alt ağlara kilitleyebilmeniz ve aynı zamanda DOS saldırılarını hafifletmeye yardımcı olmak için gelen bağlantıları hızlandırabilmenizdir.

"Güvenlik noktası, başarılı bir saldırıdan sonra kendini savunmak değil - zaten imkansız olduğu kanıtlandı - saldırganları ilk etapta dışarıda tutmak."

Katılmıyorum. Zararın sınırlandırılması da aynı derecede önemli olabilir. (bu idealin altında neden şifreleriniz var veya veritabanı yazılımınızı web uygulamalarınızdan farklı bir sunucuya yapıştırınız mı?) Eski "Yumurtalarınızı tek bir sepete yapıştırmayın" ifadesinin geçerli olduğunu düşünüyorum.

Should I firewall my server?İyi soru. Görünüşe göre, bir güvenlik duvarını, meşru olarak açık olan avuç dolusu bağlantı noktalarından başka herkese bağlantı girişimlerini reddeden bir ağ yığınının üstüne koymanın çok az bir anlamı olduğu görülmektedir. İşletim sisteminde, kötü amaçlı hazırlanmış paketlerin bir ana bilgisayarı bozmasına / kullanmasına izin veren bir güvenlik açığı varsa , aynı ana bilgisayarda çalışan bir güvenlik duvarı bu kullanımı engeller mi? Şey, belki ...

Ve bu muhtemelen her ana bilgisayarda bir güvenlik duvarı çalıştırmanın en güçlü nedenidir: Bir güvenlik duvarı , bir ağ yığını güvenlik açığından yararlanılmasını önleyebilir. Bu yeterince güçlü bir sebep mi? Bilmiyorum, ama birinin "Bir güvenlik duvarı kurmak için hiç kimse kovulmadığını" söyleyebilir.

Bir sunucuda güvenlik duvarı çalıştırmanın başka bir nedeni, bu iki güçlü korelasyonu olan bu endişeleri birbirinden ayırmaktır:

1. Nereden ve hangi limanlara bağlantı kabul ediyorum?
2. Hangi servisler bağlantı kuruyor ve dinliyor?

Bir güvenlik duvarı olmadan, çalışan hizmet kümesi (tcpwrappers ve bu gibi yapılandırmalar için yapılandırmalarla birlikte), sunucunun açık olacağı ve bağlantıların kabul edileceği bağlantı noktası kümesini tamamen belirler. Ana bilgisayar tabanlı bir güvenlik duvarı, yöneticiye daha geniş bir kullanılabilirlik sağlamadan önce yeni hizmetleri kontrollü bir şekilde kurmak ve test etmek için ek esneklik sağlar. Böyle bir esneklik gerekli değilse, bir sunucuya güvenlik duvarı kurmak için daha az sebep vardır.

Son bir notta, güvenlik denetim listenizde her zaman eklediğim ve söz konusu olmayan AIDE veya samhain gibi bir ana bilgisayar tabanlı izinsiz giriş algılama sistemi (HIDS) olan bir öğe var . İyi bir HIDS, davetsiz misafirin sistemde istenmeyen değişiklikler yapmasını ve tespit edilmeden kalmasını son derece zorlaştırır. Tüm sunucuların bir tür HIDS kullanması gerektiğine inanıyorum.

Güvenlik duvarı bir araçtır. Her şeyi kendi içinde güvenli yapmaz, ancak güvenli bir ağda bir katman olarak katkıda bulunabilir. Bu, bir kişiye ihtiyacınız olduğu anlamına gelmez ve kesinlikle neden böyle düşündüklerini ve güvenlik duvarlarının zayıf ve zayıf yanlarını anlamayanları anlamadan "güvenlik duvarı almalıyım" diyen insanlar için endişeleniyorum.

İhtiyacımız olmayan bir çok araç var. Antivirüssüz bir Windows bilgisayarı çalıştırmak mümkün mü? Evet öyle ... ama sahip olmak güzel bir sigorta katmanı.

Güvenlik duvarları için de aynı şeyi söyleyebilirim - onlar hakkında söyleyebilecekleriniz ne olursa olsun, bunlar iyi bir sigorta düzeyi. Yamaların, makinelerin kilitlenmesinin, kullanmadığınız hizmetlerin engellenmesinin, kayıt olmanın, vb. Yerine geçmezler.

Ayrıca, denklemin, göründüğünüz gibi dikkatli bir şekilde eğilim görmüş sunucu grubunun önüne veya bir iş istasyonu ve sunucu karışımına sahip tipik bir LAN önüne bir güvenlik duvarı yerleştirmekten bahsettiğinize veya konuşmamasına bağlı olarak biraz değişmesini de öneririm. BT ekibinin en iyi çaba ve isteklerine rağmen bazıları kıllı şeyler yapıyor olabilir.

