Apa itu Firewall?

Di postingan kali ini, kami akan memperkenalkan konsep firewall dan menjelaskan bagaimana fungsinya. Selain itu, disini juga akan membahas pro dan kontra dari firewall dan berbagai jenis firewall dan cara mengimplementasikan pelaksanaannya. Chapter ini juga membahas beberapa firewall freeware dan firewall pribadi itu yang tersedia untuk diunduh

CHAPTER 12

Banyak yang mengira bahwa "Firewall" itu adalah sebuah sistem, padahal firewall itu adalah sebuah komponen dasar pertahanan komputer pada sebuah jaringan yang ditempatkan antara dua jaringan yang bertindak sebagai "gateway" serta dirancang untuk mencegah akses yang tidak diinginkan dari atau ke dalam suatu jaringan internal.

Dibawah ini beberapa prinsip yang dibutuhkan firewall yang effektif

1. Firewall bertindak sebagai pintu dimana semua lalu lintas harus lewat (masuk dan keluar).
2. Firewall hanya mengizinkan lalu lintas resmi berlalu.
3. Firewall kebal terhadap penembusani atau kompromi.

Firewall bekerja dengan cara melacak dan mengendalikan jalannya data serta memutuskan aksi untuk melewatkan (pass), menjatuhkan (drop), menolak (reject), mengenkripsi atau melakukan pencatatan aktivitas (log) data. Firewall menjamin agar data sesuai dengan aturan (rule) yang terdapat di dalam kebijakan keamanannya (security policy) yaitu seperangkat aturan yang telah didefinisikan di dalam keamanan jaringan internal.

Umumnya, sebuah Firewall  diterapkan dalam sebuah mesin terdedikasi, yang berjalan pada gateway antara jaringan lokal dengan jaringan Internet.

Firewalls Pros

bersifat umum yang menjaga lalu lintas yang tidak diinginkan dan tidak sah yang dilewati (dalam atau luar), serta memiliki metode NAT dan Terdapat log yang digunakan untuk mengidentifikasi kejadian abnormal.

Firewall Cons

Firewall memiliki sebuah kekurangan yaitu penumpukan konfigurasi dalam satu tempat yang apabila ada kesalahan dalam konfigurasi dapat memungkinkan penyusup mampu masuk ke sistem kita.

Tipe-tipe Firewall

ada tiga tipe dasar dari firewall:

• Network Level Firewalls

1.Static Packet Filtering
Static Packet Filtering firewall menggunakan proses penyaringan paket masuk dan keluar untuk menolak atau memberi otorisasi akses. Kriteria untuk menolak atau mengizinkan akses dapat didasarkan pada alamat jaringan dari paket dan aturan lainnya seperti yang ditentukan oleh administrator jaringan. Itu firewall penyaringan paket statis yang paling banyak digunakan adalah router umum. Aturan penyaringan dipekerjakan untuk menentukan apakah menolak atau memberi otorisasi paket tidak dinamis.

2.Stateful Inspection / Dynamic Packet Filtering
Inspeksi stateful juga terjadi pada tingkat jaringan model OSI. Sebuah inspeksi stateful
packet filtering firewall juga menyaring paket, namun bisa memodifikasi aturan sesuai kebutuhan. Aturan "dinamis" agar bisa berubah, sesuai kondisi. Misalnya, stateful
firewall inspeksi mengingat paket keluar dan mengizinkan masuk yang sesuai
respon paket untuk dilewati. Ini hanya memungkinkan lalu lintas yang merupakan respons terhadap permintaan itu berasal dari jaringan dalam.

• Application Level Proxy (server proxy)

Firewall proxy tingkat aplikasi terkadang disebut sebagai gateway tingkat aplikasi.

