Perfektní firewall 
Surfování již dávno není bezpečné: crackeři se pomocí různých nástrojů snaží pronikat do cizích sítí a počítačů. Stačí jim třeba jedna rafinovaně naprogramovaná webová stránka a už nejste pány svého systému. 

Ochranou proti těmto útokům jsou bezesporu firewally. My vám tři takovéto programy, určené pro různé typy uživatelů, představíme a vysvětlíme vám jejich nejdůležitější nastavení. 
Firewall nepotřebuji - kdo by mě chtěl napadat? Takto přemýšlí spousta surfařů. Částečně mají pravdu: žádný profesionální hacker se nebude zajímat o data Václava Nováka z Horní Dolní. Ale existují ještě tzv. Script Kiddies, mladí "crackeři", z nichž většina je postrachem právě drobných uživatelů. Crackeři se totiž pokouší dostat různými způsoby na cizí počítače, a dodejme, že často úspěšně. Zaměřují se hlavně na ty počítače, které nemají žádnou ochranu - především firewall. Aby váš počítač zůstal těchto útoků uchráněn, představíme vám tři různé firewally a pomůžeme vám s nastavením tohoto ochranného softwaru.   

Pro začátečníky: ZONEALARM 
Jisté úrovně bezpečnosti na webu mohou dosáhnout i začátečníci: funkce ZoneAlarmu nejsou složité. Relativně povrchní je ale i ochrana, kterou firewall zajišťuje. 
Malý, zdarma, a přesto užitečný - radost ze spolehlivého konceptu ZoneAlarmu (www.zonelabs.com) budou mít především začátečníci. V časech Windows XP by měl každý uživatel zvládnout i obsluhu firewallu. ZoneAlarm se pokouší tento požadavek naplnit, a dokonce zdarma. Nastavení úrovně bezpečnosti: Jakmile otevřete ZoneAlarm, můžete pod položkou »Firewall« pomocí dvou posuvných regulátorů nastavit úroveň bezpečnosti systému. »Internet Zone« popisuje celou oblast internetu - zde byste měli nastavit »High«. Při skenu portů pak váš počítač vůbec neodpoví - útočník za testovanou IP adresou prostě neuvidí žádný počítač. 
Definice pravidel firewallu: Spusťte ZoneAlarm a surfujte jako obvykle po webu; fungují i e-mailové služby a on-line hry. Jediným rozdílem je skutečnost, že při prvním spuštění programu, který má přístup k internetu, se firewall zeptá, jestli tento přístup schvalujete. Časem ZoneAlarm sesbírá formou otázka a odpověď seznam programů, které mají přístup povolen. Případnému vám neznámému programu tedy nesmíte unáhleně povolit přístup - lepší je při nejasném pokusu o spojení aplikaci zablokovat a poté se podívat, jestli nějaký program nepracuje chybně. Tento zákaz přístupu můžete při omylu snadno odstranit: klikněte v ZoneAlarmu na zápis »Program Control« - zde jsou uložena všechna sestavená pravidla firewallu. 
Nepoužitelná ochrana e-mailu: Ochrana e-mailu je v bezplatné verzi ZoneAlarmu relativně neúčinná. Firewall blokuje jen VisualBasic skripty; mnoha jiných, stejně tak nebezpečných souborů jako EXE si ani nevšimne. Na tuto "ochranu" se proto nespoléhejte! 
Rozpoznání slabého místa: Na internetu a tím vlastně všude - je obecně známo, že ZoneAlarm má mnoho nedostatků. Nejzávažnější je ten, že firewall neumí úspěšně a vždy blokovat trojské koně. K tomu dochází tehdy, pokud se tento program před spuštěním ukryje a přejmenuje. Zkrátka, převezme-li trojský kůň např. jméno Internet Exploreru, lehce tak firewall přelstí. 
Závěr: ZoneAlarm je rychle připraven ke snadnému použití. Nevýhoda firewallu je také zřejmá, je jí především nedostatečná flexibilita. Tento firewall může proto zaručit bezpečnost pouze v minimálním rozsahu.   

