Palomuuri on tietoturvan peruskäsitteitä: se on ohjelmisto (tai laitteeseen asennettu ohjelmisto), joka valvoo ja säätelee sisä- ja ulkoverkon välistä verkkoliikennettä. Palomuuri sijoitetaan yleensä suojattavan verkon (luotettava) ja ulkopuolisen verkon (vähemmän luotettava), kuten WAN:n tai Internetin, väliin. Sen tehtävänä on estää luvaton pääsy suojattuun verkkoon ja sallia hyväksytty liikenne.

Määritelmä ja sijoittelu

Palomuuri toimii verkon reunalla: se tarkastelee verkon yli kulkevia tietopaketteja ja päättää kunkin haittaako se vai sallitaanko se. Palomuuri voi olla erillinen laite (esim. laitteistopalomuuri), ohjelmisto palvelimella tai osa reititintä. Kun suuri verkko pitää suojata, palomuuriohjelmisto usein ajetaan omalla tietokoneellaan tai laitteellaan, joka ei tee muuta kuin palomuurin tehtäviä.

Kuinka palomuuri toimii

Palomuurissa on joukko sääntöjä, joita sovelletaan jokaiseen pakettiin. Säännöt määrittelevät, sallitaanko paketti, hylätäänkö se vai käsitelläänkö se erityisellä tavalla (esim. lokitetaan tai muokataan).

  • Pakettisuodatus: Tarkistaa paketin lähde- ja kohde-IP-osoitteet sekä portit ja päättää säännön perusteella.
  • Tilaohjattu tarkastus (stateful inspection): Seuraa yhteyden tilaa ja sallii vain paketteja, jotka kuuluvat olemassa olevaan, luvalliseen yhteyteen.
  • Sovellustason tarkastus (Deep Packet Inspection): Tutkii paketin sisältöä ja protokollaa (esim. HTTP, FTP) ja voi estää haitallisen sisällön tai sovelluskerroksen hyökkäykset.

Palomuurin tyypit ja ominaisuudet

  • Pakettisuodatinpalomuuri: Nopea ja yksinkertainen; toimii pääasiassa verkko- ja kuljetuskerroksen tiedoilla (IP, portit).
  • Tilaohjattu palomuuri: Yleinen nykyaikaisissa verkoissa; seuraa yhteysistuntoja ja tarjoaa parempaa suojaa kuin pelkkä pakettisuodatus.
  • Sovellustason (proxy) palomuuri: Toimii välittäjänä asiakkaan ja palvelimen välillä ja voi tarkistaa ja suodattaa sovellustason liikennettä.
  • Next-Generation Firewall (NGFW): Yhdistää perinteiset palomuuritoiminnot, sovellustietouden, tunkeutumisen eston (IPS), käyttäjä- ja sisältöpohjaisen suodatuksen sekä usein myös evästeiden ja HTTPS:n tarkastuksen.
  • NAT ja porttiohjaukset: Monet palomuurit suorittavat osoitteenmuunnoksia (NAT) ja hallinnoivat porttien uudelleenohjausta (port forwarding).

Säännöt, politiikat ja lokitus

Palomuurisäännöt muodostavat yrityksen tai kotiverkon turvallisuuspolitiikan toteutuksen. Hyviä käytäntöjä ovat:

  • Oletusarvoisesti estä (default deny): Salli vain nimenomaisesti hyväksytty liikenne.
  • Selkeät säännöt ja järjestys: Sääntöjen järjestyksellä on merkitys — yleiset säännöt voivat peittää alleen tarkan säännön, joten järjestä säännöt huolellisesti.
  • Lokitus ja seuranta: Kirjaa hylätyt ja epäilyttävät yhteydet; lokit auttavat vikojen selvittämisessä ja hyökkäysten tunnistamisessa.
  • Päivitykset: Pidä palomuurin ohjelmisto ja säännöt ajan tasalla uusien uhkien torjumiseksi.

Rajoitukset ja lisäsuojaus

Palomuuri ei ole yksinään riittävä suojausratkaisu. Se suojaa verkkorajaa, mutta ei välttämättä estä sisäisiä uhkia, huonosti suojattuja loppupisteitä tai salaamatonta haitallista sisältöä, joka näyttää lailliselta. Siksi on suositeltavaa yhdistää palomuuri muihin suojauskerroksiin, kuten:

  • päivitettyihin käyttöjärjestelmiin ja sovelluksiin,
  • päätepisteiden virustorjuntaan ja EDR-ratkaisuihin,
  • verkkojen segmentointiin ja VLAN-eihin,
  • tunkeutumisen havaitsemis- ja estojärjestelmiin (IDS/IPS).

Käytännön vinkkejä

  • Suosi selkeitä ja mahdollisimman vähäisiä (least privilege) sääntöjä.
  • Tee säännölliset auditoinnit: tarkista säännöt, turhat portit ja avoimet palvelut.
  • Ota käyttöön hälytykset epäilyttävistä tapahtumista ja käsittele lokit säännöllisesti.
  • Testaa palomuurin asetukset ja säännöllisesti myös verkkoyhteyksien toimivuus muuttuneissa olosuhteissa.

Yhteenvetona: Palomuuri on keskeinen osa verkon suojausta. Se valvoo ja säätelee sisä- ja ulkoverkon välistä liikennettä käyttäen määriteltyjä sääntöjä, jotka päättävät, pääseekö paketti läpi vai hylätäänkö se. Suojaustason parantamiseksi palomuurin käyttö kannattaa yhdistää muihin turvallisuustoimiin ja pitää säännöt sekä ohjelmisto ajan tasalla. Kun suuri verkko on suojattava, palomuuriohjelmisto toimii usein tietokoneessa, joka ei tee mitään muuta.