Ini karena tujuan yang mereka layani adalah menyediakan gateway antara yang terpercaya dan tidak tepercaya jaringan yang melaluinya informasi bisa lewat. Proxy tingkat aplikasi beroperasi di tingkat koneksi melalui proxy interaktif yang mengendalikan berdirinya koneksi. Biasanya, proxy juga mengotentikasi pengguna dan memberi otorisasi sumber dan tujuan alamat dan izin atau menolak protokol. Agar berfungsi, server memerlukan proxy untuk setiap protokol (mis., FTP, HTTP, dan telnet). Itu proxy tingkat aplikasi harus mengetahui aplikasi tertentu yang disediakannya layanan. Ada proxy generik yang tersedia yang dapat digunakan untuk protokol yang tidak jelas, namun memanfaatkan mereka dapat memiliki efek yang merugikan pada throughput. Untuk mengoptimalkan kinerja, proxy dirancang khusus untuk berbagai protokol yang harus dipekerjakan.

• Circuit Level Proxy (server proxy)

Fungsi proxy tingkat sirkuit dengan menciptakan "rangkaian" antara klien dan server tanpa menafsirkan sifat atau substansi permintaan. Untuk berfungsi, dibutuhkan proxy level sirkuit bahwa sistem klien menjalankan perangkat lunak klien khusus. Salah satu layanan sirkuit yang paling banyak digunakan adalah SOCKS, yang dibahas di atas.

Packet Filters Versus Proxies

Secara umum, firewall packet-filtering cenderung memberikan kinerja yang lebih baik, dalam hal melaluis, dari pada proxy firewalls. Itu hanya masuk akal jika Anda memikirkan bagaimana keduanya berbeda dalam fungsinya. Filter paket cukup memeriksa paket dan meneruskannya, sementara Firewall proxy membutuhkan setup dan overhead yang lebih banyak. Secara umum, firewall proxy cenderung memberikan perlindungan yang lebih baik daripada filter paket. Namun, saya yakin ada banyak individu dan vendor yang akan mengambil pengecualian terhadap kedua pernyataan sebelumnya. Dengan kondisi Protokol, firewall tingkat jaringan umum lebih efektif dalam menangani protokol seperti telnet dan SMTP, sementara firewall proxy lebih baik pada protokol seperti FTP dan HTTP.

Firewall Configurations

Tidak ada satu cara untuk mengimplementasikan firewall. Ada banyak cara untuk menyebarkan komponen yang terdiri dari firewall. Ada sedikit perbedaan apakah pendekatan yang digunakan menggunakan packet filtering atau proxy. Banyak organisasi menggunakan kombinasi packet filtering dan proxy dalam konfigurasi firewall mereka. Arsitektur yang paling banyak diimplementasikan terdaftar sebagai berikut:
• Screening router;
• Bastion host;
• Host dual-homed;
• Host yang disaring;
• Subnet disaring.
Arsitektur yang tercantum di atas adalah konsep umum, dan tidak termasuk semua inklusif
saling eksklusif. Mereka adalah contoh yang saya gunakan untuk menggambarkan penerapan praktis dari teori.

Screening Router

Router screening mungkin adalah pendekatan paling sederhana yang dapat Anda gunakan untuk firewall jaringan Anda. Jika Anda menghubungkan jaringan perusahaan Anda ke Internet, Anda mungkin perlu router tetap. Biasanya, router dipasok oleh ISP anda. Router bisa memberikan yang murah dan tingkat keamanan yang berguna dengan memungkinkan Anda menyaring koneksi berdasarkan alamat IP dan protokolnya Sebagian besar perangkat lunak router hadir dengan kemampuan untuk memfilter lalu lintas. Ada juga paket perangkat lunak domain publik yang tersedia di Internet yang memungkinkan Anda untuk membuat router sendiri Salah satu freeware yang populer adalah IPFilter. IPFilter berjalan pada beberapa versi UNIX dan bisa memberi sistem host kemampuan penyaringan IP. Kode sumber dapat didownload dari sejumlahlokasi. Satu situs adalah University of Australia di http://coombs.anu.edu.au/~avalon/ipfilter.html. Alternatif murah lainnya untuk sistem berbasis PC adalah Drawbridge. Drawbridge bisa ubah sebagian besar PC dengan dua kartu jaringan menjadi router packet-filtering. Untuk menemukan salinannya download cukup gunakan salah satu dari banyak search engine internet. Pastikan keandalannya situs tempat Anda memilih untuk mendownload.

