Firewall nima va u ofis tarmog‘ini qanday himoya qiladi
Asoslar3 daqInnovialabs tahririyati
Qisqacha
Firewall belgilangan qoidalar asosida ofis tarmog‘iga qaysi trafik kirishi va chiqishini hal qiladi; kichik ofis uchun asos — barcha kiruvchi ulanishlarni sukut bo‘yicha taqiqlash va tashqaridan faqat VPN orqali kirish.
Qisqa javob
Tarmoqlararo ekran (firewall) — tarmoq chegarasidagi qurilma yoki dastur bo‘lib, har bir ulanishni tekshiradi va qaror qabul qiladi: o‘tkazish, rad etish yoki jurnalga yozish. Qaror qoidalar asosida qabul qilinadi: trafik qayerdan kelyapti, qayerga, qaysi portga va qaysi protokol bo‘yicha.
Ofisda firewall internet va lokal tarmoq o‘rtasida, ba’zan esa ichki segmentlar o‘rtasida ham turadi: masalan, mehmon Wi-Fi va kameralarni ishchi kompyuterlardan ajratadi.
U qanday ishlaydi: uch avlod
Paketlarni filtrlash (packet filtering). Eng oddiy yondashuv: har bir paket manzillar, portlar va protokol bo‘yicha alohida tekshiriladi. Tez, lekin ekran paket ruxsat etilgan suhbatning bir qismi ekanini tushunmaydi.
Stateful tekshiruv. Ekran o‘rnatilgan ulanishlarni holatlar jadvalida eslab qoladi. Ofisdagi kompyuter saytni ochsa, sayt javobi o‘tkaziladi, chunki u ma’lum ulanishga tegishli. So‘ralmagan kiruvchi trafik tashlab yuboriladi. Bu zamonaviy routerlar va ekranlar uchun standart.
NGFW (Next-Generation Firewall). Stateful tekshiruvga yuqori darajadagi funksiyalar qo‘shiladi:
- ilovalarni tanish — «portni yopish» emas, «torrentlarni taqiqlash» qoidasi;
- IPS — ma’lum hujumlar belgilarini qidiradigan bostirib kirishning oldini olish tizimi;
- URL va sayt toifalari bo‘yicha filtrlash;
- foydalanuvchilarga bog‘lash — IP-manzillar uchun emas, xodimlar guruhlari uchun qoidalar;
- TLS tekshiruvi — shifrlangan trafikni tekshirish (qurilmalarga sertifikat o‘rnatishni va maxfiylikka ehtiyotkorlik bilan yondashishni talab qiladi).
Routerga o‘rnatilgan yoki alohida firewall
| Routerdagi firewall | Alohida firewall / NGFW | |
|---|---|---|
| Asosiy stateful himoya | Bor | Bor |
| Segmentatsiya (VLAN, mehmon tarmog‘i) | Ko‘pincha bor, modelga bog‘liq | Bor |
| IPS, ilovalar va URL filtrlash | Kam yoki soddalashtirilgan | Bor, ko‘pincha obuna bilan |
| Xodimlar uchun VPN | Ayrim modellarda bor | Bor, odatda moslashuvchanroq |
| Jurnallar va hisobotlar | Minimal | Batafsil |
| Kimga mos | Maxfiy ma’lumotlarsiz kichik ofis | Serverlar, masofaviy xodimlar, xavfsizlik talablari bor ofis |
Asosiy savol «qaysi quti» emas, balki qoidalaringiz bormi va ularni kim kuzatadi. Yaxshi sozlangan router sukut bo‘yicha sozlamalardagi qimmat NGFW’dan yaxshiroq.
Kichik ofis uchun asosiy qoidalar
- Barcha kiruvchi ulanishlarni sukut bo‘yicha taqiqlang. Faqat haqiqatan kerakli narsani oching.
- RDP, SSH, NAS va kameralarning veb-interfeyslarini internetga ochmang. Masofaviy kirish — faqat VPN orqali.
- Mehmon Wi-Fi’ni ishchi tarmoqdan ajrating, shunda mehmonlar faqat internetni ko‘radi.
- Kameralar, printerlar va IoT’ni alohida segmentga chiqaring — bunday qurilmalar kamdan-kam yangilanadi.
- Router va ekranni internet tomonidan boshqarishni yoping va standart administrator parolini almashtiring.
- Chiquvchi trafikni cheklang, hech bo‘lmasa serverlar uchun: ularga butun internetga kirish kamdan-kam kerak.
- Proshivkani muntazam yangilang — tarmoq jihozlarida zaifliklar doimo topiladi.
- Jurnallashtirishni yoqing va bloklangan hamda ruxsat etilgan ulanishlarni vaqti-vaqti bilan ko‘rib chiqing.
Ko‘p uchraydigan xatolar
- «Vaqtincha» qo‘shilgan «hammasiga ruxsat» qoidasi. Vaqtinchalik qoidalar yillab yashaydi.
- Bitta xodimning qulayligi uchun VPN o‘rniga port ochish.
- Tekis tarmoq, bunda mehmonning noutbuki va buxgalteriya serveri bitta segmentda.
- Firewall hamma narsadan himoya qiladi degan ishonch. U xodim ochgan fishing xatidan va zaif parollardan qutqarmaydi.