Pro pokročilé: NORTON INTERNET SECURITY 2002 
Norton Internet Security je mezi firewally proslulý: ačkoliv je jeho obsluha relativně jednoduchá, nabízí spoustu možností konfigurace pro všechny situace. 
Symantec (www.symantec.com) slibuje při používání programu Norton Internet Security (NIS) profesionální ochranu, a to díky jednoduchému principu. Pokud chcete, můžete každému jednotlivému datovému proudu uzavřít přístup k počítači. Jinak si samozřejmě můžete užívat komfortu mnoha automatických funkcí, které usnadňují konfiguraci přinejmenším u známých programů. 
Update po instalaci: Ihned poté, co nainstalujete NIS na svůj počítač, měli byste provést live update u Symantecu. Jen tak totiž může firewall rozpoznat a blokovat všechny útoky. Kupce softwaru Symantec po dobu jednoho roku bezplatně "zásobuje" důležitými bezpečnostními updaty. 
Stanovení základních nastavení: Norton Internet Security se uhnízdí na liště ihned po spuštění. Poklepáním na symbol otevřete okno programu - tady na vás čeká jednoduchá konfigurace. Jakmile aktivujete v levé části okna pole »Personal Firewall«, můžete provést pomocí několika posuvných regulátorů základní nastavení firewallu. V první oblasti - »Personal Firewall Settings« - by měl být posuvník nastaven na pozici »High«. Při tomto nastavení totiž musí každý program požádat o svolení, chce-li navázat spojení s internetem. 
Využití profesionálních features: Ve srovnání se ZoneAlarmem je rozhodující předností programu Norton Internet Security skutečnost, že uživatel nemusí programu povolit pouze a jen kompletní komunikaci s internetem. Jakmile se aplikace pokusí poprvé navázat spojení s internetem, zeptá se vás NIS, jak má s tímto požadavkem nakládat. Klepněte na »Customize Internet access for this application«. Nejprve se firewall zeptá, jestli chcete přístup aplikace k internetu blokovat, uvolnit, nebo kontrolovat. Poté musíte určit, v jakém směru má toto pravidlo platit - zdali pouze při odesílání, při přijímání, nebo v obou směrech cesty dat. Nakonec musí Norton Internet Security ještě zjistit, kdy toto pravidlo platí. V menu jsou na výběr dvě možnosti: přístup na výše uvedenou IP adresu, případně webovou stránku, nebo na celou protistranu. 
Dále můžete přesně určit, přes které porty program data (TCP nebo UDP protokol) odesílá nebo přijímá. Které porty která aplikace pro určitý úkol využívá, je zpravidla uvedeno na webové stránce výrobce. Pomocí této funkce programu Norton Internet Security může být například vyloučen e-mailový program z komunikace na portu 80 (HTTP). To má jeden pozitivní efekt: aktivní obsahy HTML e-mailů nemohou být od odesílatele nahrány - takovéto metody využívají často zasilatelé reklamy, aby se přesvědčili o tom, že daný e-mail byl opravdu přečten. 
Oprava chyb: Pokud jste např. neuváženým klepnutím zakázali prohlížeči komunikovat s webem, můžete tuto chybu odstranit. Pod »Personal Firewall« jděte na »Internet Access Control«. Zde vidíte pravidla firewallu, která jste pro jednotlivé programy vytvořili. Stačí jedno klepnutí na »Modify« a vše je, jak má být. POZOR: Jednotlivým programům dávejte k dispozici pouze ty porty, které opravdu potřebují. Např. prohlížeč by měl mít přístup pouze na porty 21 (FTP; File Transfer Protocol), 80 (HTTP; webové stránky) a 443 (HTTPS; kódované spojení na webové stránky) a na remote PC (vzdálený počítač, webové a FTP servery). Každé další uvolnění oslabuje firewall. 
Odrážení útoků: Za tlačítkem »Intrusion Detection« se skrývá řídicí centrum, pomocí kterého uchráníte svůj počítač před napadením hackera. Tady stačí, když zatrhnete »Enable Intrusion Detection«. Toto rozpoznávání průniků slouží k tomu, aby byl hacker firewallem identifikován - např. když se pokouší navázat spojení s vaším počítačem a využít k tomu internetový port, který je běžně využíván trojskými koňmi. Norton Internet Security ihned zablokuje jakoukoli komunikaci IP adresy hackera s vaším počítačem. To znamená, že je úplně jedno, jaký požadavek hacker zašle, počítač prostě nereaguje. 
Aktivace přídavných funkcí: Norton Internet Security nabízí některé features, kterými běžný firewall nedisponuje. Pod »Privacy Control« najdete možnost nastavit, kolik dat chcete při surfování blokovat. Doporučujeme nastavit jezdce na »High«, protože tak se firewall vždy bude dotazovat na vpuštění Cookie, AktiveX skriptu, každé Flash animace a každého Java Appletu. Toto nastavení vás sice ze začátku bude svými neustálými dotazy při surfování obtěžovat, ale po čase se utvoří podrobný ochranný profil, pomocí něhož přiřadíte webovým stránkám pouze určitá práva. 
Tato funkce by sice mohla být přejata i Internet Explorerem, ale Norton-firewall je opravdu důvěryhodný software - neměli byste se tedy pouštět do experimentů s nejistým prohlížečem Microsoftu. 
Chcete-li, můžete pod »Ad Blocking« aktivovat ještě reklamní filtr programu Norton Internet Security. Filtr je ale málo efektivní, pro blokování reklamy jsou k dispozici daleko lepší programy (např. Webwasher, www.webwasher.de). 
ZÁVĚR: Atraktivní kombinace - Symantec nabízí prostřednictvím programu Norton Internet Security paket pro všechny surfaře, kteří vyžadují jednoduché ovládání spojené s dobrými možnostmi nastavení. Přiložený antivirový program cenu 70 až 80 eur přece jen trochu opticky vylepšuje. 

