Hva er en brannmur? Sikkerhet for nettsider forklart

En brannmur filtrerer trafikken inn til og ut fra en server eller nettside etter faste regler. For en bedriftsside handler det i praksis om en brannmur for webapplikasjoner (WAF), som stopper kjente angrep før de når WordPress eller nettbutikken din. Den erstatter ikke oppdateringer, sikkerhetskopier og tofaktorinnlogging. Den er et ekstra lag i tillegg.

Hva er en brannmur, og hvilken type gjelder for nettsiden din?

En brannmur er en regelstyrt filter som bestemmer hvilken trafikk som slipper inn til og ut fra et system. For en bedriftsnettside er det i hovedsak to typer som gjelder: nettverksbrannmuren på serveren, som webhotellet normalt har ansvaret for, og brannmuren for webapplikasjoner (WAF), som leser selve forespørslene mot nettsiden og stopper kjente angrepsmønstre.

Skillet er viktig, fordi mange bedrifter tror de er dekket når webhotellet skriver «brannmur» i produktarket. En nettverksbrannmur stenger porter og blokkerer IP-adresser. Den ser ikke at noen prøver tusen passord mot innloggingssiden din eller sender ondsinnet kode gjennom et kontaktskjema. Det gjør en WAF. Nasjonal sikkerhetsmyndighet anbefaler i sine grunnprinsipper for IKT-sikkerhet å slå på brannmur på alle klienter og servere og å koble loggene til sikkerhetsovervåkingen. Samme veileder lister brannmurer som nettverksutstyr du skal ha oversikt over.

Tre typer brannmur for en bedriftsnettside

• Type | Hvor den sitter | Hva den stopper | Typisk ansvarlig
• Nettverksbrannmur | Foran eller på serveren | Uønskede porter, kjente ondsinnede IP-er, enkle overbelastningsangrep | Webhotellet
• WAF som utvidelse (f.eks. Wordfence) | Inne i WordPress på serveren | Angrep mot WordPress-utvidelser, innloggingsforsøk, ondsinnede forespørsler | Deg eller byrået
• WAF som DNS-proxy (f.eks. Cloudflare) | Foran serveren, i nettverket til leverandøren | Kjente sårbarheter, bot-trafikk, overbelastning, før trafikken når serveren | Deg eller byrået, via DNS

Trenger en liten bedriftsnettside egentlig en brannmur?

Ja, hvis nettsiden kjører på WordPress eller en annen plattform du drifter selv. Angrepene er automatiserte og velger ikke mål etter størrelse. De skanner etter kjente sårbarheter i utvidelser og prøver vanlige passord mot alle sider de finner. Kjører du på en fullt administrert plattform som Wix eller Squarespace, er det leverandøren som har ansvaret for brannmuren.

Det vi ser oftest, er at innbrudd skjer gjennom en utdatert utvidelse eller et gjenbrukt passord, ikke fordi noen målrettet har gått etter bedriften. En WAF kjøper deg tid mellom det øyeblikket en sårbarhet blir kjent og det øyeblikket du får oppdatert. Har du allerede opplevd et innbrudd, går vi gjennom oppryddingen i artikkelen om hva du gjør når WordPress er hacket.

Hvilken brannmur bør du velge: utvidelse, DNS-proxy eller webhotellet?

For de fleste SMB-er på WordPress er det beste en kombinasjon: en DNS-proxy foran serveren for å ta grovarbeidet, og en sikkerhetsutvidelse inne i WordPress for innloggingsvern og skanning. Hvilken av dem som skal være betalt, avhenger av om du håndterer betaling eller kundedata.

Wordfence: 30 dagers forsinkelse i gratisversjonen

Wordfence er den mest brukte brannmuren som utvidelse for WordPress. Det mange ikke vet, er at gratisversjonen får nye brannmurregler og signaturer for skadevare 30 dager senere enn betalende brukere, og at gratisversjonen ikke har IP-blokkeringslisten. Ifølge Wordfence sin egen sammenligning får Premium-brukere nye regler så snart de er publisert, og bare Premium har landblokkering. Når en ny sårbarhet i en populær utvidelse blir offentlig, kommer angrepene i løpet av dager. Da er en måneds forsinkelse lang tid.

