Odpowiednio skonfigurowany firewall stanowi pierwszą linię obrony sieci firmowej przed nieautoryzowanymi próbami dostępu z zewnątrz.

Na czym polega ta usługa

Konfiguracja obejmuje ustawienie reguł firewalla kontrolujących ruch wchodzący i wychodzący z sieci firmowej oraz przetestowanie ich skuteczności.

Dla kogo ma sens

Usługa jest przydatna dla firm, którym zależy na dodatkowym zabezpieczeniu sieci przed zagrożeniami z zewnątrz.

Ile to trwa

Konfiguracja firewalla mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a wykonana usługa objęta jest gwarancją do 12 miesięcy.

Warianty i architektura zapór sieciowych w środowisku firmowym

W zależności od wielkości przedsiębiorstwa, liczby stanowisk roboczych oraz rodzaju przetwarzanych danych stosuje się różne warianty zabezpieczeń brzegowych. Dobór odpowiedniego rozwiązania zależy od tego, czy firma posiada własne serwery lokalne, czy korzysta z połączeń zdalnych oraz jakie aplikacje biznesowe są wykorzystywane w codziennej pracy.

Pierwszym wariantem jest sprzętowy firewall dedykowany (samodzielne urządzenie sieciowe umieszczone pomiędzy modemem dostawcy internetu a przełącznikiem sieci lokalnej). Takie rozwiązanie przejmuje na siebie całość zadań związanych z filtrowaniem pakietów, nie obciążając zasobów serwerów ani komputerów pracowników. Urządzenia te posiadają dedykowany system operacyjny zoptymalizowany pod kątem szybkiego przetwarzania ruchu sieciowego oraz wyspecjalizowane układy scalone.

Drugim wariantem jest zapora programowa instalowana i konfigurowana bezpośrednio na poziomie systemów operacyjnych (takich jak Windows Server lub dystrybucje serwerowe Linux). Rozwiązanie to kontroluje dostęp do konkretnych usług, portów oraz aplikacji działających na danym hoście (komputerze pełniącym rolę serwera). Zapora programowa stanowi uzupełnienie ochrony brzegowej i zabezpiecza maszyny wewnątrz sieci lokalnej przed rozprzestrzenianiem się ewentualnych infekcji pomiędzy stanowiskami.

Trzecim rozwiązaniem są zaawansowane bramy bezpieczeństwa klasy UTM (Unified Threat Management – zintegrowany system zarządzania zagrożeniami, łączący funkcje klasycznego firewalla, antywirusa sieciowego, systemu wykrywania i blokowania intruzów oraz kontroli aplikacji). Rozwiązania tego typu analizują nie tylko nagłówki pakietów, ale również ich zawartość, co pozwala na identyfikację złośliwego kodu przesyłanego przez z pozoru bezpieczne protokoły internetowe.

W rozbudowanych strukturach stosuje się również segmentację sieci przy użyciu wirtualnych sieci lokalnych VLAN (Virtual Local Area Network – technologia logicznego dzielenia jednej fizycznej sieci na odizolowane segmenty). Dzięki temu ruch pomiędzy działem księgowości, magazynem, serwerami bazodanowymi a siecią dla gości jest ściśle kontrolowany przez reguły zapory, uniemożliwiając nieuprawniony dostęp pomiędzy różnymi obszarami firmy.

Kluczowe mechanizmy i reguły bezpiecznej filtracji ruchu

Podstawą skutecznej ochrony jest wdrożenie zasady domyślnego blokowania ruchu (Default Deny – koncepcja bezpieczeństwa, według której każdy pakiet danych jest automatycznie odrzucany, chyba że istnieje reguła wprost zezwalająca na jego transmisję). Zastosowanie tego podejścia eliminuje ryzyko pozostawienia przypadkowo otwartych portów sieciowych, które mogłyby zostać wykorzystane przez zautomatyzowane skanery podatności.

Równie istotnym elementem jest filtrowanie ruchu wychodzącego (Egress Filtering – kontrola pakietów przesyłanych z wnętrza sieci firmowej do internetu). Wiele standardowych konfiguracji skupia się wyłącznie na blokowaniu połączeń przychodzących, pozostawiając ruch wychodzący bez nadzoru. Prawidłowo ustawiona zapora weryfikuje, czy komputery w firmie nie nawiązują podejrzanych połączeń z serwerami dowodzenia C&C (Command and Control – serwery kontrolowane przez cyberprzestępców, służące do zarządzania złośliwym oprogramowaniem) oraz blokuje niestandardowe porty transmisyjne.

