ฮาร์ดแวร์ไฟร์วอลล์ Vs ซอฟต์แวร์ไฟร์วอลล์ (IP Tables, RHEL)

บริษัท โฮสติ้งของฉันบอก IPTables ไม่มีประโยชน์และไม่ให้การป้องกันใด ๆ นี่เป็นเรื่องโกหกหรือเปล่า?

TL; DR
ฉันมีเซิร์ฟเวอร์ที่อยู่ร่วมกันสองแห่ง เมื่อวานนี้ บริษัท DC ของฉันติดต่อฉันเพื่อบอกฉันว่าเพราะฉันใช้ซอฟต์แวร์ไฟร์วอลล์เซิร์ฟเวอร์ของฉันคือ "เสี่ยงต่อการคุกคามด้านความปลอดภัยที่สำคัญหลายครั้ง" และโซลูชันปัจจุบันของฉันเสนอ "ไม่ป้องกันการโจมตีรูปแบบใด ๆ "

พวกเขาบอกว่าฉันจะต้องได้รับการทุ่มเทของซิสโก้ไฟร์วอลล์ ($ 1000 ติดตั้งแล้ว $ 200 / เดือนแต่ละ ) เพื่อป้องกันเซิร์ฟเวอร์ของฉัน ฉันมักจะรู้สึกว่าในขณะที่ไฟร์วอลล์ฮาร์ดแวร์มีความปลอดภัยมากขึ้นบางอย่างเช่น IPTables บน RedHat ให้การป้องกันที่เพียงพอสำหรับเซิร์ฟเวอร์ของคุณโดยเฉลี่ย

เซิร์ฟเวอร์ทั้งสองเป็นเพียงเว็บเซิร์ฟเวอร์ไม่มีความสำคัญอะไรกับพวกเขา แต่ฉันใช้ IPTables เพื่อล็อค SSH ไปยังที่อยู่คงที่ของฉันและบล็อกทุกอย่างยกเว้นพอร์ตพื้นฐาน (HTTP (S), FTP และบริการมาตรฐานอื่น ๆ )

ฉันจะไม่ได้รับไฟร์วอลล์ถ้าอีเธอร์ของเซิร์ฟเวอร์ถูกแฮ็กมันจะไม่สะดวก แต่สิ่งที่พวกเขาทำงานคือเว็บไซต์ WordPress และ Joomla เพียงไม่กี่ดังนั้นฉันไม่คิดว่ามันคุ้มค่ากับเงินที่จ่ายไป

ไฟร์วอลล์ฮาร์ดแวร์กำลังเรียกใช้ซอฟต์แวร์ด้วยความแตกต่างที่แท้จริงเพียงอย่างเดียวก็คืออุปกรณ์นั้นมีวัตถุประสงค์เพื่อสร้างและอุทิศให้กับงาน ไฟร์วอลล์ซอฟต์แวร์บนเซิร์ฟเวอร์นั้นมีความปลอดภัยเท่ากับไฟร์วอลล์ฮาร์ดแวร์เมื่อตั้งค่าไว้อย่างถูกต้อง (โปรดทราบว่าโดยทั่วไปไฟร์วอลล์ฮาร์ดแวร์จะ 'ง่ายกว่า' ถึงระดับนั้นและไฟร์วอลล์ซอฟต์แวร์จะ 'ง่ายขึ้น' ในการทำให้เสีย)

หากคุณใช้ซอฟต์แวร์ที่ล้าสมัยอาจมีช่องโหว่ที่ทราบแล้ว ในขณะที่เซิร์ฟเวอร์ของคุณอาจไวต่อเวกเตอร์การโจมตีนี้โดยระบุว่าไม่มีการป้องกันคือการอักเสบทำให้เข้าใจผิดหรือเป็นตัวหนา (ขึ้นอยู่กับสิ่งที่พวกเขาพูดและวิธีที่พวกเขาหมายถึง) คุณควรอัพเดตซอฟต์แวร์และแก้ไขช่องโหว่ใด ๆ ที่ทราบโดยไม่คำนึงถึงความน่าจะเป็นของการถูกแสวงประโยชน์

ระบุ IPTables ว่าจะไม่ได้ผลเป็นความเข้าใจผิดที่ดีที่สุด แม้ว่าอีกครั้งถ้ากฎเดียวอนุญาตให้ทุกอย่างจากทั้งหมดไปแล้วใช่มันจะไม่ทำอะไรเลย

หมายเหตุด้านข้าง : เซิร์ฟเวอร์ส่วนบุคคลของฉันทั้งหมดใช้พลังงานจาก FreeBSD และใช้เฉพาะ IPFW (ไฟร์วอลล์ซอฟต์แวร์ในตัว) ฉันไม่เคยมีปัญหากับการตั้งค่านี้ ฉันยังปฏิบัติตามประกาศความปลอดภัยและไม่เคยเห็นปัญหาใด ๆ กับซอฟต์แวร์ไฟร์วอลล์นี้
ที่ทำงานเรามีการรักษาความปลอดภัยในเลเยอร์ ไฟร์วอลล์ขอบจะกรองอึที่เห็นได้ชัดทั้งหมด (ไฟร์วอลล์ฮาร์ดแวร์) ไฟร์วอลล์ภายในจะกรองปริมาณการใช้งานลงสำหรับเซิร์ฟเวอร์หรือตำแหน่งส่วนบุคคลบนเครือข่าย (ส่วนใหญ่ประกอบด้วยซอฟต์แวร์และไฟร์วอลล์ฮาร์ดแวร์)
สำหรับเครือข่ายที่ซับซ้อนทุกชนิดความปลอดภัยในเลเยอร์นั้นเหมาะสมที่สุด สำหรับเซิร์ฟเวอร์อย่างง่ายเช่นคุณอาจได้รับประโยชน์จากการมีไฟร์วอลล์ฮาร์ดแวร์แยกจากกัน

