Otázky a odpovědi týkající se produktů typu firewall

FW-001 Q: Co je firewall?
A: Firewall je bezpečnostní zařízení umístěné na hranici sítě, které monitoruje a kontroluje provoz vstupující do sítě a vystupující z ní. Na základě přednastavených bezpečnostních pravidel rozhoduje o povolení nebo zablokování konkrétní síťové komunikace a slouží jako první linie obrany v oblasti síťové bezpečnosti. Firewall může být hardwarové zařízení, softwarový program nebo cloudová služba.

FW-002 Q: Jaké jsou hlavní funkce firewallu?
A: Mezi hlavní funkce firewallu patří:

• Filtrování paketů: Kontrola zdrojových/cílových IP adres a portů paketů;

• Stavová inspekce: Sledování stavů připojení a povolení pouze návratového provozu pro legitimní připojení;

• NAT překlad: Skrytí struktury vnitřní sítě;

• Identifikace aplikací: Identifikace a řízení konkrétních aplikací (např. WeChat, P2P stahování);

• Intrusion Prevention System (IPS): Detekce a blokování útočného provozu;

• VPN: Poskytování bezpečného vzdáleného přístupu.

FW-003 Q: Jaký je rozdíl mezi firewallem a antivirovým softwarem?
A: Firewall pracuje na síťové vrstvě a funguje jako „vrátný“ – kontroluje, jaký provoz může vstoupit do sítě a opustit ji, a brání vnějším útočníkům v proniknutí do sítě. Antivirový software pracuje na úrovni hostitele a funguje jako „skener“ – detekuje a odstraňuje malware, který se již dostal do systému. Jsou komplementární: firewally brání vniknutí, antiviry chrání před viry.

FW-004 Q: Jaký je rozdíl mezi hardwarovým a softwarovým firewallem?
A: Hardwarový firewall je specializované fyzické zařízení s vysokým výkonem a silnou stabilitou, vhodné pro podnikové nasazení. Softwarový firewall je software běžící na univerzálním operačním systému (např. Windows Firewall, iptables), s nízkými náklady a vysokou flexibilitou, vhodný pro osobní nebo virtualizovaná prostředí. Hardwarové firewally mají vyšší propustnost, softwarové firewally jsou flexibilnější.

FW-005 Q: Co je Next-Generation Firewall (NGFW)?
A: Next-Generation Firewall (NGFW) přidává k tradičním firewallům pokročilé funkce, jako je identifikace aplikací, Intrusion Prevention System (IPS) a integrace threat intelligence. Dokáže identifikovat protokoly aplikační vrstvy (např. rozlišit, zda HTTP provoz pochází z WeChatu nebo Douyin), místo aby se díval pouze na IP adresy a porty.

FW-006 Q: Co je cloudový firewall?
A: Cloudový firewall je služba firewallu nasazená v cloudovém prostředí, obvykle poskytovaná jako SaaS. Chrání cloudové prostředky (jako cloudové servery a VPC sítě), podporuje elastické škálování, platby podle využití a je nativně integrován s cloudovou platformou. Cloudové firewally nespotřebovávají místní hardwarové prostředky a jsou vhodné pro cloud-native architektury.

FW-007 Q: Co je Web Application Firewall (WAF)?
A: Web Application Firewall (WAF) je firewall speciálně navržený pro ochranu bezpečnosti webových aplikací, pracující na aplikační vrstvě (vrstva 7). Dokáže identifikovat webové útoky, jako jsou SQL injection, Cross-Site Scripting (XSS) a CSRF, a chránit weby před hackery. WAF se obvykle nasazuje před webovými servery.

FW-008 Q: Co je princip „default deny“ u firewallu?
A: Princip „default deny“ je základní bezpečnostní princip v konfiguraci firewallu – pokud není výslovně povoleno, je veškerý provoz ve výchozím nastavení zakázán. Na rozdíl od „default allow“ princip default deny výrazně snižuje útočnou plochu tím, že otevírá pouze porty a služby nezbytné pro podnikání a vše ostatní blokuje.

