חומת אש בלי ניטור ועדכונים נותנת ביטחון כוזב

בקצרה: חומת אש מנוהלת היא חומת אש שמישהו אחראי עליה לאורך זמן: מעדכן את התוכנה, בודק את הכללים, קורא את ההתראות ומגיב להן. העמדה שלנו: חומת אש שהותקנה ונשכחה מגינה פחות ממה שבעל העסק חושב, ולכן מסוכנת יותר, כי היא יוצרת תחושת ביטחון שאין לה כיסוי. הקופסה חשובה, אבל מה שמגן על העסק הוא הניהול.

"יש לנו פיירוול" הוא משפט ששומעים לעיתים קרובות בפגישה הראשונה עם עסק. אבל כששואלים מתי היא עודכנה לאחרונה, מי מקבל את ההתראות שלה ומתי מישהו עבר על הכללים, לא פעם אין תשובה ברורה. חומת האש הותקנה, הוגדרה ביום ההתקנה, ומאז היא דולקת בארון. היא קיימת, אבל אף אחד לא באמת מפעיל אותה.

מה זו חומת אש ומה זו חומת אש מנוהלת

חומת אש (Firewall) היא רכיב שיושב בין הרשת של העסק לאינטרנט ובין הרשתות הפנימיות, ומחליט איזו תעבורה מותרת ואיזו נחסמת, לפי כללים. בחומות אש מודרניות יש גם יכולות נוספות כמו זיהוי ומניעת חדירות (IPS), סינון אתרים, וחיבור מרחוק מאובטח (VPN). על בחירת הציוד כתבנו במדריך חומת אש לעסק.

חומת אש מנוהלת היא אותו רכיב, יחד עם אחריות מתמשכת: עדכוני תוכנה וחתימות, ניטור התראות ויומנים, בדיקה תקופתית של הכללים, גיבוי של ההגדרות ותגובה כשמשהו חריג קורה. ההבדל ביניהן אינו בציוד אלא במה שקורה אחרי ההתקנה.

העמדה שלנו: חומת אש היא תהליך, לא מוצר

אנחנו לא אומרים שחומת אש לא נחוצה. היא נחוצה מאוד. אנחנו אומרים שחומת אש בלי ניהול שוחקת את עצמה עם הזמן, משלוש סיבות עיקריות.

1. איומים משתנים, הקופסה לא

יצרני חומות האש מפרסמים עדכוני תוכנה שסוגרים פרצות שהתגלו, ועדכונים לחתימות של מערכות הזיהוי. חומת אש שלא מתעדכנת מגינה מפני האיומים שהיו מוכרים ביום ההתקנה, לא מפני אלה של היום. יותר מזה: לעיתים הפרצה נמצאת בחומת האש עצמה, ואז הרכיב שאמור להגן הופך לנקודת הכניסה.

2. כללים נצברים ולא נמחקים

במהלך השנים פותחים פורט לטכנאי של תוכנה מסוימת, מאפשרים גישה מרחוק לספק, מגדירים חריגה זמנית לבדיקה. אף אחד לא סוגר אותם אחר כך. אחרי כמה שנים, הכללים בחומת האש כבר לא משקפים את מה שהעסק צריך, אלא את כל מה שמישהו ביקש אי פעם. כל כלל פתוח שאין לו בעלים הוא פתח שאף אחד לא שומר עליו.

3. התראה שאף אחד לא קורא היא לא התראה

חומת אש טובה רושמת ומתריעה: ניסיונות התחברות חוזרים, תעבורה חריגה ממחשב פנימי, חיבור VPN משעה לא הגיונית. אם ההתראות האלה הולכות לתיבת דואר שאף אחד לא פותח, או לא מוגדרות בכלל, העסק מגלה שהיה אירוע רק כשהנזק כבר ניכר.

