Обсудить задачу
Термин · Б

Брандмауэр (Firewall)

Межсетевой экран: пропускает или блокирует сетевой трафик по правилам и отделяет защищенную сеть от внешнего мира.

Брандмауэр, или межсетевой экран (firewall), — программа или устройство, которое проверяет сетевой трафик и решает по набору правил, что пропустить, а что заблокировать. Он стоит на границе между сетями — например, между интернетом и сетью компании или между подсетями — и не дает посторонним обращаться к тому, что не предназначено для чужих глаз.

Главный принцип — запрещено все, что не разрешено

Надежная настройка начинается с запрета всего входящего трафика и разрешения только необходимого. Пример для сервера с утилитой ufw:

# Командная строка Linux
ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp
ufw allow 443/tcp
ufw enable

Сервер принимает только SSH (порт 22) и HTTPS (порт 443), все остальные входящие соединения отклоняются. На практике доступ по SSH дополнительно ограничивают адресами администраторов или VPN.

Виды межсетевых экранов

  • Пакетный фильтр — проверяет адреса, порты и протокол каждого пакета. Быстро, но без понимания содержимого.
  • С отслеживанием состояния (stateful) — помнит установленные соединения и автоматически пропускает ответы на исходящие запросы. Это стандарт для серверов и офисных сетей.
  • Межсетевой экран нового поколения (NGFW) — распознает приложения и пользователей, ищет признаки атак (системы обнаружения и предотвращения вторжений), проверяет файлы.
  • Межсетевой экран для веб-приложений (WAF) — анализирует HTTP-запросы и блокирует атаки на сайт, например SQL-инъекции и XSS.

Разница между ними — в том, на каком уровне модели OSI они анализируют трафик.

Где работает

  • На каждом сервере — встроенные средства операционной системы: nftables и iptables в Linux, брандмауэр Windows.
  • На границе сети — отдельное оборудование или виртуальные устройства между интернетом и сетью компании.
  • В облаке — группы безопасности, которые задают правила для каждой виртуальной машины.

Импортозамещение

После ухода зарубежных производителей в 2022 году российские компании и госорганы переходят на отечественные NGFW — например, UserGate, PT NGFW, «Континент». Для государственных систем и защиты персональных данных требуются сертифицированные средства. Перенос правил со старого оборудования — отдельная аккуратная работа: тысячи правил, накопленных за годы, сначала разбирают и чистят.

Межсетевой экран — не вся защита

Он не спасет от фишингового письма, уязвимости в открытом наружу приложении или украденного пароля сотрудника. Поэтому его сочетают с обновлениями, многофакторной аутентификацией и подходом Zero Trust, где доверие не дается по признаку «внутри сети».