FW-009 Q: Jak vybrat firewall?
A: Úvahy při výběru:

• Výkon: Zda propustnost, souběžná připojení a nová připojení za sekundu odpovídají obchodním potřebám;

• Funkce: Zda jsou vyžadovány pokročilé funkce, jako je IPS, identifikace aplikací a VPN;

• Scénář nasazení: Hardware pro perimetrové firewally, cloudový firewall pro cloudová prostředí;

• Značka: Huawei, Sangfor, Hillstone atd.;

• Rozpočet: Od několika tisíc do stovek tisíc CNY. Changfan IPC doporučuje ověřit konfigurace na základě rozsahu podnikání, počtu portů, chladicích podmínek a kompatibility softwaru; pro hardwarové platformy firewallů podnikové třídy je k dispozici podpora výběru a přizpůsobení podle požadavků projektu, přičemž parametry a ceny podléhají nejnovějším specifikacím.

FW-010 Q: Jaký firewall se doporučuje pro malé a střední podniky?
A: Pro malé a střední podniky se doporučují integrovaná UTM zařízení nebo vstupní NGFW, jako jsou řady Huawei USG, Sangfor AF, Hillstone SG atd. Tato zařízení integrují firewall, IPS, antivirus, VPN a další funkce do jedné krabice a nabízejí vysoký poměr cena/výkon. Rozpočet přibližně 5 000–30 000 CNY. V praxi může Changfan IPC vyhodnotit rozhraní, spotřebu energie, teplotu a potřeby rozšíření pro hardwarové platformy firewallů podnikové třídy na základě skutečných scénářů; před dokončením konfigurace se doporučuje potvrdit kompatibilitu softwaru.

FW-011 Q: Je vyhrazený domácí firewall nezbytný?
A: Pro běžné domácí uživatele postačují funkce firewallu zabudované v optickém modemu nebo routeru. Pokud neexistují speciální potřeby (například vystavení NAS služeb internetu s veřejnou IP a otevřenými porty), samostatný hardwarový firewall není nutný. Pro nákup hardwarových platforem firewallů podnikové třídy může Changfan IPC poskytnout ověření konfigurace, testování vzorků a podporu přizpůsobení projektu; ceny a termíny dodání podléhají aktuálním nabídkám a smluvním podmínkám.

FW-012 Q: Jaká je přibližná cena firewallu?
A:

• Vstupní úroveň (SOHO/domácí): 500–2 000 CNY;

• Malé a střední podniky: 5 000–50 000 CNY;

• Střední až velké podniky: 50 000–500 000 CNY;

• High-end datacentrová úroveň: 500 000 až několik milionů CNY. Konkrétní ceny závisí na propustnosti, souběžných připojeních, funkčních modulech a značce. Changfan IPC doporučuje ověřit konfigurace na základě rozsahu podnikání, počtu portů, chladicích podmínek a kompatibility softwaru; pro hardwarové platformy firewallů podnikové třídy je k dispozici podpora výběru a přizpůsobení podle požadavků projektu, přičemž parametry a ceny podléhají nejnovějším specifikacím.

FW-013 Q: Jaké jsou značky firewallů?
A: Mezinárodní značky: Palo Alto Networks, Fortinet, Cisco, Check Point, Juniper; Domácí značky: Huawei, Sangfor, Hillstone, Topsec, NSFOCUS, QiAnXin, H3C. Vládní a podnikoví zákazníci by měli upřednostnit domácí značky, aby splnili požadavky na shodu. V praxi může Changfan IPC vyhodnotit rozhraní, spotřebu energie, teplotu a potřeby rozšíření pro hardwarové platformy firewallů podnikové třídy na základě skutečných scénářů; před dokončením konfigurace se doporučuje potvrdit kompatibilitu softwaru.

FW-014 Q: Jaké jsou režimy nasazení firewallu?
A: Firewally mají dva hlavní režimy nasazení:

• Směrovací režim: Firewall funguje jako brána vrstvy 3, propojuje různé síťové segmenty a provádí směrování a NAT;

• Transparentní režim: Firewall pracuje na vrstvě 2 jako „síťový kabel“, bez změny topologie sítě, plug-and-play. Bypass režim (zrcadlová analýza bez blokování) je také speciální metodou nasazení.