Właściwa konfiguracja obejmuje także translację adresów sieciowych NAT (Network Address Translation – mechanizm mapowania wewnętrznych, prywatnych adresów IP urządzeń na jeden lub kilka publicznych adresów IP) oraz wydzielanie stref zdemilitaryzowanych DMZ (Demilitarized Zone – wyodrębniony segment sieci przeznaczony dla serwerów świadczących usługi publiczne, odizolowany od wewnętrznej bazy danych firmy). Dzięki temu nawet w sytuacji przejęcia serwera www, intruz nie uzyskuje bezpośredniego dostępu do sieci lokalnej.

Niezbędnym standardem dla firm pracujących w modelu hybrydowym lub wielooddziałowym jest wdrożenie bezpiecznych tuneli VPN (Virtual Private Network – szyfrowane połączenie sieciowe umożliwiające bezpieczny dostęp do zasobów biurowych przez internet). Zamiast wystawiać pulpity zdalne czy bazy danych bezpośrednio do publicznej sieci, dostęp realizowany jest za pośrednictwem protokołów takich jak IPsec, OpenVPN lub WireGuard z wymuszeniem silnego uwierzytelniania.

W środowiskach wykorzystujących oprogramowanie do zarządzania przedsiębiorstwem ERP (takie jak Comarch Optima, InsERT Subiekt GT, InsERT nexo, WAPRO ERP, Symfonia, enova365 czy RAKS) zapora sieciowa chroni porty serwera baz danych Microsoft SQL Server. Reguły dostępowe ograniczają możliwość zapytań do bazy wyłącznie do zautoryzowanych adresów IP wewnątrz zaufanej podsieci.

Błędy popełniane przy samodzielnych próbach konfiguracji zapory sieciowej

Brak specjalistycznej wiedzy przy wdrażaniu zabezpieczeń sieciowych często prowadzi do powstawania luk, które ułatwiają przeprowadzenie ataku. Jednym z najczęstszych błędów jest bezpośrednie przekierowanie portu protokołu pulpitu zdalnego RDP (Remote Desktop Protocol – usługa umożliwiająca zdalną pracę na komputerze z systemem Windows, domyślnie nasłuchująca na porcie 3389) na adres publiczny bez zastosowania tunelu VPN. Taka konfiguracja staje się natychmiast celem zautomatyzowanych ataków słownikowych typu brute-force (metoda łamania haseł polegająca na sprawdzaniu wszystkich możliwych kombinacji).

Kolejnym powszechnym problemem jest całkowite wyłączanie zapory sieciowej w systemie Windows lub na routerze w sytuacji, gdy pojawiają się trudności z komunikacją między stanowiskami roboczymi a serwerem bazy danych lub programem Płatnik ZUS. Zamiast zidentyfikować wymagany port i stworzyć precyzyjną regułę przepuszczającą określony pakiet, administratorzy tymczasowo wyłączają ochronę, po czym zapominają o jej ponownym włączeniu, pozostawiając system całkowicie bezbronnym.

Częstym uchybieniem jest także pozostawianie domyślnych danych logowania do panelu zarządzania urządzeniem sieciowym oraz udostępnianie interfejsu administracyjnego od strony portu WAN (Wide Area Network – zewnętrzny interfejs sieci rozległej podłączony do internetu). Umożliwia to osobom niepowołanym próbę przejęcia kontroli nad całym ruchem sieciowym firmy bezpośrednio z sieci publicznej.

Zdarza się również stosowanie zbyt szerokich reguł przekierowania portów (Port Forwarding) lub włączanie funkcji DMZ dla głównego komputera w firmie, na którym przechowywane są newralgiczne dane. W ten sposób cała ochrona routera zostaje ominięta dla wybranego stanowiska, wystawiając je na bezpośrednie uderzenie każdego skanera internetowego.

Błędem o poważnych konsekwencjach jest brak rejestrowania zdarzeń sieciowych (Syslog – standard przesyłania i gromadzenia komunikatów o zdarzeniach systemowych). Bez włączonych dzienników zdarzeń niemożliwe jest wykrycie wczesnych prób penetracji sieci ani przeprowadzenie rzetelnej analizy śledczej po ewentualnym incydencie bezpieczeństwa.

