مقاله ای را که در ادامه خواهید خواند، توسط مركز مديريت امداد و هماهنگي عمليات رخدادهاي رايانه‌يي(ماهر) منتشر شده است که در آن اطلاعات بیشتری راجع به فایروالها، نحوه كار آنها، و خطراتی كه در مقابل آن از شما محافظت می­كنند بدست خواهید آورد. برای خواندن مقاله به ادامه مطلب بروید:

1- یك فایروال چه می كند؟

یك فایروال یك برنامه یا یك وسیله سخت افزاری است كه اطلاعاتی را كه از طریق اینترنت به شبكه یا كامپیوتر شما وارد و یا از آن خارج می­شود، بررسی و درصورت نیاز فیلتر می­كند. اگر بسته ای كه در حال ورود به شبكه شماست بعنوان بسته فیلتری برچسب بخورد، دیگر اجازه ورود به شبكه شما را نخواهد داشت. فرض كنید كه شما در شركتی با 500 كارمند كار می­كنید. این شركت چند صد كامپیوتر دارد كه از طریق كارت شبكه به هم متصلند. همچنین این شركت از یك یا چند اتصال به اینترنت استفاده می­كند. بدون استفاده از فایروال تمامی این كامپیوترها از طریق اینترنت برای هركسی قابل دسترسی هستند. هر فردی خارج از شبكه شما كه می­داند چه كاری باید انجام دهد، می­تواند با این كامپیوترها اتصال FTP، telnet و غیره برقرار كند. اگر یكی از كارمندان اشتباهی مرتكب شده و یك حفره امنیتی را باز بگذارد، هكرها می­توانند به سیستم او وارد شده و از حفره امنیتی موجود سوء استفاده نمایند. اما در مقابل با استفاده از یك فایروال، اتفاق كاملا متفاوتی رخ می­دهد. شركت در سر راه هر اتصالی به اینترنت یك فایروال قرار می­دهد. فایروال می­تواند قوانین امنیتی را پیاده كند. برای مثال یكی از قوانین امنیتی یك شركت می­تواند این باشد: از میان 500 كامپیوتر این شركت، فقط یكی حق دارد ترافیك FTP را دریافت نماید. یك شركت می­تواند چنین قوانینی را برای سرورهای FTP، سرورهای وب، سرورهای Telnet و مانند آن اختصاص داده و تعریف نماید. بعلاوه یك شركت می­تواند در مورد نحوه اتصال كارمندان به وب سایتها و اینكه آیا فایلها مجوز خروج از شبكه شركت را دارند یا خیر، كنترلهای لازم را اعمال نماید. یك فایروال كنترل مناسبی بر روی نحوه استفاده كارمندان از شبكه ایجاد می­كند. فایروالها با استفاده از حداقل یكی از روشهای زیر، ترافیك ورودی و خروجی شبكه را كنترل می­كنند:

• فیلتر كردن بسته ها

بسته های داده بر اساس مجموعه ای از فیلترها تحلیل می­شوند. بسته هایی كه مجوز داشته باشند وارد شده و بقیه رد می­شوند.

• سرویس Proxy

اطلاعات دریافتی از اینترنت ابتدا توسط فایروال دریافت شده و سپس به سیستم درخواست كننده ارسال می­شوند و برعكس.

• تفتیش Stateful

روشی جدید كه محتویات هر بسته را بررسی نمی­كند و به جای آن، بخشهای كلیدی مشخصی از بسته ها را با یك پایگاه داده مطمئن مقایسه می­نماید. اطلاعاتی كه از درون فایروال به بیرون می­روند، از لحاظ برخی ویژگیها بررسی و كنترل شده و اطلاعات ورودی با این ویژگیها مقایسه می­گردند. اگر تطابق معنا داری بین این دو دسته وجود داشته باشد، آنگاه اطلاعات اجازه ورود را خواهند داشت و در غیر اینصورت رد می­شوند.