הטענה הנגדית: "קנינו ציוד טוב, הוא מסתדר לבד"

זו טענה מובנת, וחלק ממנה נכון: לחלק מהציוד יש היום עדכונים אוטומטיים, וחומת אש איכותית עם הגדרות טובות היא בסיס חזק. אבל עדכון אוטומטי פותר רק חלק מהבעיה. מישהו עדיין צריך לוודא שהעדכון הצליח ולא שבר שירות, לעבור על הכללים, לקרוא את ההתראות ולהחליט מה לעשות איתן. ציוד טוב מקטין את העבודה, הוא לא מבטל אותה.

טענה נוספת היא ש"ניהול עולה כסף, והציוד כבר שולם". השאלה הנכונה היא מה שווה הציוד בלי הניהול. חומת אש שהעסק סומך עליה אבל אף אחד לא מתחזק דומה לאזעקה שאף אחד לא מחובר אליה: היא נראית כמו הגנה, ובזמן אמת אין מי שיגיב.

מה צריך לכלול ניהול נכון של חומת אש

הנקודה האחרונה חשובה במיוחד. חומת אש שמגינה רק בגבול שבין העסק לאינטרנט משאירה את הרשת הפנימית פתוחה. עם הפרדה ל-VLAN, היא שולטת גם במה שקורה בפנים, כך שמכשיר שנפרץ לא יכול להגיע לכל השאר. הרחבנו על כך במאמר הפרדת רשתות בעסק.

איך יודעים שחומת האש שלכם לא מנוהלת

• אף אחד לא יודע מתי היא עודכנה לאחרונה.
• אין מי שמקבל את ההתראות שלה, או שהן לא הוגדרו.
• יש כללים פתוחים שאף אחד לא יודע למה הם קיימים.
• הגישה לממשק הניהול היא בסיסמה שכמה אנשים מכירים.
• אין גיבוי של ההגדרות.

שימו לב שאף אחת מהנקודות האלה לא קשורה לאיכות הציוד. גם חומת האש הטובה ביותר בשוק תיכנס לרשימה הזו אם אף אחד לא אחראי עליה.

אם זיהיתם את העסק שלכם בשתיים מהנקודות האלה או יותר, חומת האש שלכם פועלת, אבל אף אחד לא מנהל אותה.

ההמלצה של דרנט

התייחסו לחומת האש כמו לכל מערכת קריטית אחרת בעסק: היא צריכה בעלים, לוח זמנים לבדיקות ותוכנית תגובה. בדרנט אנחנו מתקינים חומות אש ומחברים אותן לתוכניות תחזוקה ו-SLA לעסקים, שבהן העדכונים, הבדיקות והניטור הם חלק מהשירות ולא משהו שנזכרים בו אחרי אירוע. כדי להבין מה כדאי לכלול בהסכם כזה, קראו את המאמר על SLA בשירותי אבטחה ורשתות. בתקלה דחופה אנחנו מגיעים תוך שעתיים, ודרנט היא משווק מורשה של Ubiquiti, עם אחריות ושירות למוצרים שאנחנו מוכרים. רוצים שנבדוק את חומת האש הקיימת? צוות טכנאי הרשתות לעסקים שלנו מגיע לסיור טכני ללא עלות ושולח הצעת מחיר מפורטת ושקופה תוך 24 שעות, בלי הפתעות. דברו איתנו.

שאלות נפוצות על חומת אש מנוהלת לעסק

האם אפשר לנהל חומת אש קיימת או שצריך לקנות חדשה?

ברוב המקרים אפשר להתחיל מהקיים. בודקים שהציוד עדיין מקבל עדכונים מהיצרן ושהוא מתאים לגודל הרשת. רק אם הוא כבר לא נתמך או לא עומד בעומס, ממליצים להחליף.

האם עדכון אוטומטי מספיק?

הוא עוזר, אבל לא מספיק. מישהו עדיין צריך לוודא שהעדכון הצליח, לעבור על הכללים, לקרוא התראות ולהגיב להן.

מה ההבדל בין חומת אש לאנטי וירוס?

אנטי וירוס מגן על המחשב שהוא מותקן בו. חומת אש שולטת בתעבורה בין הרשת לאינטרנט ובין הרשתות הפנימיות. עסק צריך את שתיהן, ושתיהן צריכות להיות מעודכנות.