Gambar 12.2 mengilustrasikan cara fungsi penyaringan router.

Pada dasarnya, router memeriksa setiap paket yang coba dilewati. Pemeriksaan ini bisa terjadi baik untuk masuk maupun paket keluar berdasarkan aturan yang dimuat di router, paket tersebut dilewatkan melalui atau menjatuhkannya. Router screening kadang disebut sebagai router perbatasan karena mereka duduk di perbatasan yang memisahkan dua atau lebih jaringan.

Gambar 12.2: Fungsi penyaringan router.
Router screening tidak cukup untuk melindungi jaringan organisasi yang terhubung dengan jaringan internet. Seperti yang dinyatakan sebelumnya, router dirancang untuk mengarahkan lalu lintas, bukan menjadi firewall.

Bastion Host

Tuan rumah benteng agak lebih rumit daripada router penyaringan. Dalam istilah arsitektur,
sebuah benteng adalah bagian luar benteng. Biasanya bagian dari kastil yang menonjol terbuka dan digunakan untuk mempertahankan benteng. Di bioskop, benteng itu adalah bagian dari kastil yang darinya mereka akan menuangkan minyak mendidih ke tentara yang sedang mengepung kastil. Host benteng mendapat namanya dari fakta bahwa itu adalah bagian dari jaringan yang menempel terbuka dan digunakan untuk mempertahankan jaringan. Tuan rumah benteng adalah pertahanan luar jaringan itu tidak memungkinkan lalu lintas berlalu. Dengan host benteng Anda umumnya ingin menjalankan versi operasi yang telah dilucuti sistem, terlepas dari sistem operasi. Jika memungkinkan, Anda harus memodifikasi kernel sistem untuk menghapus utilitas dan fungsi yang tidak diperlukan. Hanya layanan yang dibutuhkan harus dijalankan, dan semua executable dan layanan lainnya harus dihapus. Dengan melakukan itu kamu mengurangi paparan Anda terhadap kerentanan sistem operasi tertentu. Misalnya, jika tidak Perlu ftp atau ping di host bastion Anda, maka jangan memilikinya. Jika Anda meninggalkan berbagai
Utilitas berfungsi, mereka akan digunakan oleh hacker. Secara umum, routing IP harus dinonaktifkan pada host benteng. Hal ini tidak biasa bagi internal
pengguna untuk benar-benar login ke host benteng untuk mengakses jaringan luar. Tentu saja ada, risiko yang terkait dengan pendekatan itu dalam individu yang tidak berwenang mungkin dapat melakukannya kompromi username dan password. Akibatnya, sangat penting sistem di jaringan internal seharusnya tidak mempercayai host benteng tersebut.
Karena tuan rumah benteng adalah sistem yang paling mudah diakses dunia luar, Anda harus melakukannya monitor terus-menerus dan bersiaplah untuk fakta bahwa hal itu mungkin dikompromikan. Hari ini Lingkungan, tuan rumah benteng dengan sendirinya tidak cukup. Langkah lainnya, seperti skrining router, harus ditempatkan di antara host benteng dan jaringan internal.

Gambar 12.3
mengilustrasikan konsep host benteng.
Gambar 12.3: host Bastion.

Dual-Homed Host

Sebuah host dual-homed nonrouting dapat dianggap sebagai tipe host benteng. Umumnya, dualhomed host adalah komputer dengan dua kartu jaringan terpasang. Satu kartu jaringan terhubung jaringan luar, dan kartu jaringan lainnya terhubung ke jaringan dalam. Itu disebut
"dual-homed" karena berada di dua jaringan sekaligus. Host dual-homed dapat melakukan fungsi router. Namun, untuk host dual-homed menjadi efektif, fungsi routing IP harus dinonaktifkan. Aliran lalu lintas IP langsung antara jaringan harus diblokir Lalu lintas antar jaringan harus dikendalikan oleh proxy. Kerentanan utama host dual-homed bisa menjadi administrasi. Mudah dibuat kesalahan konfigurasi sistem seperti itu dan itu bisa membuat lubang pada sistem yang memungkinkan lalu lintas yang tidak sah.