FW-015 Q: Nasazuje se firewall před nebo za routerem?
A: Obvykle za routerem a před hlavním přepínačem. Typická topologie: Internet → Router → Firewall → Hlavní přepínač → Interní servery/koncové body. Firewall zajišťuje bezpečnostní filtrování, zatímco router zajišťuje směrování a předávání.

FW-016 Q: Jak nakonfigurovat vysokou dostupnost (HA) firewallu?
A: Vysoká dostupnost (HA) využívá dva firewally k vytvoření clusteru active-standby, s jedním aktivním a jedním záložním. Když aktivní zařízení selže, záložní zařízení automaticky převezme s milisekundovým přepnutím. Mezi běžné režimy patří A/S (active-standby) a A/A (load balancing).

FW-017 Q: Co je bezpečnostní zóna na firewallu?
A: Bezpečnostní zóna je logická partition na firewallu používaná k rozdělení sítě do různých úrovní zabezpečení. Běžné zóny: Untrust (externí, nízká bezpečnost), Trust (interní, vysoká bezpečnost), DMZ (demilitarizovaná zóna, pro veřejně přístupné servery). Provoz mezi různými zónami je řízen bezpečnostními zásadami.

FW-018 Q: Jak nakonfigurovat bezpečnostní zásady firewallu?
A: Konfigurace bezpečnostních zásad se řídí principem „první shoda, první provedení“. Kroky konfigurace:

• Definujte zdrojové/cílové bezpečnostní zóny;

• Definujte zdrojové/cílové IP adresy;

• Definujte služby (porty/protokoly);

• Definujte akce (povolit/zakázat);

• Nakonfigurujte pořadí zásad, přičemž přesná pravidla umístěte před obecná.

FW-019 Q: Jak nakonfigurovat NAT na firewallu?
A: Konfigurace NAT obvykle zahrnuje:

• Source NAT (SNAT): Když vnitřní sítě přistupují k vnější síti, soukromé IP adresy se překládají na veřejné IP adresy;

• Destination NAT (DNAT): Když vnější sítě přistupují k interním službám, veřejná IP+port se mapuje na interní server IP+port. Konfigurujte zadáním IP adres a portů před a po překladu.

FW-020 Q: Jak otevřít porty na firewallu?
A: Kroky pro otevření portů:

• Vytvořte bezpečnostní zásadu povolující externí přístup ke konkrétním portům;

• Nakonfigurujte Destination NAT (DNAT) pro mapování veřejné IP:port na interní server IP:port;

• Zkontrolujte pořadí zásad, abyste zajistili, že pravidla povolení jsou před pravidly zamítnutí.

FW-021 Q: Jak nastavit whitelisty a blacklisty na firewallu?
A: Whitelist: Pouze IP adresy/uživatelé na seznamu mají povolen přístup; všichni ostatní jsou zamítnuti – vysoká bezpečnost, ale nízká flexibilita. Blacklist: IP adresy/uživatelé na seznamu jsou blokováni; všichni ostatní jsou povoleni – snadné ovládání, ale nižší bezpečnost. Obvykle definujte seznamy IP v adresních objektech a poté na ně odkazujte v bezpečnostních zásadách.

FW-022 Q: Jak používat funkci Intrusion Prevention System (IPS) firewallu?
A: Po povolení IPS firewall detekuje v reálném čase útočné signatury v provozu (jako SQL injection, brute-force útoky, zneužití zranitelností) a může provádět akce, jako je blokování, upozornění nebo resetování připojení. Doporučení: Začněte v režimu „Alert“ na jeden týden a po potvrzení žádných falešných poplachů přepněte do režimu „Block“.

FW-023 Q: K čemu slouží identifikace aplikací na firewallu?
A: Identifikace aplikací umožňuje firewallu rozpoznat konkrétní aplikace (jako WeChat, DingTalk, Douyin, BT stahování), nejen IP adresy a porty. Můžete implementovat jemnozrnné řízení konkrétních aplikací, například „povolit WeChat, ale zakázat přenos souborů“ nebo „zakázat P2P stahování během pracovní doby“.

