Podstawową metodą zabezpieczenia sieci komputerowej przed atakiem z zewnątrz jest stosowanie
A. serwera Proxy
B. zapory sieciowej
C. programu antywirusowego
D. blokady portu 80
Pytanie z egzaminu CKE, wrzesień 2015 (arkusz E.13-X-15.08).
Podstawową metodą ochrony sieci przed atakiem z zewnątrz jest zapora sieciowa, czyli firewall. Jej zadanie polega na kontrolowaniu ruchu między siecią lokalną a Internetem według ustalonych reguł bezpieczeństwa. W praktyce zapora może blokować nieautoryzowane połączenia przychodzące, ograniczać dostęp do usług administracyjnych, filtrować ruch po adresach IP, portach i protokołach, a w nowszych rozwiązaniach także analizować aplikacje oraz wykrywać podejrzane zachowania. Moim zdaniem to jest taki pierwszy konkretny mur obronny, bez którego sieć firmowa jest po prostu wystawiona na świat. Dobra praktyka branżowa mówi, żeby stosować zasadę najmniejszych uprawnień i domyślnie blokować to, co nie jest potrzebne, czyli podejście default deny. Przykładowo: serwer WWW w strefie DMZ może mieć otwarty port 80 i 443, ale panel administracyjny routera już nie powinien być dostępny z Internetu. Zapora powinna też prowadzić logi, mieć aktualne reguły i być regularnie sprawdzana. W większych sieciach stosuje się firewalle sprzętowe, UTM albo NGFW, które łączą filtrowanie pakietów, NAT, VPN, IDS/IPS i kontrolę aplikacji. To jest zgodne z dobrymi praktykami bezpieczeństwa sieciowego i typową architekturą ochrony brzegu sieci.
W tym pytaniu łatwo pomylić różne mechanizmy ochrony, bo każdy z nich w pewnym sensie poprawia bezpieczeństwo, ale nie każdy jest podstawową metodą obrony sieci przed atakiem z Internetu. Serwer proxy pośredniczy w komunikacji, często przy dostępie do stron WWW. Może filtrować treści, buforować dane, ukrywać część informacji o klientach albo wymuszać politykę dostępu użytkowników. To przydatne narzędzie, szczególnie w szkołach i firmach, ale samo w sobie nie zastępuje zapory sieciowej na granicy sieci. Proxy zwykle obsługuje wybrane usługi, a nie cały ruch przychodzący i wychodzący.
Blokada portu 80 też nie jest pełnym zabezpieczeniem. Port 80 dotyczy głównie HTTP, czyli nieszyfrowanego ruchu WWW. Atak może przyjść przez port 22, 25, 3389, 445, 443 albo przez zupełnie inną usługę, jeśli jest źle wystawiona do Internetu. Z mojego doświadczenia uczniowie czasem myślą, że zamknięcie jednego znanego portu załatwia temat, a to jest tylko pojedyncza reguła, nie kompletna polityka bezpieczeństwa. Do tego dziś wiele usług działa po HTTPS na porcie 443, więc blokowanie samego 80 bywa mało skuteczne.
Program antywirusowy chroni głównie hosty, czyli komputery i serwery, przed złośliwym oprogramowaniem. Jest ważny, ale działa na innym poziomie niż firewall. Antywirus może wykryć malware po pobraniu pliku lub uruchomieniu procesu, natomiast nie zarządza całą komunikacją sieciową na brzegu infrastruktury. Poprawne podejście to obrona warstwowa: firewall, aktualizacje, segmentacja sieci, silne hasła, kopie zapasowe, monitoring i antywirus. Jednak gdy pytanie mówi o podstawowej ochronie sieci przed atakiem z zewnątrz, najlepszą odpowiedzią jest zapora sieciowa.
Blokada portu 80 też nie jest pełnym zabezpieczeniem. Port 80 dotyczy głównie HTTP, czyli nieszyfrowanego ruchu WWW. Atak może przyjść przez port 22, 25, 3389, 445, 443 albo przez zupełnie inną usługę, jeśli jest źle wystawiona do Internetu. Z mojego doświadczenia uczniowie czasem myślą, że zamknięcie jednego znanego portu załatwia temat, a to jest tylko pojedyncza reguła, nie kompletna polityka bezpieczeństwa. Do tego dziś wiele usług działa po HTTPS na porcie 443, więc blokowanie samego 80 bywa mało skuteczne.
Program antywirusowy chroni głównie hosty, czyli komputery i serwery, przed złośliwym oprogramowaniem. Jest ważny, ale działa na innym poziomie niż firewall. Antywirus może wykryć malware po pobraniu pliku lub uruchomieniu procesu, natomiast nie zarządza całą komunikacją sieciową na brzegu infrastruktury. Poprawne podejście to obrona warstwowa: firewall, aktualizacje, segmentacja sieci, silne hasła, kopie zapasowe, monitoring i antywirus. Jednak gdy pytanie mówi o podstawowej ochronie sieci przed atakiem z zewnątrz, najlepszą odpowiedzią jest zapora sieciowa.