Existe uma diretriz geral para configurar as políticas de Firewall para o Small Business?

Question

Eu entendo que cada Negócio tem suas próprias necessidades e situação, mas estou procurando uma diretriz geral para serviços e portas comumente bloqueados e outras políticas que devem ser procuradas ao configurar o firewall. Por exemplo, eu deveria bloquear tudo que entra (WAN - > LAN) com exceção do que sei ser seguro? Existem portas específicas para se preocupar internamente (LAN, WLAN, VPN)? Devo permitir todo o acesso a recursos de VPN para LAN?

Eu entendo que há muitas perguntas aqui, mas o que estou procurando é uma diretriz geral para configurar firewall / segurança para pequenas empresas.

    

Answer 1

Isso é muito amplo, mas vou dar uma chance. Tudo se resume em saber quem está fazendo o quê e verificar se ainda precisa dele

• inicie uma planilha por tudo o que você faz. acompanhar quais portas, quando abertas, quem pediu e por quê.

• bloqueia TUDO entrada por padrão. Qualquer serviço que precise entrar deve ser aprovado e você precisa estar ciente disso. Você já deve saber sobre o correio de entrada, a Web, etc. Abra portas para destinos específicos para elas, adicione-as à planilha. Em outras palavras, abra a porta 80 em seu servidor da Web, não em qualquer outro host da rede (até você saber por que)

• bloqueia tudo de saída. Abra portas para serviços específicos (80, 443, DNS, NTP) conforme você aprende / é questionado sobre elas. Abra portas de forma tão restritiva quanto possível para o caso de negócios. Se o serviço de e-mail precisar da porta de saída 25, abra-o, mas não para cada área de trabalho.

• uma vez por ano, verifique a planilha e verifique com o solicitante se ainda é necessário

Draconiano, talvez, mas se você o mantiver bem desde o início, terá uma chance maior de saber o que está acontecendo. Tenha em mente que esta é uma empresa, não sua rede doméstica, por isso, é aceitável que os funcionários tenham algumas restrições. O lado negativo de uma pausa pode ser muito mais sério.

    

Answer 2

Como eu trabalho para uma pequena empresa, vou simplesmente dizer o que eu fiz.

Toda a entrada começa como bloqueada e as portas são abertas apenas quando necessário. No meu caso, isso inclui a abertura seletiva de portas para suporte externo quando necessário e o fechamento novamente quando elas forem concluídas. Há tarefas agendadas configuradas no firewall para fechar essas portas em um determinado momento, caso eu não as tenha fechado manualmente por algum motivo.

Quase toda a saída é permitida em nossa rede, com apenas algumas exceções. por exemplo. A porta 25 (SMTP) está aberta apenas para as máquinas que têm permissão para enviar emails diretamente, como o servidor Exchange e o sistema de monitoramento. O último deve não pode rotear através do servidor do Exchange, porque ele pode estar tentando me dizer que o Exchange está inativo.

Isso difere marcadamente da prática mais comum em organizações maiores, em que as partidas de saída são bloqueadas e o acesso é aberto apenas conforme necessário. Uma das razões para a diferença é devido ao equipamento que está sendo usado. Nosso firewall, por exemplo, não tem como conceder ou negar a saída com base no ID do usuário, portanto, seria muito mais difícil implementar esses recursos.

    

Answer 3

Como regra geral, eu:

1. Bloqueie todas as conexões de entrada por padrão (mais a saída, lembrei-me disso por uSlackr).

2. Execute programas de firewall nos próprios servidores e clientes internos e também coloque um firewall de perímetro em hardware dedicado (que também pode ser seu servidor VPN). O firewall de perímetro não ajuda em nada no tráfego somente interno, mas reduzirá bastante a quantidade de martelos que seus sistemas internos obtêm do mundo externo.

3. Permitir conexões específicas de entrada (e saída) para portas / IPs que devem oferecer (ou usar) serviços. Isso pode fazer com que muitas portas sejam permitidas no firewall de perímetro, mas um sistema como Shorewall pode facilitar as coisas, permitindo que você defina um conjunto de portas como "tráfego da Web", por exemplo. Se os clientes / servidores internos forem Windows ou OS X, as GUIs do firewall incorporadas tendem a facilitar a digitação de "permitir tráfego para compartilhamento de arquivos e impressoras".

4. Se estamos falando de um sistema VPN como o OpenVPN , eu o usaria apenas para casos específicos que não fariam através do firewall de perímetro e são críticos para os seus usuários remotos. O OpenVPN permite definir um diretório de configuração do cliente, no qual você pode colocar regras específicas para usuários específicos . Por exemplo, minha regra permite que eu conecte-me à minha impressora de escritório externamente, mas não a abro para o restante dos usuários de VPN.

Answer 4

A orientação geral para a maioria das pessoas é: Somente permita o que você precisa, bloqueie todo o resto.

Esse é um guia de alto nível e é especialmente aplicável para conexões de entrada.

O bloqueio de conexões de saída é onde as coisas ficam interessantes. A interpretação mais estrita diz que você deve fazer o mesmo para a saída também; portas 80 e 443 para todos, DNS, se necessário. Em um contexto de empresa de pequeno porte, isso provavelmente não será politicamente aceitável, já que é provável que você conheça todos na empresa e, implicitamente, confie neles para não serem maus. Se fizer isso, você adicionará portas à esquerda e à esquerda por semanas / meses, conforme os usuários identificam as coisas de que precisam.