Firewall se često nabavlja tek nakon neugodnog događaja: sumnjive prijave na udaljeni pristup, prekida rada mreže, zaraze radne stanice ili zahtjeva partnera za sigurnijim povezivanjem. Tada je lako donijeti odluku prema cijeni ili broju navedenih funkcija. Međutim, pitanje kako odabrati firewall nije pitanje odabira jednog uređaja. Riječ je o odluci koja utječe na dostupnost poslovnih aplikacija, zaštitu podataka, rad udaljenih zaposlenika i mogućnost oporavka kada nešto pođe po zlu.
U poslovnoj mreži firewall je kontrolna točka između interne infrastrukture i interneta, ali i između odvojenih dijelova interne mreže. Njegova je zadaća dopustiti opravdan promet, prepoznati sumnjive obrasce te spriječiti neovlašten pristup bez stvaranja nepotrebnih prepreka zaposlenicima. Zato ispravan odabir počinje procjenom stvarnog načina rada tvrtke, a ne usporedbom specifikacija iz kataloga.
Prvo utvrdite što firewall mora štititi
Mala tvrtka s uredskim aplikacijama, Microsoft 365 okruženjem i nekoliko udaljenih korisnika nema jednake potrebe kao organizacija koja koristi lokalni poslužitelj, više poslovnica, proizvodni sustav ili aplikacije dostupne partnerima. U oba slučaja osnovna zaštita perimetra je potrebna, ali opseg pravila, kapacitet uređaja i razina nadzora bit će bitno različiti.
Prije odabira treba popisati ključne sustave: poslužitelje, mrežne diskove, poslovne aplikacije, sustav za obračun, udaljeni pristup, Wi-Fi mreže, sigurnosne kopije i cloud usluge. Jednako je važno znati tko pristupa tim resursima. Zaposlenik u uredu, vanjski računovođa, terenski komercijalist i dobavljač koji održava specijalizirani sustav ne trebaju isti pristup niti bi ga trebali dobiti kroz isto pravilo.
Korisna je i jednostavna podjela mreže na zone. Primjerice, radne stanice, poslužitelji, mreža za goste, uređaji za nadzor i administrativni pristup ne bi trebali biti u jednoj ravnoj mreži bez ograničenja. Ako je jedan uređaj kompromitiran, segmentacija smanjuje mogućnost da se problem proširi na kritične sustave. Firewall mora podržavati takvu podjelu i pravila između zona, a ne samo filtrirati promet prema internetu.
Kako odabrati firewall prema stvarnom opterećenju
Kapacitet firewalla ne procjenjuje se samo prema brzini internetske veze. Proizvođači često navode vrlo visoku propusnost za osnovno filtriranje prometa, no stvarno opterećenje raste kada se uključe sigurnosne funkcije kao što su IPS, antivirusna provjera prometa, filtriranje web sadržaja, kontrola aplikacija i VPN.
Tvrtka s vezom od 500 Mbit/s može kupiti uređaj koji na papiru podržava višestruko veću propusnost, ali taj podatak neće biti dovoljan ako se uređaj usporava pri aktivnim sigurnosnim servisima. Rezultat mogu biti sporo otvaranje cloud aplikacija, prekidi videokonferencija i pritužbe korisnika koje se pogrešno pripisuju pružatelju internetske usluge.
Pri procjeni kapaciteta uzmite u obzir broj korisnika, broj lokacija, očekivani rast, količinu VPN veza i vrstu prometa. Posebnu pozornost zahtijevaju organizacije koje redovito prenose veće datoteke, koriste cloud sigurnosne kopije ili povezuju poslovnice tunelima. Razumno je ostaviti rezervu za rast i za uključivanje funkcija koje danas možda nisu prioritet, ali će postati potrebne tijekom ugovornog vijeka uređaja.
Sigurnosne funkcije koje trebaju imati svrhu
Moderni poslovni firewall u pravilu objedinjuje više funkcija. Ne treba svaka organizacija uključiti sve opcije od prvog dana, ali treba znati što se nabavlja i zašto.
Kontrola aplikacija pomaže razlikovati promet prema stvarnoj aplikaciji, a ne samo prema portu. To je korisno kada želite ograničiti rizične ili poslovno nepotrebne usluge bez blokiranja legitimnog rada. Sustav za sprječavanje upada, odnosno IPS, analizira promet radi prepoznavanja poznatih obrazaca napada i sumnjivih pokušaja iskorištavanja ranjivosti. Web filtriranje može ograničiti pristup kategorijama stranica koje predstavljaju povećan sigurnosni ili operativni rizik.
Zaštita od zlonamjernog sadržaja i analiza datoteka dodatni su sloj, ali ne zamjenjuju zaštitu krajnjih uređaja, redovita ažuriranja i edukaciju korisnika. Firewall je dio sigurnosne cjeline. Ako su radne stanice neažurirane, korisnički računi bez višefaktorske autentikacije, a sigurnosne kopije nedostupne ili neprovjerene, samo mrežni uređaj neće riješiti problem.
Važna je i mogućnost šifriranog pregleda prometa. Velik dio prometa prema internetu danas je šifriran, pa firewall bez odgovarajuće inspekcije ima ograničen uvid u sadržaj. S druge strane, takva inspekcija zahtijeva više procesorske snage, pažljivu konfiguraciju certifikata i provjeru utjecaja na pojedine poslovne aplikacije. Nije funkcija koju treba uključiti bez plana, ali za određena okruženja može biti opravdana.
