Brandvägg – betydelse och definition
En brandvägg är ett säkerhetssystem i ett datornätverk som begränsar internettrafiken till, ut från eller inom ett privat nätverk.
Den här programvaran eller dedikerade maskin- och programvaruenheten fungerar genom att selektivt blockera eller tillåta datapaket. Den används vanligen som hjälp för att förhindra skadliga aktiviteter och att någon individ — vare sin inom eller utanför ett privat nätverk — ägnar sig åt otillåtna webbaktiviteter.
Vad är en brandvägg?
Brandväggar kan betraktas som stängda gränser eller gateways som hanterar resor av tillåtna och förbjudna webbaktiviteter inom ett privat nätverk. Termen är hämtad från konceptet med fysiska väggar som fungerar som barriärer för att minska spridningen av eld tills brandkåren kan göra en släckningsinsats. Som jämförelse används brandväggar inom nätverkssäkerhet för att hantera webbtrafik — där syftet vanligen är att dämpa spridningen av webbhot.
Brandväggar skapar ”flaskhalsar” för att kanalisera webbtrafik, vid vilka de senare bedöms efter en uppsättning programmerade parametrar och utlöser motsvarande åtgärder. Vissa brandväggar spårar också trafiken och anslutningarna i granskningsloggar som referens för vad som har tillåtits eller blockerats.
Brandväggar används oftast för att stänga gränserna för ett privat nätverk eller dess värdenheter. Som sådana utgör brandväggar ett av säkerhetsverktygen i den bredare kategorin av åtkomstkontroller för användare. De här barriärerna brukar återfinnas på två olika platser — på dedikerade datorer på nätverket eller användarnas datorer respektive på själva slutpunkterna (värdarna).
Hur fungerar brandväggar?
En brandvägg bestämmer vilken nätverkstrafik som får släppas igenom och vilken som bedöms vara farlig. Det är i grund och botten ett filter som skiljer det bra från det dåliga eller det pålitliga från det opålitliga. Men innan vi går ner på detaljnivå hjälper det att förstå hur webbaserade nätverk är strukturerade.
Syftet med brandväggar är att säkra privata nätverk och slutpunktsenheterna inom dem, så kallade nätverksvärdar. Nätverksvärdar är enheter som ”talar” med andra värdar på nätverket. De skickar och tar emot kommunikation mellan interna nätverk men även in- och utgående mellan externa nätverk.
Datorer och andra slutpunktsenheter använder nätverk för att få åtkomst till internet och till varandra. Internet är dock segmenterat i undernätverk eller ”subnät” av sekretess- och integritetsskäl. De grundläggande subnätssegmenten är följande:
- Externa offentliga nätverk avser vanligen det offentliga/globala internet eller olika extranät.
- Interna privata nätverk definierar ett hemnätverk, intranät på företag och andra ”slutna” nätverk.
- Perimeternätverk beskriver gränsnätverk som består av bastionsvärdar — datorvärdar som utrustats med förstärkt säkerhet och är redo att möta en extern attack. Som en säkrad buffert mellan interna och externa nätverk kan de också användas för att hysa alla externa tjänster som tillhandahålls av det interna nätverket (dvs. webbservrar, e-post, FTP, VoIP osv.). De är säkrare än externa nätverk men mindre säkra än de interna. De förekommer inte alltid i enklare nätverk, som hemnätverk, men används ofta i organisations- eller nationella intranät.
Screeningroutrar är specialiserade gatewaydatorer som placerats på ett nätverk för att segmentera det. De betecknas som husbrandväggar på nätverksnivån. De två vanligaste segmentmodellerna är den avskärmade värdbrandväggen och den avskärmade subnätsbrandväggen:
- Avskärmade värdbrandväggar använder en enda screeningrouter mellan de externa och interna nätverken. De här nätverken utgör de två subnäten i modellen.
- Avskärmade subnätsbrandväggar använder två screeningroutrar — den ena kallas åtkomstrouter mellan det externa nätverket och perimeternätverket och den andra kallas stryprouter mellan perimeternätverket och det interna nätverket. Därigenom uppstår tre olika subnät.
Både nätverksperimetern och själva värdmaskinerna kan hysa en brandvägg. I detta syfte placeras den mellan en ensam dator och dess anslutning till ett privat nätverk.