Kiedy sam firewall nie zapewnia pełnego bezpieczeństwa infrastruktury

Zapora sieciowa jest kluczowym elementem ochrony obwodowej, jednak nie stanowi rozwiązania chroniącego przed wszystkimi wektorami cyberzagrożeń. Zrozumienie ograniczeń samej zapory pozwala na zbudowanie wielowarstwowej strategii bezpieczeństwa w firmie.

Firewall nie zabezpiecza przed atakami socjotechnicznymi, w tym przed phishingiem (metoda oszustwa polegająca na podszywaniu się pod banki, kontrahentów lub instytucje państwowe w celu skłonienia pracownika do kliknięcia w niebezpieczny link lub podania danych dostępowych). Jeśli pracownik dobrowolnie wprowadzi dane logowania na sfałszowanej stronie internetowej, zapora sieciowa przepuści ten ruch jako standardową komunikację przez protokół HTTPS.

Zapora brzegowa nie chroni również przed infekcjami wprowadzanymi bezpośrednio do wnętrza sieci lokalnej z pominięciem interfejsu internetowego. Przykładem jest podłączenie do firmowego komputera zainfekowanego nośnika pamięci USB, prywatnego smartfona lub przyniesionego z zewnątrz laptopa, który nie posiada aktualnego oprogramowania ochronnego i rozprzestrzenia zagrożenie wewnątrz podsieci.

Samo filtrowanie ruchu nie zastępuje regularnego instalowania poprawek bezpieczeństwa w systemach operacyjnych Windows, dystrybucjach Linux oraz oprogramowaniu użytkowym. Ataki wykorzystujące luki w niezałatanych aplikacjach mogą dotrzeć do serwera nawet przez dozwolony, w pełni legalnie otwarty port komunikacyjny.

Ochrona sieciowa nie chroni także przed błędami w zarządzaniu uprawnieniami w środowisku Active Directory (usługa katalogowa Microsoft służąca do centralnego zarządzania użytkownikami, komputerami i uprawnieniami w domenie). Nadmierne uprawnienia kont użytkowników mogą umożliwić intruzowi swobodne poruszanie się po zasobach dyskowych i bazach danych pomimo poprawnie działającego firewalla.

Niezależnie od klasy zastosowanego firewalla, krytycznym wymogiem bezpieczeństwa pozostaje wdrożenie automatycznych, odizolowanych kopii zapasowych (backupu) baz programów ERP, poczty elektronicznej i plików biurowych. Kopia zapasowa przechowywana zgodnie z regułą izolacji stanowi ostateczną gwarancję odzyskania ciągłości działania firmy w razie awarii lub ataku szyfrującego ransomware.

Etapy wdrażania i audytu zapory sieciowej z dojazdem do firmy

Proces zabezpieczenia sieci firmowej realizowany jest bezpośrednio w środowisku pracy klienta, co pozwala na dokładną ocenę fizycznej infrastruktury oraz specyfiki przepływu informacji w przedsiębiorstwie.

Pierwszym krokiem jest przeprowadzenie inwentaryzacji sieciowej (zmapowanie wszystkich aktywnych urządzeń, stacji roboczych, serwerów plików, drukarek sieciowych oraz urządzeń mobilnych łączących się przez sieć bezprzewodową). Podczas tego etapu identyfikowane są wszystkie aktualnie otwarte porty, aktywne usługi sieciowe oraz wymagania używanego oprogramowania biznesowego.

Drugim etapem jest opracowanie polityki bezpieczeństwa i matrycy ruchu sieciowego. Na tym etapie ustala się, które komputery muszą komunikować się z serwerem bazodanowym SQL, jakie działy wymagają dostępu do internetu, a które stanowiska produkcyjne lub magazynowe powinny mieć zablokowany ruch wychodzący poza sieć lokalną.

Trzeci krok obejmuje właściwą konfigurację urządzenia brzegowego lub zapory serwerowej. Wdrażane są reguły filtracji, konfiguracja translacji adresów NAT, podział na strefy bezpieczeństwa oraz tworzenie szyfrowanych połączeń VPN dla kadry zarządzającej i pracowników pracujących zdalnie. Konfiguracja wykonywana jest w sposób zapewniający ciągłość działania systemów księgowych i sprzedażowych.

