חומת האש מיישמת מדיניות, לא מחליטה מה העסק צריך
הגדרות NIST מציגות firewall כבקרה על זרימת תעבורה בין רשתות או מחשבים לפי מדיניות אבטחה. הכללים יכולים לאפשר או לחסום תקשורת בהתאם ליכולות המוצר. עצם קיום הרכיב אינו מוכיח שהמדיניות נכונה או שכל המסלולים עוברים דרכו.
לפני בדיקה רשמו מקור, יעד, שירות ומשימה עסקית. למשל, חיבור ניהולי של ספק אינו אותו צורך כמו גלישה ציבורית לאתר. ההחלטה על מי רשאי להגיע לאן צריכה להיות מתועדת, כדי שניתן יהיה להבין חריגה, לבדוק תקלה ולהסיר גישה שכבר אינה נחוצה.
Firewall, חומת אש בשרת ו-WAF פועלות בהקשרים שונים
חומת אש ברשת, כלל ענן ובקרה מקומית בשרת יכולים להשתתף בהגבלת גישה. WAF עוסקת בתעבורת יישום אינטרנט לפי יכולות ותצורה. מוצר מסוים יכול לשלב כמה יכולות, ולכן בודקים מה הופעל בפועל ולא מסתמכים על שם החבילה בלבד.
הטבלה היא מפת בירור מקורית לשיחה עם ספק. היא אינה קובעת שכל מוצר בקטגוריה בודק את אותם שדות. כדי לאמת הגנה, צריך לעקוב אחר המסלול הרלוונטי ולבדוק גם נתיב שעשוי להגיע ישירות לשרת המקור.
| שכבה או כיוון | שאלה מעשית | מה אינו נפתר מעצם קיומה |
|---|---|---|
| רשת או כלל ענן | מי יכול להגיע לשירות ברשת | הרשאות בתוך היישום |
| חומת אש בשרת | אילו חיבורים השרת מקבל או מוציא | תיקון קוד פגיע |
| WAF | אילו בקשות אתר נבדקות ובאיזה מסלול | כל תעבורה שאינה עוברת בשכבה |
| תעבורה יוצאת | לאילו יעדים מותר לתהליך לפנות | אימות והרשאה של מידע עסקי |
דוגמה: האתר פתוח לציבור, הניהול מוגבל
בתרחיש להמחשה בלבד, העסק רוצה שכל לקוח יוכל לקרוא את האתר אך רק אחראים מורשים יוכלו להתחבר לשירות ניהול השרת. אלו שני מסלולים שונים. צריך לדעת איך מגיעים לכל שירות, מהן שכבות הבקרה והאם קיימת דרך חלופית שהכללים אינם מכסים.
לפני שינוי מוודאים סמכות, גיבוי הגדרות וערוץ ניהול חלופי מתאים. בדיקת הקבלה כוללת גישה מותרת, חסימה צפויה ותפקוד אתר. כללי חסימה צריכים להתבסס על מיפוי ותוכנית מתאימים: שינוי לא מתואם עלול לנתק את האחראי ולהפריע לחיבור עסקי. ראיית הסיום מתייחסת רק למסלול ולתנאים שנבדקו.
תעבורה יוצאת והקשר ל-SSRF
הגנה אינה מסתיימת בשאלה מי נכנס לאתר. רכיב ששולח בקשות, מייבא קבצים או מעביר הודעות יכול להזדקק להגבלת יעדים גם ביציאה. OWASP מתאר הגנות SSRF בשכבת היישום והרשת. כלל רשת יכול לתמוך בצמצום גישה, אך צריך להתאים אותו ליישום ולתלויותיו.
מגבלות ובדיקת מסירה
תעבורה שמותרת לפי כלל יכולה עדיין לשאת פעולה לא מורשית ברמת היישום. firewall אינה מחליפה עדכונים, ניהול סודות או הרשאות משתמש. גם הצלחה בגלישה ציבורית אינה אומרת שממשק הניהול וגיבוי האתר עובדים. בודקים את התהליכים שהוגדרו ולא מסיקים מהיעדר חסימה שהכול תקין.
דוח מסירה צריך לתאר שכבה, כלל, נימוק, היקף וחריגות. גישה זמנית לספק נשמרת עם בעלים ומועד בחינה. כשיש חשד לאירוע, פתיחת כל התעבורה לצורך ניסוי עלולה להרחיב חשיפה; בוחרים בדיקה מצומצמת ומורשית עם תיעוד מתאים.