- Nätverksbrandväggar involverar användning av en eller flera brandväggar mellan externa nätverk och interna privata nätverk. De reglerar in- och utgående nätverkstrafik genom att separera externa offentliga nätverk — som det globala internet — från interna nätverk som WiFi-nätverk för hemmabruk, intranät på företag eller nationella intranät. Nätverksbrandväggar kan förekomma som någon av följande anordningar: dedikerad maskinvara, programvara och virtuell.
- Värdbrandväggar eller ”programvarubrandväggar” engagerar användning av brandväggar på individuella användarenheter eller andra slutpunkter i privata nätverk som en barriär mellan enheter inom nätverket. De här enheterna, eller värdarna, mottar anpassad reglering av trafik till och från specifika datorapplikationer. Värdbrandväggar kan drivas på lokala enheter som en operativsystemstjänst eller applikation för slutpunktssäkerhet. Värdbrandväggar kan också gå djupare ner i webbtrafik och filtrering som baseras på HTTP och andra nätverksprotokoll. På detta sätt tillåter de hantering av allt innehåll som når din maskin snarare än bara varifrån det kommer.
En nätverksbrandvägg kräver konfiguration mot ett brett spektrum av anslutningar medan en värdbrandvägg kan skräddarsys efter de respektive maskinernas behov. Däremot är värdbrandväggar mer krävande att anpassa. Det innebär att de nätverksbaserade är idealiska för en svepande kontrollösning. Att använda båda brandväggarna på båda platserna samtidigt är dock idealiskt för ett säkerhetssystem i flera lager.
Filtrera trafik via en brandvägg använder förinställda eller dynamiskt inlärda regler för att tillåta eller neka försök till anslutningar. De här reglerna styr hur en brandvägg reglerar flödet av webbtrafik genom ditt privata nätverk och dina privata datorenheter. Oberoende av typ kan alla brandväggar filtrera genom en kombination av följande:
- Källa: Där ett försök till anslutning görs ifrån.
- Destination: Där ett försök till anslutning är avsett att hamna.
- Innehåll: Det som ett försök till anslutning försöker sända.
- Paketprotokoll: Det ”språk” ett försök till anslutning talar för att förmedla sitt meddelande. Bland nätverksprotokollen som värdar använder för att ”tala” med varandra används primärt TCP/IP-protokoll för att kommunicera inom internet och intranät/undernätverk.
- Applikationsprotokoll: Vanliga protokoll inkluderar HTTP, Telnet, FTP, DNS och SSH.
Källa och destination kommuniceras av internetprotokoll (IP)-adresser och portar. IP-adresser är unika enhetsnamn för varje värd. Portar är en undernivå till värdenheten för varje käll- och destinationsenhet. De kan jämföras med kontorslokaler i en större byggnad. Portar tilldelas vanligen speciella syften. Därför kan vissa protokoll och IP-adresser som använder ovanliga portar eller inaktiverade portar komma att utgöra ett problem.
Genom att använda sådana identifierare kan en brandvägg besluta om ett datapaket som försöker ansluta ska avvisas – tyst eller med ett felmeddelande till sändaren – eller vidarebefordras.
Olika typer av brandväggar
Olika typer av brandväggar införlivar olika filtreringsmetoder. Samtidigt som alla typer av brandväggar har utvecklats för att överträffa tidigare generationer, har mycket av kärntekniken gått vidare från generation till generation.
Olika brandväggstyper kännetecknas genom sina strategier för:
- Anslutningsspårning
- Filtrering av regler
- Granskningsloggar
Varje typ fungerar på olika nivåer av den standardiserade kommunikationsmodellen, modellen med datautbyte mellan öppna system (Open Systems Interconnection model, OSI). Den här modellen ger en bättre visuell framställning av hur varje brandvägg interagerar med anslutningar.
Brandvägg för statisk paketfiltrering
Brandväggar för statisk paketfiltrering, även kallade tillståndslösa inspektionsbrandväggar, opererar på OSI-nätverkslagret (lager 3). De erbjuder grundläggande filtrering genom att kontrollera alla individuella datapaket som skickas genom ett nätverk baserat på varifrån de härstammar och vart de försöker komma. Framför allt spåras inte tidigare accepterade anslutningar. Det innebär att varje anslutning måste godkännas på nytt med varje datapaket som skickas.