FW-024 Q: Co dělat, když firewall povolí port, ale služba je stále nedostupná?
A: Kroky řešení problémů:

• Zkontrolujte pořadí zásad – zda dřívější pravidlo zamítnutí nepřebíjí pravidlo povolení;

• Zkontrolujte správnost konfigurace NAT;

• Zkontrolujte, zda místní firewall serveru otevřel příslušný port;

• Zkontrolujte, zda je trasa dosažitelná;

• Zobrazte tabulku relací firewallu pro potvrzení, zda provoz odpovídá správné zásadě.

FW-025 Q: Jak řešit síťové zpoždění/vysokou latenci způsobenou firewallem?
A:

• Zkontrolujte, zda využití CPU/paměti na firewallu není příliš vysoké;

• Zkontrolujte, zda se souběžná připojení neblíží limitu zařízení;

• Zkontrolujte, zda není povoleno příliš mnoho funkcí hloubkové inspekce (IPS, antivirus); zkuste je dočasně zakázat pro testování;

• Zkontrolujte smyčky nebo broadcastové bouře;

• Zkontrolujte protokoly na abnormální provoz.

FW-026 Q: Co dělat, když firewall omylem zablokuje legitimní obchodní provoz?
A:

• Zkontrolujte protokoly firewallu pro identifikaci charakteristik blokovaného provozu (zdrojová IP, cílová IP, port, aplikace);

• Přidejte zásadu povolení pro přesné povolení tohoto obchodního provozu;

• Pokud jde o falešný poplach IPS, nakonfigurujte whitelist IPS pro tuto zdrojovou IP;

• Pravidelně aktualizujte databázi signatur pro snížení falešných poplachů.

FW-027 Q: Co dělat, když je tabulka relací firewallu plná?
A: Plná tabulka relací je obvykle způsobena:

• Infikovaným zařízením ve vnitřní síti generujícím mnoho abnormálních připojení;

• P2P stahováním spotřebovávajícím velké množství připojení;

• Nedostatečným výkonem firewallu. Řešení:

• Identifikujte zdroj abnormálního provozu;

• Upravte časové limity relací pro zrychlení stárnutí;

• Upgradujte zařízení nebo zvyšte kapacitu tabulky relací.

FW-028 Q: Co dělat, když firewall nemá přístup k internetu?
A:

• Zkontrolujte konektivitu mezi firewallem a routerem;

• Zkontrolujte, zda jsou zásady NAT správně nakonfigurovány;

• Zkontrolujte, zda bezpečnostní zásady povolují provoz z vnitřní do vnější sítě;

• Zkontrolujte, zda je směrovací tabulka správná;

• Dočasně nastavte firewall na „povolit vše“ pro testování, zda jde o problém zásad.

FW-029 Q: Co dělat, když selže VPN připojení firewallu?
A:

• Zkontrolujte, zda konfigurace VPN (předem sdílený klíč, metoda autentizace) odpovídají;

• Zkontrolujte, zda firewall povoluje VPN porty (např. UDP 500/4500 pro IPSec);

• Zkontrolujte, zda je povolen NAT traversal;

• Zkontrolujte, zda jsou trasy na obou koncích dosažitelné;

• Zkontrolujte protokoly VPN pro konkrétní chybové zprávy.

FW-030 Q: Jaký je rozdíl mezi IPSec VPN a SSL VPN na firewallu?
A: IPSec VPN je vhodný pro propojení site-to-site, vytváří tunel na síťové vrstvě pro propojení sítí na obou koncích. SSL VPN je vhodný pro vzdálený přístup uživatelů prostřednictvím prohlížeče nebo klienta, bez nutnosti speciálního klientského softwaru. SSL VPN je vhodnější pro scénáře mobilní práce.

