Hovedidéen bag hostbaserede firewalls

En hostbaseret firewall er en sikkerhedsfunktion, der kører på en bestemt enhed (en “host”) og overvåger eller filtrerer netværksforbindelser ind og ud. Formålet er at reducere angrebsfladen ved kun at tillade den trafik, du specifikt har tænkt dig, mens resten stoppes eller begrænses.

Sådan fungerer en hostbaseret firewall i praksis

I en typisk opsætning arbejder hostens firewall sammen med operativsystemet. Når et program på enheden forsøger at oprette en forbindelse, eller når data kommer ind til en tjeneste på enheden, vurderer firewallen forbindelsen efter regler.

Regler kan i mange tilfælde være baseret på:

  • hvilken port og protokol der bruges (fx TCP/UDP)
  • om forbindelsen er indgående eller udgående
  • hvilken tjeneste eller proces der forsøger at sende eller modtage
  • eventuelt hvilken netværksprofil eller adresse der forbindes til

Det centrale er, at vurderingen sker på værten. Derfor kan to enheder med samme netværk have forskellige sikkerhedsniveauer, fordi deres firewallregler er forskellige.

Hvad den beskytter, og hvad den ikke gør

En hostbaseret firewall beskytter først og fremmest mod uønsket kommunikation, der rammer den konkrete enhed. Den kan være med til at forhindre uautoriseret adgang til tjenester, begrænse skadelig kommunikation og reducere muligheden for lateral bevægelse i et miljø.

Der er dog vigtige begrænsninger:

  • Den kan kun filtrere trafik, som den faktisk ser og kan kontrollere på værten.
  • Hvis en tjeneste er konfigureret til at acceptere trafik, kan firewallen have sværere ved at stoppe, hvad der er “legitimt” ifølge reglerne.
  • Hvis en fejl eller sårbarhed findes i en tilladt tjeneste, kan en korrekt firewallregel stadig ikke nødvendigvis fjerne problemet.

Med andre ord: en hostbaseret firewall er et kontrolpunkt, ikke en komplet løsning alene.

Forskelle og grænser: hostbaseret vs. andre lag

Hostbaserede firewalls adskiller sig fra andre typer firewalls ved, at fokus er den enkelte enheds trafik. Andre beskyttelseslag kan dække netværket bredere, fx ved at filtrere trafik på et centralt sted eller ved at arbejde som netværksbeskyttelse før trafikken når frem til værten.

Det praktiske skel er:

  • Hostbaseret: filtrerer ved kilden og/eller modtageren (på værten)
  • Netværksbaseret eller central filtrering: filtrerer mellem netværk eller ved et mere overordnet punkt

Derfor giver det ofte mening at tænke i flere lag, hvor hostens firewall især hjælper med at sikre, hvad en enhed faktisk får lov til at kommunikere med.

Hvordan du kan kontrollere, om den giver mening for din situation

Du kan vurdere om en hostbaseret firewall er anvendelig ved at tjekke om der findes klare regler og om de afspejler dit behov. Overvej fx:

  • Hvilke tjenester kører på enheden, og hvilke porte skal være åbne?
  • Hvilken standardadfærd bruges (ofte “tillad kun det nødvendige” som princip)?
  • Om udgående forbindelser er for vidt åbne til formål, du ikke har brug for
  • Om regler er ændret i takt med softwareopdateringer og nye tjenester

Hvis du ikke kan forklare, hvorfor en specifik port eller proces må kommunikere, er det et signal om, at reglerne bør gennemgås. Formålet er at gøre adgangen så snæver som muligt uden at ødelægge de funktioner, du faktisk har brug for.

Usikkerheder og vigtige forbehold

Definitioner og muligheder kan variere mellem operativsystemer og implementeringer. Derfor kan detaljer som præcis, hvor granular firewallreglerne kan være (fx pr. proces), eller hvordan logning håndteres, afhænge af den konkrete platform. Det er derfor klogt at bruge dokumentationen for din enhed og din firewalltype som facit, når du skal vurdere funktionaliteten.