חומת אש היא לא קופסה. היא מדיניות שמישהו מתחזק

אין תשובה אחת, ומי שנותן לכם אחת בלי לשאול שאלות מוכר לכם את מה שנוח לו למכור. אנחנו שותפים רשמיים של Fortinet, של Sophos ושל Palo Alto Networks — כלומר אין לנו אינטרס לדחוף מותג מסוים. הבחירה נגזרת מארבעה דברים: כמה אתרים יש ואיך הם מחוברים, מי יתפעל את המערכת ביום‑יום, מה כבר מותקן ואיזו מדיניות רצה עליו, ואילו דרישות רגולציה או דרישות של לקוחות הארגון צריך לעמוד בהן.

שלוש סיבות אמיתיות: הציוד הגיע לסוף תמיכה מהיצרן ולא מקבל עוד עדכוני אבטחה; הארגון גדל והחומרה כבר לא עומדת בעומס או במספר החיבורים; או שהמדיניות הצטברה לאורך שנים עד שאיש כבר לא יודע מה כל כלל עושה. הסיבה השלישית היא הנפוצה ביותר, והיא גם היחידה שהחלפת קופסה לבדה לא פותרת — צריך למפות את המדיניות ולבנות אותה מחדש לפי מה שנדרש היום.

העבודה נעשית בשלבים ולא בלילה אחד. קודם ממפים את המדיניות הקיימת ומתרגמים אותה לכללים שמישהו יכול להסביר; אחר כך מקימים את החומה החדשה במקביל לקיימת; אחר כך מעבירים קבוצות תעבורה אחת‑אחת, כשלכל שלב יש נתיב חזרה מוגדר. חלון ההשבתה בפועל מצטמצם למעבר עצמו. את לוח הזמנים אנחנו קובעים מול הארגון אחרי האפיון, לא לפניו.

חומת אש בשוליים חוסמת מה שמנסה להיכנס מבחוץ. סגמנטציה קובעת מה יכול לזוז בפנים. רוב האירועים החמורים לא מתחילים בפריצה דרך הקיר אלא בתחנה אחת שנדבקה — ומה שקובע אם זה נשאר אירוע אחד או הופך לאירוע ארגוני הוא האם השרתים, מערכות הייצור ותחנות המשתמשים יושבים באותו מרחב או מופרדים. זה החלק שהכי הרבה ארגונים מדלגים עליו, והוא בדרך כלל הזול מבין השניים.

כל אתר מקבל בקרה משלו ומדיניות אחידה שמנוהלת מרכזית, במקום להיות מחובר ישירות פנימה. כך תקלה או אירוע בסניף אחד לא הופכים אוטומטית לאירוע של כל הארגון. ב‑Ariston הקמנו בדיוק את זה: עשרה סניפים תחת מדיניות אבטחה אחת, מנוהלת מרכזית, על תשתית Sophos.

שניהם, ומחליטים על זה מראש. יש ארגונים שבהם הצוות הפנימי מתפעל ואנחנו מלווים ומתערבים בשינויים גדולים; ויש ארגונים שבהם הניהול השוטף כולו אצלנו — עדכוני גרסה כשינוי מבוקר, שינויי מדיניות מתועדים, מעקב אחר התראות וטיפול בתקלות חומרה מול היצרן. התמיכה ניתנת לצד שאר שכבות התשתית.

חומת אש קלאסית מחליטה לפי כתובת ופורט: מי מדבר עם מי ובאיזה ערוץ. חומת אש מהדור הבא (NGFW) מסתכלת גם על מה עובר בערוץ — איזו אפליקציה זו בפועל, מי המשתמש שמריץ אותה, ומה יש בתוך התעבורה המוצפנת. בפועל כל שלוש הפלטפורמות שאנחנו עובדים איתן הן NGFW; השאלה המעשית היא לא אם, אלא כמה מהיכולות האלה באמת מופעלות אצלכם — הרבה ארגונים משלמים על רישיון שרץ בהגדרות ברירת מחדל.

לא, וזו הטעות הנפוצה ביותר. חומת אש עוצרת מה שמגיע דרך הרשת; רוב האירועים היום נכנסים דרך משתמש — קובץ שנפתח, פישינג שהצליח, סיסמה שדלפה — ומתחילים כבר מבפנים. השכבה שמטפלת בזה היא הגנת הקצה, והשכבה שקובעת כמה נזק נגרם היא הגיבוי. אנחנו מתכננים את שלושתן יחד, ולא כשלושה מוצרים נפרדים שנקנו בשלוש שנים שונות.