Filtrering baseras på IP-adresser, portar och paketprotokoll. Som absolut minimum förhindrar dessa brandväggar att två nätverk ansluts direkt utan tillstånd.
Regler för filtrering ställs in efter en manuellt framtagen lista för åtkomstkontroll. Sådana listor är mycket strikta och det är svårt att täcka oönskad trafik på ett lämpligt sätt utan att äventyra nätverkets användbarhet. Statisk filtrering kräver fortlöpande manuell granskning för att användas effektivt. Det kan vara hanterbart på små nätverk men snabbt bli svårt att genomföra på större enheter.
Oförmåga att läsa applikationsprotokoll medför att innehållet i ett meddelande som levereras inom ett paket inte kan läsas. Utan att kunna läsa innehållet ger brandväggar för paketfiltrering en begränsad skyddsnivå.
Brandvägg för gateway på kretsnivå
Gateways på kretsnivå fungerar på sessionsnivå (lager 5). Dessa brandväggar söker efter funktionella paket vid ett försök till anslutning och kommer — om de fungerar väl — att tillåta en konstant öppen anslutning mellan de båda nätverken. Brandväggen avslutar sin övervakning av anslutningen efter att det har inträffat.
Bortsett från sin strategi för anslutningar kan en gateway på kretsnivå likna proxybrandväggar.
Den kontinuerliga oövervakade anslutningen är riskfylld, då legitima metoder kan komma att öppna anslutningen och senare tillåta att en skadlig aktör lyckas ta sig in.
Tillståndsgiven inspektionsbrandvägg
Tillståndsgivna inspektionsbrandväggar, även kallade dynamiska paketfiltrerande brandväggar, är unika från statisk filtrering genom sin förmåga att övervaka pågående anslutningar och komma ihåg tidigare. Initialt opererade de på transportlagret (lager 4), men numera kan dessa brandväggar övervaka flera lager, inklusive applikationslagret (lager 7).
I likhet med brandväggen för statisk filtrering tillåter eller blockerar tillståndsgivna inspektionsbrandväggar trafik baserat på tekniska egenskaper som t.ex. specifika paketprotokoll, IP-adresser eller portar. Dessa brandväggar spårar emellertid också unikt och filtrerar baserat på status för anslutningarna med hjälp av en tillståndstabell.
Den här brandväggen uppdaterar filtreringsregler baserat på tidigare anslutningshändelser som loggats i tillståndstabellen av screeningroutern.
I allmänhet baseras filtreringsbeslut ofta på administratörens regler vid inställning av datorn och brandväggen. Dock tillåter tillståndstabellen att dessa dynamiska brandväggar fattar sina egna beslut baserat på tidigare interaktioner som de har ”dragit lärdomar” från. Trafiktyper som har orsakat störningar förut kan till exempel filtreras bort i framtiden. Tack vare flexibiliteten hos den tillståndsgivna inspektionen har den blivit en av de mest allmänt förekommande typerna av tillgängliga sköldar.
Proxybrandvägg
Proxybrandväggar, även kallade brandväggar på applikationsnivå (lager 7), är unika när det handlar om att läsa och filtrera applikationsprotokoll. Här kombineras inspektion på applikationsnivå, eller ”djup paketinspektion (DPI)”, och tillståndsgiven inspektion.
En proxybrandvägg är så nära en fysisk barriär det går att komma. Till skillnad mot andra typer av brandväggar fungerar den som ytterligare två värdar mellan externa nätverk och interna värddatorer, där en är representant (eller ”proxy”) för varje nätverk.
Filtrering baseras mer på data på applikationsnivå än på enbart IP-adresser, portar och grundläggande paketprotokoll (UDP, ICMP), som i paketbaserade brandväggar. Genom att läsa och förstå FTP, HTTP, DNS och andra protokoll blir det möjligt att göra en mer djupgående undersökning och korsfiltrering för många olika dataegenskaper.
I likhet med en dörrvakt granskar och värderar den i huvudsak inkommande data. Om inga problem upptäcks, tillåts dessa data passera till användaren.
Nackdelen med den här typen av omfattande säkerhet är att den ibland stör inkommande data som inte utgör ett hot, vilket leder till funktionsförseningar.
