Firewall-updates - negeren is geen optie!

“Never change a running system.” Je wilt niet weten hoe vaak ik die uitspraak al heb moeten aanhoren. In de IT heeft die zin echter helemaal niets te zoeken en wordt hij vaak puur uit gemakzucht gebruikt. Natuurlijk heeft iedereen weleens een slechte ervaring met een update gehad, waarna niets meer werkte of één probleem wel verholpen werd, maar er twee nieuwe opdoken. En ja, dan kan het ook weleens prijzig worden, omdat er een professional bij moet komen.

Toch heeft wie zijn firewall niet bijwerkt, het principe van “security” niet helemaal begrepen.

In dit blogartikel ga ik in op het thema “Updates op de Sophos Firewall” en waarom die zo belangrijk zijn.

Waarom zijn updates op de Sophos Firewall zo belangrijk?

Hoe belangrijk updates zijn, hangt natuurlijk sterk af van wat jullie van je firewall verwachten. Ik ga er nu even van uit dat de meesten van jullie een firewall kopen of al in gebruik hebben om het bedrijfs- of thuisnetwerk te beschermen tegen gevaren vanuit het internet. Juist daarom is het essentieel om een firewall softwarematig altijd up-to-date te houden. Elke dag worden er nieuwe kwetsbaarheden ontdekt, waarvan je firewall op de hoogte moet zijn om aan de basisbehoefte - bescherming - te kunnen voldoen. Een firewall leeft van updates!

Laten we dat eens aan de hand van een concreet voorbeeld bekijken. Hier zien jullie het dashboard van een Sophos SG 310.

De rood gemarkeerde 23 updates zijn moeilijk te missen, toch? Laten we eens kijken wat voor indruk een firewall in deze staat maakt als portier van jullie netwerk. In de “Version information” zien we dat op dit moment UTM-versie 9.210-20 geïnstalleerd is. Daaruit volgt het volgende:

• SSL Heartbleed-kwetsbaarheid nog niet gepatcht
• Poodle-kwetsbaarheid niet gepatcht
• XSS-kwetsbaarheid niet gepatcht
• Diverse security-updates voor OpenSSH niet uitgevoerd
• Verdere actuele bekende kwetsbaarheden

En dat zijn alleen de ernstigste en belangrijkste bedreigingen. In totaal zijn er meer dan 3.500 wijzigingen die in ons voorbeeldsysteem niet zijn doorgevoerd. Daar komt nog bij dat de licentie verlopen is, waardoor de firewall diverse beveiligingsmechanismen heeft gepauzeerd en van Sophos geen pattern-updates meer ontvangt.

Schijn bedriegt…

Misschien denken jullie nu: “Waar heeft die vent het over met z’n updates, mijn systeem is up-to-date, alle updates zijn geïnstalleerd. Mij kan niets gebeuren.” Maar als het er bij jullie zo uitziet als op de volgende screenshot, dan hebben jullie een heel ander probleem. ;-)

Voor alle lezers die nu naar de screenshot kijken en niet helemaal begrijpen waar ik naartoe wil: we zien hier een dashboard van een Astaro Firewall (Astaro is in 2011 door Sophos overgenomen). De support voor versie 7 van de “Astaro Security Gateway” is al op 31 december 2012 beëindigd. Daarom zal deze versie nooit meer op updates wijzen.

Ik wil hiermee simpelweg duidelijk maken dat een systeem dat geen updates meer ontvangt, daarmee niet per se up-to-date is.

Dat Windows XP bijvoorbeeld geen updates meer krijgt, komt niet doordat het er geen meer nodig heeft, maar omdat het sinds 8 april 2014 officieel niet meer door Microsoft wordt ondersteund.

Updates zijn niet alles

Om met een firewall echt de meest effectieve bescherming te bereiken, moet enerzijds het besturingssysteem op de firewall actueel zijn en anderzijds moeten alle security-updates regelmatig worden geïnstalleerd. Maar daarmee ben je er nog niet. Wie verantwoordelijk is voor een firewall, moet die ook goed kunnen configureren. Het heeft geen zin als aangemaakte firewallregels nergens op slaan of als belangrijke securityfeatures niet zijn geactiveerd. Je moet alle functies van de firewall kennen, want een slechte of foutieve configuratie kan een netwerk net zo goed schade toebrengen.

Conclusie

Dat een firewall zonder updates geen actuele bescherming kan bieden, is hopelijk aan de hand van mijn voorbeelden voor iedereen duidelijk geworden. Een firewall configureren en altijd up-to-date houden is geen sinecure, ook al wil Sophos ons met de slogan “Security made simple” iets anders doen geloven. De 1-Click-Updateknop is weliswaar met relatief weinig moeite in te drukken, maar dat is geen garantie dat alles altijd vlekkeloos verloopt. Updates zijn belangrijk, maar voor de beheerder betekenen ze in de meeste gevallen extra werk. Toch moet je je gemakzucht hier opzijzetten en ofwel zelf de verantwoordelijkheid nemen, of anders een professional inschakelen.

Wie een firewall aanschaft om beschermd te zijn, moet weten dat het met alleen de installatie nog lang niet gedaan is. Een firewall vereist regelmatig onderhoud. Je zou je zo nu en dan moeten aanmelden op het systeem, updates moeten uitvoeren, logs moeten controleren, een dreigingsanalyse moeten starten, enzovoort, enzovoort…

Voor iedereen die zich niet zelf met de inrichting en het onderhoud van zijn Sophos Firewall wil bezighouden, bieden wij comfortabele onderhoudscontracten aan. Of willen jullie graag zekerheid dat jullie firewall correct geconfigureerd is? Op verzoek kijken we graag eens grondig naar jullie firewall en onderwerpen we die aan een “Security Check”.