Брандмауэр (межсетевой экран)¶

Брандмауэр (межсетевой экран, англ. firewall) — это аппаратное или программное средство, которое контролирует сетевой трафик между двумя или более сетями и блокирует неавторизованный доступ к компьютеру или сети. По принципу действия напоминает противопожарную стену в здании: разделяет «внутреннюю» защищаемую сеть и «внешнюю» небезопасную среду (как правило, интернет), пропуская только разрешённые соединения.

¶Принцип работы

Брандмауэр анализирует каждый пакет данных, проходящий через неё, и сверяет его с набором правил (политикой безопасности). Правила определяют, какой трафик разрешён, а какой запрещён. Ключевые параметры, по которым принимается решение:

• исходный и целевой IP-адрес;
• номера портов и протоколы (TCP, UDP, ICMP и др.);
• направление трафика (входящий или исходящий);
• состояние соединения (новое, установленное);
• время, пользователь, приложение.

Если пакет соответствует правилу «разрешить», он пропускается; если правилу «запретить» — отбрасывается. По умолчанию действует принцип «всё запрещено, кроме разрешённого»: трафик, не подпадающий ни под одно правило, блокируется.

¶Виды брандмауэров

По способу реализации различают:

По глубине анализа трафика брандмауэры делятся на поколения:

• Поколение 1 (1980-е) — фильтрация по IP-адресам и портам (stateless packet filtering);
• Поколение 2 (1990-е) — отслеживание состояния соединений (stateful inspection);
• Поколение 3 (2000-е) — анализ содержимого пакетов (deep packet inspection);
• Поколение 4 (2010-е) — использование машинного обучения и поведенческого анализа (NGFW, next-generation firewall).

¶Типичные функции

Современные межсетевые экраны, как правило, выполняют несколько задач помимо базовой фильтрации:

• трансляция сетевых адресов (NAT) — скрытие внутренней структуры сети;
• VPN-шлюз — защищённое соединение удалённых пользователей с корпоративной сетью;
• предотвращение вторжений (IDS/IPS) — обнаружение и блокировка атак;
• фильтрация веб-контента и контроль приложений;
• журналирование трафика для анализа и расследований.

¶Примеры использования

• Домашняя сеть. Встроенный брандмауэр в роутере или операционной системе (Windows Defender Firewall, macOS Application Firewall) защищает домашние устройства от внешних атак.
• Корпоративная сеть. На периметре устанавливается аппаратный NGFW (например, FortiGate, Palo Alto Networks, Check Point), разделяющий офисную сеть и интернет, а также сегментирующий внутренние подсети (бухгалтерия, серверы, гостевая сеть).
• Дата-центр. Брандмауэры защищают серверные кластеры, разделяя зоны доверия и контролируя трафик между виртуальными машинами.
• Облачная инфраструктура. Провайдеры (Яндекс Облако, Selectel, AWS, Azure) предоставляют управляемые межсетевые экраны для защиты виртуальных сетей.

¶Ограничения

Брандмауэр не является панацеей. Он не защищает от атак, которые идут через разрешённые каналы: фишинг, вредоносные вложения в письмах, компрометацию учётных данных. Также он бесполезен, если трафик идёт по шифрованному каналу (HTTPS, VPN) и правила не могут его содержательно проверить. Поэтому брандмауэр обычно дополняют антивирусом, системой обнаружения вторжений, обучением пользователей и регулярным обновлением политик.

¶Историческая справка

Термин «firewall» в вычислительной технике появился в конце 1980-х годов. Одним из первых коммерческих межсетевых экранов стал DEC SEAL (1988), затем появились продукты Check Point FireWall-1 (1994) и Cisco PIX. В России межсетевые экраны широко применяются с начала 2000-х годов; среди отечественных решений — «Инфотекс», «Лаборатория Касперского», «UserGate», «Код Безопасности».

¶Источники

• RFC 4949 — Internet Security Glossary
• Часто задаваемые вопросы о брандмауэрах // Cisco Systems
• Стандарты ГОСТ Р 57580.1 — Безопасность финансовых (банковских) операций
• Документация по межсетевым экранам // Palo Alto Networks