Gambar 12.4 mengilustrasikan host dual-homed.
Gambar 12.4: Host ganda

Screened Host

Pilihan lainnya adalah dengan menyebarkan host yang disaring. Gambar 12.6 mengilustrasikan host yang disaring. Dengan ini Konfigurasi, host adalah satu-satunya bagian firewall yang terhubung langsung ke internal jaringan. Host dilindungi oleh router screening yang menyediakan packet filtering. Router hanya akan mengizinkan beberapa jenis koneksi atau lalu lintas ke host benteng. Router adalah dikonfigurasi sehingga satu-satunya sistem pada jaringan internal yang akan menerima koneksi adalah tuan rumah benteng. Pengaturan ini bisa dikonfigurasi sehingga host adalah satu-satunya sistem pada jaringan internal dimana router dan sistem luar dapat membangun koneksi atau lihat Gambar 12.6: Host yang disaring. Bagian jaringan antara router screening dan host disebut sebagai "zona demiliterisasi" (DMZ). Istilah ini berasal dari zona penyangga yang memisahkan Utara Korea dan Korea Selatan. Di Korea, DMZ adalah tanah tanpa manusia yang dimaksudkan untuk memisahkan pihak yang berperang. Ini memberikan ukuran keamanan tambahan. Dengan firewall yang disediakan DMZ fungsi yang sama DMZ bukan bagian dari jaringan internal maupun eksternal. Umumnya, DMZ adalah zona penyangga antara router penyaringan dan host benteng. Namun, Anda dapat memiliki beberapa zona penyangga, seperti yang akan kita lihat saat kita melihat subnet yang disaring. Secara umum, host yang disaring memberikan tingkat perlindungan yang lebih besar kepada internal jaringan daripada host dual-homed saja. Host dual-homed mewakili satu titik saja Kegagalan, sedangkan host yang disaring menggunakan pendekatan dua tingkat.

Screened Subnet

Dengan konfigurasi host yang disaring, jika seorang hacker berhasil melewati router screening
dan mampu berkompromi dengan tuan rumah benteng, tidak ada yang bisa menghentikan peretasnya mengorbankan sisa jaringan. Risiko itu dikurangi dengan subnet yang disaring.
Sebuah subnet disaring menambahkan router tambahan, sehingga sandwich host bastion antara dua Router yang memisahkan jaringan internal dari jaringan luar. Ini membentuk terpisah subnetwork yang bertindak sebagai penghalang antara jaringan internal dan eksternal. Ini terpisah Subnet adalah penyangga yang bertindak sebagai DMZ yang memberikan perlindungan tambahan untuk internal jaringan. Gambar 12.7 mengilustrasikan konfigurasi subnet yang disaring.

Gambar 12.7: Konfigurasi subnet yang disaring.