Nästa generations brandvägg (NGFW)
Växande hot kräver allt kraftfullare lösningar. Nästa generations brandväggar håller sig steget före genom att kombinera funktionerna hos en traditionell brandvägg med system som förhindrar nätverksintrång.
Nästa generations hotspecifika brandväggar är utformade för att undersöka och identifiera specifika faror, till exempel avancerad skadlig programvara, på en mer detaljerad nivå. De används allt oftare av företag och sofistikerade nätverk och ger en helhetslösning för att filtrera bort hot.
Hybridbrandvägg
Som framgår av namnet använder hybridbrandväggar två eller fler brandväggstyper i ett enda privat nätverk.
Vem uppfann brandväggar?
Uppfinningen av brandväggen bör betraktas som pågående. Orsaken är att den ständigt förändras, och flera olika skapare har varit involverade i dess utveckling och evolution.
Från slutet av 1980-talet till mitten av 1990-talet bidrog de var för sig med olika brandväggsrelaterade komponenter och versioner tills produkten kom att användas som bas för alla moderna brandväggar.
Brian Reid, Paul Vixie och Jeff Mogul
I slutet av 1980-talet hade Mogul, Reid och Vixie befattningar hos Digital Equipment Corp (DEC) med målet att utveckla paketfiltreringsteknik som skulle vara värdefull för framtida brandväggar. Det ledde till konceptet att förhandsgranska externa anslutningar innan de kontaktar datorer på ett internt nätverk. Även om vissa kanske betraktar det här paketfiltret som den första brandväggen, utgjorde det snarare en komponentteknik som stödde de riktiga brandväggssystemen som dök upp senare.
David Presotto, Janardan Sharma, Kshitiji Nigam, William Cheswick och Steven Bellovin
Från slutet av 1980- till början av 90-talet forskade och utvecklade flera medarbetare hos AT&T Bell Labs det första konceptet med brandvägg för gateway på kretsnivå. Det blev den första brandväggen som kunde förhandsgranska och tillåta pågående anslutningar i stället för att göra upprepade auktoriseringar efter varje datapaket. Presotto, Sharma och Nigam utvecklade gateway på kretsnivå från 1989 till 1990 och efterföljdes av Cheswick och Bellovins arbete med brandväggsteknik 1991.
Marcus Ranum
Från 1991 till 1992 uppfann Ranum de säkerhetsproxyer hos DEC som kom att bli en avgörande komponent hos den första brandväggsprodukten med applikationslager —1991 års proxy-baserade produkt för säker extern åtkomstlänk (Secure External Access Link, SEAL). Det var en förlängning av arbetet som Reid, Vixie och Mogul hade utfört på DEC och den första kommersiellt lanserade brandväggen.
Gil Shwed och Nir Zuk
På företaget Check Point spelade grundaren Gil Shwed och den produktive utvecklaren Nir Zuk betydande roller då de under åren 1993–1994 utvecklade den första användarvänliga brandväggsprodukten som fick bred spridning — Firewall-1. Gil Shwed uppfann och ansökte om patent för tillståndsgiven inspektion i USA 1993. Det följdes av Nir Zuks arbete om ett lättanvänt grafiskt gränssnitt för 1994 års Firewall-1, som fått stor betydelse för det fortsatta införandet av brandväggar i företag och bostäder under överskådlig framtid.
De här utvecklingarna var avgörande för att forma de brandväggsprodukter vi känner till i dag, där alla i viss omfattning används i många cybersäkerhetslösningar.
Brandväggarnas betydelse
Men vilket är då syftet med brandväggar och varför är de viktiga? Nätverk som saknar skydd är sårbara för all trafik som försöker få åtkomst till dina system. All nätverkstrafik bör alltid förhandsgranskas, vare sig den är skadlig eller ej.
När man ansluter persondatorer till andra IT-system eller internet öppnas en mängd olika fördelar upp. Här ingår smidigt samarbete med andra, möjlighet att kombinera resurser samt ökad kreativitet. Men priset kan bli att skyddet för hela nätverket och enheten äventyras. Hackning, identitetsstöld, skadlig programvara och onlinebedrägerier är vanliga hot som användare kan möta när de kopplar upp sina datorer till ett nätverk eller internet.