Dikkate alınması gereken bir şey daha açık bir şekilde sertleştirilmiş bir hedef yaratmanın yararıdır. Parlak ışıklar, ağır kilitler ve bir binadaki bariz alarm kutusu olsun görünür güvenlik; ya da bir şirketin IP adresleri yelpazesindeki bariz bir güvenlik duvarı sıradan davetsiz misafirleri engelleyebilir - daha kolay av arayacaklar. Bu, istedikleri bilgiye sahip olduğunuzu bilen ve almaya kararlı olan davetsiz misafirleri caydırmayacaktır, ancak geçici davetsiz misafirleri caydırmaya devam etmek yine de faydalıdır - özellikle de caydırıcıları aşan herhangi bir davetsiz misafirin özellikle ciddiye alınması gerektiğini biliyorsanız .

Bütün harika sorular. AMA - Çok şaşırdım PERFORMANS masaya getirilmedi.

Yüksek oranda (CPU olarak kullanılan) Web ön uçları için yerel güvenlik duvarı performansı, dönemi gerçekten düşürür. Bir yük testi deneyin ve görün. Bu tonlarca kez gördüm. Güvenlik duvarını kapatmak, performansı (saniye başına istek)% 70 veya daha fazla artırdı.

Bu takas dikkate alınmalıdır.

Bir güvenlik duvarı ek korumadır. Koruduğu üç özel senaryo, ağ yığın saldırılarına (örn. Sunucu işletim sisteminizin özel hazırlanmış paketlere asla bağlantı noktası seviyesine erişemeyen bir güvenlik açığı vardır), "telefon evine" bağlantı yapan başarılı bir izinsiz giriş (veya istenmeyen e-postalar göndererek) ) veya bir sunucu portunu açan başarılı bir izinsiz giriş veya daha az algılanabilir bir portu açmadan önce bir port çalma sırasını izleyin. Kabul edilirse, son ikisinin engellemekten ziyade izinsiz girişin verdiği zararı hafifletmekle ilgili olmak zorundadır, ancak bu işe yaramaz olduğu anlamına gelmez. Unutmayın, güvenlik ya hep ya hiç ya hiç bir teklif değildir; İhtiyaçlarınız için yeterli bir güvenlik seviyesine ulaşmak için bir katmanlı, kayış ve askı askerleri kullanılır.

Hiçbir şekilde bir güvenlik uzmanı değilim, ancak güvenlik duvarınız varmış gibi geliyor. Bir güvenlik duvarının temel işlevlerinden bazılarını alıp politikalarınız ve prosedürlerinizin bir parçası yapmış gibi görünüyorsunuz. Hayır, kendiniz güvenlik duvarı ile aynı işi yapacaksanız güvenlik duvarına ihtiyacınız yoktur. Kendime gelince, güvenliği sağlamak için elimden gelenin en iyisini yapmayı tercih ederim, ancak omzumun üzerinden bakan bir güvenlik duvarı var, ancak bir noktada güvenlik duvarının yaptığı her şeyi yapabileceğiniz zaman, önemsizleşmeye başlar.

Daha küçük kurulumlar için kesinlikle bir güvenlik duvarı gerekmez. Bir veya iki sunucunuz varsa, yazılım güvenlik duvarları korunabilir. Bununla birlikte, özel güvenlik duvarları olmadan koşmuyoruz ve bu felsefeyi sürdürmemin birkaç nedeni var:

Rollerin Ayrılması

Sunucular uygulamalar içindir. Güvenlik duvarları paket denetimi, filtreleme ve politikalar içindir. Bir web sunucusu web sayfalarını sunma konusunda endişelenmeli ve bu kadar. Her iki rolü bir cihaza koymak, muhasebecinizden güvenlik görevliniz de olmasını istemek gibidir.

Yazılım hareketli bir hedeftir

Ana bilgisayardaki yazılım her zaman değişiyor. Uygulamalar kendi güvenlik duvarı istisnalarını oluşturabilir. İşletim sistemi güncellendi ve yamalı. Sunucular yüksek trafikli bir "yönetici" alanıdır ve güvenlik duvarı politikalarınız / güvenlik politikalarınız güvenlik için uygulama yapılandırmalarınızdan çok daha önemlidir. Bir Windows ortamında, birinin Grup İlkesi düzeyinde bir hata yaptığını ve masaüstündeki bilgisayarlarda Windows Güvenlik Duvarı'nı kapattığını ve bunun sunuculara uygulanacağının farkına varmadığını varsayalım. Tıklama konusunda tamamen açıksınız.

Sadece güncellemelerle konuşursak, güvenlik duvarı firmware güncellemeleri genellikle yılda bir veya iki kez çıkar, işletim sistemi ve servis güncellemeleri ise süreklidir.

