Co dělá směrovač od poskytovatele
Většina menších a středních firem má na hranici své sítě zařízení, které dodal internetový poskytovatel spolu s připojením. Toto zařízení odvádí dobrou práci v tom, na co bylo navržené: směruje provoz mezi vnitřní sítí a internetem, provádí překlad adres a umí nastavit přesměrování portů, když firma potřebuje zvenčí dosáhnout na kameru nebo vzdálenou plochu serveru.
Základní ochrana v něm je - zvenčí neprojde spojení, které si nikdo uvnitř sítě nevyžádal. Jenže tím jeho role zpravidla končí. Neumí se podívat dovnitř provozu, který firma sama pustí ven nebo dovnitř, nerozezná škodlivý obsah v povoleném spojení a nedává správci žádný smysluplný přehled o tom, co se v síti odehrává.
Co reálně hrozí menší a střední firmě
Není třeba strašit cílenými útoky státních aktérů - naprostá většina problémů, se kterými se menší firmy potkávají, je automatizovaná a nevybíravá. Jde hlavně o toto:
- Automatizované prohledávání internetu, které hledá otevřené vzdálené přístupy (RDP, správu na dálku) nebo zastaralý software se známou chybou.
- Podvodné e-maily, které se snaží vylákat přihlašovací údaje nebo přimět zaměstnance ke spuštění přílohy.
- Útoky, které po proniknutí do sítě zašifrují firemní data a požadují výkupné za jejich obnovení - i menší firma tím dokáže přijít o provoz na několik dní.
- Únik dat přes zapomenutý testovací systém nebo nezabezpečený vzdálený přístup vystavený přímo do internetu.
Žádná z těchto věcí nevyžaduje, aby si firmu někdo osobně vybral. Stačí, že je vidět na internetu a má někde slabé místo. Firmy s deseti nebo padesáti zaměstnanci si často myslí, že jsou pro útočníka málo zajímavé - z pohledu automatizovaného skenu ale velikost firmy nehraje roli, hraje roli jen to, jestli je vidět otevřená příležitost.
Proč to firmy dlouho přehlížejí
Typický důvod, proč firma zůstává jen u směrovače od poskytovatele, není lenost ani neznalost - je to prostě fakt, že síť dlouho fungovala bez viditelného problému. Přístup zvenčí funguje, e-maily chodí, tiskárna je vidět na dálku. Riziko se přitom neprojevuje jako pomalu rostoucí graf, ale jako jednorázová událost, která přijde bez varování. Mezitím se ale mění i to, co firma na internetu vystavuje - přibývají vzdálené přístupy, aplikace provozované mimo firemní síť, pobočky a dodavatelé s přístupem do sítě. Směrovač od poskytovatele zůstává stejný, zatímco plocha, kterou je potřeba hlídat, roste.
Co umí firewall navíc
Firewall pracuje s provozem jinak než jednoduchý směrovač. Místo aby jen povolil nebo zakázal spojení podle adresy a portu, dívá se i na to, co se uvnitř spojení skutečně děje - to je základ prevence průniku (IPS), o které píšeme v samostatném článku o funkcích UTM.
- Segmentace sítě. Kanceláře, výroba, hostující síť nebo servery mohou být oddělené - problém v jedné části se pak automaticky nešíří do celé firmy.
- Bezpečný vzdálený přístup. Šifrovaná VPN nahrazuje riskantní praxi otevřeného portu přímo na plochu počítače.
- Viditelnost provozu. Firewall vede záznamy o tom, kdo se kam připojuje a co je v provozu neobvyklé - správce tak může reagovat dřív, než dojde ke škodě.
Kdy dává smysl přechod
Nejjednodušší způsob, jak si to ověřit, je nechat si síť podívat zvenčí - jaké porty a služby jsou vidět z internetu, jaký provoz prochází bez kontroly a kde firma spoléhá jen na zařízení poskytovatele. Takový vstupní audit nemusí trvat dlouho a dá se z něj poznat, jestli je současný stav ještě v pořádku, nebo jestli už firma běží na hraně.
Teprve na základě toho má smysl řešit, jaký model firewallu a jaké konkrétní funkce dávají pro daný provoz smysl - tomu se věnujeme v článku o licencích FortiGate. Přechod přitom nemusí znamenat velkou jednorázovou investici: hardware jde i pronajmout v měsíčním poplatku, takže firma neplatí za zařízení, které by jinak muselo koupit najednou.