Poslovna mreža rijetko je jednostavna: zaposlenici pristupaju Microsoft 365 uslugama, računovodstvenim aplikacijama, internim serverima, udaljenim radnim površinama i sustavima u oblaku. U takvom okruženju najvažnije značajke poslovnog firewalla nisu samo blokiranje neželjenog prometa. One određuju koliko će tvrtka imati nadzor nad mrežom, koliko će brzo prepoznati rizik i hoće li jedan sigurnosni propust prerasti u prekid rada.
Firewall je granica između interne mreže i interneta, ali kvalitetno postavljen poslovni uređaj štiti i promet unutar mreže. To je bitno kada su, primjerice, uredska računala, serveri, sustavi videonadzora, bežična mreža za goste i proizvodna oprema povezani na istu infrastrukturu. Cilj nije samo zatvoriti pristup, nego omogućiti potreban rad uz najmanju izloženost riziku.
Najvažnije značajke poslovnog firewalla u praksi
Kontrola prometa na razini aplikacije
Osnovni firewall odlučuje smije li se promet odvijati prema IP adresi, portu i protokolu. To je nužna baza, ali nije dovoljno za poslovnu mrežu. Suvremeni poslovni firewall treba prepoznati aplikaciju koja stvara promet, neovisno o tome koristi li ona uobičajeni port.
Takva kontrola omogućuje razlikovanje poslovno opravdanih usluga od aplikacija koje stvaraju sigurnosni ili operativni rizik. Primjerice, IT administrator može dopustiti pristup odobrenim servisima za razmjenu datoteka, a ograničiti neprovjerene servise koji se koriste za prijenos podataka izvan tvrtke. Pravila se pritom ne bi trebala svesti na široko dopuštanje cijelih mrežnih kategorija samo zato što je to jednostavnije za konfigurirati.
Dobra praksa je primjenjivati načelo najmanjih potrebnih ovlasti. Ako određeni server treba pristup samo jednoj vanjskoj usluzi, ne treba mu otvoriti pristup cijelom internetu. Takav pristup smanjuje prostor za pogrešku i olakšava istragu ako se pojavi sumnjiv promet.
Sustav za sprječavanje upada
Sustav za otkrivanje i sprječavanje upada, često označen kraticama IDS i IPS, analizira mrežni promet u potrazi za poznatim obrascima napada i neuobičajenim pokušajima iskorištavanja ranjivosti. Kada je pravilno konfiguriran, može blokirati pokušaj napada prije nego što dođe do servera ili radne stanice.
Ova značajka posebno je korisna kod javno dostupnih servisa, udaljenog pristupa i sustava koji iz poslovnih razloga moraju komunicirati s vanjskim partnerima. No IPS nije postavka koju treba uključiti i zaboraviti. Prestroga pravila mogu blokirati legitimne poslovne aplikacije, a zastarjele definicije prijetnji daju lažan osjećaj sigurnosti.
Zato održavanje firewalla uključuje redovito ažuriranje sigurnosnih potpisa, provjeru zapisa događaja i prilagodbu pravila stvarnom načinu rada tvrtke. Ako se sustav redovito oglašava upozorenjima na koja nitko ne reagira, njegova vrijednost brzo pada.
Web filtriranje i zaštita od zlonamjernog sadržaja
Velik dio sigurnosnih incidenata počinje otvaranjem zlonamjerne poveznice, preuzimanjem sumnjive datoteke ili prijavom na lažnu stranicu. Firewall s web filtriranjem može ograničiti pristup kategorijama stranica koje nisu opravdane za poslovni rad te blokirati poznate zlonamjerne domene.
Kada je dostupna inspekcija sadržaja i integrirana zaštita od zlonamjernog softvera, uređaj može provjeravati datoteke koje prolaze mrežom. To nije zamjena za zaštitu krajnjih uređaja, sigurnosne zakrpe i edukaciju zaposlenika. Riječ je o dodatnom sloju zaštite koji zaustavlja dio prijetnji prije nego što stignu do računala.
Treba uzeti u obzir i privatnost te poslovne potrebe. Tvrtka koja radi s grafičkim, građevinskim ili drugim velikim datotekama mora procijeniti hoće li detaljna inspekcija šifriranog prometa utjecati na brzinu rada. Sigurnosna politika mora biti dovoljno stroga, ali ne smije nepotrebno usporiti ključne procese.
Inspekcija šifriranog prometa
Većina internetskog prometa danas je šifrirana. To štiti komunikaciju, ali istodobno može sakriti zlonamjeran sadržaj od firewalla koji promet samo propušta. Inspekcija šifriranog prometa omogućuje firewallu da, uz definirana pravila i certifikate, provjeri što se zaista prenosi.
Ova funkcija može znatno poboljšati vidljivost prijetnji, ali zahtijeva pažljivo planiranje. Pojedine bankarske, zdravstvene ili specijalizirane poslovne usluge mogu imati tehnička ograničenja. Potrebno je definirati iznimke, testirati ključne aplikacije i osigurati da uređaj ima dovoljno procesorske snage za očekivani promet.
U manjim tvrtkama česta je pogreška kupiti uređaj prema deklariranoj brzini internetske veze, bez provjere propusnosti kada su uključeni IPS, antivirusna provjera i inspekcija šifriranog prometa. Te brojke mogu biti vrlo različite. Firewall koji je na papiru dovoljan može postati usko grlo čim se uključe sigurnosne funkcije koje su zapravo potrebne.
