Nederlands
Menu

Wat is Firewall?

Mechanisme (een apparaat of software), meestal op een netwerkgrens geplaatst, dat alleen verkeer doorlaat dat door vooraf vastgelegde regels is toegestaan en al het andere blokkeert. Het beslist op basis van het bron- en bestemmings-IP-adres, poortnummers, het protocol, de richting van het verkeer en dergelijke. De belangrijkste taak is een intern netwerk te beschermen tegen onbevoegde verbindingen vanaf het internet.

Japanse benaming: ファイアウォール

“Firewall” komt voor in 6 oefenvragen uit 4 onderwerpen, bijv. Cyberaanvallen en verdediging in de praktijk, Basis van cloud en containers, Basis van computernetwerken.

Vakgebied: Basis van informatiebeveiliging

Pakketfiltering en stateful inspection

Eenvoudige pakketfiltering vergelijkt de header van elk pakket van boven naar beneden met een lijst regels en laat het pakket door of gooit het weg volgens de eerste regel die past. Verkeer waarop geen regel past, wordt principieel weggegooid (default deny). Stateful inspection onthoudt de toestand van elke verbinding, ook welke kant ze is begonnen; antwoordverkeer voor verbindingen die van binnenuit zijn gestart, wordt automatisch doorgelaten en ongevraagd verkeer van buiten weggegooid. Producten die daarnaast applicaties herkennen aan de inhoud van het verkeer of inbraakpreventie integreren, heten next-generation firewalls.

Plaatsing en de DMZ

Een firewall staat normaal op de plek waar het internet het interne netwerk raakt. Servers die van buitenaf bereikbaar moeten zijn, zoals web- en mailservers, komen in een aparte zone, de DMZ (gedemilitariseerde zone). Van het internet naar de DMZ worden alleen de nodige poorten geopend, van het internet naar het interne netwerk wordt niets toegestaan, en verkeer van de DMZ naar het interne netwerk wordt beperkt. Zo verspreidt de schade zich minder gemakkelijk naar binnen, zelfs als een openbare server wordt overgenomen. Naast apparaten op de grens zijn er hostgebaseerde firewalls die op elke pc en server draaien.

Wat een firewall alleen niet kan tegenhouden

Staat poort 443 open voor een website, dan komen SQL-injectie of cross-site scripting die in dat verkeer verborgen zitten erdoor, dus er is een WAF nodig die de inhoud inspecteert. Een firewall kan ook geen intern apparaat tegenhouden dat via een e-mailbijlage of phishing is besmet, of een indringer die met geldige inloggegevens via de VPN inlogt. De verdediging combineert daarom inbraakdetectie en -preventie (IDS/IPS), EDR om eindpunten te bewaken, en zero trust, dat elke toegang controleert.

Nu oefenen: vragen over Firewall

Welke beschrijving van de basisfunctie van een firewall (met pakketfiltering) is juist?

  1. AHij versleutelt de communicatie om afluisteren onderweg te voorkomen
  2. BHij laat alleen toegestaan verkeer door en blokkeert de rest, volgens regels op basis van onder meer bron- en doel-IP-adressen en poortnummers
  3. CHij verdeelt binnenkomende pakketten over meerdere servers om de verwerkingslast te spreiden
Antwoord en toelichting tonen

Antwoord: B. Hij laat alleen toegestaan verkeer door en blokkeert de rest, volgens regels op basis van onder meer bron- en doel-IP-adressen en poortnummers

Een firewall wordt bijvoorbeeld geplaatst op de grens tussen een intern netwerk en het internet en staat verkeer toe of weigert het volgens vooraf vastgelegde regels. Een typische instelling is „van buitenaf alleen verkeer naar poort 443 van de openbare webserver toestaan en alle andere inkomende verbindingen weigeren”. De meeste firewalls voeren tegenwoordig stateful inspection uit: ze houden de toestand van verbindingen bij en laten de terugkerende pakketten van verbindingen die van binnenuit zijn begonnen automatisch door. Ze versleutelen niets, dus voor de bescherming van het verkeer worden ze gecombineerd met TLS of een VPN. Ook kunnen ze aanvallen die via een toegestane poort binnenkomen (zoals aanvallen op kwetsbaarheden van webapplicaties) niet tegenhouden, dus worden ook andere maatregelen zoals een WAF ingezet.

