Блокирането на изходящия трафик обикновено е от полза за ограничаване на това, което нападател може да направи, след като компрометира система във вашата мрежа. Блокирането на изходящия трафик може да ви помогне да спрете това да се случи, така че не толкова ви спира да се заразите, колкото го прави по-малко лошо, когато се случи.
Защо е добра практика да блокирате неизползваните изходящи портове?
Защото искате да ограничите, но не и да предотвратите достъпа
Въпреки че не е надеждна мярка за сигурност, елиминира огромното мнозинство от злонамерен трафик, което ви позволява да се съсредоточите вниманието ви към по-напредналите нападатели.
Трябва ли да бъдат блокирани входящите връзки?
Като цяло е почти същото. Входящите връзки към програми са блокирани, освен ако не са в разрешения списък… Вие също имате публичен и частен мрежов профил за защитната стена и можете да контролирате точно коя програма може да комуникира в частната мрежа, за разлика от това към интернет.
Кои портове винаги трябва да бъдат блокирани?
Например, SANS Institute препоръчва блокиране на изходящ трафик, който използва следните портове:
- MS RPC – TCP & UDP порт 135.
- NetBIOS/IP – TCP & UDP портове 137-139.
- SMB/IP – TCP порт 445.
- Tribial File Transfer Protocol (TFTP) – UDP порт 69.
- Syslog – UDP порт 514.
Какво представляват изходящите връзки?
Изходящи се отнася за връзки, излизащи към конкретно устройство от устройство/хост. напр. Уеб браузър, свързващ се с вашия уеб сървър, е изходяща връзка (към уеб сървъра)
