פיירוול לעסקים: איך בוחרים ומה חייב להיות מוגדר

איזה פיירוול עסק צריך? עסק צריך פיירוול בכל נקודה שבה הרשת שלו נפגשת עם האינטרנט: בכניסה למשרד, ולפני כל שרת שחשוף החוצה. למשרד מתאים בדרך כלל פיירוול חומרה או שירות פיירוול ענן, ולשרתים מתאים פיירוול וירטואלי או פיירוול ברמת הספק. הסוג פחות חשוב מההגדרה: פיירוול לעסקים שהוגדר נכון חוסם הכול כברירת מחדל ופותח רק את מה שנדרש, ופיירוול יקר שהוגדר רע לא מגן על דבר.

המדריך הזה מסביר את הסוגים, מה חייב להיות מוגדר בכל אחד, אילו טעויות חוזרות על עצמן, ומתי צריך להוסיף גם WAF והגנת DDoS.

מה פיירוול עושה, ומה הוא לא עושה

חומת אש לעסק היא נקודת ביקורת. היא בוחנת כל חיבור שנכנס לרשת או יוצא ממנה, ומחליטה לפי כללים אם להעביר אותו: מאיזו כתובת, לאיזו כתובת, באיזה פורט ובאיזה פרוטוקול.

מה שהיא לא עושה חשוב באותה מידה. פיירוול לא בודק אם הסיסמה חזקה, לא מעדכן תוכנות, ובדרך כלל לא מבין את התוכן של בקשה לאתר. אם פתחתם פורט לשירות מסוים, הפיירוול יעביר אליו גם תוקף. לכן הוא שכבה אחת מתוך כמה, ולא פתרון אבטחה שלם.

את היסודות, כולל ההבדל בין סינון מנות לבדיקת מצב, פירטנו במדריך Firewall לשרתים. כאן נתמקד בבחירה ובהגדרה לעסק.

שלושה סוגים: חומרה, וירטואלי וענן

	פיירוול חומרה	פיירוול וירטואלי	פיירוול ענן (שירות)
איפה הוא נמצא	מכשיר פיזי בכניסה לרשת המשרד	תוכנה שרצה כמכונה וירטואלית או על השרת עצמו	אצל ספק, והתעבורה עוברת דרכו
על מה הוא מגן	כל המחשבים במשרד	שרתים בענן, סביבות וירטואליות	משרדים, עובדים מרחוק ושירותי ענן
יתרון עיקרי	שליטה מלאה, לא תלוי בקו חיצוני לסינון פנימי	גמיש, זול להקמה, גדל עם הסביבה	אין ציוד לתחזק, אותה מדיניות לכל מקום
חיסרון עיקרי	רכישה, רישוי שנתי, החלפה בסוף החיים	חולק משאבים עם השרתים	תלות בספק ובקישוריות אליו
מי מתחזק	אתם או ספק ה-IT	אתם או ספק הענן	ספק השירות

שיקול נוסף הוא מי מחזיק את הידע. מכשיר חומרה דורש מישהו שמכיר את הממשק של היצרן. בשירות ענן, רוב העבודה היא הגדרת מדיניות, והתחזוקה של המערכת עצמה אינה עליכם.

בפועל, עסקים רבים משלבים: פיירוול חומרה במשרד, ופיירוול וירטואלי או פיירוול של הספק לפני השרתים בענן.

פיירוול מהדור החדש

רוב המכשירים שנמכרים היום לעסקים מוגדרים "דור חדש" (NGFW). מעבר לסינון לפי כתובת ופורט, הם מזהים אפליקציות, מפעילים מערכת למניעת חדירות (IPS), מסננים אתרים ולעיתים בודקים גם תעבורה מוצפנת. התכונות האלה מועילות, אבל כל אחת מהן צורכת כוח עיבוד, ולכן בודקים את קצב ההעברה של המכשיר כשכל התכונות פועלות, ולא את המספר המקסימלי שבמפרט.

מה חייב להיות מוגדר

אלה ההגדרות שמבדילות בין פיירוול שמגן לפיירוול שרק מותקן.

1. ברירת מחדל של חסימה. כל מה שלא הותר במפורש, נחסם. לא להפך.
2. פתיחת פורטים לפי צורך בלבד. לכל כלל יש סיבה ובעלים. אתר ציבורי צריך את פורט 443 ולרוב גם 80, ולא יותר.
3. גישת ניהול מוגבלת. SSH, שולחן עבודה מרוחק וממשקי ניהול נפתחים רק לכתובות מוכרות או דרך VPN, ולעולם לא לכל האינטרנט.
4. סינון תעבורה יוצאת. שרת שנפרץ מנסה ליצור קשר החוצה. הגבלת היציאות מקשה על התוקף ומקלה על הזיהוי.
5. חלוקת הרשת למקטעים. רשת אורחים נפרדת מרשת העובדים, ושרתים נפרדים ממחשבי המשרד. כך פריצה למחשב אחד לא פותחת את הכול.
6. רישום ליומן והתראות. יומן שאף אחד לא קורא לא עוזר. מגדירים התראה על אירועים חריגים, כמו גל של ניסיונות התחברות.
7. עדכוני קושחה. הפיירוול עצמו הוא תוכנה, ויש בו פרצות שמתגלות ומתוקנות.
8. גיבוי של ההגדרות, כדי שהחלפת מכשיר לא תהפוך לפרויקט.