Dengan subnet yang disaring, router eksterior atau perbatasan hanya berkomunikasi dengan pihak luar jaringan dan host benteng di subnet. Router eksterior tidak pernah diizinkan berkomunikasi langsung dengan router interior atau jaringan interior. Router interior berkomunikasi hanya dengan jaringan interior dan host benteng. Kedua router tidak pernah langsung berkomunikasi satu sama lain.Dalam konfigurasi ini, kedua router melakukan packet filtering. Host benteng memiliki IP routing dinonaktifkan dan menjalankan layanan proxy. Dengan jenis konfigurasi ini, router eksternal tersebut sering disediakan oleh ISP.
Membatasi Pengguna Akses ke Internet
Saat membahas fungsionalitas firewall, kebanyakan orang biasanya memperhatikannya
seberapa baik firewall membuat orang tidak masuk ke jaringan perusahaan. Namun, salah satunya
Fungsi terpenting yang disediakan oleh firewall adalah membatasi pengguna agar tidak keluar.
Firewall dapat diatur untuk membatasi pengguna internal mengakses pemandangan tertentu di
Internet atau dari mengakses internet sama sekali. Firewall dapat membatasi akses berdasarkan URL atau
isi dari pandangan Web. Salah satu program tersebut adalah perangkat lunak SmartFilter Secure Computing.
SmartFilter bukanlah firewall itu sendiri; Ini adalah produk perangkat lunak yang bisa bekerja sebagai bagian dari a
firewall Ingatlah bahwa firewall adalah kumpulan komponen yang bekerja sama. (Ini adalah
bukan rekomendasi dari perangkat lunak, tapi hanya sebuah contoh dari salah satu produk di atas
pasar.)
Dengan SmartFilter, akses internet pengguna akhir dikendalikan melalui database URL. Itu
Perangkat lunak SmartFilter berisi lebih dari 1.000.000 URL yang tidak terkait bisnis. Juga
menyediakan kemampuan untuk mendownload update ke database. Selain itu, database bisa jadi
disesuaikan oleh masing-masing organisasi.
Misalnya, di masa lalu menggunakan SmartFilter, saya telah mencoba mengakses URL
http://www.anonymizer.com, yang merupakan situs Web Anonymizer-dibahas di Bab 6. The
URL untuk Anonymizer tercantum dalam database sebagai situs terlarang. Akibatnya, pesannya
kembali bahwa SmartFilter telah menolak akses ke situs tersebut. Dalam kasus ini, alasan penolakannya adalah keliru terdaftar sebagai "konten seksual". Sebenarnya, Anonymizer tidak mengandung konten seksual. Namun, alasannya banyak organisasi memblokir akses ke Anonymizer dan pemandangan lainnya seperti sebagian karena Firewall mengalami kesulitan dengan koneksi terenkripsi. Situs Anonymizer menggunakan SSL untuk menyediakan kemampuan penjelajahan anonim. Dengan kebanyakan firewall perusahaan, untuk memungkinkan pengguna jaringan internal untuk terhubung ke situs luar dengan SSL, sebuah "terowongan" harus ditetapkan. Terowongan ini memungkinkan koneksi SSL melewati firewall. Firewall tidak bisa memonitor atau periksa isi koneksi SSL, karena dienkripsi. Dalam hal ini satu-satunya Hal yang bisa diketahui firewall adalah sumber dan alamat tujuannya. Akibatnya, jika pengguna akhir di bagian dalam firewall keluar melalui firewall ke situs yang telah dikonfigurasi untuk SSL, perangkat lunak pemantauan tidak dapat memeriksa paketnya. Biasanya, ini tidak akan menjadi masalah. Misalnya, jika Anda terhubung ke internet banking sistem untuk melakukan transaksi, tidak ada salahnya. Namun, jika Anda menggunakan SSL untuk pergi ke situs semacam itu sebagai Anonymizer yang menawarkan kemampuan browing anonim, maka Anda bisa melompati situs lain untuk melihat dan mendownload apapun yang Anda pilih terlepas dari perangkat lunak pemantauannya
di firewall Akibatnya, http://www.anonymizer.com sering menjadi situs yang dibatasi
organisasi yang memantau dan mengendalikan akses internet.

Produk Firewall

Produk firewall ini bisa berupa sistem multifungsi yang menawarkan kemampuan firewall dan mempermudah proses terhubung ke internet Produk yang tersedia antara lain Whistle InterJet, Cobalt Qube,FreeGate OneGate, dan WindDance Breeze. Sistem ini bisa memberikan perpaduan antara e-mail layanan, kemampuan server FTP, NAT, DHCP, DNS, dan bahkan VPN.

Umumnya, sistem ini berkisar dari harga sekitar $ 1.000 sampai $ 3.000. Beberapa datang dengan built-in router, dan beberapa tidak. Jika Anda mempertimbangkan salah satu sistem ini, Anda perlu mempertimbangkannya rekening apakah Anda harus membeli router atau tidak.
Contoh Produk Alternatif Firewall

1. TIS Firewall Toolkit
2. Toolkit Juniper Firewall
3. Freestone
4. Personal Firewall