Firewall คืออะไร

Firewall คืออุปกรณ์หรือโปรแกรมที่ควบคุมการไหลของทราฟฟิกระหว่างเครือข่ายหรือเครื่องคอมพิวเตอร์ที่มีระดับความปลอดภัยต่างกัน ตามนิยามใน NIST SP 800-41 Rev. 1 หน้าที่หลักคืออนุญาตเฉพาะการสื่อสารที่นโยบายขององค์กรยอมรับ และปิดกั้นส่วนที่เหลือ

Firewall ทำงานอย่างไร

Firewall ตรวจทราฟฟิกที่วิ่งผ่านแล้วเทียบกับชุดกฎ รุ่นพื้นฐานกรองแพ็กเก็ตจากที่อยู่ต้นทาง ปลายทาง และพอร์ต ส่วนรุ่นที่ติดตามสถานะการเชื่อมต่อ (stateful inspection) จะดูด้วยว่าแพ็กเก็ตเป็นส่วนหนึ่งของการเชื่อมต่อที่อนุญาตไว้หรือไม่

Next-Generation Firewall (NGFW) ต่อยอดขึ้นไปอีกขั้น NIST SP 800-215 ระบุว่าจุดเด่นคือการรู้จักข้อมูลระดับแอปพลิเคชัน จึงตรวจได้ถึงชั้นที่ 7 ของโมเดล OSI ไม่ใช่เพียงชั้นที่ 3 และ 4 พร้อมความสามารถอย่าง Deep Packet Inspection การถอดรหัส TLS เพื่อตรวจเนื้อหา และระบบป้องกันการบุกรุก (IPS) การติดตั้งมีทั้งแบบอุปกรณ์ในดาต้าเซ็นเตอร์ ซอฟต์แวร์ที่ทำงานบน VM ในคลาวด์ และบริการคลาวด์ที่เรียกว่า Firewall-as-a-Service (FWaaS)

ตัวอย่างการใช้งาน

• ขอบเครือข่าย กั้นระหว่างอินเทอร์เน็ตกับเครือข่ายองค์กร กรองต้นทางและปลายทางที่ไม่อนุญาต
• ภายในดาต้าเซ็นเตอร์ แบ่งเครือข่ายเป็นส่วนย่อยและแยกทรัพยากรสำคัญ เพื่อกันผู้โจมตีเคลื่อนที่จากเครื่องหนึ่งไปอีกเครื่องหนึ่ง
• บนเครื่องปลายทาง Firewall ระดับเครื่องปิดกั้นทราฟฟิกอันตรายที่เข้าและออกจากเครื่องนั้น
• ส่งข้อมูลให้ SIEM ข้อมูลจาก Firewall หลายตัวถูกนำไปวิเคราะห์ร่วมกับเครื่องมืออื่น เพื่อตรวจจับการโจมตีที่กินวงกว้างทั้งองค์กร

Firewall ต่างจาก WAF อย่างไร

Firewall เครือข่ายควบคุมว่าใครเชื่อมต่อกับเครื่องและพอร์ตใดได้ ส่วน WAF (Web Application Firewall) ตรวจเนื้อหาของคำขอ HTTP ที่ส่งถึงเว็บแอปพลิเคชันโดยเฉพาะ เพื่อสกัดการโจมตีอย่าง SQL Injection และ Cross-site Scripting ระบบที่ให้บริการเว็บสู่สาธารณะจึงควรใช้ทั้งสองอย่างร่วมกัน เพราะทำหน้าที่คนละชั้น