Yeniden kullanılabilir hizmetler / politikalar / kurallar, yönetilebilirlik

Bir keresinde "Web Sunucusu" adlı bir hizmet / politika ayarladıysam (TCP 80 ve TCP 443 deyin) ve bunu güvenlik duvarı düzeyindeki "web sunucuları grubuna" uygularsam, bu çok daha verimlidir (birkaç yapılandırma değişikliği) ve üstel olarak 10 kutuya güvenlik duvarı hizmetleri ayarlamaktan ve 2 x 10 kez bağlantı noktaları açmaktan insan hatalarına daha az eğilimlidir. Bu politikanın değişmesi gerektiğinde, 1'e karşılık 10 olur.

Bir saldırı sırasında veya bir uzlaşma sonrasında güvenlik duvarını hala yönetebilirim

Ana bilgisayar tabanlı firewall + uygulama sunucumun saldırıya uğradığını ve CPU'nun grafik dışı olduğunu söyleyin. Neler olup bittiğini anlamaya başlamak için, saldırganın içeri girip bakmaktan bile daha az olma yükümün insafına düşüyorum.

Gerçek bir deneyim - Bir keresinde bir güvenlik duvarı kuralını berbat ettim (belirli portreler yerine HERHANGİ portlara bıraktım ve sunucunun savunmasız bir servisi vardı) ve saldırgan aslında kutuya canlı bir Uzak Masaüstü oturumu yaptı. Ne zaman bir seans almaya başladığımda, saldırgan oturumumu keser / bağlantısını keser. Bu saldırıyı bağımsız bir güvenlik duvarı cihazından kapatmak mümkün olmasaydı, bu çok daha kötü olabilirdi.

Bağımsız İzleme

Özel güvenlik duvarı birimlerinde oturum açmak, genellikle ana bilgisayar tabanlı yazılım güvenlik duvarlarından çok daha üstündür. Bazıları, doğru bir görüntü elde etmek için harici SNMP / NetFlow izleme yazılımına bile ihtiyacınız olmayacak kadar iyidir.

IPv4 Koruması

Biri web için, diğeri posta için iki IP adresine sahip olmak için hiçbir neden yoktur. Servisleri ayrı kutularda tutun ve bunun için tasarlanan cihaz ile portları uygun şekilde yönlendirin.

Blockquote Pekala, haklısın, oraya herhangi bir eksilerini koymadım. Eksileri: artan ağ karmaşıklığı, tek başarısızlık noktası, bant genişliğinin tıkandığı tek ağ arayüzü. Aynı şekilde, bir güvenlik duvarında yapılan idari hatalar tüm ağınızı öldürebilir. Ve tanrılar, bu arada, sunucu odasına 20 dakikalık bir yolculuk yaparken, kendinizi bunun dışında tutmanızı yasaklar.

İlk olarak, ağınız üzerinden en fazla bir tane daha yönlendirilmiş atlama eklemek karmaşık değildir. İkincisi, herhangi bir hata noktasında uygulanan hiçbir güvenlik duvarı çözümü tamamen işe yaramaz. Tıpkı önemli sunucunuzu veya hizmetlerinizi kümelemeniz ve bağlı NIC'ler kullanmanız gibi, yüksek düzeyde kullanılabilir güvenlik duvarları uygularsınız. Bunu yapmamak ya da tanıyacağınızı ve bilmeyeceğinizi bilmek çok kısa görüşlü. Basitçe söylemek gerekirse, tek bir arabirim olduğunu belirtmek otomatik olarak bir darboğaz yaratmaz. Bu iddia, ağınız üzerinden akacak trafiği ele almak için boyutlandırılmış bir güvenlik duvarının nasıl düzgün bir şekilde planlanıp konuşlandırılacağına dair hiçbir fikrinizin olmadığını gösterir. Politikadaki bir hatanın tüm ağınıza zarar verebileceğini söylemede haklısınız, ancak tek tek politikaların tüm sunucularınızdaki tek tek politikaları korumanın tek bir yerden daha fazla hata olduğunu savunuyorum.

Güvenlik düzeltme eklerine uyduğunuz ve güvenlik kılavuzlarını takip ettiğiniz iddiasına gelince; en iyi ihtimalle titrek bir tartışma. Genellikle güvenlik düzeltme ekleri, bir güvenlik açığı keşfedilene kadar kullanılamaz. Bu, genel olarak adreslenebilir sunucuları çalıştırdığınız süre boyunca, eklenene kadar savunmasız oldukları anlamına gelir. Diğerlerinin de belirttiği gibi, IPS sistemleri bu güvenlik açıklarından ödün vermemeye yardımcı olabilir.

Sistemlerinizin olabildiğince güvenli olduğunu düşünüyorsanız, bu olması iyi bir güvendir. Ancak, ağınızda gerçekleştirilen bir profesyonel güvenlik denetimi yaptırmanızı tavsiye ederim. Sadece gözlerini açabilir.