להגדרות ברמת השרת עצמו, כמו הקשחת SSH והגבלת שירותים, יש את רשימת הבדיקה להקשחת VPS.

דוגמה: מדיניות בסיסית למשרד עם שרת בענן

נניח משרד עם חמישה-עשר עובדים, רשת אלחוטית לאורחים ושרת בענן שמריץ את מערכת הניהול. כך נראית מדיניות סבירה, במילים ולא בפקודות:

בפיירוול של המשרד:

• כל חיבור שמתחיל מבחוץ נחסם, אלא אם הוגדר אחרת.
• מחשבי העובדים יוצאים לאינטרנט בגלישה, בדואר ובשירותים שהעסק משתמש בהם.
• רשת האורחים מקבלת גישה לאינטרנט בלבד, בלי שום גישה למחשבי המשרד, למדפסות ולשרת.
• מדפסות, מצלמות ומכשירים חכמים נמצאים ברשת נפרדת, כי הם מתעדכנים לעיתים רחוקות.

בפיירוול של השרת בענן:

• פורט 443 פתוח לעולם רק אם רץ עליו אתר או שירות ציבורי.
• הגישה למערכת הניהול מותרת רק מכתובת ה-IP הקבועה של המשרד ומחיבור ה-VPN של העובדים מרחוק.
• שולחן עבודה מרוחק ו-SSH סגורים לאינטרנט ופתוחים רק דרך אותו VPN.
• כל השאר נחסם.

שימו לב לעיקרון שחוזר בשני הצדדים: מתחילים מחסימה מלאה, ומוסיפים רק את מה שיש לו סיבה עסקית. עובדים מרחוק אינם סיבה לפתוח פורט ניהול לכל העולם. הם מתחברים קודם ל-VPN, ורק דרכו מגיעים לשרת.

טעויות נפוצות

• כלל "הכול מותר" שנשאר אחרי בדיקה. טכנאי פותח הכול כדי לאתר תקלה, ושוכח לסגור.
• פורט ניהול פתוח לעולם. שולחן עבודה מרוחק שחשוף לאינטרנט נסרק ומותקף כל הזמן.
• כללים שהצטברו במשך שנים. אף אחד לא זוכר למה כלל מסוים קיים, ולכן לא מעזים למחוק אותו. עוברים על הכללים פעם בחצי שנה.
• סיסמת ברירת מחדל בממשק הניהול של הפיירוול.
• רישוי שפג. במכשירים רבים, שירותי האבטחה מפסיקים להתעדכן כשהמנוי מסתיים, והמכשיר ממשיך לעבוד כאילו הכול תקין.
• אמון מלא ברשת הפנימית. ההנחה שכל מה שבתוך המשרד בטוח קורסת ברגע שמחשב אחד נדבק.
• אין מי שאחראי. פיירוול בלי בעלים הוא פיירוול שלא מתעדכן.

מתי צריך גם WAF

פיירוול רגיל עובד ברמת הרשת. הוא רואה שמישהו פונה לאתר שלכם בפורט 443, ומעביר. הוא לא רואה מה כתוב בבקשה. מתקפות על אתרים ויישומים, כמו הזרקת קוד למסד הנתונים או ניחוש סיסמאות בטופס התחברות, נראות לו כמו גלישה רגילה.

חומת אש ליישומים (WAF) בוחנת את תוכן הבקשות ברמת ה-HTTP, וחוסמת דפוסים של מתקפות מוכרות. צריך אותה כש:

• יש לכם אתר עם אזור התחברות, טפסים או חנות.
• יש לכם API שחשוף לאינטרנט.
• האתר בנוי על מערכת ניהול תוכן עם תוספים רבים.
• אתם נדרשים לעמוד בתקן שמחייב זאת.

להסבר מלא יש את המדריך מה זה WAF, ואת ההשוואה WAF מול Firewall: מה ההבדל.

מתי צריך גם הגנת DDoS

מתקפת DDoS מציפה את הקו או את השרת בתעבורה עד שהוא מפסיק להגיב. פיירוול לא נועד לספוג הצפה כזו. הוא עצמו יכול להיות הרכיב הראשון שקורס, כי כל חיבור תופס אצלו זיכרון. גם כשהוא חוסם את התעבורה, היא כבר מילאה את הקו.