Pro profesionály: KERIO PERSONAL FIREWALL 
Komplikovaný, ale bezpečný: Kerio je firewall pro zkušené kontrolovací fanatiky. Přes tuto ochrannou zeď se nedostane žádný datový paket, který si s uživatelem netyká. 
Ponořit se s firewallem Kerio do hlubin internetových protokolů a portů hraničí s masochismem. Výsledek ale vynahradí veškerou námahu: s tímto softwarem se zbavíte nechtěných "asistentů". To nejlepší jsme si nechali na konec - pro soukromé uživatele je tento profesionální nástroj zdarma. Nastavení pravidel: Také Kerio se po instalaci nachází v "učebním" modu, kdy se u každé aplikace, která chce na internet, dotáže na povolení. Při každém dotazu firewallu byste měli klepnout na »Create appropriate filter rule and don't ask again«. Poté Kerio otevře okno konfigurace, ve kterém můžete definovat jednotlivé parametry firewallu. Následující nastavení se vždy vztahují na aplikace, kvůli kterým firewall Kerio spustil poplach. 
Detaily nastavení: 
»Local Endpoint« definuje port, který má program na vašem počítači používat. 
»Remote Endpoint« je rozdělen na IP adresu počítače připojeného na internet a port na protistraně. Pokud by tedy např. Internet Explorer spustil poplach, může prohlížeč jako »Local Endpoint« použít každý port vašeho počítače. Jako IP adresu protistrany musíte uvolnit každou IP, pokud nechcete nastavit přístup pouze na jednu webovou stránku. Jako port pro »Remote Endpoint« je určen především port 80. Ale to je všechno jen základní nastavení. Jemné doladění byste měli provést v následujících konfiguračních krocích. 
Optimální přizpůsobení: Firewall můžete kdykoli konfigurovat i bez poplachu. Klepněte pravým tlačítkem myši na ikonu Keria na liště a vyberte bod »Administration«. V prvním okně »Firewall« lze nastavit jednu ze tří bezpečnostních úrovní Keria: 
»Permint Unknown« nechá projít každý datový paket, který nebyl vysloveně zakázán některým pravidlem firewallu. 
»Ask me first« se vás při každém novém druhu komunikace dotáže, jestli pro něj chcete vytvořit pravidlo. 
»Deny unknown« blokuje všechna data, dokud pro ně není vytvořeno pravidlo. 
»Advanced«. Toto tlačítko vás dovede k samotnému srdci firewallu. Zde můžete upravovat všechna do té doby vytvořená pravidla a zakládat nové filtry. 

