Mikä on palomuuri ja miten se suojaa tietokonettasi?

Palomuuri on tietoturvaominaisuus, joka valvoo ja suodattaa tietokoneesi ja verkon välillä kulkevaa liikennettä. Se päästää läpi sallitut yhteydet ja estää ne, jotka eivät täytä sille asetettuja sääntöjä. Käytännössä palomuuri toimii kuin vartija kotiverkon ja internetin rajalla: se tarkistaa jokaisen sisään- ja ulospäin pyrkivän tietopaketin ja tekee päätöksen, saako se jatkaa matkaa. Tässä oppaassa käydään selkokielellä läpi, mikä palomuuri on, miten se toimii, millaisia palomuureja on olemassa ja miten varmistat, että oma palomuurisi on päällä.

Mikä palomuuri on lyhyesti

Palomuuri (englanniksi firewall) on laite tai ohjelmisto, joka erottaa luotetun verkon – esimerkiksi kotiverkkosi tai tietokoneesi – vähemmän luotetusta verkosta, kuten internetistä. Se seuraa verkkoliikennettä ja sallii tai estää yhteyksiä ennalta määritettyjen sääntöjen perusteella. Sääntöjä voidaan muodostaa esimerkiksi lähde- ja kohdeosoitteen (IP-osoite), käytetyn protokollan tai porttinumeron mukaan.

Ensimmäiset palomuurit otettiin käyttöön 1980-luvun lopulla yksinkertaisina pakettisuodattimina. Nykyään palomuuri on vakiovaruste: se on sisäänrakennettuna niin Windowsiin kuin macOS:ään, ja myös lähes jokaisessa kotireitittimessä on oma palomuurinsa. Palomuuri on yksi tietoturvan peruskerroksista, mutta se on vain osa kokonaisuutta – samaan tapaan kuin salattu yhteys, jonka saat kun ymmärrät mikä on VPN ja miten sitä käytetään.

Miten palomuuri toimii

Verkkoliikenne kulkee pieninä tietopaketteina. Palomuuri tutkii nämä paketit ja vertaa niitä sääntöluetteloonsa. Jos paketti vastaa sallivaa sääntöä, se pääsee läpi; jos se vastaa estävää sääntöä tai mikään sääntö ei salli sitä, palomuuri pysäyttää sen.

Säännöt ratkaisevat, mitä päästetään läpi

Palomuurisäännöt määrittelevät, mikä liikenne on sallittua ja millä ehdoilla. Sääntö voi perustua muun muassa seuraaviin tietoihin:

• Sovellus tai ohjelma, joka yrittää ottaa yhteyden
• Lähde- ja kohde-IP-osoite eli mistä liikenne tulee ja minne se on menossa
• Protokolla ja portti, esimerkiksi tietyn verkkopalvelun käyttämä portti
• Verkon tyyppi, esimerkiksi kotiverkko tai julkinen WiFi

Esimerkiksi Windowsin sisäänrakennettu palomuuri estää oletuksena kaiken sisäänpäin tulevan liikenteen, jota et ole itse pyytänyt tai joka ei vastaa erikseen sallivaa sääntöä, mutta sallii oletuksena ulospäin lähtevän liikenteen. Näin internetistä ei pääse ottamaan yhteyttä koneeseesi ilman lupaa, mutta omat sovelluksesi saavat silti yhteyden verkkoon.

Sisään- ja ulospäin suuntautuva liikenne

Palomuuri valvoo liikennettä kahteen suuntaan. Sisääntuleva liikenne (inbound) tarkoittaa yhteyksiä, joita ulkopuolelta yritetään muodostaa koneeseesi – juuri tätä palomuuri rajoittaa tiukimmin. Ulosmenevä liikenne (outbound) tarkoittaa yhteyksiä, joita omat ohjelmasi muodostavat verkkoon. Ulosmenevän liikenteen valvonta voi paljastaa, jos haittaohjelma yrittää salaa lähettää tietoja koneeltasi.

Monessa palomuurissa, kuten Windowsin palomuurissa, säännöt sidotaan verkkoprofiiliin. Windows tunnistaa automaattisesti, millaiseen verkkoon olet yhteydessä, ja soveltaa sen mukaista profiilia: toimialueverkko (työpaikan hallittu verkko), yksityinen verkko (esimerkiksi kotiverkko) tai julkinen verkko (esimerkiksi kahvilan tai lentokentän WiFi). Julkiselle verkolle käytetään tiukimpia asetuksia, koska siellä muihin laitteisiin ei voi luottaa.