Udaljeni pristup i poslovnice nisu dodatak
VPN više nije iznimka rezervirana za administratore. Zaposlenici rade izvan ureda, vanjski suradnici trebaju ograničen pristup, a poslovnice moraju sigurno koristiti zajedničke resurse. Firewall bi trebao podržavati pouzdan VPN za korisnike i stabilne veze između lokacija.
Pri tome je sigurnost pristupa važnija od same mogućnosti povezivanja. Udaljeni korisnik ne bi trebao dobiti pristup cijeloj mreži samo zato što koristi VPN. Pristup treba vezati uz identitet korisnika, uređaj i poslovnu potrebu, uz višefaktorsku autentikaciju gdje je to moguće. Za administrativne račune vrijede stroža pravila, zasebni pristup i detaljnije evidentiranje aktivnosti.
Ako tvrtka ima više lokacija, treba provjeriti kako će se upravljati pravilima i kako će se pratiti dostupnost veza. Centralizirano upravljanje može znatno smanjiti administrativno opterećenje, ali ovisi o kvalitetno postavljenim ulogama, zapisima promjena i procedurama odobravanja.
Upravljanje i nadzor odlučuju hoće li zaštita raditi
Firewall koji je jednom postavljen, a zatim godinama nije pregledan, s vremenom postaje rizik. Poslovanje se mijenja: uvode se nove aplikacije, zaposlenici dolaze i odlaze, dodaju se vanjski partneri, a privremena pravila ostaju trajna. Bez održavanja, konfiguracija postaje nepregledna, a sigurnosne iznimke teško je opravdati.
Kod odabira provjerite koliko je upravljačko sučelje pregledno, može li se upravljanje delegirati po ulogama te postoje li jasni zapisi o promjenama. Dobar sustav mora omogućiti praćenje pokušaja prijave, blokiranog prometa, korištenja VPN-a i događaja koji zahtijevaju reakciju. Samo prikupljanje logova nije dovoljno. Netko ih mora znati protumačiti i povezati s ostalim dijelovima infrastrukture.
Ažuriranja operativnog sustava firewalla i sigurnosnih potpisnih baza također su dio redovitog održavanja. Prije nadogradnje treba procijeniti utjecaj na rad, imati sigurnosnu kopiju konfiguracije i plan povratka na prethodno stanje ako se pojavi problem. U okruženjima bez internog IT tima ta se obveza često zanemari jer nema jasno dodijeljenog vlasnika zadatka.
Pretplate, podrška i životni vijek uređaja
Mnogi sigurnosni servisi ovise o aktivnim pretplatama. U nabavnoj odluci zato nije dovoljno usporediti početnu cijenu uređaja. Treba razumjeti što licenca pokriva, koliko traje podrška proizvođača, uključuje li zamjenski uređaj u slučaju kvara te što se događa nakon isteka pretplate.
Najjeftiniji uređaj može biti skuplji ako ne pruža potrebne funkcije, ako je preblizu granici kapaciteta ili ako održavanje ovisi o osobi koja više nije dostupna. S druge strane, pretjerano velik sustav nema poslovnog smisla ako organizacija neće koristiti njegove mogućnosti niti može opravdati trošak održavanja. Cilj je rješenje koje odgovara riziku, načinu rada i planiranom razvoju tvrtke.
Za kritične sustave treba razmotriti visoku dostupnost, odnosno dva uređaja koja mogu preuzeti rad u slučaju kvara. To nije nužno za svaku organizaciju. Ako prekid internetskog pristupa od nekoliko sati nema ozbiljne posljedice, odgovarajući ugovor o zamjeni može biti dovoljan. Ako prekid zaustavlja prodaju, logistiku, proizvodnju ili pristup ključnim aplikacijama, redundantno rješenje ima jasnije opravdanje.
Postupak odabira bez nagađanja
Pouzdan odabir obično uključuje pregled postojeće mreže, popis poslovnih servisa, analizu načina pristupa i procjenu rizika prekida rada. Nakon toga definiraju se pravila segmentacije, udaljenog pristupa, filtriranja i evidentiranja događaja. Tek tada ima smisla uspoređivati modele i licence.
U praksi je korisno unaprijed dogovoriti tko odobrava nova pravila, tko pregledava zapise, kako se testiraju promjene i kada se konfiguracija revidira. Takav postupak sprječava da firewall postane zbirka hitnih iznimki nastalih pod pritiskom svakodnevnog rada.
CarPen Rebuild pri procjeni mrežne sigurnosti polazi od infrastrukture koju tvrtka stvarno koristi: korisnika, poslužitelja, cloud usluga, udaljenih lokacija i zahtjeva za kontinuitetom rada. Time se izbjegava i poddimenzionirano rješenje i nepotrebno složena implementacija.
Firewall je najučinkovitiji kada je pravilno uklopljen u mrežu, redovito održavan i usklađen s načinom na koji ljudi zaista rade. Dobra odluka zato ne završava kupnjom uređaja, nego jasnim planom upravljanja, nadzora i odgovornosti.