Pare-feu de la philosophie
J'ai toujours été enseigné/croyait qu'avec un pare-feu d'entreprise, vous bloquez tout le trafic sortant de démarrer, puis ouvrez uniquement les trous dont vous avez besoin pour un trafic spécifique. Cela a du sens pour moi de "contrôler ce que les utilisateurs envoient de notre réseau" et le "contrôle des logiciels malveillants de dégâts peuvent faire des perspectives". J'ai commencé dans le milieu des années 90, et j'ai toujours compris que cela soit la meilleure pratique.
Je gère maintenant un administrateur de pare-feu qui ne semble pas partager cette philosophie. Il s'attendait à ce que notre pare-feu autorise tout le trafic sortant. Je comprends que c'est la façon dont de nombreux pare-feu Soho * sont configurés hors de la boîte, mais je suis préoccupé par le fait qu'une administration d'entreprise pare-feu penserait de cette façon.
Suis-je une vieille femme à ce sujet, ou ma préoccupation est-elle légitime? Est-il normal de ces jours-ci pour les pare-feu d'entreprise/entreprise pour permettre à tout le trafic sortant?
* Petit bureau/bureau à domicile
Votre différence d'opinion est exactement la différence entre deux philosophies distinctes concernant le contrôle d'accès au réseau. Ces philosophies démontrent également le compromis classique entre la sécurité et la convivialité.
liste noire, similaire à votre position de votre pare-feu, est une pratique consistant à permettre à toutes mais une liste définie de modèles de trafic à travers. C'est le plus facile à faire en termes d'utilisabilité et d'administration, mais est plutôt insécurité et limite naïve. Pour réclamer la liste noire de la liste noire, est de supposer que vous connaissez toutes les menaces possibles sur votre réseau et que vous les avez tous ajoutés à votre liste de refus. Pour connaître toutes les menaces possibles, il est évidemment impossible et, voire ensuite, d'inclure de manière sélective toutes ces menaces sur une liste de refus entraînant une énorme liste d'être énormes et ingérables.
whitelisting, la philosophie que vous avez été "élevée" (pour ainsi dire) est exactement opposée. Il suppose que tout le trafic devrait être refusé, à l'exception de celle spécifiée dans votre liste d'autorisations. C'est l'option la plus sécurisée, mais peut également avoir un impact important sur la convivialité et les frais généraux de gestion. Il est basé sur le "principe le moins ..." règle de sécurité - vous n'autorisez que vos utilisateurs/ordinateurs/programmes/etc. faire ce qu'ils vraiment besoin à faire. Le côté de la situation est que vous savez Exactement Qu'est-ce que c'est que votre réseau est autorisé à faire. Bien que cela seul ne vous rendra pas à l'abri de toutes les menaces, cela vous aidera à vous protéger contre une bonne partie des inconnues. Il y aura toujours des moyens de contourner cela (par exemple, avec tunneling via des ports/protocoles autorisés), mais ce sera beaucoup plus difficile que contre une approche orientée noire. Bien entendu, le bas de cette approche est qu'il peut souvent être plus difficile de résoudre les problèmes liés aux applications en réseau tout en maintenant la règle du "principe le moins ...".
Chaque approche a ses mérites et ses faiblesses. En fin de compte, il appartient à vous (ou aux dirigeants de votre entreprise) de décider quelle approche est la plus raisonnable pour votre organisation. Une bonne approche de défense qui comprend des mesures de protection autres que le pare-feu périmètre est également essentielle pour atténuer les risques laissés ouverts par la configuration de pare-feu ou le matériel que vous choisissez.
Premièrement, les pare-feu utilisent un modèle de sécurité positif, ce qui signifie qu'elles ont connu un bien connu et tout le reste est bloqué. L'alternative est un modèle de sécurité négatif, également appelé liste noire. Les modèles de sécurité positive sont les meilleures pratiques, période.
Votre administrateur de pare-feu a-t-il une histoire comme administrateur réseau? Mon histoire est que beaucoup d'administrateurs de réseaux de réseaux sont devenus des administrateurs de pare-feu pensent de cette façon, car les administrateurs du réseau sont tout au sujet de la communication et ne sont pas très de sécurité. Beaucoup de trous de sécurité sont parce que les administrateurs du réseau ont configuré l'architecture de base de nombreuses entreprises (avant que les préoccupations de sécurité soient aussi prédominantes) et c'est quelque chose qui est très difficile à inverser.
Vous avez une préoccupation légitime et ce n'est pas la meilleure pratique pour les pare-feu d'entreprise pour permettre à tout le trafic sortant. C'est la raison numéro 1 que l'exfiltration des données aboutit.
À mon avis, en tant que professionnel de la sécurité, je souhaiterais également que le décryptage SSL et le filtrage de la couche d'application de sorte que vous ne puissiez pas ouvrir le port 443 ou 80, mais uniquement des applications spécifiques à travers ces ports. Cependant, cela est parfois une vente difficile à des organisations ciblées de non-sécurité. Faux positifs (nier le trafic légitime) se produisent, en particulier avec des applications personnalisées.