Всеки разбира основната функция на защитната стена – да защитава вашата мрежа от злонамерен софтуер и неоторизиран достъп. Но точните специфики на това как работят защитните стени са по-малко известни.

Какво точно е защитна стена^(firewall) ? Как работят различните видове защитни стени? И може би най-важното – кой тип защитна стена е най-добра?

Защитна стена 101

Просто^(Simply) казано, защитната стена е просто друга крайна точка на мрежата. Това, което го прави специален, е способността му да прихваща и сканира входящия трафик, преди да влезе във вътрешната мрежа, блокирайки достъпа на злонамерени участници.

Проверка на удостоверяването на всяка връзка, скриване на IP адреса на местоназначението от хакери и дори сканиране на съдържанието на всеки пакет данни – защитните стени правят всичко. Защитната стена служи като своеобразна контролна точка, като внимателно контролира вида на комуникацията, която се допуска.

Защитни стени за филтриране на пакети

Защитните стени за филтриране на пакети са най-простата и най-малко ресурсоемка защитна стена на пазара. Въпреки че в наши дни не е в полза, те бяха основната част от мрежовата защита в старите компютри.

Защитната стена за филтриране на пакети работи на ниво пакет, като сканира всеки входящ пакет от мрежовия рутер. Но всъщност не сканира съдържанието на пакетите данни – само техните заглавки. Това позволява на защитната стена да проверява метаданни като адреси на източник и местоназначение, номера на портове и т.н.

Както може да подозирате, този тип защитна стена не е много ефективна. Всичко, което защитната стена за филтриране на пакети може да направи, е да намали ненужния мрежов трафик според списъка за контрол на достъпа. Тъй като самото съдържание на пакета не се проверява, зловредният софтуер все още може да проникне.

Шлюзове на ниво верига

Друг ресурсно ефективен начин за проверка на легитимността на мрежовите връзки е шлюз на ниво верига. Вместо да проверява заглавките на отделни пакети данни, шлюз на ниво верига проверява самата сесия.

Още веднъж, защитна стена като тази не преминава през съдържанието на самото предаване, което я прави уязвима за множество злонамерени атаки. Като се има предвид това, проверката на връзките на протокола за управление на предаването^{(Transmission Control Protocol)} ( TCP ) от слоя за сесии на OSI модела отнема много малко ресурси и може ефективно да изключи нежелани мрежови връзки.

Ето защо шлюзовете на ниво верига често са вградени в повечето решения за мрежова сигурност, особено в софтуерни защитни стени. Тези шлюзове също помагат за маскиране на IP адреса на потребителя, като създават виртуални връзки за всяка сесия.

Защитни стени за проверка на състоянието

И защитната стена за филтриране на пакети,^{(Packet-Filtering Firewall)} и шлюзът на ниво верига^{(Circuit Level Gateway)} са реализации на защитна стена без състояние. Това означава, че те работят върху статичен набор от правила, ограничавайки тяхната ефективност. Всеки пакет (или сесия) се третира отделно, което позволява извършването само на много основни проверки.

 Защитната стена за проверка^{(Inspection Firewall)} на състоянието, от друга страна, следи състоянието на връзката, заедно с подробностите за всеки пакет, предаван през нея. Чрез наблюдение на TCP ръкостискането през цялото времетраене на връзката, защитната стена за проверка на състоянието е в състояние да компилира таблица, съдържаща IP адресите и номерата на портовете на източника и дестинацията и да съпоставя входящите пакети с този динамичен набор от правила.

Благодарение на това е трудно да се промъкнат пакети от злонамерени данни покрай защитна стена за проверка на състоянието. От друга страна, този вид защитна стена има по-висока цена на ресурсите, забавя производителността и създава възможност за хакерите да използват атаки с разпределен отказ на услуга^{(Denial-of-Service)} ( DDoS ) срещу системата.

Прокси защитни стени

По-^(Better) известни като шлюзове на ниво приложение^{(Application Level Gateways)} , прокси защитните стени^{(Proxy Firewalls)} работят на предния слой на OSI модела – слоя на приложението. Като последен слой, отделящ потребителя от мрежата, този слой позволява най-задълбочената и скъпа проверка на пакетите с данни с цената на производителността.

