انتخاب فایروال
مقایسه FortiGate، Sophos و pfSense یا OPNsense بر اساس تعداد کاربر، پهنای باند، نیاز VPN و بودجه، و پیشنهاد مدل مناسب.
امنیت و بازیابی
کانفیگ فایروال فورتی گیت، سوفوس و pfSense برای شبکه شرکت
فایروالی که سال ها پیش نصب شده و پر از قاعده های any-any است فقط ظاهر امنیت را دارد، و در خدمات امنیت شبکه اول سراغ همین فایروال می رویم. یا فایروال مناسب را انتخاب و نصب می کنیم یا دستگاه موجود را بازبینی می کنیم. هر قاعده مستند می شود و شبکه طوری تفکیک می شود که آلوده شدن یک سیستم به کل شبکه نرسد.
ابزارها و فناوری ها
firewall-network-security
- FortiGate
- Sophos Firewall
- pfSense
- OPNsense
- MikroTik
- FortiAnalyzer
- ESET PROTECT
- Kaspersky Security Center
6بخش کار
4خروجی
4مرحله
فایروال و امنیت شبکه چیست؟
کانفیگ فایروال در کار ما از انتخاب و نصب دستگاه یا بازبینی فایروال موجود شرکت شروع می شود و به قواعدی مستند می رسد که فقط ترافیک لازم را عبور می دهند و شبکه را طوری تفکیک می کنند که آلوده شدن یک سیستم به کل شبکه نرسد. اگر فایروال شما سال ها پیش با قاعده های any-any نصب شده، دوربین ها و سرورها و کامپیوتر کاربران در یک شبکه اند یا از امنیت اتصال کارمندان از خانه مطمئن نیستید، جای شروع همین جاست. پیکوسیستم FortiGate، Sophos و pfSense یا OPNsense را با نیاز شما می سنجد و zoneها، VLANها و قواعد با کمترین دسترسی لازم را تعریف می کند. در بازبینی، قواعد تکراری و پورت های مدیریتی باز پیدا می شوند. SSL VPN هم با احراز هویت Active Directory راه اندازی می شود. آنچه تحویل می گیرید: بکاپ تنظیمات، جدول قواعد با دلیل و مالک هر قاعده، نقشه zoneها و گزارش بازبینی.
چه زمانی به فایروال و امنیت شبکه نیاز دارید؟
- نمی دانیم کدام قاعده های فایروال هنوز لازم اند.
- لایسنس فایروال تمام شده و آپدیت امنیتی دریافت نمی شود.
- دوربین ها، سرورها و کامپیوتر کاربران همه در یک شبکه اند.
- کارمندان از خانه به شبکه وصل می شوند و مطمئن نیستیم این اتصال امن باشد.
فایروال و امنیت شبکه شامل چه کارهایی است؟
نصب و پیکربندی
تعریف zoneها و VLANها، قواعد با کمترین دسترسی لازم و NAT، و فعال کردن IPS، Web Filter و Application Control به اندازه نیاز.
بازبینی فایروال موجود
پیدا کردن قواعد تکراری، بلااستفاده یا بیش از حد باز، بررسی نسخه firmware و پورت های مدیریتی که روی اینترنت باز مانده اند.
VPN کاربران
راه اندازی SSL VPN یا IPsec با احراز هویت از Active Directory و در صورت امکان ورود دومرحله ای.
لاگ و گزارش
ارسال لاگ فایروال به Syslog یا FortiAnalyzer و تنظیم گزارش دوره ای از ترافیک مسدودشده و مصرف.
آنتی ویروس تحت شبکه
نصب و مدیریت مرکزی آنتی ویروس سازمانی مثل ESET یا Kaspersky روی کلاینت ها و سرورها.
بعد از فایروال و امنیت شبکه چه چیزی تحویل می گیرید؟
- فایروال پیکربندی شده همراه بکاپ تنظیمات
- جدول قواعد با دلیل و مالک هر قاعده
- نقشه شبکه با zoneها و VLANها
- گزارش بازبینی با موارد پرخطر و اقدام انجام شده برای هر کدام
راهنمای فایروال و امنیت شبکه
هزینه نصب و راه اندازی فایروال از کجا می آید؟
دیتاشیت فایروال ها چند عدد throughput دارد و عدد بزرگ اول معمولاً فقط برای عبور ساده بسته هاست. با فعال شدن IPS، آنتی ویروس و Application Control، عددی که به کار می آید Threat Protection throughput است که بسیار کمتر است؛ اگر بازرسی SSL هم بخواهید، عدد SSL inspection از آن هم پایین تر است. رایج ترین دلیل کند شدن اینترنت بعد از نصب فایروال جدید، انتخاب مدل بر اساس همان عدد اول است.
