Ochrona sieci przed atakami z zewnątrz (czyli z Internetu lub innej niezaufanej sieci) wymaga elementu, który stoi na granicy sieci i kontroluje ruch przychodzący oraz wychodzący. Taką rolę pełni sprzętowa zapora sieciowa (firewall): egzekwuje politykę bezpieczeństwa przez filtrowanie pakietów/połączeń, segmentację stref (np. WAN/LAN/DMZ), a często także funkcje dodatkowe (np. inspekcja stanu połączeń).
Odpowiedź "sprzętowej zapory sieciowej" jest właściwa, bo to właśnie firewall jest typowym rozwiązaniem do ograniczania ekspozycji sieci wewnętrznej na skanowanie portów, próby nieautoryzowanego dostępu i wiele klas ataków sieciowych. Urządzenie tego typu pozwala jawnie zdefiniować, jakie usługi są dostępne z Internetu, a jakie mają pozostać wyłącznie wewnętrzne.
Pozostałe odpowiedzi nie są najlepszym doborem do celu z pytania:
- "skanera antywirusowego" – antywirus wykrywa i usuwa złośliwe oprogramowanie na hostach (komputerach i serwerach). Jest ważny, ale sam w sobie nie stanowi bariery na granicy sieci i nie zastępuje filtrowania ruchu sieciowego.
- "serwera proxy" – proxy pośredniczy w dostępie do zasobów (często WWW), może realizować uwierzytelnianie i filtrowanie treści. Zwiększa kontrolę i może wspierać bezpieczeństwo, ale nie jest podstawowym narzędziem do ochrony całej sieci przed atakami z zewnątrz (nie obsługuje pełnego zakresu ruchu tak jak firewall).
- "przełącznika warstwy trzeciej" – przełącznik L3 realizuje przełączanie i routowanie (np. między VLAN). Może mieć listy ACL, ale jego główna funkcja to wydajna komunikacja w sieci lokalnej, a nie kompleksowa ochrona perymetru przed zagrożeniami z Internetu.
W praktyce, aby skutecznie chronić sieć, stosuje się zaporę jako podstawę, a dopiero uzupełniająco inne elementy: antywirus/EDR na hostach, proxy (jeśli wymagane), segmentację VLAN oraz zasadę minimalnych uprawnień w regułach.
