Firewallkonfigurationer

Firewallkonfigurationer utgör den sammanhängande uppsättningen regler och inställningar som styr hur nätverkstrafik tillåts eller blockeras av en brandvägg. Huvudsyftet är att minska risken för obehörig åtkomst samtidigt som legitima tjänster och användare får tillgång.

En brandvägg kan vara nätverksbaserad eller värdbaserad och kan implementeras som hårdvara, mjukvara eller en kombination. Grundläggande komponenter inkluderar en reglering av trafikflöden (policy), en uppsättning regler (rules), gränssnitt och nätverkssegmentering, NAT-funktioner samt loggning och övervakning. För nya system används ofta en tydlig policy som följs av en reglerordning där den mest specifika regeln premieras; i de flesta system tillämpas en implicit tillåtelse eller nekande principen "default deny" om ingen regel matchar.

Vanliga tillvägagångssätt är stateless filtrering (grundläggande port- och protokollbaserad) och tillståndsbaserad filtrering (stateful inspection), ibland kompletterad med djup packet inspection (DPI). Nyare nästa-generation brandväggar kombinerar dessa med applikationsmedveten filtrering och användarautentisering.

Vanliga funktioner inkluderar NAT, VPN-tjänster, segmentering mellan nätverk, och åtkomstkontrollistor. För användare och servrar bör konfigurationer vara dokumenterade, revisionsbara och säkert förvarade.

Livscykeln för firewallkonfigurationer innefattar design, implementering, testning (t.ex. trafikbaserad verifiering), driftsättning, övervakning och regelbunden revision. Goda praxis är att begränsa förändringar med godkänt förändringsarbete, regelbundet uppdatera programvara och säkerhetscertifikat samt säkerhetskopiera konfigurationsfiler.