Czwartym etapem są testy weryfikacyjne i skanowanie podatności (kontrolowane próby połączeń z zewnątrz mające na celu sprawdzenie, czy zapora prawidłowo blokuje nieautoryzowane pakiety oraz czy nie występują wycieki informacji o architekturze sieci). Sprawdzana jest również stabilność połączeń pod obciążeniem oraz poprawność rejestrowania zdarzeń w logach systemowych.

Ostatnim elementem jest sporządzenie przejrzystej dokumentacji wdrożeniowej, zawierającej schemat adresacji, wykaz skonfigurowanych reguł oraz procedury tworzenia bezpiecznych kont dostępowych dla nowych pracowników.

Najczęściej zadawane pytania dotyczące zabezpieczenia sieci firmowej

Czy wdrożenie nowej zapory sieciowej zakłóci bieżącą pracę programów księgowych i magazynowych?

Prawidłowo zaplanowane i wdrożone reguły zapory nie przerywają funkcjonowania aplikacji biznesowych, takich jak Subiekt GT, Comarch Optima, Symfonia, WAPRO ERP czy systemy bankowości elektronicznej. Przed wprowadzeniem ograniczeń analizowane są wymagane porty komunikacyjne oraz adresy serwerów autoryzacyjnych, a niezbędne reguły przepuszczające są konfigurowane przed zablokowaniem pozostałego ruchu.

Czy do uruchomienia bezpiecznego połączenia VPN na firewallu wymagany jest stały adres IP?

Stały publiczny adres IP od dostawcy internetu ułatwia konfigurację i zapewnia najwyższą stabilność połączenia, jednak nie jest warunkiem bezwzględnym. W przypadku łączy ze zmiennym adresem IP konfiguruje się usługę dynamicznego DNS (Dynamic Domain Name System – mechanizm przypisujący zmiennemu adresowi IP stałą nazwę domenową), co pozwala na bezproblemowe zestawianie szyfrowanych tuneli VPN.

Czym różni się zapora w routerze dostarczonym przez operatora internetu od dedykowanego rozwiązania?

Standardowe routery dostarczane przez operatorów telekomunikacyjnych posiadają uproszczone mechanizmy filtracji, które często ograniczają się do podstawowej translacji NAT i prostego blokowania portów bez możliwości inspekcji pakietów, zaawansowanej kontroli ruchu wychodzącego, segmentacji sieci na podsieci VLAN czy tworzenia zaawansowanych tuneli VPN. Dedykowany firewall daje pełną kontrolę nad ruchem i umożliwia precyzyjne dostosowanie poziomu ochrony do potrzeb przedsiębiorstwa.

Czy firewall chroni sieć bezprzewodową Wi-Fi przed nieautoryzowanym podłączeniem?

Firewall kontroluje ruch przepływający przez sieć bezprzewodową, jednak samo zabezpieczenie punktu dostępowego wymaga zastosowania silnego uwierzytelniania w standardach WPA2 Enterprise lub WPA3 oraz izolacji sieci dla gości od sieci firmowej. Zapora uniemożliwia urządzeniom podłączonym do wydzielonej sieci Wi-Fi dostęp do serwerów firmowych i stacji roboczych pracowników.

Jak często należy przeprowadzać przegląd reguł na zaporze sieciowej?

Zaleca się przeprowadzanie weryfikacji konfiguracji i analizy logów przy każdej istotnej zmianie infrastruktury (np. dodaniu nowego serwera, zmianie oprogramowania ERP, uruchomieniu nowych usług zdalnych), a także okresowo w ramach rutynowej kontroli środowiska IT, aby usunąć niepotrzebne reguły tymczasowe i uaktualnić oprogramowanie układowe urządzenia.

Rola zapory sieciowej w stabilnym funkcjonowaniu infrastruktury IT

Profesjonalnie wdrożona zapora sieciowa stanowi fundamentalny element odporności cyfrowej każdego przedsiębiorstwa. Odpowiednia konfiguracja reguł dostępu, izolacja newralgicznych zasobów oraz szyfrowanie połączeń zdalnych pozwalają na bezpieczne prowadzenie działalności i ochronę poufnych danych firmowych przed nieautoryzowanym dostępem z sieci publicznej.

22 378 48 09

Zabezpieczenie sieci firmowej przed atakami z zewnątrz (firewall)