غیر از مدل دستگاه، این ها هم روی هزینه اثر دارند: تعداد کاربران هم زمان VPN، نیاز به دو دستگاه در حالت HA، تعداد شعب و تونل ها، مدت و نوع بسته لایسنس امنیتی، و اینکه فایروال قدیمی پرقاعده ای جایگزین می شود یا پیکربندی از صفر است.
اشتباهات رایج در کانفیگ فایروال فورتی گیت و سوفوس
رابط مدیریتی HTTPS یا SSH که روی پورت WAN باز مانده، هنوز در بسیاری از بررسی ها دیده می شود. آسیب پذیری های جدی SSL VPN در FortiOS، مثل CVE-2018-13379 و CVE-2022-42475، بیشترین آسیب را به دستگاه هایی زدند که firmware آن ها ماه ها به روز نشده بود. مدیریت فایروال باید فقط از شبکه داخلی یا VPN و با Trusted Hosts محدود شده در دسترس باشد.
چیزهای دیگری که بارها می بینیم: SSL VPN بدون ورود دومرحله ای، حساب admin پیش فرض با رمز قدیمی، قاعده ای با any در بالای فهرست که قواعد پایین تر را بی اثر می کند، ثبت نشدن لاگ ترافیک مسدودشده، و بکاپ تنظیماتی که فقط روی خود دستگاه یا لپ تاپ مدیر قبلی مانده است.
بازرسی SSL روی فایروال لازم است؟
بیشتر ترافیک وب رمزنگاری شده است، پس IPS و آنتی ویروس فایروال بدون بازرسی SSL فقط بخش کوچکی از آن را می بینند. در حالت Deep Inspection، فایروال ترافیک را باز می کند و دوباره رمز می کند و برای این کار گواهی CA فایروال باید روی همه کلاینت ها نصب باشد؛ در محیط دامین این گواهی با Group Policy پخش می شود.
این روش هزینه هم دارد: پردازش زیادی می گیرد، سایت های بانکی و برنامه هایی که certificate pinning دارند باید استثنا شوند و درباره حریم خصوصی کارکنان هم سیاست روشنی لازم است. برای بسیاری از شرکت ها، Certificate Inspection که فقط نام دامنه را بررسی می کند، همراه Web Filter تعادل بهتری دارد.
فایروال شبکه چطور کنار بقیه خدمات امنیت شبکه کار می کند؟
فایروال ترافیک بین zoneها را کنترل می کند و داخل یک VLAN کاری از دستش برنمی آید. اگر سرور داخلی ضعف امنیتی داشته باشد، کاربری که در همان zone است همچنان به آن می رسد؛ برای همین جای هاردنینگ سرورها و فایروال میزبان کنار فایروال شبکه است.
VLANها باید روی سوئیچ ها هم درست تعریف شوند و پورت های بلااستفاده بسته بمانند. لاگ فایروال وقتی به کار می آید که کنار لاگ سرورها در یک سیستم مرکزی مثل Wazuh یا ELK خوانده شود. تونل IPsec شعب را هم بهتر است هم زمان با قواعد فایروال طراحی کنید.
مراحل فایروال و امنیت شبکه
-
01
بازدید و بررسی
در بازدید، تجهیزات، نقشه شبکه، سرویس های در دسترس از بیرون و قواعد فعلی را نگاه می کنیم.
-
02
طراحی
طرح تفکیک شبکه و قواعد پیشنهادی را با شما چک می کنیم تا هیچ سرویس لازمی بسته نشود.
-
03
اجرا
تغییرات در پنجره زمانی توافق شده اعمال می شوند و تنظیمات قبلی برای برگشت آماده می ماند.
-
04
تحویل و پیگیری
مستندات به شما داده می شود. در روزهای بعد هم لاگ ها را نگاه می کنیم تا اگر ترافیک لازمی بسته شده، پیدایش کنیم.