FW-031 Q: Jak zobrazit a analyzovat protokoly firewallu?
A: Protokoly firewallu zahrnují provozní protokoly, bezpečnostní protokoly a systémové protokoly. Způsoby zobrazení:

• Zobrazte protokoly v reálném čase prostřednictvím webového rozhraní pro správu;

• Nakonfigurujte server Syslog pro centralizované ukládání a analýzu;

• Použijte platformu pro analýzu zabezpečení (např. Huawei SecoManager) pro korelační analýzu. Protokoly by měly být uchovávány po dobu nejméně 6 měsíců, aby splňovaly požadavky na shodu.

FW-032 Q: Jak zálohovat a obnovit konfigurace firewallu?
A:

• Exportujte konfigurační soubor (obvykle formát .conf nebo .xml) prostřednictvím webového rozhraní pro správu;

• Uložte jej lokálně nebo na vzdálený server;

• Pro obnovení nahrajte záložní soubor prostřednictvím stejného rozhraní;

• Některá zařízení podporují plánované automatické zálohy na servery FTP/SFTP. Před upgradem firmwaru vždy zálohujte konfigurace.

FW-033 Q: Jak upgradovat firmware firewallu?
A:

• Stáhněte nejnovější firmware pro model z oficiálních stránek výrobce;

• Nahrajte soubor firmwaru prostřednictvím webového rozhraní pro správu;

• Během upgradu nevypínejte napájení;

• Po dokončení upgradu restartujte zařízení;

• Ověřte, zda bezpečnostní zásady fungují správně. Před upgradem vždy zálohujte aktuální konfiguraci.

FW-034 Q: Co dělat, když je zapomenuto heslo firewallu?
A:

• Zkuste výchozí heslo (např. admin/admin; konkrétní údaje naleznete v manuálu);

• Některá zařízení podporují obnovení hesla prostřednictvím konzolového portu;

• Kontaktujte technickou podporu výrobce nebo místního distributora pro pomoc.

FW-035 Q: Jaké rutinní kontroly je třeba provádět u firewallu?
A: Doporučené týdenní kontroly:

• Využití CPU/paměti/tabulky relací;

• Zda jsou firmware a databáze signatur aktuální;

• Zda protokoly neobsahují abnormální upozornění;

• Teplota zařízení a stav ventilátorů;

• Zda pravidla zásad neobsahují nadbytečné nebo vypršelé položky.

FW-036 Q: Jak chránit firewall před útoky?
A:

• Povolte DDoS ochranu;

• Nakonfigurujte blacklisty pro blokování známých škodlivých IP adres;

• Pravidelně aktualizujte databáze signatur IPS;

• Zavřete nepotřebné porty a služby;

• Povolte porty pro správu (např. WEB/SSH) pouze z konkrétních IP adres;

• Povolte dvoufaktorovou autentizaci (pokud je podporována).

FW-037 Q: Co je Access Control List (ACL) na firewallu?
A: ACL (Access Control List) je klíčová komponenta firewallu, skládající se ze série pravidel. Každé pravidlo definuje podmínky shody (zdrojová IP, cílová IP, port atd.) a akci (povolit/zakázat). ACL se porovnávají v pořadí, přičemž platí první odpovídající pravidlo.

FW-038 Q: Jaké jsou výchozí přihlašovací údaje správce firewallu?
A: Výchozí údaje se liší podle značky: Huawei USG série výchozí admin/Admin@123; Sangfor AF série výchozí admin/admin; Hillstone výchozí hillstone/hillstone. Důležité: Při prvním použití vždy změňte výchozí heslo – je to základní bezpečnostní požadavek.

FW-039 Q: Jak nasadit firewall v datovém centru?
A: Firewally v datových centrech se obvykle nasazují na vstupech sever-jih provozu (přístup k internetu) a na cestách východ-západ provozu (mezi různými obchodními zónami). Běžná schémata nasazení:

• Perimetrový firewall chrání celé datové centrum;

• Zónové firewally izolují různé bezpečnostní zóny (např. webová zóna, databázová zóna);

• Virtuální firewally (vFW) chrání cloudové tenanty. Changfan IPC doporučuje ověřit konfigurace na základě rozsahu podnikání, počtu portů, chladicích podmínek a kompatibility softwaru; pro hardwarové platformy firewallů podnikové třídy je k dispozici podpora výběru a přizpůsobení podle požadavků projektu, přičemž parametry a ceny podléhají nejnovějším specifikacím.

