פתיחת פורטים ב-Firewall
חלק 2

תמלול ההרצאה: פתיחת פורטים ב-Firewall חלק 2

הטקסט המלא של הדקות הראשונות בהרצאה «פתיחת פורטים ב-Firewall חלק 2» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם בסרטון זה אנחנו הולכים לעשות חוק חדש בפיירוול שמאפשר פינגים למחשב שלי ונעשה פה רייט קליק ניו רול חוק חדש הוא שואל אותי האם החוק הזה מתייחס לזה שהיא תוכנה במחשב לדוגמה אני יכול להגיד שתוכנה מסוימת מותר לה לקבל תקשורת מהאינטרנט ולא אכפת לי איזה פורט היא פותחת מה המספר שלו ווינדוס יודעת לזהות שהתוכנה ביקשה פורט כזה או פורט אחר ולאפשר

2. 00:32

   אליו תקשורת זאת אופציה ראשונה אופציה שנייה זה לאפשר פורט מסוים לכניסה זה אומר שפאקט שמגיע מבחוץ נניח בפורט 80 אני מאפשר לו להיכנס פנימה ובפנים אמורה איזושהי תוכנה לתפוס את הפאקט הזה להאזין בפורט 80 שימו לב פורטים זה רק ב-tcp ו-udp פינגים לא שייכים לא ל-tcp ולא ל-udp זה פרוטוקול אחר לגמרי בפינגים אין

3. 00:59

   פורטים ולכן הדבר הזה לא מתאים לי יש גם חוקים מוכנים מראש שימו לב כשאני עובר לחוקים מוכנים מראש כל האופציות פה נעלמות למה כי לא צריך להגדיר שום דבר בחוקים מוכנים מראש אני יכול להגיד נניח remote desktop שליטה מרחוק על המחשב הזה אני מאפשר אבל מה שאני רוצה להראות לכם זה custom rules custom rules זה חוק בהתאמה אישית מקוסטם לצרכים שלי ויש לי פה הכי הרבה

4. 01:26

   אפשרויות ונעשה next עכשיו הוא שואל אותי האם אם החוק הזה יהיה לגבי תוכנה מסוימת אני יכול להגיד לו בדיוק איזה תוכנה אני מאפשר לה לקבל תקשורת או שזה לגבי כל התוכנות במחשב או לגבי סרוויס מסוים פה ב-customize אני יכול לבחור סרוויס מסוים ולהגיד התוכנה שרצה ברקע נניח לביץ הזה אני מאפשר תקשורת מבחוץ שהוא יוכל לקבל תקשורת נכנסת זה היה טוב אם

5. 01:55

   הייתי מתקין נניח שרת FTP פה והייתי אומר לשרת FTP מותר לקבל תקשורת מבחוץ, אין לי כוח להתעסק עם הפורטים שלו. כל פורט שהוא ירצה, תאפשר לו. אז אני יכול להגביל לתוכנות רגילות מסוימות שרצות אצלי במחשב, אני יכול לאפשר תקשורת נכנסת לסרוויס מסוים אצלי במחשב, ואני יכול להגיד, תקשיב, החוק הזה הוא לא קשור לאיזושהי תוכנה ספציפית, הוא לגבי כל התוכנות.

6. 02:19

   אל תתעסק עכשיו בתוכנה ספציפית. האמת, אני לא יודע איזה תוכנה בדיוק מקבלת אצלי את הפינג. כנראה שזה בכלל מובנה במערכת ההפעלה, ואני לא יודע איפה זה בדיוק, ולכן אני עושה All Programs, נעשה Next, ועכשיו הוא שואל אותי, אולי אתה רוצה להגביל לאיזשהו פרוטוקול מסוים,

7. 02:38

   לאיזושהי שפה מסוימת. אני יכול להגביל ב-TCP לפורטים מסוימים. לכתוב פה פורט, נניח 80.443, זה אומר תקשורת Webbit-LI. אם יש לי שרת אינטרנט במחשב, אני מאפשר גם HTTP וגם HTTPS אליי.

8. 02:55

   אבל אני לא רוצה TCP, אני רוצה פינגים. ואמרנו פינגים זה פרוטוקול נפרד, הוא לא TCP, הוא לא UDP, יש לו שפה משלו שנקראת ICMP. זאת השפה המיוחדת של פינגים.