Så snart de har upptäckts av en illvillig aktör kan ditt nätverk och dina enheter enkelt hittas och ges snabb åtkomst till, samt bli utsatta för upprepade hot. Om internet är ständigt anslutet ökar risken (eftersom ditt nätverk kan nås när som helst).
Proaktivt skydd är avgörande vid användning av alla slags nätverk. Användare kan skydda sitt nätverk från de värsta farorna genom att använda en brandvägg.
Vad innebär brandväggssäkerhet?
Vad gör en brandvägg, och vad kan den skydda mot? Konceptet med en brandvägg för nätverkssäkerhet är att begränsa attackytan hos ett nätverk till en enda kontaktpunkt. I stället för att alla värdar i ett nätverk är direkt exponerade för det större internet, måste all trafik först kontakta brandväggen. Eftersom detta även gäller i motsatt riktning, kan brandväggen filtrera och blockera icke-tillåten trafik åt båda hållen. Brandväggar används också för att skapa en granskningslogg över försök till nätverksanslutningar som ska höja säkerhetsmedvetandet.
Eftersom trafikfiltrering kan vara en regeluppsättning som fastställs av ägare till ett privat nätverk, skapar detta anpassade användningsfall för brandväggar. Populära användarfall inkluderar hantering av följande:
- Infiltration av illvilliga aktörer: Oönskade anslutningar kan blockeras från en källa som beter sig underligt. Det kan förhindra avlyssning och avancerade långvariga hot (advanced persistent threats, APT).
- Föräldrakontroller: Föräldrar kan blockera sina barn från att se webbplatser med vuxeninnehåll.
- Restriktioner för webbsurfning på arbetsplatsen: Arbetsgivare kan hindra sina medarbetare från att använda företagets nätverk för att nå vissa tjänster och visst innehåll, exempelvis sociala medier.
- Nationellt kontrollerat intranät: Nationella regeringar kan blockera invånarnas tillgång till webbinnehåll och -tjänster som potentiellt strider mot nationens ledarskap eller värderingar.
Däremot är brandväggar mindre effektiva i följande sammanhang:
- För att identifiera utnyttjande av legitima nätverksprocesser: Brandväggar kan inte förutse mänskliga avsikter och därför inte heller fastställa huruvida en ”legitim” anslutning är avsedd för illvilliga syften. Som exempel kan bedrägerier med IP-adresser (IP-kapning) inträffa eftersom brandväggar inte validerar källans och destinationens IP:n.
- Förhindra anslutningar som inte passerar igenom brandväggen: Enbart brandväggar på nätverksnivå kommer inte att stoppa illvillig intern aktivitet. Interna brandväggar, t.ex. värdbaserade, måste finnas utöver perimeterbrandväggen för att avgränsa ditt nätverk och sakta ner rörelsen hos interna ”bränder”.
- Ge tillräckligt skydd mot skadlig programvara: Även om anslutningar som innehåller skadlig kod kan stoppas om de inte tillåts, kan en anslutning som bedömts acceptabel fortfarande leverera sådana hot till ditt nätverk. Om en brandvägg förbiser en anslutning till följd av felkonfiguration eller exploatering, kommer ett antivirusskydd fortfarande att behövas för att rensa eventuell skadlig programvara som tar sig in.
Exempel på brandvägg
I praktiken har de faktiska tillämpningarna av brandväggar både fått beröm och skapat kontroverser. Även om brandväggar har en lång historik av prestationer måste denna säkerhetstyp implementeras korrekt för att undvika exploateringar. Vidare har brandväggar fått rykte om att användas på etiskt tvivelaktiga sätt.
Den kinesiska brandväggen, censur av internet
Sedan runt 2000 använder Kina ramverk med interna brandväggar för att skapa sitt omsorgsfullt övervakade intranät. Genom sin utformning tillåter brandväggar att skräddarsydda versioner av det globala internet skapas inom en nation. Det uppnås genom att förhindra att vissa tjänster och information används eller kan nås inom detta nationella intranät.
Genom nationell övervakning och censur kan det pågående förtrycket av yttrandefriheten fortsätta, samtidigt som regeringens image upprätthålls. Dessutom tillåter Kinas brandvägg att regeringen begränsar internettjänster till lokala företag. På så sätt blir det mycket enklare att kontrollera företeelser som sökmotorer och e-posttjänster till förmån för regeringens mål.