Подобно на шлюзовете на ниво верига^{(Circuit-Level Gateways)} , прокси защитните стени^{(Proxy Firewalls)} работят, като посредничат между хоста и клиента, замъглявайки вътрешните IP адреси на портовете на местоназначението. В допълнение, шлюзовете на ниво приложение извършват дълбока проверка на пакети, за да гарантират, че не може да премине злонамерен трафик.

И докато всички тези мерки значително повишават сигурността на мрежата, те също така забавят входящия трафик. Мрежовата^(Network) производителност се влошава поради ресурсоемките проверки, извършвани от защитна стена с поддържане на състоянието като тази, което я прави лошо подходяща за приложения, чувствителни към производителността. 

NAT защитни стени

В много изчислителни настройки ключовото звено на киберсигурността е да се осигури частна мрежа, прикриваща индивидуалните IP адреси на клиентски устройства както от хакери, така и от доставчици на услуги. Както вече видяхме, това може да се постигне с помощта на прокси^(Proxy) защитна стена или шлюз на ниво верига.

Много по-прост метод за скриване на IP адреси е използването на защитна стена за транслация на ^(Firewall)мрежови адреси^{(Network Address Translation)} ( NAT ) . Защитните стени на NAT^(NAT) не изискват много системни ресурси, за да функционират, което ги прави предпочитани между сървърите и вътрешната мрежа.

Защитни стени на уеб приложения

Само мрежовите защитни стени^{(Network Firewalls)} , които работят на слоя на приложението, са в състояние да извършват дълбоко сканиране на пакети данни, като защитна стена на прокси^{(Proxy Firewall)} или още по-добре, защитна стена на уеб приложения^{(Web Application Firewall)} ( WAF ).

Работейки от мрежата или от хоста, WAF преминава през всички данни, предавани от различни уеб приложения, като се уверява, че няма да проникне зловреден код. Този тип архитектура на защитна стена е специализирана в проверка на пакети и осигурява по-добра сигурност от защитните стени на повърхностно ниво.

Облачни защитни стени

Традиционните защитни стени, както хардуерните, така и софтуерните, не се мащабират добре. Те трябва да бъдат инсталирани, като се имат предвид нуждите на системата, като се фокусира върху производителност с висок трафик или ниска сигурност на мрежовия трафик.

Но облачните защитни стени^{(Cloud Firewalls)} са много по-гъвкави. Разгърнат от облака като прокси сървър, този тип защитна стена прихваща мрежовия трафик, преди да влезе във вътрешната мрежа, оторизирайки всяка сесия и проверявайки всеки пакет данни, преди да го пусне.

Най-хубавото е, че такива защитни стени могат да се увеличават и намаляват по капацитет, ако е необходимо, като се настройват към различни нива на входящ трафик. Предлага се като облачна услуга, не изисква хардуер и се поддържа от самия доставчик на услуги.

Защитни стени от следващо поколение

Следващото поколение може да бъде подвеждащ термин. Всички базирани на технологии индустрии обичат да хвърлят модни думи като тази, но какво всъщност означава това? Какъв тип функции квалифицират защитната стена да се счита за следващо поколение?

Всъщност няма строго определение. Като цяло можете да считате решения, които комбинират различни типове защитни стени в една ефективна система за сигурност, като защитна стена от следващо поколение^{(Next-Generation Firewall)} ( NGFW ). Такава защитна стена е в състояние да извършва дълбока проверка на пакети, като същевременно отхвърля DDoS атаките, осигурявайки многослойна защита срещу хакери.

Повечето защитни стени от следващо поколение често комбинират множество мрежови решения, като VPN^(VPNs) , системи за предотвратяване на проникване^{(Intrusion Prevention Systems)} ( IPS ) и дори антивирусна програма в един мощен пакет. Идеята е да се предложи цялостно решение, което адресира всички видове мрежови уязвимости, давайки абсолютна мрежова сигурност. За тази цел някои NGFW^(NGFWs) могат също да декриптират комуникациите на Secure Socket Layer ( SSL ), което им позволява да забележат и криптирани атаки.

Кой тип ^(Type)защитна стена^(Firewall) е най-добрата за защита на вашата мрежа^{(Your Network)} ?

Нещото при защитните стени е, че различните типове защитни стени използват различни подходи за защита на мрежа^{(protect a network)} .

Най-простите защитни стени просто удостоверяват сесиите и пакетите, без да правят нищо със съдържанието. Защитните стени на шлюза^(Gateway) са свързани със създаването на виртуални връзки и предотвратяването на достъп до частни IP адреси. Защитните^(Stateful) стени с данни за състоянието следят връзките чрез своите TCP ръкостискания, изграждайки таблица на състоянието с информацията.