2- انواع فایروال

• فایروالهای سخت افزاری:

این نوع فایروالها كه به آن فایروال شبكه نیز گفته می­شود، بین كامپیوتر (یا شبكه) شما و كابل یا خط DSL قرار می­گیرند. تعداد زیادی از تولید كنندگان و برخی از مراكز ISP، مسیریابهایی ارائه می دهند كه دارای یك فایروال نیز می­باشند. فایروالهای سخت افزاری معمولا در مواردی كه قصد حفاظت از چندین كامپیوتر را داشته باشید مفید بوده و یك سطح حفاظتی مناسب را ارائه می­نمایند (بدیهی است كه امكان استفاده از این فایروالها به منظور حفاظت از یك دستگاه كامپیوتر نیز وجود دارد). در صورتی كه شما صرفا یك كامپیوتر پشت فایروال قرار داده اید و یا این اطمینان را دارید كه سایر كامپیوتر های موجود بر روی شبكه، از لحاظ نصب تمامی اصلاحیه ها به روز بوده و عاری از هرگونه بدافزاری می­باشند، نیازی به استفاده از یك نرم افزار فایروال نخواهید داشت. فایروالهای سخت افزاری، دستگاههای سخت افزاری مجزائی هستند كه دارای سیستم عامل اختصاصی خود می­باشند و استفاده از آنها باعث ایجاد یك لایه دفاعی اضافه در مقابل تهاجمات می گردد.

• فایروالهای نرم افزاری:

برخی از سیستم عاملها دارای یك فایروال درونی هستند كه همراه سیستم عامل به كاربران عرضه می­شود. در صورتی كه سیستم عامل نصب شده بر روی كامپیوتر شما دارای ویژگی فوق می­باشد، پیشنهاد می­كنیم كه این فایروال را فعال كنید تا یك سطح حفاظتی اضافی برای سیستم شما ایجاد گردد (حتی اگر از یك فایروال خارجی یا سخت افزاری استفاده می كنید، باز هم فایروال سیستم عامل خود را فعال نمایید). در صورتی كه سیستم عامل نصب شده بر روی كامپیوتر شما دارای یك فایروال درونی نیست، می­توانید اقدام به تهیه یك فایروال نرم افزاری نمایید. بهتر است برای اطمینان بیشتر، به جای نصب فایروال از طریق اینترنت، از CD ها و DVD های ارائه دهنده نرم افزار فایروال استفاده كنید.

3- تنظیم فایروال

فایروالها قابل تنظیم هستند. این بدان معناست كه شما می­توانید فیلترهایی را بر اساس شرایط و مسائل مختلف به فایروال خود اضافه كرده یا از آن حذف نمایید. برخی از این تنظیمات از این قرارند:

• آدرس IP

هر سیستمی روی اینترنت یك آدرس یكتا به نام آدرس IP دریافت می­كند. آدرس IP یك عدد 32 بیتی است كه از چهار قسمت كه با نقطه از هم جدا می­شوند تشكیل شده است. برای مثال یك آدرس IP نوعی می­تواند به این شكل باشد: 192.168.0.120. اگر یك آدرس IP خاص در خارج از شبكه شركت فایلهای زیادی را از یكی از سرورهای شركت دریافت می­كند، فایروال می­تواند تمام ترافیك مرتبط با آن آدرس IP خاص را مسدود نماید.

• نام دامنه

از آنجاییكه به خاطر سپردن آدرس IP كار سختی است و این آدرس گاهی تغییر می­كند، تمامی سرورهای اینترنتی یك نام یكتای تشكیل شده از حروف الفبا نیز دارند كه به آن نام دامنه گفته می­شود. برای مثال به خاطر سپردن نام www.certcc.ir بسیار راحتتر از به خاطر سپردن یك رشته عددی است. یك شركت می­تواند با استفاده از یك فایروال، تمامی دسترسیها به یك نام دامنه خاص را مسدود كرده یا تنها دسترسی به نامهای دامنه خاصی را مجاز بداند.

• پروتكلها

1. پروتكل عبارتست از یك روش خاص و از پیش تعریف شده برای برقراری ارتباط میان دو سیستم كه هر یك از این دو سیستم می­توانند سخت افزاری یا نرم افزاری باشند. برای مثال یكطرف این ارتباط می­تواند یك مرورگر وب باشد و طرف دیگر نیز یك وب سرور. پروتكلها معمولا متنی هستند كه به سادگی نحوه ارتباط كلاینت و سرور را توضیح می­دهند. برای مثال http یك پروتكل وب است. برخی پروتكلهای معمول كه می­توانید فیلترهای فایروال را برای آن تنظیم نمایید عبارتند از:

1. IP (Internet Protocol): سیستم اصلی انتقال اطلاعات روی اینترنت
2. TCP (Transmission Control Protocol): برای شكستن و دوباره ساختن اطلاعات منتقل شده روی اینترنت استفاده می­شود.
3. HTTP (Hyper Text Transfer Protocol): مورد استفاده برای صفحات وب
4. FTP (File Transfer Protocol): مورد استفاده برای انتقال (ارسال و دریافت) فایله
5. UDP (User Datagram Protocol): مورد استفاده برای اطلاعاتی كه نیاز به پاسخ ندارند مانند جریان صوت یا ویدئو
6. ICMP (Internet Control Message Protocol): مورد استفاده توسط مسیریابها برای تبادل اطلاعات با مسیریابهای دیگر
7. SMTP (Simple Mail Transport Protocol): مورد استفاده برای ارسال اطلاعات مبتنی بر متن (ایمیل)
8. SNMP (Simple Network Management Protocol): مورد استفاده برای جمع آوری اطلاعات سیستم از یك كامپیوتر راه دور
9. Telnet: مورد استفاده برای انجام دستورات روی یك كامپیوتر از راه دور

ممكن است لازم باشد كه یك شركت فقط یك یا دو سیستم را برای مدیریت یك پروتكل خاص انتخاب و تنظیم نماید و سایر سیستمها را از آن پروتكل منع كند.

• پورتها

هر سروری سرویسهای خود را با استفاده از پورتهای شماره دار، روی اینترنت در دسترس قرار می­دهد. در واقع به ازای هر سرویس برای هر سرور یك پورت وجود دارد. برای مثال، اگر یك سیستم یك HTTP Server و یك FTP Server را اجرا كند، سرور HTTP نوعا روی پورت شماره 80 و سرور FTP روی پورت شماره 21 در دسترس قرار خواهند داشت. ممكن است لازم باشد یك شركت دسترسی به پورت شماره 21 را روی تمامی سیستمها ببندد و فقط یك سیستم مجوز دسترسی به این پورت را داشته باشد.

• كلمات و عبارات خاص

فایروال هر بسته اطلاعات را دقیقا با فیلتری كه تعیین شده است مقایسه و بررسی می­كند. برای مثال، شما می­توانید به فایروال دستور بدهید كه هر بسته ای را كه كلمه "X rated" در آن قرار داشته باشد مسدود نماید. نكته كلیدی در اینجا این است كه فایروال باید دقیقا به دنبال همین كلمه در بسته ها بگردد. یعنی كلمه "X-rated" با "X rated" هماهنگی و همخوانی ندارد. شما می­توانید هر تعداد كلمه یا عبارتی كه لازم دارید را برای این كار در نظر بگیرید.

برخی سیستم عاملها یك فایروال درونی دارند. یك فایروال نرم افزاری نیز می­تواند روی سیستم خانگی شما كه به اینترنت متصل است نصب گردد. به این كامپیوتر «gateway» گفته می­شود، چرا كه تنها نقطه ارتباط شبكه شما با اینترنت است. یك فایروال سخت افزاری، خود یك gateway محسوب می شود. بعنوان یك نمونه خوب از فایروالهای سخت افزاری می­توان به برخی مسیریابها اشاره كرد. این مسیریابها یك كارت Ethernet و یك هاب درونی دارند. كامپیوترهای شبكه شما به یك مسیریاب متصل می­شوند و این مسیریاب نیز به یك مودم متصل است. شما مسیریاب را از طریق یك واسط كاربر مبتنی بر وب تنظیم می­كنید و می­توانید هر فیلتر یا تنظیمات دیگری را تعیین نمایید. فایروالهای سخت افزاری بسیار امن هستند و نسخه های خانگی آن چندان گران نیستند. چنین فایروالی را كه شامل یك مسیریاب، فایروال و هاب Ethernet برای اتصالات پهن باند است، می­توان با حدود 100 دلار خریداری كرد.