Genel olarak, güvenlik, daha önce de belirtildiği gibi, soğan bir şeydir. Güvenlik duvarlarının var olmasının sebepleri var ve aptal moronlar olmakla birlikte diğer tüm anıların değil.

Bu cevap geliyor, çünkü bu sayfada 'fail2ban' aranması bana sonuç vermedi. Yani diğer içerikleri iki katına çıkarırsam, yanımda ol. Ve afedersiniz, eğer biraz azarlarsam, başkaları için kullanışlı olacağı için açık bir deneyim yaşarım. :)

Ağla ilgili konular, yerel ve harici

Bu oldukça Linux'a özgüdür ve genellikle kullanım alanı olan ana bilgisayar tabanlı güvenlik duvarına odaklanır. Dış güvenlik duvarı, uygun bir ağ yapısıyla el ele gider ve diğer güvenlik hususları da genellikle buna girer. Burada ne yazıldığını biliyorsunuz, o zaman muhtemelen bu ilana ihtiyacınız olmayacak. Ya da bilmiyorsun, sonra okudum.

Dışarıdan ve yerel olarak güvenlik duvarları çalıştırmak karşı sezgisel ve çifte iş gibi görünebilir. Ancak bu, diğer tüm ev sahiplerinde güvenlikten ödün vermeden arkasındaki kurallardan da taviz vermeden, dış kuralların değiştirilebilmesini sağlar. İhtiyaç, hata ayıklama nedenlerinden veya birisinin daha yeni batırılmış olmasından kaynaklanabilir. Başka bir kullanım durumu, hem küresel hem de yerel güvenlik duvarlarına ihtiyaç duyacağınız 'uyarlanabilir küresel güvenlik duvarı' bölümünde ortaya çıkacaktır.

Maliyet ve bulunabilirlik ve her zaman aynı hikaye:

Güvenlik duvarı, uygun bir güvenli sistemin yalnızca bir yönüdür. 'Maliyet' parası olduğu için bir güvenlik duvarı kurmamak, bir SPOF'u ya da saçmalıktan bahsetmek, Fransızlarımı burada affetmek. Sadece bir küme kur. Peki ya yangın hücresinde kesinti varsa? Ardından, kümenizi iki veya daha fazla yangın bölmesinin üzerine yerleştirin.

Ancak, tüm veri merkezine erişilemiyorsa, harici taşıyıcıların ikisi de çalışmadığı için (ekskavatör elyafınızı öldürdü)? Öyleyse kümenizi birkaç veri merkezini kapatalım.

Bu pahalı? Kümeler çok mu karmaşık? Paranoya ödenmek zorunda.

Sadece SPOF'lara sızlanmak, ancak daha fazla para ödemek istememek veya daha az karmaşık kurulumlar oluşturmak istememek, açık bir çifte standart vakası veya sadece şirket veya müşteri tarafında küçük bir cüzdan durumudur.

Bu örüntü, TÜM bu tartışmalar için geçerlidir, hangisi günün hangi hizmeti olursa olsun. Bir VPN ağ geçidi olsa bile, sadece güvenlik duvarı için kullanılan bir Cisco ASA, bir MySQL veya PostgreSQL veritabanı, sanal bir sistem veya sunucu donanımı, bir depolama arkası, anahtarlar / yönlendiriciler,…

Şimdiye dek fikri anlamalısın.

Neden güvenlik duvarı ile uğraşıyorsunuz?

Teoride, mantığınız sağlam. (Yalnızca çalışan hizmetler kullanılabilir.)

Ama bu sadece gerçeğin yarısı. Güvenlik duvarı, özellikle durum bilgisi olan güvenlik duvarı sizin için çok daha fazlasını yapabilir. Vatansız güvenlik duvarları, yalnızca daha önce bahsedilen diğerleri gibi performans sorunları yaşarsanız önemlidir.

Kolay, merkezi, ayrık erişim kontrolü

Güvenliğinizi sağlamak için aynı işlevi kullanan TCP paketleyicilerinden bahsettiniz. Argüman uğruna, birisinin tcpdfareyi kullanmayı bilmediğini ve sevdiğini farz edelim mi? fwbuilderakla gelebilir.

Yönetim ağınızdan tam erişime sahip olmanız gereken, ana bilgisayar tabanlı güvenlik duvarınızın ilk kullanım durumlarından bir tanesidir.

Veritabanının başka bir yerde çalıştığı ve ne olursa olsun, paylaşılan (özel) bir alt ağın her ikisine de / tüm makinelere koyamayacağınız bir çoklu sunucu kurulumuna ne dersiniz? Güvenlik duvarını yalnızca 3306 numaralı bağlantı noktasındaki MySQL erişimine izin vermek için, diğer sunucunun verilen IP adresi için, basit ve basit bir şekilde kullanın.

