Firewall - niezbędny przeżytek?
-
- Tomek Janoś,
- 18.09.2012, godz. 08:45
Kilka lat temu grupa niezależnych ekspertów ds. bezpieczeństwa zrzeszona w Jericho Forum zgłosiła swoje wątpliwości co do skuteczności firewalli jako ochrony granicy sieci w nowych warunkach internetowego biznesu. Koncepcja zwana De-Perimeterization zakładała, że dotychczasowy model nie spełnia swojej roli i powinien zostać zastąpiony przez elementy ochrony wewnętrznej, jako alternatywy zabezpieczeń na brzegu sieci. Wywołała ona pewien ferment, ale że toczyła się na poziomie "akademickim", więc za bardzo nie przebiła się do masowej świadomości.
Kiedy jednak autor popularnego bloga wystąpił niedawno z tezą, że firewall to przeżytek, to dyskusji w komentarzach pod tekstem na pewno nie można było nazwać "akademicką", a w grę wchodziły duże emocje.
Roger A. Grimes wiele lat zajmuje się zawodowo bezpieczeństwem. W swojej karierze doradzał wielu firmom z Fortune 100 m.in. takim jak Microsoft, McAfee, Verisign czy IBM. Pisze o sobie, że zarządza firewallami już przez 25 lat. Posiada ponad 40 certyfikatów bezpieczeństwa informatycznego. Jak to się więc stało, że znaleźli się tacy, którzy mają go za nieuka?
Polecamy Firewall - nieuświadomione zagrożenia
Wszystko za sprawą artykułu "Why you don't need a firewall", który zamieścił na swoim blogu w serwisie "Infoworld.com". Grimes stwierdza w nim wprost, że nie potrzebujemy dziś zapór, bo po prostu nic nam nie dają. "Jednym z głównych powodów, że firewall nie ma dziś znaczenia, jest sposób, w jaki każda obecnie tworzona aplikacja czy usługa działa na porcie 80 lub 443 - czyli tych, których nie możemy i nigdy nie mogliśmy blokować. [...] Pieniądze przez wiele lat płynęły tymi z góry otwartymi portami do sprytnych komputerowych przestępców. [...] Prawdziwym testem tego, czy firewall ma jakąkolwiek wartość, może być zbadanie, czy komputery z zaporami są rzadziej ofiarami ataków niż te bez firewalli. Dawniej była to prawda, od jakiegoś czasu już nie."
Artykuł wywołał burzę komentarzy. Pomijając te po prostu obraźliwe dla Grimesa, oskarżające go o niekompetencje, znajdujemy w nich jeden powtarzający się argument: z faktu, że przestępcy porzucili drogi ataku blokowane przez firewall - takie jak NetBIOS (UDP 137, 138, 139), SMB (TCP 445), RDP (TCP 3389) i inne poza 80/443 - nie powinno się wyciągać wniosku, że należy znów je im udostępnić.
Polecamy Nieaktywne firewalle, słabe hasła - 97% cyberataków w 2011 r. można było uniknąć
Liczba i temperatura komentarzy pod pierwszym artykułem zmusiła Grimesa do napisania drugiego tekstu na ten sam temat. Ale nic z tego - autor wcale nie odwołał, ani nawet nie złagodził swojej tezy. Napisał nawet, że zna wiele dużych firm, które nie używają firewalli (zwykle z powodów wydajnościowych) i nie widzą w nich żadnej wartości. W ciągu ostatnich dwóch lat, jeśli dochodziło w nich do ataku, to nigdy nie miało to związku z ustawieniami firewalla.
O tym, że coś jest na rzeczy w tezie Grimesa świadczy fakt, że obecnie producenci promują zapory nowej generacji (Next Generation Firewalls - ich test zamieścimy w następnym numerze "Networlda"). NGF daleko wykraczają poza definicję działania tradycyjnego firewalla.
Jeśli zaś chodzi o tradycyjne firewalle, to jednak nie można też odmówić racji komentującym blog Rogera A. Grimesa. Przecież dla dobrego włamywacza zamek w drzwiach nie stanowi żadnej przeszkody, a nikomu nie przychodzi do głowy pozbycie się kluczy do domu.