4- چرا امنیت از طریق فایروال؟

یكی از مهمترین و بهترین نكات در مورد فایروال این است كه دسترسی به كامپیوترهای داخل شبكه شما را از خارج شبكه متوقف می­سازد. راههای مختلفی برای دسترسی به كامپیوترهای ناامن و سوء استفاده از آنها وجود دارد كه می­توان به موارد ذیل اشاره كرد:

• Login از راه دور
• درهای پشتی (Backdoor) برنامه ه
• سرقت نشست SMTP
• نقایص امنیتی سیستم عامل
• انكار سرویس
• بمبهای ایمیلی
• ماكروه
• ویروسه
• هرزنامه
• تغییر مسیر بمبه
• مسیریابی منبع

فیلتر كردن برخی از موارد فهرست بالا با استفاده از فایروال سخت و در برخی موارد ناممكن است. با اینكه برخی فایروالها آنتی ویروس نیز دارند، ولی نصب آنتی ویروسهای جداگانه روی تمامی سیستمهای شبكه یك سرمایه گذاری با ارزش است. سطح امنیتی كه شما در نظر می­گیرید مشخص كننده این موضوع است كه چه تعداد از این تهدیدات می­توانند توسط فایروال شما متوقف گردند. بالاترین سطح امنیت این است كه همه چیز مسدود شود. اما واضح است كه چنین كاری فلسفه استفاده از اینترنت را بطور كلی زیر سوال می­برد. اما قانون معمول این است كه ابتدا همه چیز را مسدود كنید و سپس تصمیم بگیرید كه چه نوع ترافیكهایی مجاز به عبور از فایروال شما هستند و آنها را باز نمایید. شما همچنین می­توانید ترافیكی را كه از فایروال عبور می­كند محدود نمایید تا فقط انواع خاصی از اطلاعات مانند ایمیلها اجازه عبور داشته باشند. داشتن یك مدیر شبكه خوب كه نیازها را درك كرده و بر اساس آن نوع اطلاعات مجاز را مشخص نماید بسیار كمك كننده است. برای اغلب ما بهترین كار این است كه با تنظیمات پیش فرض فایروال در این مورد كار كنیم، مگر اینكه دلیل مشخصی برای تغییر آن داشته باشیم.

5- Proxy Server ها و DMZ

یكی از كاركردهایی كه معمولا با فایروال همراه است Proxy Server می­باشد. Proxy Server برای دسترسی به صفحات وب توسط سایر كامپیوترها مورد استفاده قرار می­گیرد. زمانیكه كامپیوتر دیگری یك صفحه وب را درخواست می­كند، این صفحه توسط Proxy Server بازیابی شده و سپس به كامپیوتر درخواست كننده ارسال می­شود. تاثیر شبكه ای این كار این است كه كامپیوتری كه آن صفحه وب را میزبانی می­كند هرگز بطور مستقیم با هیچ چیز روی شبكه شما (به جز Proxy Server) ارتباط برقرار نمی­كند. Proxy Server ها همچنین می­توانند باعث كارآیی اتصال اینترنت شما گردند. اگر شما به یك صفحه روی یك وب سایت دسترسی پیدا كنید، این صفحه روی Proxy Server شما ذخیره می­شود. این بدان معناست كه دفعه بعد كه بخواهید به آن صفحه مراجعه نمایید، بطور پیش فرض لازم نیست كه آن صفحه از روی وب سایت مذكور دریافت گردد. بلكه مستقیما از روی Proxy Server دریافت می­شود. البته گاهی اوقات نیز ممكن است شما بخواهید كه كاربرانی از راه دور به برخی چیزها در شبكه شما دسترسی داشته باشند. در این مورد می­توان به وب سایت و تجارت آنلاین اشاره كرد. در چنین شرایطی یك DMZ (محدوده غیر نظامی) می­تواند به شما كمك كند. این محدوده به محدوده خارج از فایروال گفته می­شود. DMZ را می­توان به حیاط خانه تشبیه كرد كه به شما تعلق دارد و ممكن است چیزهایی را نیز در آنجا قرار دهید. اما قطعا شما تمامی وسایل با ارزش خود را داخل خانه نگهداری می­كنید. ایجاد و راه اندازی یك DMZ بسیار ساده است. اگر شما چندین كامپیوتر داشته باشید، می­توانید یكی از كامپیوترها را بین فایروال و اتصال اینترنت قرار دهید. اغلب فایروالهای نرم افزاری به شما اجازه می­دهند كه فولدری را روی كامپیوتر gateway به DMZ اختصاص دهید.