Bu da UDP için kusursuz çalışıyor. Veya hangi protokolde olursa olsun. Güvenlik duvarları çok esnek olabilir. ;)

Portscan azaltma

Ayrıca, güvenlik duvarında, genel portkanslar tespit edilebilir ve azaltılabilir, çünkü zaman aralığı başına bağlantı miktarı çekirdek ve ağ yığını üzerinden izlenebilir ve güvenlik duvarı buna etki edebilir.

Ayrıca geçersiz veya belirsiz paketler, başvurunuza ulaşmadan önce ele alınabilir.

Giden trafik sınırlandırması

Giden trafiği filtrelemek genellikle götteki bir acıdır. Ancak sözleşmeye bağlı olarak bir zorunluluk olabilir.

İstatistik

Bir güvenlik duvarının size verebileceği diğer bir şey de istatistiklerdir. ( watch -n1 -d iptables -vnxL INPUTPaketlerin gelip gelmediğini görmek için en üste özel IP adresleri için bazı kurallar eklemeyi düşünün .)

İşlerin işe yarayıp yaramadığını düz gün ışığında görebilirsiniz. Bu, bağlantı sorunlarını giderirken ve telefonda diğer kişiye söyleyemediğinde, konuşkanlığa başvurmak zorunda kalmadan paket alamadığınızı ÇOK faydalıdır tcpdump. Ağ kurmak eğlencelidir, çoğu insan şimdi ne yaptığını biliyor ve çoğu zaman sadece basit yönlendirme hataları. Kahretsin, ben bile her zaman ne yaptığımı bilmiyorum. Her ne kadar kelimenin tam anlamıyla onlarca karmaşık sistem ve cihazla çalışmış olmama rağmen, çoğunlukla tünel açma da.

IDS / IPS

Katman7 güvenlik duvarı, düzgün bir şekilde katılmaması ve düzenli olarak güncellenmesi durumunda genellikle yılan yağıdır (IPS / IDS). Ayrıca lisanslar çok pahalı, bu yüzden paranın satın alabileceği her şeyi almak için gerçek bir ihtiyaç duymazsanız bir tane almaktan vazgeçiyorum.

Masqerading

Kolay, bunu paketleyicilerinle dene. : D

Yerel liman yönlendirme

Maskeleme bölümüne bakınız.

Dinamik IP adresleriyle parola erişim kanallarının güvenliğini sağlama

Müşterilerin dinamik IP adresleri varsa ve konuşlandırılmış bir VPN kurulumu yoksa? Veya güvenlik duvarına diğer dinamik yaklaşımlar? Bu, zaten soruda ima edildi ve işte Maalesef, bunun için bir güvenlik duvarı bulamıyorum. Bölüm.

Kök hesap erişimini bir parola ile devre dışı bırakmak bir zorunluluktur. Erişim belirli IP adresleriyle sınırlı olsa bile.

Ayrıca, eğer ssh tuşları kaybolursa veya konuşlandırma başarısız olursa şifre girişiyle başka bir blanko hesabına hazır olmak bir şey gerçekten yanlış giderse çok kullanışlıdır (bir kullanıcı makineye idari erişime sahiptir ve 'bir şeyler olur'?). O Linux üzerinde tek kullanıcı moduna sahip veya kullanıyor gibi ağ erişimi için aynı fikir init=/bin/bashyoluyla grubgerçekten çok kötü yerel erişim için ve herhangi bir nedenle canlı diski kullanamazsınız. Gülme, bunu yasaklayan sanallaştırma ürünleri var. İşlevsellik mevcut olsa bile, işlevsellikten yoksun eski bir yazılım sürümü çalıştırılırsa ne olur?

Her neyse, ssh daemon'unuzu bazı ezoterik bir limanda çalıştırıp 22'de yapmasanız bile, liman vurma gibi şeyleri uygulamamış olsanız bile (başka bir limanı bile açmak ve böylece portkansları hafifletmek, çok fazla pratik olmayarak sınırlamak), port taramaları Sonunda servis.

Genellikle, tüm sunucuları aynı konfigürasyonda, aynı portlar ve verim nedeniyle servislerle de kurarsınız. Her makinede ssh'i farklı bir porta ayarlayamazsınız. Ayrıca, 'genel' bir bilgi olduğunu düşündüğünüz her seferde tüm makinelerde değiştiremezsiniz, çünkü zaten bir taramanın ardından. Sorusu nmapemrinde saldırıya uğramış bir Wi-Fi bağlantısı olan zaman yasal olup olmaması bir sorun değildir.

Bu hesaba 'root' adı verilmemişse, kullanıcılar 'arka kapı' kullanıcı adınızı tahmin edemeyebilir. Ancak, şirketinizden başka bir sunucu alırlarsa veya yalnızca bir web alanı satın alırlarsa ve kötümsüz / inatçı / kayıtsız bir bakıma sahip olduklarını bilirler /etc/passwd.