FW-040 Q: Jak nasadit firewall v cloudovém prostředí?
A: Cloudové firewally se obvykle nasazují jako virtualizované instance:

• Nasaďte instance cloudového firewallu na hranici VPC cloudové platformy;

• Zkombinujte bezpečnostní skupiny s cloudovými firewally pro obranu do hloubky;

• Podporujte automatické elastické škálování;

• Integrujte se službou protokolů cloudové platformy pro jednotný bezpečnostní provoz. V praxi může Changfan IPC vyhodnotit rozhraní, spotřebu energie, teplotu a potřeby rozšíření pro hardwarové platformy firewallů podnikové třídy na základě skutečných scénářů; před dokončením konfigurace se doporučuje potvrdit kompatibilitu softwaru.

FW-041 Q: Jak firewall splňuje požadavky na shodu s MLPS?
A: Požadavky MLPS 2.0 na firewally:

• Musí být nasazeny na hranicích sítě (zabezpečení hranic regionu);

• Musí mít funkce řízení přístupu (ACL);

• Musí mít funkce detekce/prevenci průniku (IDS/IPS);

• Musí mít funkce auditování protokolů, s protokoly uchovávanými po dobu nejméně 6 měsíců;

• Mělo by být použito domácí vybavení (pro Level 3 MLPS). Pro nákup hardwarových platforem firewallů podnikové třídy může Changfan IPC poskytnout ověření konfigurace, testování vzorků a podporu přizpůsobení projektu; ceny a termíny dodání podléhají aktuálním nabídkám a smluvním podmínkám.

FW-042 Q: Jak používat firewall v průmyslových řídicích (OT) scénářích?
A: Při nasazování firewallů v OT scénářích (např. továrny, energetické sítě) dbejte na následující:

• Používejte průmyslový hardware podporující široké teplotní rozsahy a odolnost proti prachu;

• Podporujte identifikaci průmyslových protokolů (jako Modbus, S7, OPC atd.);

• Vyhněte se hloubkové inspekci, která ovlivňuje výkon v reálném čase;

• Nasaďte v transparentním režimu pro minimalizaci dopadu na síť. Changfan IPC doporučuje ověřit konfigurace na základě rozsahu podnikání, počtu portů, chladicích podmínek a kompatibility softwaru; pro hardwarové platformy firewallů podnikové třídy je k dispozici podpora výběru a přizpůsobení podle požadavků projektu, přičemž parametry a ceny podléhají nejnovějším specifikacím.

FW-043 Q: Zaručuje firewall úplnou bezpečnost?
A: Ne. Firewall je pouze první linií obrany v síťové bezpečnosti a nedokáže se bránit všem hrozbám:

• Nedokáže zabránit úniku interních dat;

• Nedokáže se bránit škodlivému provozu přenášenému přes šifrované kanály (jako HTTPS) (vyžaduje SSL dešifrování);

• Nedokáže se bránit útokům zero-day (vyžaduje threat intelligence a sandboxing). Obrana do hloubky je správný přístup.

FW-044 Q: Je více pravidel firewallu vždy bezpečnější?
A: Ne nezbytně. Příliš mnoho pravidel může způsobit problémy:

• Chaos ve správě, potenciálně konfliktní pravidla vedoucí k mezerám v ochraně;

• Snížená efektivita porovnávání, ovlivňující výkon firewallu;

• Obtížné auditování a optimalizace. Doporučuje se pravidelně čistit nadbytečná pravidla a udržovat sadu pravidel stručnou a uspořádanou.

FW-045 Q: Povoluje zásada „permit all“ na firewallu veškerý provoz?
A: Ano, ale zásada „permit all“ je extrémně nebezpečná – činí firewall prakticky nepoužitelným. Správnou praxí je dodržovat princip „default deny“ a povolit pouze provoz nezbytný pro podnikání. Jakákoli příliš permisivní zásada výrazně zvyšuje bezpečnostní rizika.