การเรียกใช้ไฟร์วอลล์บนเซิร์ฟเวอร์ที่ได้รับการป้องกันนั้นมีความปลอดภัยน้อยกว่าการใช้เครื่องไฟร์วอลล์แยกต่างหาก ไม่จำเป็นต้องเป็นไฟร์วอลล์ "ฮาร์ดแวร์" เซิร์ฟเวอร์ Linux อื่นที่ตั้งค่าเป็นเราเตอร์ที่มี IPTables จะทำงานได้ดี

ปัญหาด้านความปลอดภัยของไฟร์วอลล์บนเซิร์ฟเวอร์ที่ได้รับการป้องกันคือเครื่องอาจถูกโจมตีผ่านบริการที่ทำงานอยู่ หากผู้โจมตีสามารถเข้าถึงระดับรากได้ไฟร์วอลล์สามารถแก้ไขหรือปิดใช้งานหรือข้ามผ่านเคอร์เนลรูทคิท

เครื่องไฟร์วอลล์ที่แยกต่างหากไม่ควรให้บริการใด ๆ ทำงานยกเว้นการเข้าถึง SSH และการเข้าถึง SSH นั้นควร จำกัด เฉพาะช่วงการจัดการ IP มันควรจะคงกระพันต่อการโจมตียกเว้นข้อผิดพลาดในการติดตั้ง IPTables หรือ TCP stack

เครื่องไฟร์วอลล์สามารถบล็อกและบันทึกทราฟฟิกเครือข่ายที่ไม่ควรมีอยู่ซึ่งจะช่วยเตือนคุณเกี่ยวกับระบบที่มีรอยร้าว

หากเข้าชมของคุณอยู่ในระดับต่ำลองขนาดเล็กหน่วย Cisco ASA เช่น 5505 มันอยู่ในช่วง $ 500 - $ 700 และสร้างขึ้นโดยมีจุดประสงค์ Co-lo เป็น sorta ให้คุณ BS แต่อัตราของพวกเขาสำหรับไฟร์วอลล์ยังไม่มีเหตุผล

ฉันคิดว่ามันขึ้นอยู่กับประสิทธิภาพด้วย สิ่งที่ซอฟต์แวร์ / เซิร์ฟเวอร์ใช้ไฟร์วอลล์ทำรอบ CPU ไฟร์วอลล์ฮาร์ดแวร์สามารถทำกับชิปที่สร้างขึ้นเพื่อวัตถุประสงค์ (ASICs) ซึ่งนำไปสู่ประสิทธิภาพที่ดีขึ้นและปริมาณงานที่มากขึ้น

จากมุมมองของคุณความแตกต่างที่แท้จริงระหว่าง "ซอฟต์แวร์" (บนเครื่องเอง) และไฟร์วอลล์ "ฮาร์ดแวร์" คือในกรณีแรกการรับส่งข้อมูลอยู่ที่เครื่องที่คุณต้องการปกป้องอยู่แล้วดังนั้นจึงอาจมีความเสี่ยงมากกว่าหากมีบางสิ่งถูกมองข้ามหรือ ผิดพลาด

ไฟร์วอลล์ฮาร์ดแวร์เป็นหลักทำหน้าที่เป็นตัวกรองล่วงหน้าซึ่งอนุญาตเฉพาะทราฟฟิกที่เข้าถึงและ / หรือออกจากเซิร์ฟเวอร์ของคุณ

ในกรณีที่คุณใช้งานและแน่นอนว่าคุณมีการสำรองข้อมูลที่เหมาะสมค่าใช้จ่ายเพิ่มเติมจะยากมากที่จะพิสูจน์ โดยส่วนตัวแล้วฉันจะดำเนินการต่อกับสิ่งที่คุณมีแม้ว่าอาจจะใช้ บริษัท โฮสติ้งที่แตกต่างกัน

มาถึงช่วงท้ายเกมเมื่อวันนี้ ใช่ผู้ให้บริการไม่ทราบว่าพวกเขากำลังพูดถึงอะไร หากคุณเป็นผู้ดูแลระบบ IPTABLES ที่มีความสามารถฉันจะบอกว่าคุณปลอดภัยมากกว่าไฟร์วอลล์ฮาร์ดแวร์รุ่นเก่า เหตุผลก็คือเมื่อฉันใช้พวกเขาอินเทอร์เฟซ gee-whiz ที่ดีไม่ได้สะท้อนการกำหนดค่าที่แท้จริงของการรับส่งข้อมูลที่อนุญาต ผู้ขายพยายามทำให้เป็นคนโง่สำหรับเรา ฉันต้องการทราบเกี่ยวกับความเป็นไปได้ของแพ็คเก็ตทุกครั้งที่เข้าและออก

IPTABLES ไม่ได้มีไว้สำหรับทุกคน แต่ถ้าคุณจริงจังกับความปลอดภัยคุณต้องการที่จะอยู่ใกล้กับสายไฟมากที่สุด การรักษาความปลอดภัยของระบบเป็นเรื่องง่ายวิศวกรรมย้อนกลับไฟร์วอลล์สีดำไม่ได้