Şimdi tamamen teorik gösterim için, sunucunuza erişmek ve işyerinde genellikle işlerin nasıl yürüdüğüne bakmak için orada kırılabilir bir web sitesi kullanabilirler. Kişisel kesmek arama araçları (genellikle dosya sistemi taramalar için disk performans nedenleriyle geceleri mı?) 24/7 çalışmayabilir ve virüs tarayıcıları yeni ikinci güncellenmeyen sıfır-gün gün ışığını görür, bu yüzden olacak bu olayları bir kerede tespit etmeyin ve diğer koruma önlemleri olmadan ne olduğunu asla bilemezsiniz. Gerçeğe ulaşmak için, birinin sıfır gün süren sömürülere erişimi varsa, bunun muhtemelen pahalı olduğu için sunucularınızı hedeflememesi muhtemeldir. Bu sadece 'ihtiyaç' ortaya çıkarsa, bir sisteme her zaman bir yol olduğunu göstermek içindir.

Ancak yine konuyla ilgili, fazladan şifreli bir hesap kullanmayın ve rahatsız etmeyin. Lütfen okumaya devam et.

Saldırganlar bu ekstra hesabın adını ve portunu elde etseler bile, bir fail2ban+ iptableskombinasyon, yalnızca sekiz harfli bir şifre kullansanız bile kısa süre durduracaktır. Ayrıca fail2ban, diğer hizmetler için de uygulanabilir ve izleme ufkunu genişletir!

Kendi hizmetleriniz için ihtiyaç duyulduysa: Temel olarak bir dosyaya yapılan her günlüğe kaydetme hatası, bir dosya sağlayarak, hangi eşleşmeyle eşleşecek ve kaç hataya izin verilebileceği ve güvenlik duvarı her IP adresini yasaklayarak yasaklayacak. söylendi.

8 basamaklı şifreler kullanmıyorum! Ancak, beş yanlış parola denemesi için 24 saat boyunca yasaklanırlarsa, bu kadar berbat bir güvenlik olsalar bile, ellerinde bir botnet yoksa ne kadar süre deneyeceklerini tahmin edebilirsiniz. Ve müşterilerin hangi şifreleri kullanmaya meyilli olduklarını görünce şaşıracaksınız ssh. İnsanların posta şifrelerine Plesk aracılığıyla bakmak, bilmek istemediğiniz her şeyi, eğer yaparsanız, ama elbette burada ima etmeye çalıştığım şeyleri söyler. :)

Uyarlanabilir küresel güvenlik duvarı

fail2bançizgileri boyunca bir şeyler kullanan tek bir uygulamadır iptables -I <chain_name> 1 -s <IP> -j DROP, ancak kolayca biraz Bash sihri ile bu tür şeyleri kolayca oluşturabilirsiniz.

Bunun gibi bir şeyi daha da genişletmek için, ağınızdaki sunuculardaki tüm fail2ban IP adreslerini fazladan bir sunucuda toplayın, tüm listeleri sıralar ve ağınızın ucunda bulunan tüm trafiği engelleyen ana güvenlik duvarlarınıza iletir.

Bu tür bir işlevsellik satılamaz (elbette olabilir, ancak kırılgan bir sistem olacak ve emilecektir), ancak altyapınıza dahil edilmesi gerekir.

Bu sırada, kara liste IP adreslerini veya başka kaynaklardan gelen listeleri, kendiniz veya dış adresler tarafından toplanıp kullanabilirsiniz.

Fiziksel dünyada insanlar değerli eşyalarını güvenceye alarak güvence altına alırlar. Fakat kırılamayacak bir kasa yok. Kasalar veya güvenlik konteynırları, giriş zorlamasının ne kadar sürdüğü bakımından derecelendirilir. Kasanın amacı, saldırganı tespit edilebilecek kadar uzun süre geciktirmek ve etkin önlemler ardından saldırıyı durdurmaktır.

Benzer şekilde, uygun güvenlik varsayımı, maruz kalan makinelerinizin sonunda tehlikeye gireceğidir. Güvenlik duvarları ve bastion ana bilgisayarları, sunucunuzun (değerli verilerinizle) ödün vermesini engellemek için değil, saldırganı ilk önce onları tehlikeye atmaya zorlamak ve değerli eşyalar kaybolmadan önce saldırıyı tespit etmenize (ve caydırmanıza) izin vermek için kurulmamıştır.

Güvenlik duvarlarının ve banka kasalarının içeriden gelebilecek tehditlere karşı koruma sağlayamadığını unutmayın. Bu, banka muhasebecilerinin iki hafta üst üste bırakmalarının ve sunucuların, bastion ana bilgisayarları tarafından korunsa bile, tam iç güvenlik önlemlerine sahip olmalarının bir nedenidir.