Segmentacija mreže
Jedna od najkorisnijih značajki poslovnog firewalla jest mogućnost podjele mreže u odvojene segmente. U praksi to znači da gosti na bežičnoj mreži ne vide računovodstvena računala, da uređaji za nadzor nemaju pristup poslovnim dokumentima i da korisnička računala ne mogu slobodno komunicirati sa svakim serverom.
Segmentacija ograničava bočno širenje napada. Ako je jedno računalo kompromitirano putem e-pošte ili nezaštićene aplikacije, napadač ne bi smio automatski dobiti pristup cijeloj mreži. Između segmenata postavljaju se jasna pravila: tko smije pristupiti kojem sustavu, kojim protokolom i iz kojeg smjera.
Za organizacije bez internog IT odjela ovo često zvuči kao složena tema, ali početni korak može biti vrlo konkretan. Odvojiti gostujuću bežičnu mrežu, poslužitelje, radne stanice i mrežnu opremu već značajno poboljšava preglednost i kontrolu.
Siguran udaljeni pristup
Udaljeni rad, podrška vanjskih dobavljača i pristup poslovnim sustavima izvan ureda zahtijevaju pouzdan VPN. Poslovni firewall treba omogućiti šifriranu vezu, višefaktorsku autentifikaciju i precizno određivanje prava pristupa.
Nije dovoljno korisniku omogućiti VPN i time mu otvoriti cijelu internu mrežu. Osoba koja pristupa jednoj aplikaciji ili mapi ne treba automatski imati pristup serverima, mrežnoj opremi i administracijskim sučeljima. Prava pristupa treba povezati s ulogom korisnika, a račune bivših zaposlenika i vanjskih suradnika redovito provjeravati i deaktivirati.
Za tvrtke koje koriste više lokacija važan je i stabilan VPN između poslovnih lokacija. Takva veza mora biti nadzirana, dokumentirana i pripremljena za prekid internetske veze, osobito ako se preko nje koriste centralni poslovni sustavi ili zajednički serveri.
Nadzor, zapisi i odgovor na incident
Firewall bez pregleda događaja postaje uređaj koji radi u pozadini, ali ne daje stvarnu sigurnosnu vrijednost. Administratori trebaju vidjeti neuobičajene prijave, pokušaje pristupa zabranjenim servisima, promet prema sumnjivim odredištima i promjene u konfiguraciji.
Kvalitetni zapisi korisni su tek kada su razumljivi i kada postoji postupak za njihovu provjeru. Kod manjeg poslovnog sustava nije realno očekivati da direktor svakodnevno analizira sigurnosne dnevnike. Potrebno je dogovoriti tko prima upozorenja, koje se aktivnosti smatraju hitnima i tko može intervenirati izvan radnog vremena.
Centralizirano upravljanje dodatno olakšava rad kada tvrtka ima više lokacija ili više firewall uređaja. Omogućuje dosljedna pravila, lakše ažuriranje i bržu provjeru stanja. Ipak, centralno upravljanje ne smije značiti da se ista politika bez provjere kopira na svaku lokaciju. Potrebe skladišta, ureda i izdvojene poslovnice često nisu jednake.
Kako odabrati firewall prema stvarnim potrebama
Odabir ne bi trebao početi pitanjem koji je model najpovoljniji, nego pregledom infrastrukture i poslovnih procesa. U procjenu treba uključiti broj korisnika, brzinu internetskih veza, udaljene pristupe, servere, cloud usluge, bežične mreže i uređaje koji nisu klasična računala.
Prije nabave i implementacije korisno je odgovoriti na nekoliko konkretnih pitanja:
- Koji sustavi moraju biti dostupni izvana, a koji smiju ostati dostupni samo iz interne mreže?
- Koliko korisnika istodobno radi udaljeno i trebaju li svi isti pristup?
- Postoje li odvojeni segmenti za goste, servere, računovodstvo, proizvodnju ili nadzorne uređaje?
- Može li odabrani uređaj održati potrebnu propusnost uz uključene sigurnosne servise?
- Tko će pratiti upozorenja, ažurirati firmware i redovito provjeravati pravila?
Posebnu pozornost zaslužuje redundantna internetska veza i dostupnost zamjenskog uređaja. Firewall može biti pravilno konfiguriran, ali prekid internetske veze ili kvar hardvera i dalje zaustavljaju poslovanje. Za sustave koji ovise o stalnoj povezanosti potrebno je planirati što se događa u takvom scenariju, uključujući prioritetne servise i postupak oporavka.
Firewall je dio sustava, ne samostalno rješenje
Ni najkvalitetniji firewall neće nadoknaditi slabe lozinke, neažurirane servere, neprovjerene administratorske račune ili backup koji se nikada nije testirao. Njegova stvarna vrijednost dolazi do izražaja kada je povezan s upravljanjem korisničkim pristupima, zaštitom krajnjih uređaja, sigurnosnim kopijama i jasnim procedurama.
U praksi je jednako važno dokumentirati pravila kao i postaviti ih. Nakon nekoliko godina rada često se pronađu otvoreni portovi za aplikaciju koja se više ne koristi, VPN računi bivših suradnika ili iznimke čija se svrha više ne zna. Redovita revizija konfiguracije smanjuje taj tehnički dug i vraća kontrolu nad mrežom.
Dobro konfiguriran poslovni firewall ne primjećuje se po spektakularnim porukama, nego po tome što zaposlenici mogu sigurno raditi, administratori razumiju stanje mreže, a tvrtka ima jasan postupak kada se pojavi odstupanje. To je standard koji vrijedi provjeravati prije incidenta, a ne nakon njega.