Et konkret grep som mange hopper over: Etter installasjon kjører Wordfence-brannmuren i modusen for grunnleggende WordPress-beskyttelse. Den lastes da sammen med WordPress. Velg «Optimize the Wordfence Firewall» under brannmurinnstillingene, så får du utvidet beskyttelse, og brannmuren kjører før WordPress og andre utvidelser lastes. Det tar to minutter og lukker et reelt hull.

Cloudflare: gratisplanen er et utvalg, ikke hele pakken

Cloudflare legger seg mellom de besøkende og serveren via DNS, og filtrerer trafikken før den kommer fram. Ifølge Cloudflare sin dokumentasjon får gratisplanen Free Managed Ruleset, som er et utvalg av den fullstendige regelpakken, og den er slått på som standard. Den fulle pakken mot kjente sårbarheter og angrepsmetoder, og OWASP-regelsettet, følger med de betalte planene. For en enkel bedriftsside kombinert med noen egne regler er gratisplanen ofte nok. Nettbutikker bør vurdere en betalt plan.

Fallgruven her er serverens IP-adresse. Hvis den ligger i gamle DNS-oppføringer, i e-posthoder eller på et underdomene som ikke går via Cloudflare, kan angriperen gå rett på serveren og forbi hele brannmuren. Be webhotellet om å bare godta webtrafikk fra Cloudflare sine IP-områder. Sjekk også at alle underdomener står som «proxied» i DNS-oppsettet. Les mer om hvordan DNS og domenet henger sammen i artikkelen om norsk domene.

Hvorfor brannmuren også påvirker hastigheten

En utvidelse som brannmur bruker serverressurser på hver forespørsel. En DNS-proxy tar unna bot-trafikk og kan mellomlagre statiske filer før de belaster serveren. Har du et billig delt webhotell, merkes forskjellen. Vi mener derfor at ytelse og sikkerhet bør vurderes sammen når du velger webhotell og oppsett.

Etter Lighthouse-optimalisering (bildekomprimering, caching, opprydding i skript) forbedres ytelsesscore hos Box sine kunder typisk fra under 55 til over 80.

Slik setter du opp brannmur på en WordPress-side

Rekkefølgen er viktig: Rydd først, slå på blokkering etterpå. Da unngår du å låse ute deg selv eller kundene dine.

• Ta en fullstendig sikkerhetskopi av filer og database, og sjekk at den faktisk kan gjenopprettes.
• Oppdater WordPress, tema og alle utvidelser, og slett utvidelser du ikke bruker. En brannmur beskytter ikke kode som skulle vært fjernet.
• Slå på tofaktorinnlogging for alle administratorkontoer. Både Wordfence og Cloudflare kan gjøre dette.
• Installer Wordfence (eller tilsvarende), og velg utvidet beskyttelse via «Optimize the Wordfence Firewall».
• La brannmuren gå i læringsmodus i omtrent en uke, slik at den lærer normal trafikk før den begynner å blokkere.
• Flytt DNS til Cloudflare, sett alle webrelaterte oppføringer som «proxied», og be webhotellet om å bare godta trafikk fra Cloudflare sine IP-områder.
• Test skjemaer, kassen og betalingsvarsler fra betalingsleverandøren etter hver regelendring. Landblokkering kan stoppe betalingsvarsler som sendes fra utenlandske servere.
• Send varsler fra brannmuren til en e-postadresse som faktisk blir lest, og bestem hvem som har ansvaret for å følge dem opp.

Hvis du er usikker på hva som allerede er satt opp, kan du begynne med en enkel gjennomgang. Vi viser hvordan i artikkelen om å sjekke nettsider.

Hva koster brannmur for en bedriftsnettside?

Grunnbeskyttelse kan koste null kroner i lisens. Både Wordfence og Cloudflare har gratisplaner som gir en reell WAF. Det du betaler for, er raskere regeloppdateringer, flere regler og at noen faktisk følger med. Lisensprisene endrer seg, så sjekk gjeldende priser hos Wordfence og Cloudflare før du budsjetterer.