Orijinal gönderide "dış dünya" paketlerini firewall'unuz üzerinden doğrudan sunucunuza yönlendirdiğinizi ima ediyor gibisiniz. Bu durumda, evet, güvenlik duvarınız çok fazla bir şey yapmıyor. İki güvenlik duvarı ve bir bastion hostu ile daha iyi bir çevre savunması yapılır, dışarıdan içeriye doğrudan bir mantıksal bağlantı yoktur - her bir bağlantı DMZ bastion hostunda son bulur; Her paket iletilmeden önce uygun şekilde incelenir (ve muhtemelen ayrıştırılır).

Güvenlik açıklarını tahmin etmek zor. Altyapınızın hangi şekilde yararlanılacağını tahmin etmek neredeyse imkansızdır. Bir güvenlik duvarına sahip olmak, bir güvenlik açığından yararlanmak isteyen bir saldırgan için "çıtayı" yükseltir ve bu güvenlik açığının ne olduğunu bilmeden ÖNCE bu önemli bir bölümdür. Ek olarak, güvenlik duvarının çarpmaları önceden kolayca anlaşılabilir; bu nedenle, kaçınılması muhtemel sorunlardan daha şiddetli olan bir güvenlik duvarı ile ilgili sorunların olması muhtemel değildir.

Bu yüzden "hiç kimse bir güvenlik duvarı kurmak için kovulmadı". Bunların uygulanması çok düşük bir risktir ve bir istismarın önlenmesi ya da hafifletilmesi ihtimalinin yüksek olması. Ayrıca, çoğu tehlikeli güvenlik açığı, otomasyon tarafından kullanılmaya başlanır, bu nedenle "olağandışı" herhangi bir şey bir botu kırmakla sonuçlanır veya en azından sizi daha kolay bir hedef lehine atlamanızı sağlar.

Kenar notu; güvenlik duvarları sadece internet için değildir. Muhasebe borcunuz. ldap sunucunuz için ne olursa olsun ssh'ye ihtiyaç duymaz, bu yüzden onlara vermeyin. İç hizmetlerin bölümlere ayrılması, bir şeyin kale duvarlarını kırması durumunda temizlik işinde büyük bir fark yaratabilir.

Ernie'yi, sunucularınızı sertleştirmek ve saldırılara ve güvenlik açıklarına karşı hafifletmek için çok çaba sarf etmenize rağmen, güvenlik duvarlarına karşı tavrınıza katılmıyorum.

Güvenliği bir soğan gibi ele alıyorum; ideal olarak çekirdeğe ulaşmadan önce yapmanız gereken katmanlara sahip olursunuz ve şahsen ağ sınırınızda bir donanım güvenlik duvarı oluşturmamanın fena halde yanlış yönlendirildiğini düşünüyorum.

Buna "alışkın olduğum şey" açısından geldiğimi itiraf edeceğim, ancak her ayın birçoğu vahşi ortamda sömürülen Microsoft’un aylarını gösteren küçük bir liste aldığımı biliyorum. . Aynı durumun hemen hemen tüm işletim sistemleri ve düşünmek istediğiniz uygulamalar için de geçerli olduğunu hayal ediyorum.

Şimdi güvenlik duvarlarının bununla bir şey yapmalarını ya da güvenlik duvarlarının böcek / güvenlik açıklarına karşı bağışık olmalarını önermiyorum, açıkçası bir "donanım" güvenlik duvarı sadece donanım yığınında çalışan bir yazılımdır.

Bununla birlikte, web’den erişilebilmesi için yalnızca 443 numaralı bağlantı noktasına ihtiyaç duyan bir sunucum varsa, çevre Juniper’in web üzerinden yalnızca 443 numaralı bağlantı noktasının erişilebilir olmasını sağladığını bilerek çok daha fazla uyuyorum. Sadece bu değil, Palo Alto'm da gelen trafiğin şifresinin çözülmesini, denetlenmesini, kaydedilmesini ve kaydedilmesini ve IPS / IDS'ye taranmasını sağlıyor; Fakat neden sıfır günlük istismarlar ve iyi eski insan hatası için hafifletebileceği göz önüne alındığında, bir fayda olduğunu görmüyorsunuz?

Öncelikle, liman yönlendirme konusundaki konuşmanızla, güvenlik duvarını NATing ile karıştırdığınızı düşünüyorum. Bu günlerde, NAT'lar çoğu zaman fiili güvenlik duvarları olarak işlev görürken, onların tasarlanma amacı olmadığından NAT bir yönlendirme aracıdır. Güvenlik duvarları erişimi düzenlemek içindir. Bu kavramları farklı tutmak düşüncenin netliği için önemlidir.

Bir sunucuyu bir NAT kutusunun arkasına koymak ve ardından NAT'ı bu sunucuya bir şey iletecek şekilde yapılandırmak, sunucuyu doğrudan Internet'e koymaktan daha güvenli değildir. Bununla kimsenin tartışacağını sanmıyorum.