Vybudování bezpečnosti: Pro každou další aplikaci musíte samozřejmě založit nové pravidlo - přehled nejčastěji používaných portů najdete v tabulce, velmi obsáhlý seznam je k dispozici na webové stránce www.iana.org/assignments/port-numbers. IANA (Internet Assigned Numbers Autority) je organizace, která zadala nejdůležitější část portů: tzv. "well known Ports" od 0 do 1.023. U těchto portů je stanoveno, jaká data přes ně mohou být vyměňována, což velmi zjednodušuje konfiguraci a použití programů. 
Tak např. FTP nástroj automaticky ví, že musí vybrat standardní port 21. V oblasti od 1.024 do 49.151 leží tzv. "Registered Ports", které jsou méně standardizovány. Nad hranicí "Registered Ports", tzn. 49.152 až 65.535, panuje v podstatě anarchie. "Dveře do internetu", označované jako "Dynamic Allocated" nebo také "Private Ports", může využívat každý software nacházející se na počítači. Oklamání trojských koní: Pro zablokování jakéhokoli přenosu dat přes internet, dokud není aktivován firewall, stačí jeden malý zápis do registrů. Pracujete-li pod Windows 98 nebo Me, musíte klepnutím pravého tlačítka myši založit do registrů v adresáři »HKEY_LOCAL_MACHINE | System | CurrentControlSet | Services | VxD | fwdrv« DWORD zápis se jménem »AlwaysSecure«. Tomuto záznamu poté přiřaďte hodnotu »1«. 
Ve Windows NT, 2000 a XP musíte vytvořit v registrech zápis »HKEY_LOCAL_MACHINE | System | CurrentControlSet | Services | fwdrv«. Editor registrů otevřete přes »Start | Spustit« příkazem »regedit«. 
Pak nemají žádnou šanci ani takoví trojští koně, kteří se pokusí vyřadit stávající firewall. Tímto krokem získáte před crackery malý náskok. Důvod: Trojský kůň by musel nejprve odstranit zápis z registrů a teprve poté by mohl deaktivovat firewall a pracovat, jak je zvyklý. 
Uzavření mezer ve firewallu: Zablokujte protokol ICMP (Internet Control Message Protocol) pro všechny porty svého počítače i pro počítače vzdálené. V obou případech to platí jak pro odesílání, tak i pro příjem. Důvod: ICMP je většinou zodpovědný za přenos chyb a hlášení o stavu. (Příkaz Ping je známý každému správci sítě - chytří "datoví piráti" mohou ale přes tento protokol vyřadit veškeré firewally, a to tak, že data jednoduše schovají do pings. Při použití těchto filtrovacích pravidel přirozeně příkaz Ping nefunguje.) 
ZÁVĚR: Firewall Kerio je flexibilní, bezpečný a zadarmo. Četná nastavení ale představují pro laika jistý problém a zvyšují pravděpodobnost chybného nastavení. 
Markus Schmid, Petr Kratochvíl

KONTROLA BEZPEČNOSTI 
JAK OTESTUJETE FUNKČNOST FIREWALLU 
Když nainstalujete firewall, začíná další fáze - tou je jemný tuning. Nějaké to nastavení přehlédnete vždycky, ale existují webové stránky, které nabízejí možnost otestovat zabezpečení vašeho počítače. 

www.qualys.com 
Bezpečnostní experti Qualysu chrání systémy bank a velkých IT firem - nabízejí ale také několik bezplatných funkcí. Na hlavní stránce klepněte pod »Resources« na »Free Tools«. Tam můžete otestovat dvacet nejohroženějších míst svého počítače, použít různé detektory trojských koní nebo spustit kompletní bezpečnostní prověrku svého systému. 

www.grc.com 
Bezpečnostní stránka Stevena Gibsona nabízí pod odkazem "Shields UP" dva různé testy vašeho firewallu. Zatímco "Test my Shields" prověřuje známé slabiny, "Probe my Ports" testuje část komunikačních portů vašeho počítače. 

www.auditmypc.com 
I na této stránce máte možnost provést sken portů (portscan) svého počítače. Vyhodnocení sice nějakou dobu trvá, ale za podrobnou analýzu firewallu to čekání opravdu stojí. 

Na ChipCD najdete: 
ZoneAlarm 3.1 ZoneAlarm 3.1 Pro (trial verze) 
Kerio Personal Firewall 

TIP 
Deaktivace Splashscreen 
Při každém útoku se objeví malé okno s upozorněním o napadení - a to vás časem začne obtěžovat. Vyřešíte to tak, že ve složce Po spuštění provedete změnu zápisu: pod »Start | Programy | Po spuštění« přidejte v řádku »Cíl« k příkazu »zonealarm.exe« dodatek »nopopup no-splash«.  

TYTO PORTY BYSTE MĚLI ZNÁT	
Port	Služba	Popis	
11	systat	Zobrazení přihlášených uživatelů	
21	FTP	Přístup k datům přes síť	
22	SSH	Kódovaná spojení ke vzdáleným počítačům, je možné jakékoli lokální vkládání dat	
23	Telnet	Spojení ke vzdálenému počítači, je možné jakékoli lokální vkládání dat	
25	SMTP	Přenos mailů	
80	HTTP	Přístup k webovým stránkám	
110	POP3	Přístup k mailům	
139	Netbios-SSN	Sdílení souborů, plný přístup na služby	
143	IMAP	Přenos mailů	
194	ORC	Internet Relay Chat	
443	HTTPS	Kódované HTTP	

CO NABÍZEJÍ FIREWALLY	
 	ZONEALARM	NORTON INTERNET SECURITY	KERIO	HARDWAROVÉ ŘEŠENÍ	
Síťové schopnosti	-	-	+	++	
Jiné funkce	-	++	-	+	
Náročnost konfigurace	++	+	-	-	
Dostupná bezpečnost	-	+	++	+	
Flexibilita	-	+	++	+	
Ovládání	++	++	+	-