Hva du betaler for, og når det lønner seg

• Nivå | Hva du får | Passer for
• Gratis (Wordfence Free + Cloudflare Free) | WAF med forsinkede regler, utvalg av administrerte regler, innloggingsvern | Enkle sider uten innlogging for kunder og uten betaling
• Betalt utvidelse (Wordfence Premium) | Regler i sanntid, IP-blokkeringsliste, landblokkering | Sider med skjemaer som samler personopplysninger, medlemssider
• Betalt proxyplan (Cloudflare Pro eller høyere) | Full administrert regelpakke og OWASP-regler | Nettbutikker og sider med høy trafikk
• Driftsavtale med byrå | Oppsett, overvåking, oppdateringer og opprydding | Bedrifter uten egen IT-ressurs

Den største kostnaden er sjelden lisensen, men timene etter et innbrudd. Derfor bør brannmuren budsjetteres som en del av løpende drift av nettsiden, ikke som et engangskjøp. For en helhetlig oversikt over hva en nettside koster over tid, se artikkelen om nettside pris.

Hva krever loven av sikkerheten på nettsiden?

Loven krever ikke brannmur spesifikt. Men personopplysningsloven gjør GDPR til norsk lov, og artikkel 32 krever egnede tekniske og organisatoriske tiltak for å sikre personopplysningene du behandler. Samler nettsiden inn navn, e-post eller telefonnummer via skjemaer, er en WAF et naturlig og dokumenterbart tiltak.

Det viktigste er fristen etter et angrep. Ifølge Datatilsynets veiledning om digitale angrep skal det sendes melding til Datatilsynet innen 72 timer hvis du mistenker brudd på personopplysningssikkerheten. Tilsynet anbefaler også at du vurderer å varsle NSM og anmelder datakriminalitet til politiet. Uten logger fra brannmuren er det vanskelig å si hvilke opplysninger som kan være berørt. Det er derfor vi anbefaler å lagre loggene utenfor selve serveren. Husk også at personvernerklæringen skal beskrive hvilke databehandlere du bruker. Cloudflare behandler IP-adressene til de besøkende dine.

Typiske feil som gir falsk trygghet

• Å tro at webhotellets nettverksbrannmur dekker WordPress. Den ser ikke angrep mot innloggingen eller mot utvidelser.
• Å la Wordfence stå i grunnleggende modus. Uten utvidet beskyttelse lastes brannmuren for sent.
• Å bruke Cloudflare uten å låse serveren. Kjenner angriperen IP-adressen, går han rundt hele filteret.
• Å slå på aggressiv landblokkering uten å teste. Resultatet er stoppede betalingsvarsler, ødelagte integrasjoner eller at du stenger ute deg selv på reise.
• Å ignorere varslene. En brannmur som ingen leser loggene fra, gir lite verdi når noe først skjer.
• Å la brannmuren erstatte oppdateringer. Den stopper kjente mønstre, men en utdatert utvidelse er fortsatt en åpen dør. Fast vedlikehold av WordPress er grunnmuren.

Når er en egen brannmur ikke riktig for nettsiden din?

En egen WAF er unødvendig hvis nettsiden ligger på en fullt administrert plattform som Wix, Squarespace eller Shopify. Der kan du verken installere utvidelser på serveren eller styre nettverket, og leverandøren har ansvaret for filtreringen. Å legge en DNS-proxy foran slike plattformer kan i verste fall skape konflikter med leverandørens egen infrastruktur og SSL-sertifikater.

Det er heller ikke riktig å starte med brannmur hvis grunnmuren mangler. Vi fraråder å bruke tid på brannmurregler før du har sikkerhetskopier, oppdaterte utvidelser og tofaktorinnlogging. Og skal nettsiden uansett bygges om om kort tid, er det ofte smartere å velge en plattform med innebygd sikkerhet. Vi sammenligner alternativene i artikkelen om valg av CMS-system.

Vil du ha hjelp til å sette opp eller gå gjennom sikkerheten på bedriftens nettside? Se hvordan vi bygger og drifter nettsider for bedrifter.