En brandvägg är en säkerhetsfunktion, i form av programvara eller en fysisk enhet, som övervakar och filtrerar nätverkstrafiken mellan din dator eller ditt hemnätverk och internet. Den släpper igenom trafik som följer definierade regler och blockerar resten, med målet att stoppa obehörig åtkomst, intrång och skadlig kod innan de når dina enheter.
De flesta har redan en brandvägg igång utan att tänka på det. Windows, macOS och Linux har inbyggda brandväggar som är aktiva som standard, och routern hemma filtrerar dessutom trafik innan den når något av dina uppkopplade enheter. Frågan är sällan om du har en brandvägg, utan om den skyddar rätt saker.
Hur fungerar en brandvägg?
All trafik som passerar mellan din dator och internet skickas i mindre datapaket via bestämda portar, numrerade anslutningspunkter som olika tjänster använder. Webbtrafik går vanligen via port 80 och 443, medan e-post, filöverföring och andra tjänster använder egna portar. Varje paket har en avsändaradress och en mottagaradress i form av IP-adresser, samt information om vilket protokoll det handlar om, oftast TCP eller UDP.
Brandväggen inspekterar den informationen mot en uppsättning regler och fattar ett beslut om paketet: släppa igenom eller blockera. En enkel paketfiltrerande brandvägg tittar bara på IP-adresser och portar. En mer avancerad brandvägg med djup paketinspektion kan analysera innehållet i trafiken närmare och identifiera mönster som tyder på en pågående attack, inte bara vem som skickar vad till vem.
Regeln kan gälla både inkommande och utgående trafik. Inkommande trafik som inte är en väntad respons på något du själv initierat blockeras normalt, det är brandväggens grundläggande skydd mot att någon utifrån kopplar upp sig mot din dator utan lov. Utgående trafik filtreras mer sällan i hemmiljö, men blir viktigt om en enhet redan är infekterad och skadlig kod försöker skicka data ut till en angripare.
Olika typer av brandväggar (firewall)
Programvara och hårdvara löser samma uppgift på olika nivåer i nätverket.
En programvarubrandvägg installeras direkt på en enskild dator, som Windows brandvägg eller motsvarande i macOS och Linux. Den skyddar bara den enheten den kör på, men kan sätta olika regler för olika program, till exempel tillåta en spelklient att kommunicera medan andra program blockeras.
En hårdvarubrandvägg är en fysisk enhet, ofta inbyggd i routern, som placerar sig mellan hela hemnätverket och internet. Den filtrerar trafiken innan den ens når någon av datorerna i nätverket och skyddar därför alla anslutna enheter samtidigt, inklusive de som saknar eget skydd, som en smart högtalare eller en övervakningskamera.
Utöver den grundläggande uppdelningen finns paketfiltrerande brandväggar som bara läser adresser och portar, samt nyare generationers brandväggar (next-generation firewalls) som kombinerar paketfiltrering med djup paketinspektion, intrångsdetektering och skydd mot skadlig kod i samma enhet. De används i första hand av företag med högre krav på nätverkssäkerhet.
Varför behöver du en brandvägg?
Utan en brandvägg är varje uppkopplad enhet direkt nåbar för vem som helst på internet som söker igenom öppna portar. Det är en av de vanligaste vägarna in för attacker mot hemnätverk och privatpersoner.
En fungerande brandvägg minskar risken för flera vanliga hot:
- Intrång och obehörig åtkomst. Brandväggen blockerar okända uppkopplingsförsök mot din dator eller router, som annars kan ge en angripare tillgång till filer och inloggade konton.
- Spridning av skadlig kod. Om en enhet i nätverket redan är infekterad kan brandväggen begränsa hur skadlig kod kommunicerar vidare, både inom nätverket och ut mot en angripare.
- Kända sårbarheter. Nätverksutrustning och programvara med oåtgärdade sårbarheter är ett återkommande mål för attacker, något säkerhetsforskare regelbundet varnar för när nya brister upptäcks i brandväggar och routrar från stora tillverkare. Uppdateringar av både brandväggen och den utrustning den skyddar är därför lika viktiga som brandväggen i sig.
- Denial of service och trafiköverbelastning. Vissa brandväggar kan identifiera och blockera trafikmönster som tyder på en överbelastningsattack innan den stör resten av nätverket.
En brandvägg ersätter inte ett antivirusprogram. De löser olika delar av samma problem: brandväggen kontrollerar vilken trafik som får komma in och ut, medan antivirusprogrammet granskar innehållet i filer och program som redan finns på datorn. Tillsammans, och med uppdaterad programvara, ger de ett betydligt bättre skydd än var för sig.
Vad bör du tänka på? Krav och underhåll
En brandvägg är inte en engångsinstallation. Reglerna behöver stämma med hur du faktiskt använder nätverket, och skyddet urholkas om den lämnas ouppdaterad.
- Håll firmware och programvara uppdaterad. De flesta sårbarheter som utnyttjas i brandväggar och routrar är redan kända och åtgärdade av tillverkaren, problemet är enheter som aldrig får uppdateringarna installerade.
- Öppna bara de portar du faktiskt behöver. Varje öppen port är en potentiell väg in. Stäng standardportar för fjärradministration som du inte använder.
- Kontrollera reglerna med jämna mellanrum. Tillfälliga undantag, till exempel för en flyttbar spelserver eller ett testverktyg, glöms lätt kvar och blir en säkerhetslucka på sikt.
- För företag gäller dessutom formella krav. Dataskyddsförordningen (GDPR) ställer krav på lämpliga tekniska säkerhetsåtgärder vid behandling av personuppgifter, och en korrekt konfigurerad brandvägg räknas som en sådan grundläggande åtgärd, inte som ett frivilligt tillval.
Brandvägg i Windows, Linux och routern
Windows brandvägg är aktiverad som standard och hanterar det mesta automatiskt, men går att finjustera via inställningarna om ett specifikt program behöver blockeras eller tillåtas. Linux har inbyggda verktyg för paketfiltrering på kärnnivå, som de flesta distributioner sköter via ett enklare gränssnitt ovanpå.
Routern är den brandvägg som skyddar hela hemnätverket i ett steg, och den behöver samma underhåll som vilken säkerhetsprodukt som helst: håll firmware uppdaterad, byt standardlösenordet för routerns administrationsgränssnitt och stäng portar du inte aktivt använder. Har du en tjänst som kräver att en specifik port ska nås utifrån, till exempel en spelserver, öppnar du bara den porten i stället för att sänka skyddet generellt.
Ett bra sätt att kontrollera din digitala säkerhet i stort är att kombinera routerns brandvägg med rätt vanor på kontonivå, som att använda en lösenordshanterare för unika lösenord till varje tjänst. Brandväggen skyddar mot vad som kommer in på nätverksnivå, men den stoppar varken ett återanvänt lösenord som läckt i ett annat intrång eller ett nätfiske-mejl som du själv klickar dig igenom. Samma sak gäller spoofing, där avsändaren förfalskas för att lura dig direkt, ett hot brandväggen inte är byggd för att stoppa. Ska du dessutom bygga ut hemnätverket med bättre täckning i flera våningsplan är mesh wifi värt att känna till, eftersom flera routrar i nätverket ställer nya krav på hur brandväggsinställningarna hänger ihop mellan noderna.
Vanliga frågor om brandvägg (firewall)
Vad är skillnaden mellan en programvarubrandvägg och en hårdvarubrandvägg? En programvarubrandvägg är installerad på en enskild dator och skyddar bara den enheten. En hårdvarubrandvägg är en fysisk enhet, ofta inbyggd i routern, som filtrerar trafiken för hela nätverket i ett steg.
Räcker det med brandväggen som är inbyggd i routern? För de flesta hem räcker en uppdaterad router med inbyggd brandvägg tillsammans med operativsystemets egen brandvägg. Känsliga uppgifter, distansarbete mot ett företagsnätverk eller egna servertjänster kan motivera en separat brandvägg med djupare filtrering.
Kan en brandvägg stoppa alla virus och intrångsförsök? Nej. Brandväggen filtrerar trafik på nätverksnivå utifrån portar, IP-adresser och protokoll, men läser inte innehållet i varje fil. Skadlig kod som du själv öppnar via en bilaga eller länk slipper ofta förbi, därför behövs brandväggen tillsammans med ett antivirusprogram, inte i stället för det.
Måste jag konfigurera brandväggen själv? Sällan för hemmabruk. Windows brandvägg och de flesta routrar fungerar bra med standardinställningarna direkt. Konfiguration blir aktuellt om du behöver öppna en specifik port för en tjänst, till exempel en spelserver eller en kamera du vill nå utifrån.