לכן את ההגנה מפני הצפה מציבים לפני הפיירוול, ברמת רשת הספק, שם יש רוחב פס וציוד שמסוגלים לסנן נפחים גדולים. כדאי לוודא עם ספק האחסון או השרתים מה כלול. בשרתים הווירטואליים ובאחסון האתרים של אמפייר אייאל הגנת DDoS מובנית בשירות.

פיירוול מנוהל: מי מטפל בזה ביום-יום

פיירוול דורש תחזוקה: עדכונים, מעבר על כללים, מעקב אחרי יומנים ותגובה להתראות. עסק עם איש IT מנוסה יכול לנהל זאת בעצמו. עסק בלי צוות טכני יעדיף שירות מנוהל, שבו הספק מגדיר את המדיניות, מעדכן ומנטר.

גם בשירות מנוהל כדאי לוודא שלושה דברים: שאתם מקבלים דוח תקופתי על מה שנחסם ועל שינויים שנעשו בכללים, שיש נוהל ברור לבקשת שינוי, למשל פתיחת גישה לספק חדש, ושהגדרות הפיירוול מגובות ונשארות ברשותכם אם תחליפו ספק.

בשרתים, אותו היגיון חל על מערכת ההפעלה כולה. בVPS מנוהל הקשחת השרת, חומת האש ועדכוני האבטחה הם חלק מהשירות, ואתם מתמקדים במערכת העסקית שרצה עליו.

רשימת בדיקה לבחירת פיירוול

• על מה צריך להגן: משרד, שרתים, עובדים מרחוק, או כולם?
• כמה משתמשים ומה מהירות הקו, כשכל שירותי האבטחה פועלים?
• האם נדרש VPN לעובדים מרחוק או בין סניפים?
• אילו שירותי אבטחה כלולים ברישוי, ולכמה זמן?
• מי יגדיר, יעדכן ויעקוב אחרי ההתראות?
• האם יש צורך ביתירות, כלומר שני מכשירים?
• האם יש אתר או API שמצדיקים WAF?
• מה ספק האחסון או השרתים כבר מספק ברמת הרשת?

שאלות נפוצות

האם הפיירוול של הנתב הביתי מספיק לעסק קטן?

לעסק של אדם אחד או שניים בלי שרתים, נתב מעודכן עם סיסמה חזקה נותן הגנה בסיסית. ברגע שיש כמה עובדים, מידע של לקוחות, גישה מרחוק או רשת אורחים, כדאי לעבור לפיירוול עסקי שמאפשר חלוקה למקטעים, רישום ליומן ועדכוני אבטחה מסודרים.

מה ההבדל בין פיירוול ל-WAF?

פיירוול מסנן תעבורה ברמת הרשת, לפי כתובות ופורטים. WAF בוחן את תוכן הבקשות לאתר או ליישום, ומזהה מתקפות ברמת היישום. הם משלימים זה את זה ואינם תחליף אחד לשני.

האם שרת בענן צריך פיירוול משלו?

כן. ספק הענן מגן על התשתית שלו, אבל ההחלטה אילו פורטים פתוחים בשרת שלכם היא שלכם. מגדירים פיירוול ברמת הספק, ברמת השרת, או בשתיהן.

כל כמה זמן צריך לעבור על כללי הפיירוול?

לפחות פעם בחצי שנה, וכן אחרי כל שינוי משמעותי: עובד שעזב, מערכת שהוחלפה או ספק שהפסיק לעבוד איתכם. מוחקים כללים שאין להם שימוש ומוודאים שלכל כלל יש סיבה מתועדת.

האם פיירוול מגן מפני כופרה?

חלקית. הוא יכול לחסום גישה מבחוץ לשירותים חשופים ולהקשות על התפשטות בין מקטעי רשת. הוא לא יעצור עובד שפותח קובץ זדוני מהמייל. לכך נדרשות הגנת קצה, הרשאות מוגבלות וגיבוי מבודד.

מה זה פיירוול ענן?

שירות שבו הסינון נעשה אצל ספק ולא במכשיר במשרד. התעבורה של המשרד ושל העובדים מרחוק עוברת דרך השירות, והמדיניות מנוהלת ממקום אחד. הוא מתאים לעסקים עם כמה סניפים או עם הרבה עבודה מרחוק.

רוצים שרת שמגיע מוקשח ומנוטר?

בVPS מנוהל אנחנו מגדירים את חומת האש, מתקינים עדכוני אבטחה ומנטרים את השרת, כך שהאבטחה לא תלויה בזמן הפנוי שלכם. ספרו לנו מה אתם מריצים, ונתאים את הסביבה.