9. 03:07

   אז אני בוחר ICMP, ושימו לב, אני לא יכול לבחור פה פורטים יותר, כי אין ב-ICMP שום פורטים. חשוב להבין שמבחינתי הכי טוב שכל הפיירול יהיה סגור בכלל, שאף אחד לא יתחבר אליי.

10. 03:21

    כי אם יש איזשהו חור אבטחה, יש איזשהו באג באיזושהי תוכנה אצלי במחשב, שאי אפשר יהיה להתחבר אליי מבחוץ ולנצל את הבאג הזה. הפיירוול בסגירת הפורטים בעצם מקטינה את שטח התקיפה האפשרי.

11. 03:37

    אבל במקרה שלי, לצורך ניהול של הרשת הפנימית שלי בבית, אני צריך פינגים. כי אני צריך לבדוק איזה מחשב דלוק, איזה מחשב כבוי, מי חי, מי מת.

12. 03:48

    אז אני פותח רק את הפינגים, רק את ה-ICMP אם לא הייתה לי רשת מחשבים בבית והיה לי רק מחשב נייד אחד אז מבחינתי שכל הפיירול יהיה סגור שאף אחד לא יתחבר אליי פנימה ורק אני אוכל לצאת החוצה וכך אי אפשר יהיה לתקוף אותי ולנצל באגים שיש לנו בכל מיני תוכנות אפילו בווינדוס תראו כמה יש ווינדוס אפדייטס

13. 04:10

    עדכונים של ווינדוס כי הם כל הזמן מתקנים כל מיני באגים שיש להם בתוכנה כולל באגים של אבטחה והבאגים האלו לא יגמרו למה? אנשים כותבים את הקוד ואנשים עושים טעויות במיוחד כשרוצים לחסוך על כוח אדם ולוקחים מתכנתים זולים מתחילים שבתמימות עושים טעויות ואז האקרים יכולים לנצל את הבאגים האלו את הטעויות האלו בשביל לתקוף את הקורבן ואני לא רוצה להיות הקורבן

14. 04:39

    ולכן בפיירוול אני סוגר כמה שיותר ופותח רק את הפורטים ואת הפרוטוקולים שאני צריך במקרה שלנו זה הפינג אז בחרתי פה עושים pb4 ונעשה נקסט עכשיו הוא שואל אותי לאיזה מחשב מיועד הפאקט הזה למי מותר לשלוח אליי פינגים ואני יכול להגיד לכולם מותר לשלוח פינגים אליי ואני יכול להגיד רק למחשב ספציפי

15. 05:02

    במקרה שלי רק למכונה וירטואלית מותר לשלוח פינגים אליי אני לא הולך להגביל את זה אני אעשה any IP address יכלתי פה לעשות add ולרשום ממש כתובת IP של מכונה וירטואלית או להגיד לו מאיזה IP עד איזה IP יכלתי גם לבחור הגדרות מוכנות מראש לדוגמה כל הסאבנט הפיזי שלי כל הרשת המקומית שלי כל מי שמחובר איתי מאותה הרשת יכול לעשות אליי פינגים אבל מחשבים נניח מבחוץ לא יוכלו

16. 05:30

    בהנחה שהראוטר בכלל יעביר אותם פנימה אני אישית הרבה פעמים השתמשתי בהגבלה מי יכול לפתוח אליי תקשורת שלא כל העולם יוכל לפנות אליי כרגע אני מאפשר פינג מכל המחשבים כל remote IP יכול לשלוח אליי פינגים ואני עושה נקסט פה אני בוחר האם החוק הזה יאפשר תקשורת או הפוך זה חוק שיחסום תקשורת אליי אני יכול להגיד שאני רוצה בצורה מפורשת לחסום תקשורת למחשב הזה בפורט מסוים או בפרוטוקול מסוים

17. 06:01

    כרגע אני רוצה פשוט לאפשר את התקשורת ונעשה נקסט עכשיו הוא שואל אותי לאיזה פרופיל לשייך את זה והחוק החדש הזה שאני הולך ליצור לא יתפוס לגבי רשת שהיא מסוג פאבליק ואני זה שמגדיר אותה כפאבליק כשאני מתחבר לרשת חדשה.