След това има защитни стени от следващо поколение^{(Next-Generation)} , които комбинират всички горепосочени процеси с дълбока проверка на пакети и множество други функции за защита на мрежата. Очевидно е да се каже, че NGFW ще осигури на вашата система възможно най-добрата сигурност, но това не винаги е правилният отговор.

В зависимост от сложността на вашата мрежа и типа на изпълняваните приложения, вашите системи може да са по-добре с по-просто решение, което предпазва от най-често срещаните атаки. Най-добрата идея може да е просто да използвате услуга за облачна защитна стена на трета страна^{(third-party Cloud firewall)} , като разтоварите фината настройка и поддръжката на защитната стена на доставчика на услуги.

8 Types of Firewalls Explained

Everyone understands the basic function of a fіrewall – to protect your network frоm malware and unauthorized access. But the exact specifics of how firewalls work are leѕѕer-known.

What exactly is a firewall? How do the different types of firewalls work? And perhaps most importantly – which type of firewall is best?

Firewall 101

Simply put, a firewall is just another network endpoint. What makes it special is its ability to intercept and scan incoming traffic before it enters the internal network, blocking malicious actors from gaining access.

Verifying the authentication of each connection, hiding the destination IP from hackers, and even scanning the contents of each data packet – firewalls do it all. A firewall serves as a checkpoint of sorts, carefully controlling the type of communication that’s let in.

Packet-Filtering Firewalls

Packet-filtering firewalls are the simplest and least resource-intensive firewall technology out there. While it’s out of favor these days, they were the staple of network protection in old computers.

A packet-filtering firewall operates at a packet level, scanning each incoming packet from the network router. But it doesn’t actually scan the contents of the data packets – just their headers. This allows the firewall to verify metadata like the source and destination addresses, port numbers, etc.

As you might suspect, this type of firewall isn’t very effective. All that a packet filtering firewall can do is to cut down on unnecessary network traffic according to the access control list. Since the packet’s contents themselves are not checked, malware can still get through.

Circuit Level Gateways

Another resource-efficient way of verifying the legitimacy of network connections is a circuit-level gateway. Instead of checking the headers of individual data packets, a circuit-level gateway verifies the session itself.

Once again, a firewall like this doesn’t go through the contents of the transmission itself, leaving it vulnerable to a host of malicious attacks. That being said, verifying Transmission Control Protocol (TCP) connections from the sessions layer of the OSI model takes very little resources, and can effectively shut down undesirable network connections.

This is why circuit-level gateways are often built into most network security solutions, especially software firewalls. These gateways also help mask the IP address of the user by creating virtual connections for every session.

Stateful Inspection Firewalls

Both Packet-Filtering Firewall and Circuit Level Gateway are stateless firewall implementations. This means that they operate on a static ruleset, limiting their effectiveness. Every packet (or session) is treated separately, which allows for only very basic checks to be carried out.

 A Stateful Inspection Firewall, on the other hand, keeps track of the state of the connection, along with the details of every packet transmitted through it. By monitoring the TCP handshake throughout the duration of the connection, a stateful inspection firewall is able to compile a table containing the IP addresses and port numbers of the source and the destination and match up incoming packets with this dynamic ruleset.

Thanks to this, it’s difficult to sneak in malicious data packets past a stateful inspection firewall. On the flip side, this kind of firewall has a heavier resource cost, slowing down performance and creating an opportunity for hackers to use Distributed Denial-of-Service (DDoS) attacks against the system.

Proxy Firewalls

Better known as Application Level Gateways, Proxy Firewalls operate at the front-facing layer of the OSI model – the application layer. As the final layer separating the user from the network, this layer allows for the most thorough and expensive checking of data packets, at the cost of performance.

Similar to Circuit-Level Gateways, Proxy Firewalls work by interceding between the host and the client, obfuscating internal IP addresses of the destination ports. In addition, application-level gateways perform a deep packet inspection to ensure no malicious traffic can get through.

And while all of these measures significantly boost the security of the network, it also slows down the incoming traffic. Network performance takes a hit due to the resource-intensive checks conducted by a stateful firewall like this, making it a poor fit for performance-sensitive applications. 