سؤالات متداول درباره فایروال و امنیت شبکه
pfSense چیست و در مقایسه با فورتی گیت و سوفوس کدام را انتخاب کنیم؟
pfSense فایروالی متن باز بر پایه FreeBSD است که روی سخت افزار معمولی یا ماشین مجازی نصب می شود و برای بودجه محدود گزینه قابل اعتمادی است. FortiGate و Sophos هر دو به کار شرکت های کوچک و متوسط می آیند. انتخاب بین این دو بیشتر به دسترسی به لایسنس و پشتیبانی در ایران، آشنایی تیم شما و نیاز به قابلیت هایی مثل SD-WAN برمی گردد.
راه اندازی فایروال فورتی گیت چه مدت طول می کشد؟
برای یک دفتر ساده، کار کوتاهی است. هرچه شعب، VLANها و قواعد بیشتر باشند کار طولانی تر می شود، و جایگزین کردن فایروال قدیمی پرقاعده برنامه ریزی بیشتری می خواهد. زمان بندی دقیق را بعد از بازدید اعلام می کنیم.
میکروتیک به عنوان فایروال کافی است؟
در دفتر کوچک، روتر میکروتیک (MikroTik) با قواعد درست می تواند کار فایروال لایه شبکه را انجام دهد. اما IPS، فیلتر وب و کنترل برنامه ها را آن طور که فایروال های UTM دارند ندارد؛ اگر به این ها نیاز دارید، فایروال اختصاصی پیشنهاد می کنیم.
جست وجوهای مرتبط
- کانفیگ فایروال فورتی گیت
- راه اندازی فایروال سوفوس
- خدمات پشتیبانی فایروال
- نصب و راه اندازی فایروال
- کانفیگ فایروال میکروتیک
- نصب فایروال روی سرور
- خدمات امنیت شبکه های کامپیوتری
مقاله های مرتبط
-
امنیت سرور و سایت فایروال چیست؟ انواع فایروال، قواعد و تفاوت فایروال سخت افزاری و نرم افزاری
فایروال ترافیک شبکه را بر اساس قاعده ها اجازه یا رد می کند. انواع آن از packet filter تا NGFW و WAF، فرق فایروال سخت افزاری و نرم افزاری، ترتیب قواعد، یک نمونه کانفیگ و اشتباه هایی که فایروال را بی اثر می کنند. -
امنیت سرور و سایت بکاپ گیری از سرور: قانون 3-2-1، انواع بکاپ و تست بازیابی
بکاپی که بازیابی نشده باشد، فقط یک فرض است. قانون 3-2-1، تفاوت بکاپ کامل و افزایشی و تفاضلی، RPO و RTO، دستورهای بکاپ دیتابیس و فایل در لینوکس، و برنامه ای برای تست بازیابی. -
امنیت سرور و سایت Hardening چیست؟ راهنمای هاردنینگ سرور لینوکس و ویندوز با چک لیست
هر سرویس یا پورتی که سرور برای کار شما لازم ندارد یک راه ورود اضافه است و هاردنینگ یعنی بستن همین راه ها. مطلب از مفهوم CIS شروع می شود و به دستورهای عملی و چک لیست لینوکس و ویندوز می رسد. -
امنیت سرور و سایت باج افزار چیست؟ نحوه حمله، نمونه های معروف و راه های پیشگیری
باج افزار فایل های شما را رمز می کند و برای بازگرداندنشان پول می خواهد. اینجا می خوانید این حمله معمولا از کجا شروع می شود، در ساعت های اول چه کارهایی نکنید و چطور جلویش را بگیرید.
خدمات مرتبط
استعلام
کارتان را بگویید، مسیر و هزینه را می گوییم
چند خط درباره وضعیت فعلی و چیزی که می خواهید بنویسید. یک مهندس خودش با شما تماس می گیرد و درخواست به واحد فروش نمی رود.
- 01درخواست را می خوانیم و اگر ابهامی بود تماس می گیریم.
- 02در صورت نیاز، بررسی اولیه ریموت یا بازدید انجام می شود.
- 03پیشنهاد مکتوب با دامنه کار، زمان بندی و هزینه می فرستیم.