Benzer şekilde, tüm trafiğe izin verecek şekilde yapılandırılmış bir güvenlik duvarı da hiçbir güvenlik duvarı değildir.

Ancak, "tüm trafiğe izin ver" gerçekten istediğiniz politika mı? Bir Rus IP adresinden kendi sunucularınıza ssh gönderme ihtiyacı olan var mı? Yeni bir deneysel ağ arka plan programı yapılandırması ile uğraşırken, tüm dünyanın gerçekten erişmesi gerekiyor mu?

Güvenlik duvarının gücü, yalnızca bu politikanın uygulanması için açık olmanız ve tek bir kontrol noktasını korumanız gerektiğini bildiğiniz hizmetleri açık tutmanıza izin vermesidir.

Durum bilgisi olan paket inceleme güvenlik duvarları kamuya açık sunucuların önüne ait değildir. Tüm bağlantıları kabul ediyorsun, bu yüzden devlet takibi oldukça işe yaramaz. Geleneksel güvenlik duvarları DDoS saldırılarında büyük bir sorumluluktur ve genellikle bağlantı bant genişliği veya sunucu kaynakları tamamen tüketilmeden önce DDoS saldırısı altında başarısız olan ilk şeydir.

Yönlendiriciler üzerindeki durumsuz paket filtreleri, genel sunucuların önünde anlamlıdır, ancak yalnızca tüm giriş ve çıkış trafiğinin (bir yönlendiricideki bir donanım ACL'si gibi) satır hızını kaldırabilirlerse anlamlıdır.

Google, Facebook ve hatta Microsoft, genel "güvenlik duvarlarını" genel sunucuların önüne koymuyor. Genel web servislerini "birden fazla sunucu" ölçeğinde çalıştırmış olan herkes bunu bilmelidir.

Cisco ASA'lar veya ana bilgisayarların kendilerine en iyi şekilde uygulandıkları, etkin bir şekilde ölçeklendirilebilecekleri gibi geleneksel güvenlik duvarlarında bulunan diğer işlevler. Günlüğe kaydetme, IDS vb. Tüm güvenlik duvarlarındaki tüm yazılım özellikleridir, bu nedenle genel olarak erişilebilir sunucuların önüne konmaları durumunda büyük bir tıkanıklık ve DDoS hedefi olurlar.

Neden tüm sunucularınızın ortak bir adrese ihtiyacı var?

Sunucuyu sunucu odasına kurun ve halka açık bir IP adresi verin.

Düzenli olarak çalıştığım 14 sunucudan sadece 2 tanesinde halka açık arabirimler var.

Eklemek üzere düzenlendi : Yönetme konusunda elimde olan diğer ağlarda, istek üzerine hizmetleri açma / kapama yeteneğine sahip olduk, oysa güvenlik duvarını yönetme erişimimiz yoktu. Kaç kez, istemeden tabii ki, gereksiz bir hizmetin (SMTP) açılıp bırakıldığını ve işlem sırasında spam dökümü yapmaktan ve kara listede yer almaktan bizi kurtaran tek şey bir güvenlik duvarı olduğunu söyleyemem bile.

Ayrıca, sunucular arasında geçen ve tamamen şifrelenmiş olan trafiğin tamamı mı?

Emniyet kemeri, hava yastığı ve kel lastikleri olmayan bir arabayı kesinlikle 100 mil hızla sürebilirsin, ama neden?

Güvenlik duvarları, sistem kullanıcılarının, yöneticilerin bilmediği ağ üzerinden erişilebilen hizmetleri açmasını veya diğer makinelere bağlantı noktası iletmesini engelleyebilir. Hasllimit modülünü kullanarak, güvenlik duvarları kötüye kullanımları uzak IP'ye göre sınırlayabilir.

Güvenlik duvarı, politikalarınıza uyulmasını sağlayan başka bir güvenlik ağıdır. Elbette, ummadığınız hizmetleri çalıştırmayın.

Mesela, yazılım güncellemelerinin zamanında yapılmasını kesinlikle tavsiye ediyorum, örneğin tüm makinelerde güvenlik duvarları da öneririm. Araba sürerken olduğu gibi: Elbette engellerden ve diğer arabalardan kaçınmaya çalışıyorum, ancak beklenmedik bir durumda bile emniyet kemeri takıyorum ve hava yastıkları alıyorum.

Herkesin çünkü sen güvenlik duvarları yararlanan ne kadar fark etmeyebilir başka bunları kullanıyor. Kelimenin tam anlamıyla herkesin, evden aşağıya DSL kullanıcılarının güvenlik duvarlarına girdiği bir günde, liman koklama, uygulanabilir bir saldırı vektörü olarak bırakılmıştır. İyi bir bilgisayar korsanı böyle şeyleri kontrol etmek için zamanını boşa harcamaz.