Kina har upplevt en pågående intern protest mot denna censur. Användningen av virtuella privata nätverk och proxyer för att ta sig förbi den nationella brandväggen har låtit många uttrycka sitt missnöje.
Ett federalt organ i USA äventyrades genom svagheter vid distansarbete under covid-19-pandemin
År 2020 utgjorde en felkonfigurerad brandvägg enbart en av flera säkerhetsbrister som ledde till intrång hos en anonym amerikansk myndighet.
Man tror att en nationell aktör i USA utnyttjade en rad sårbarheter i myndighetens cybersäkerhet. Bland de många rapporterade säkerhetsproblemen hade brandväggen flera utgående portar som stod öppna för trafik på ett olämpligt sätt. Frånsett dåligt underhåll hade nätverket sannolikt drabbats av nya utmaningar genom distansarbeten. Väl inne i nätverket agerade angriparen med metoder som visade en tydlig avsikt att ta sig igenom öppna vägar till andra myndigheter. Den här typen av handlingar utsätter inte enbart det infiltrerade organet för risker för säkerhetsöverträdelser. De drabbar även många andra.
Kraftnätsoperatör i USA såg sin opatchade brandvägg exploateras
År 2019 påverkades en amerikansk kraftnätsoperatör av en Denial-of-Service (DoS)-sårbarhet som hackare kom att utnyttja. Brandväggar på perimeternätverket fastnade i en omstartsslinga i cirka 10 timmar.
Senare bedömdes det inträffade vara resultatet av en känd men opatchad sårbarhet i brandväggarnas fasta programvara. En standardprocedur för att kontrollera uppdateringar före implementering hade ännu inte genomförts. Detta ledde till förseningar i uppdateringar och ett oundvikligt säkerhetsproblem. Lyckligtvis ledde säkerhetsproblemet inte till något större nätverksintrång.
Sådana här händelser betonar vikten av regelbundna programvaruuppdateringar. Utan dem utgör brandväggar ett ytterligare nätverkssäkerhetssystem som kan exploateras.
Så här använder du brandväggsskydd
Korrekt installation och underhåll av din brandvägg är avgörande för att hålla ditt nätverk och dina enheter skyddade. Här följer några tips som ska vägleda dina säkerhetsrutiner för brandväggsnätverk:
- Uppdatera alltid dina brandväggar så snart som möjligt: Med uppdateringar av fast programvara och mjukvara hålls din brandvägg skyddad mot nyupptäckta sårbarheter. Användare av personliga brandväggar och brandväggar för hemmabruk kan vanligen göra en säker uppdatering omedelbart. Större organisationer måste eventuellt börja med att kontrollera konfigurationer och kompatibilitet genom hela nätverket. Men alla bör ha rutiner för en omgående uppdatering.
- Använd antivirusskydd: Brandväggarna i sig är inte utformade för att stoppa skadlig programvara och infektioner. Sådana kan ta sig förbi brandväggsskydden. Du behöver därför en säkerhetslösning som har designats för att oskadliggöra och avlägsna dem. Kaspersky Total Security kan skydda dina personliga enheter, medan våra många lösningar för företagssäkerhet kan skydda alla nätverksvärdar som du vill hålla rena.
- Begränsa tillgängliga portar och värdar med en tillståndslista: Inför en standard för att neka anslutning för inkommande trafik. Begränsa inkommande och utgående anslutningar till en strikt vitlista över betrodda IP-adresser. Minska användarnas åtkomsträttigheter till enbart miniminivån. Det är lättare att behålla säkerheten genom att ge åtkomst vid behov än att återkalla och mildra skador efter en incident.
- Segmenterat nätverk: Lateral rörelse av illvilliga aktörer är en uppenbar fara som kan bromsas genom att begränsa den interna korskommunikationen.
- Ha aktiva nätverksredundanser för att undvika driftsstopp: Säkerhetskopieringar för nätverksvärdar och andra viktiga system kan förebygga förlust av data och produktivitet under en incident.
Kaspersky Endpoint Security tilldelades tre AV-TEST-utmärkelser för bästa prestanda, skydd och användbarhet för en Endpoint Security-produkt för företag 2021. I samtliga tester uppvisade Kaspersky Endpoint Security enastående prestanda, skydd och användbarhet för företag.
Relaterade länkar:
