Firewalls & Network Segmentation

စိတ်လျှော့ပါ။ ဒီခန်းကို စာအုပ်လိုမဟုတ်ဘဲ စကားပြောသလိုပဲ၊ နားလည်လွယ်အောင် ရှင်းပါမယ်။

ခဏလေး ဒီလိုပဲ စဉ်းစားကြည့်

Firewall က network traffic ကို rule-based (allow/deny) ဖြင့် filter လုပ်ပေးတဲ့ device/software ပါ — inbound rule (ဘယ် traffic ဝင်ခွင့်ပြုမလဲ) နဲ့ outbound rule (ဘယ် traffic ထွက်ခွင့်ပြုမလဲ) ကို configure လုပ်ရပါတယ်, default-deny (လိုအပ်တာပဲ specifically ခွင့်ပြု) ကို best practice အဖြစ် လက်ခံကြပါတယ်။ Network Segmentation ကတော့ network တစ်ခုလုံးကို zone (public-facing web server zone, internal database zone, admin zone) ခွဲထားခြင်းပါ — attacker က zone တစ်ခုကို compromise လုပ်နိုင်တောင်, segmentation ရှိရင် zone တခြားဆီ ချက်ချင်း lateral move လုပ်လို့ မရနိုင်ပါ (Kubernetes Security Group/AWS VPC subnet concept နဲ့ ဆင်တူပါတယ်).

လက်တွေ့ scenario နဲ့ ချိတ်ကြည့်မယ်

Company network တစ်ခုမှာ web server ကို 'DMZ' (Demilitarized Zone, public-facing) ထဲ ထား, database ကို 'internal' zone ထဲ ထား, firewall rule ကို 'DMZ → internal, port database ချည်းသာ ခွင့်ပြု' လို့ ချထားရင် — web server compromise ခံရတောင်, attacker က database server ကို တိုက်ရိုက် ချိတ်ဆက်ခွင့် မရနိုင်ပါ (specific port/protocol ချည်းသာ ခွင့်ပြုထားလို့) — Terraform tutorial ရဲ့ Security Group/VPC subnet concept ကို memory ရှိရင် ဒီ concept ကို ချက်ချင်း ချိတ်ဆက်နိုင်ပါလိမ့်မယ်.

Firewall = network traffic ကို rule-based filter လုပ်ပေးသော device/software (default-deny best practice)
Network Segmentation = network ကို zone ခွဲထားခြင်း (lateral movement ကို ကန့်သတ်ဖို့)
Zone တစ်ခု compromise ခံရတောင်, segmentation ရှိရင် အခြား zone ကို တိုက်ရိုက် မထိခိုက်

အတူတူ ကြည့်မယ်

text

Simple network segmentation model:

Internet
   |
[Firewall] -- allow 443 only
   |
[DMZ: web server]
   |
[Firewall] -- allow DB port from web server only
   |
[Internal: database server]

If the web server is compromised, the attacker still
can't reach anything except what the DMZ->Internal rule
explicitly allows.

You should see

Firewall/Network Segmentation ရဲ့ defensive value ကို ဥပမာနဲ့တကွ ရှင်းပြနိုင်မည်။

၅ မိနစ် စမ်းကြည့်

3-tier architecture (Web/App/Database, Terraform/AWS tutorial ကို memory ရှိရင် ကိုးကားပါ) အတွက် firewall rule (ဘယ် tier ကနေ ဘယ် tier ကို ဘယ် port ချည်းသာ ခွင့်ပြုမလဲ) ကို ကိုယ်တိုင် ဒီဇိုင်းရေးဆွဲကြည့်ပါ။

သတိလေးတစ်ချက်

Firewall rule ကို production environment ပေါ် ပြောင်းလဲတဲ့အခါ 'legitimate traffic ကို မတော်တဆ block' ဖြစ်နိုင်တာကို သတိထားပါ — change ကို maintenance window/staging environment မှာ အရင် test လုပ်ပြီးမှ production ကို apply လုပ်သင့်ပါတယ်.