Firewall i praksis: definition og formål

En firewall er en sikkerhedskomponent, der kontrollerer netværkstrafik mellem to miljøer—typisk mellem et privat netværk og internettet eller mellem segmenter i et netværk. Formålet er at håndhæve regler for, hvilken trafik der må passere, og dermed reducere angrebsfladen.

I den praktiske hverdag handler det ofte om at definere hvad der må kommunikere (fx bestemte porte eller tjenester), med hvem (fx bestemte adresser eller net), og under hvilke betingelser (fx kun bestemte retninger som ind/ud, eller kun bestemte protokoller).

Hvordan en firewall arbejder: regler, beslutninger og trafik

Firewalls træffer beslutninger ved at sammenligne observeret trafik med et regelsæt. Afhængigt af opsætning kan regler basere sig på blandt andet:

  • IP-adresser (kilde og destination)
  • Portnumre (fx webtrafik mod 80/443)
  • Protokoltype (fx TCP eller UDP)
  • Retning (indgående vs. udgående)
  • Eventuelle yderligere oplysninger, som firewalltypen kan udlede

Når en pakke eller forbindelse forsøges, afgør firewallen typisk om trafikken skal tillades eller blokeres. Det kan også logges, så du kan følge med i, hvad der faktisk sker. En vigtig pointe er, at en firewall ikke “ser alt” i alle henseender: dens beslutningsevne afhænger af, hvor dybt i netværks- og applikationslag den kan kontrollere trafik.

Typer og niveauer: forskelle du skal forstå

Der findes flere almindelige måder at klassificere firewalls på, især efter hvor dybt de inspicerer trafik. To nyttige skel er:

1) Filtrering på netværks-/pakkebasis (fx packet filtering) Her træffes beslutninger ud fra oplysninger som IP, port og protokol. Fordelen er ofte enkelhed og hurtig håndtering. Ulempen er, at du ikke nødvendigvis kan vurdere indholdet af en applikation, hvis “det rigtige” udadtil tillades.

2) Filtrering på applikations-/protokolniveau (fx stateful inspeksion eller proxy-lignende kontrol) Her kan firewallen følge tilstand i forbindelser og i nogle tilfælde kontrollere mere kontekst. Det kan give bedre kontrol for bestemte tjenester, men kræver typisk mere korrekt konfiguration og kan påvirke kompatibilitet med bestemte protokoller eller anvendelser.

Vigtigt for afgrænsning: En firewall er ikke det samme som antivirus, endepunktsbeskyttelse eller regelmæssig sårbarhedsopdatering. Den er primært en trafik-kontrolmekanisme. Hvis en tjen allerede er inde og accepterer uønsket aktivitet på et niveau, hvor firewallen ikke har tilstrækkelig indsigt, kan beskyttelsen være begrænset.

Begrænsninger og undtagelser: hvad en firewall ikke kan løse alene

Selv når reglerne er “rigtige”, kan en firewall have begrænsninger. Typiske forhold, du bør have med i vurderingen:

  • Reglernes kvalitet: For brede “tillad alt”-regler reducerer sikkerhedseffekten. For snævre regler kan blokere legitim drift og føre til hurtige workaround-løsninger.
  • Ændringer over tid: Nye tjenester, opdateringer og ændret netværksadfærd kan gøre et tidligere regelsæt forældet.
  • Trafik uden for forventet mønster: Hvis en applikation bruger porte/protokoller på en måde, som ikke matcher reglerne, kan både blokeringer og utilsigtede åbninger forekomme.
  • Mangler i synlighed: Hvis logning ikke er aktiveret eller ikke gennemgås, bliver det svært at opdage mønstre, fejlkonfigurationer eller gentagne forsøg.

Stabilt kontrolpunkt: Firewallens rolle er at kontrollere tillad/bloker-trafik. Den kan ikke i sig selv fjerne sårbarheder i en tjen, hvis tjenesten er eksponeret og sårbar på et lag, hvor firewallens kontrol ikke rammer.

Sådan kan du kontrollere om din firewall giver den effekt, du tror

Du kan bruge en praktisk kontrolramme, uden at det bliver til produktafhængige valg. Tjek fx:

  1. Hvilke regler gælder, og hvorfor? Notér formålet: Hvad skal fungere, og hvilke begrænsninger er bevidst valgt?

  2. Omfanget af tilladelser: Undersøg om der findes regler, der tillader bred adgang (fx til flere tjenester end nødvendigt). Hvis “hvorfor” ikke kan forklares, er det ofte et tegn på risiko.

  3. Retningskontrol: Er udgående trafik begrænset til det, der faktisk bruges? Indgående regler er ofte det, man starter med, men udgående kan også være relevant.

  4. Logning og opfølgning: Er blokeret trafik logget i et omfang, der gør det muligt at lære af hændelser? Hvis logdata ikke kan omsættes til handling, mister du et vigtigt feedback-loop.

  5. Afstemning mod faktisk drift: Matcher firewallreglerne den måde systemerne i praksis kommunikerer på? Ændringer i applikationer eller konfigurationer kan gøre reglerne mindre præcise.

Hvis du arbejder med et netværk, hvor flere miljøer skal tale sammen, kan det også være nyttigt at beskrive grænsen: Hvad skal være “intra” (internt) og hvad skal være “ekstra” (eksternt). Det hjælper med at se, om firewallen håndhæver den ønskede afgrænsning.

Hvad der kan ændre svaret: afhængigheder du bør afklare

Det mest afgørende for “hvor god” en firewall er, er ikke kun typen, men også dens konfiguration og formålet med netværket. Følgende kan ændre, hvordan du bør forstå firewallens rolle:

  • Hvilke tjenester der skal være tilgængelige, og for hvem
  • Hvilke typer trafik der forventes, og hvilke der bør undgås
  • Hvor dybt der inspiceres (hvilket lag der kontrolleres)
  • Om der findes tilstandsinformation, og hvordan sessioner håndteres
  • Om der er logning og en proces til at gennemgå hændelser

Hvis du fx søger en firewall primært for at begrænse adgang til bestemte services, kan fokus ligge på port- og regelpræcision. Hvis du søger at håndtere mere komplekse protokolmønstre, kan fokus i højere grad ligge på dyb trafikinspektion og korrekt statehåndtering. Hvilken retning der giver mest værdi, afhænger af dit konkrete miljø—ikke af generiske antagelser.