Een apparaat communiceert via een site-to-site-VPN-tunnel met een verre webserver. TCP-verbindingen kunnen worden opgebouwd en kleine pagina's laden, maar downloads van grote bestanden blijven halverwege steken. De MTU in de tunnel is 1400 bytes, en de server verstuurt pakketten van 1500 bytes waarbij fragmentatie verboden is (de DF-bit op 1). De firewall voor de server is bovendien zo ingesteld dat hij alle ICMP weggooit. Wat is de meest waarschijnlijke oorzaak?

  1. ADe naamresolutie van DNS mislukt
  2. BHet ontvangstvenster van TCP is te klein, zodat er niet genoeg gegevens tegelijk kunnen worden verzonden
  3. CDe ICMP-meldingen dat fragmentatie nodig is, verstuurd door de router die de te grote pakketten weggooit, bereiken de server niet, zodat de server zijn pakketten niet kleiner kan maken
Antwoord en toelichting tonen

Antwoord: C. De ICMP-meldingen dat fragmentatie nodig is, verstuurd door de router die de te grote pakketten weggooit, bereiken de server niet, zodat de server zijn pakketten niet kleiner kan maken

Bij path MTU discovery verstuurt de bron pakketten met de DF-bit op 1, en een router die een pakket weggooit dat groter is dan zijn MTU, meldt in een ICMP-bericht (Fragmentation Needed bij IPv4, Packet Too Big bij IPv6) welke grootte erdoor kan. Gooit de firewall deze meldingen weg, dan blijft de server grote pakketten versturen die telkens worden weggegooid, zodat alleen grote gegevensoverdrachten vastlopen (een path MTU black hole). Het opbouwen van de verbinding en kleine antwoorden gebruiken pakketten die kleiner zijn dan 1400 bytes en komen dus zonder problemen door. Oplossingen zijn deze ICMP-meldingen niet meer weggooien, of de router aan de ingang van de tunnel de MSS van TCP laten herschrijven naar een kleinere waarde. Met headers van IPv4 en TCP van elk 20 bytes hoort bij een MTU van 1400 bytes een MSS van 1400 − 20 − 20 = 1360 bytes.

Veelgestelde vragen

Wat is het verschil tussen een firewall en een WAF?

Een firewall beslist welk verkeer wordt doorgelaten, vooral op basis van IP-adressen en poortnummers. Een WAF (webapplicatiefirewall) inspecteert de inhoud van toegestaan webverkeer, de HTTP-verzoeken, en blokkeert aanvallen zoals SQL-injectie. Ze beschermen verschillende lagen en worden dus samen gebruikt.

Heb ik nog antivirus nodig als ik een firewall heb?

Ja. Een firewall laat het verkeer door dat hij toestaat, dus hij kan malware die via het surfen op het web of via e-mail binnenkomt niet tegenhouden. Hij moet worden gecombineerd met malwarebescherming op de eindpunten of EDR en met software-updates.

“Firewall” in de toelichting

Vragen met “Firewall” (6)

  1. Met de bovenstaande opdracht wordt een container gestart uit het image nginx, een webserver die op poort 80 luistert. Het IP-adres van de host is 192.0.2.10, en er zijn geen beperkingen zoals een firewall. Welke URL is juist om deze webserver te bereiken vanuit een browser op een andere pc in hetzelfde netwerk?
  2. Welke beschrijving van de basisfunctie van een firewall (met pakketfiltering) is juist?
  3. Een apparaat communiceert via een site-to-site-VPN-tunnel met een verre webserver. TCP-verbindingen kunnen worden opgebouwd en kleine pagina's laden, maar downloads van grote bestanden blijven halverwege steken. De MTU in de tunnel is 1400 bytes, en de server verstuurt pakketten van 1500 bytes waarbij fragmentatie verboden is (de DF-bit op 1). De firewall voor de server is bovendien zo ingesteld dat hij alle ICMP weggooit. Wat is de meest waarschijnlijke oorzaak?
  4. Welke maatregel is het meest passend om „laterale beweging” te bemoeilijken, dat wil zeggen dat een compromittering zich uitbreidt van één overgenomen pc van een medewerker naar andere pc's en servers binnen het bedrijf?
  5. Welke combinatie van SIEM, SOAR en SOC met hun rol bij beveiligingsmonitoring is juist?
  6. Welke beschrijving van een WAF (webapplicatiefirewall) is juist?

Vergelijkingen met deze term

Verwante termen

IP-adres URL (uniform resource locator) Pakket (packet) VPN (virtueel privénetwerk) WAF (webapplicatiefirewall) Container TLS (Transport Layer Security) TCP (Transmission Control Protocol) MTU (maximum transmission unit) ICMP (Internet Control Message Protocol)

Naar de woordenlijst