NAT Firewalls

In many computing setups, the key lynchpin of cybersecurity is to ensure a private network, concealing the individual IP addresses of client devices from both hackers and service providers. As we have already seen, this can be accomplished using a Proxy firewall or a Circuit-level gateway.

A much simpler method of hiding IP addresses is to use a Network Address Translation (NAT) Firewall. NAT firewalls do not require many system resources to function, making them the go-to between servers and the internal network.

Web Application Firewalls

Only Network Firewalls that operate at the application layer are able to perform deep scanning of data packets, like a Proxy Firewall, or better yet, a Web Application Firewall (WAF).

Operating from within the network or the host, a WAF goes through all the data transmitted by various web applications, making sure that no malicious code gets through. This type of firewall architecture specializes in packet inspection and provides better security than surface-level firewalls.

Cloud Firewalls

Traditional firewalls, both hardware firewalls as well as software, don’t scale well. They have to be installed with the needs of the system in mind, either focusing on high-traffic performance or low network traffic security.

But Cloud Firewalls are far more flexible. Deployed from the cloud as a proxy server, this type of firewall intercepts network traffic before it enters the internal network, authorizing each session and verifying each data packet before letting it in.

The best part is that such firewalls can be scaled up and down in capacity as needed, adjusting to different levels of incoming traffic. Offered as a cloud-based service, it requires no hardware and is maintained by the service provider itself.

Next-Generation Firewalls

Next-Generation can be a misleading term. All tech-based industries love to throw buzzwords like this around, but what does it really mean? What type of features qualifies a firewall to be considered next-gen?

In truth, there is no strict definition. Generally, you can consider solutions that combine different types of firewalls into a single efficient security system to be a Next-Generation Firewall (NGFW). Such a firewall is capable of deep packet inspection while also shrugging off DDoS attacks, providing a multilayer defense against hackers.

Most Next-Generation firewalls will often combine multiple network solutions, such as VPNs, Intrusion Prevention Systems (IPS), and even an antivirus into one powerful package. The idea is to offer a complete solution that addresses all types of network vulnerabilities, giving absolute network security. To this end, some NGFWs can decrypt Secure Socket Layer (SSL) communications as well, allowing them to notice encrypted attacks as well.

Which Type of Firewall is the Best to Protect Your Network?

The thing about firewalls is that different types of firewalls use different approaches to protect a network.

The simplest firewalls just authenticate the sessions and packets, doing nothing with the contents. Gateway firewalls are all about creating virtual connections and preventing access to private IP addresses. Stateful firewalls keep track of connections through their TCP handshakes, building a state table with the information.

Then there are Next-Generation firewalls, which combine all of the above processes with deep packet inspection and a bevy of other network protection features. It is obvious to say that an NGFW would provide your system with the best security possible, but that isn’t always the right answer.

Depending on the complexity of your network and the type of applications being run, your systems might be better off with a simpler solution that safeguards against the most common attacks instead. The best idea might be to just use a third-party Cloud firewall service, offloading the fine-tuning and upkeep of the firewall to the service provider.

Related posts

• Пристрастяване към интернет и социалните мрежи

• Не мога да се свържа с Xbox Live; Коригирайте проблема с Xbox Live Networking в Windows 10

• Безплатни инструменти за безжична мрежа за Windows 10

• Инструмент за симулация на мрежа на Cisco Packet Tracer и неговите безплатни алтернативи

• Как да деактивирате работата в мрежа в Windows Sandbox в Windows 10

• Как да настроите NAS (мрежово съхранение)

• Какво е защитна стена и каква е нейната цел?

• Как да се свържете с отдалечен регистър в Windows 7 и 10

• Как да използвате приложението People за управление на акаунти в социалните мрежи

• Какво е Localhost и как можете да го използвате?

• Как подобрената защита от проследяване на Firefox спира уебсайтовете да ви шпионират

• Как да стартирате Windows 10 в безопасен режим с работа в мрежа

• Как да намерите най-добрия Wi-Fi канал на Windows, Mac и Linux

• Как да коригирате „Не може да се поднови IP адрес“ в Windows

• Какво представлява облакът и как да извлечете максимума от него

• Може ли да се свърже с безжичен рутер, но не и към интернет?

• Обяснено е Peer to Peer Networking (P2P) и споделянето на файлове

• Точка за достъп срещу рутер: какви са разликите?

• Как работи автоматичното превключване на HDMI

• Принудете Windows 7 да използва кабелна връзка през безжична връзка