Shrnutí na Firewally: Základy síťové bezpečnosti

## Úvod Firewall je klíčový prvek síťové bezpečnosti, který kontroluje a řídí tok síťové komunikace podle předem definovaných pravidel. Tento materiál ti pomůže pochopit principy fungování firewallů, jejich typy, praktické nasazení a kontroly pomocí nástrojů jako nmap, aby ses připravil(a) na ústní maturitu. > **Definice:** Firewall je zařízení nebo software, které filtruje síťový provoz podle pravidel a rozhoduje, která komunikace je povolena a která blokována. ## Základní principy a umístění ### Kde může být firewall umístěn - **Perimetrový firewall**: mezi internetem a interní sítí. Chráněná „první linie" proti vnějším útokům. - **Interní firewall**: mezi VLANami nebo podnikových odděleními pro izolaci segmentů. - **Host firewall**: běží přímo na serveru nebo koncovém zařízení (např. Windows Firewall, iptables). - **Cloud firewall**: chrání služby a síť v cloudovém prostředí. > **Tip:** Správné umístění firewallu a segmentace sítě výrazně snižují riziko lateralního pohybu útočníka. ### Principy kontroly - Filtrace probíhá podle pravidel (ACL) definovaných administrátorem. - Pravidla se často vyhodnocují shora dolů; první odpovídající pravidlo se aplikuje. - Důležité jsou směrové a rozhraní: pravidla se mohou vztahovat na odchozí i příchozí provoz. ## Typy firewallů a jejich vlastnosti | Typ firewallu | Co kontroluje | Využití | |---|---|---| | Paketový filtr | IP, port, protokol | Jednoduché routovací zařízení, nízké nároky | | Stavový (stateful) | Stav spojení (sessions) | Bezpečnější pro internetové přenosy, povolí odpovědi na navázané spojení | | Aplikační firewall | Obsah a logika protokolů (např. HTTP) | Ochrana proti specifickým útokům na aplikace | | NGFW (Next-Gen) | Aplikace, uživatelé, IDS/IPS, SSL inspection | Moderní sítě, detailní viditelnost a kontrola | | WAF (Web Application Firewall) | Webové aplikace, útoky jako SQLi, XSS | Ochrana webových serverů | > **Definice:** NGFW (Next Generation Firewall) kombinuje tradiční filtrování s pokročilými funkcemi jako identifikace aplikací, IDS/IPS a SSL inspection. Did you know že NGFW může identifikovat konkrétní aplikace i když používají nestandardní porty, a tak dovolí nebo zablokuje provoz podle kategorie aplikace? ## ACL (Access Control List) - ACL je seznam pravidel: zdrojová IP, cílová IP, protokol, port, rozhraní, směr a akce (allow/deny). - Pořadí pravidel je kritické: první shoda se provede a další pravidla se nevyhodnocují. Příklad jednoduchých pravidel: 1. Allow LAN -> Internet (HTTP, HTTPS, DNS) 2. Deny Guest -> Server VLAN 3. Allow Internet -> Webserver TCP 443 4. Deny any any (implicitní nebo explicitní default deny) > **Poznámka:** Bezpečnější přístup je *default deny* — implicitně vše blokuj a povoluj pouze nutné služby. ## Stateful vs. stateless - **Stateless (paketový filtr)** kontroluje každý paket individuálně podle hlaviček. - **Stateful** si pamatuje stav spojení: pokud klient z vnitřní sítě naváže spojení na web, odpovědi z internetu jsou povoleny automaticky. Praktický příklad: klient z LAN naváže na port 80 webu; stateful firewall dovolí přicházející odpovědi, stateless by je mohl blokovat bez speciálních pravidel. ## NAT a port forwarding - **NAT** překládá privátní adresy na veřejné a skrývá vnitřní síť. - **Port forwarding** přesměrovává konkrétní veřejný port na interní službu (např. veřejná IP:443 → interní webserver:443). Bezpečnostní doporučení: - Omezit zveřejněné porty na minimum. - Aktualizovat publikované služby. - Používat zabezpečené protokoly (HTTPS, SSH s klíči). ## NGFW funkce a přidaná hodnota - Rozpoznávání aplikací a uživatelů - IDS/IPS: detekce a blokování podezřelých vzorů - SSL inspection: kontrola šifrovaného provozu - VPN a centrální logování Praktické použití: NGFW umožní například zakázat peer-to-peer aplikace, ale povolit konkrétní cloudové služby pro určité uživatele. ## Ověření a testování konfigurace (nmap) - Nmap slouží k ověření, které porty jsou z určitého místa dostupné. - Příklady použití (po