FW-046 Q: Jsou open-source firewally (jako pfSense) horší než komerční firewally?
A: Ne nezbytně. Open-source firewally (jako pfSense, OPNsense) jsou funkčně bohaté a vhodné pro cenově citlivé malé a střední podniky a technické nadšence. Komerční firewally však mají výhody:

• Profesionální poprodejní podpora;

• Rychlá reakce na threat intelligence;

• Certifikace shody (např. MLPS). Oba mají své vhodné scénáře.

FW-047 Q: Je vyšší propustnost firewallu vždy lepší?
A: Ne nezbytně. Propustnost by měla odpovídat šířce pásma sítě – 1000M širokopásmové připojení potřebuje pouze firewall s propustností 1000M. Příliš vysoká propustnost znamená vyšší náklady a potenciální plýtvání rozpočtem. Při výběru také zvažte, zda souběžná připojení a nová připojení za sekundu odpovídají obchodním potřebám.

FW-048 Q: Co znamená stavová inspekce na firewallu?
A: Stavová inspekce znamená, že firewall nekontroluje pouze jednotlivé pakety, ale také sleduje stav celého připojení (TCP three-way handshake, sekvenční čísla atd.). Povolen je pouze návratový provoz patřící k navázaným připojením, což účinně chrání před IP spoofingem a dalšími útoky. Jedná se o základní funkci moderních firewallů.

FW-049 Q: Co je Deep Packet Inspection (DPI) na firewallu?
A: DPI (Deep Packet Inspection) je technologie, při níž firewall zkoumá obsah užitečného zatížení paketů, nejen hlavičky. Prostřednictvím DPI může firewall identifikovat typy aplikací (WeChat, BT, video), detekovat malware, odhalovat úniky dat a další. DPI však spotřebovává značné množství prostředků CPU, což vyžaduje rovnováhu mezi výkonem a detekcí.

FW-050 Q: Co je UTM na firewallu?
A: UTM (Unified Threat Management) integruje více bezpečnostních funkcí – firewall, IPS, antivirus, anti-spam, VPN atd. – do jednoho zařízení. UTM je vhodný pro malé a střední podniky, protože jedno zařízení řeší více bezpečnostních problémů. NGFW je evolucí UTM s větším důrazem na identifikaci aplikací a inteligentní integraci.

FW-051 Q: Může firewall bránit DDoS útokům?
A: Firewally mohou bránit některým DDoS útokům (např. SYN Flood, ICMP Flood). U rozsáhlých DDoS útoků (např. stovky Gbps provozu) se však firewall sám stává úzkým hrdlem. Takové scénáře vyžadují profesionální DDoS scrubbing zařízení nebo cloudové scrubbing služby.

FW-052 Q: Jak nakonfigurovat SSL dešifrování na firewallu?
A: Kroky konfigurace SSL dešifrování:

• Importujte CA certifikát na firewall;

• Nakonfigurujte zásady SSL dešifrování, určete, který provoz má být dešifrován (např. HTTPS);

• Nastavte klientská zařízení, aby důvěřovala CA certifikátu firewallu. Po SSL dešifrování může firewall kontrolovat šifrovaný provoz na škodlivý obsah. Poznámka: SSL dešifrování zahrnuje otázky soukromí a musí být v souladu s místními zákony a předpisy.

FW-053 Q: Jak firewall integruje se security situational awareness?
A: Firewall odesílá bezpečnostní protokoly a upozornění na hrozby platformě situational awareness. Platforma provádí korelační analýzu a při detekci abnormálního chování vydává firewallu blokovací zásady, což umožňuje automatizovanou bezpečnostní odezvu. Tato integrace je standardním požadavkem pro moderní bezpečnostní provoz.

FW-054 Q: Jak firewall podporuje architekturu zero trust?
A: V architektuře zero trust firewall funguje jako „policy enforcement point“:

• Vnitřní síť již není důvěryhodná – veškerý provoz vyžaduje bezpečnostní kontrolu;

• Jemnozrnné řízení přístupu na základě identity uživatele a stavu zařízení;

• Nepřetržité monitorování a vyhodnocování úrovně rizika každého připojení s dynamickým úpravou oprávnění.