Palomuurin tyypit

Palomuurit ovat kehittyneet vuosien varrella yksinkertaisista suodattimista monipuolisiksi suojausjärjestelmiksi. Yleisimmät tyypit ovat:

• Pakettisuodatin on vanhin ja yksinkertaisin malli. Se tarkastaa jokaisen paketin erikseen osoitteen, protokollan ja portin perusteella, mutta ei seuraa yhteyden tilaa eikä tutki paketin sisältöä.
• Tilaseurantapalomuuri (stateful inspection) muistaa käynnissä olevat yhteydet ja osaa päättää paketin kohtalosta kokonaisen yhteyden perusteella. Tämä tekee suodatuksesta älykkäämpää. Ensimmäinen kaupallinen tilaseurantapalomuuri esiteltiin vuonna 1993.
• Välityspalomuuri (proxy) toimii välikätenä tietokoneen ja verkkopalvelun välillä. Se ottaa yhteyden palveluun koneesi puolesta, jolloin koneesi ei ole suoraan yhteydessä internetiin.
• Uuden sukupolven palomuuri (NGFW) yhdistää tilaseurannan muihin suojauksiin, kuten tunkeutumisen esto- ja tunnistusjärjestelmään, sovellustunnistukseen ja syvälliseen pakettitarkastukseen.

Ohjelmistopalomuuri vai laitepalomuuri?

Palomuuri voi olla ohjelmisto tai erillinen laite – usein molemmat ovat käytössä yhtä aikaa.

• Ohjelmistopalomuuri on asennettu suoraan tietokoneeseen ja suojaa juuri sitä laitetta. Windowsin ja macOS:n sisäänrakennetut palomuurit ovat ohjelmistopalomuureja. Ne osaavat valvoa liikennettä sovelluskohtaisesti.
• Laitepalomuuri on fyysisessä laitteessa, yleensä kotireitittimessä. Se suojaa kaikkia samaan verkkoon kytkettyjä laitteita kerralla, mutta ei tunne yksittäisten koneiden sovelluksia yhtä tarkasti.

Kotikäyttäjälle paras suoja syntyy, kun reitittimen palomuuri ja tietokoneen oma palomuuri ovat molemmat päällä.

Miten palomuuri suojaa tietokonettasi

Palomuuri pienentää tietokoneesi niin sanottua hyökkäyspinta-alaa eli niiden reittien määrää, joita hyökkääjä voisi käyttää. Käytännössä se suojaa muun muassa seuraavilta uhilta:

• Luvattomat yhteydet ulkopuolelta. Palomuuri estää tuntemattomia tahoja ottamasta yhteyttä koneeseesi internetin kautta.
• Verkon kautta leviävät hyökkäykset. Moni kyberhyökkäys etsii verkosta koneita, joissa on avoimia portteja tai haavoittuvuuksia. Palomuuri sulkee nämä ovet niiltä, joilla ei ole lupaa.
• Haittaohjelmien liikenne. Jos kone on jo saastunut, ulosmenevän liikenteen valvonta voi estää haittaohjelmaa ottamasta yhteyttä hyökkääjän palvelimelle.

On silti tärkeää ymmärtää, mitä palomuuri ei tee. Se ei poista koneella jo olevaa haittaohjelmaa eikä tunnista viruksia tiedostojen sisältä. Siihen tarvitaan virustorjuntaa ja tarvittaessa erillistä haittaohjelmien poisto -prosessia.

Palomuuri ei korvaa virustorjuntaa

Yleinen väärinkäsitys on, että palomuuri ja virustorjunta ovat sama asia. Ne täydentävät toisiaan, mutta tekevät eri työtä:

• Palomuuri valvoo verkkoliikennettä ja päättää, mitkä yhteydet sallitaan. Se toimii koneen ja verkon rajalla.
• Virustorjunta tutkii tiedostoja ja ohjelmia koneen sisällä ja etsii haittaohjelmia, kuten viruksia ja kiristyshaittaohjelma-tyyppisiä uhkia.

Kattava suoja syntyy, kun molemmat ovat käytössä. Voit lukea lisää vaihtoehdoista oppaastamme paras ilmainen virustorjunta, jossa esitellään maksuttomia ohjelmia tietokoneen suojaamiseen.

Näin tarkistat ja kytket palomuurin päälle

Useimmissa laitteissa palomuuri on jo päällä, mutta kannattaa varmistaa asia. Alla ohjeet yleisimmille järjestelmille.

Windows

Windowsin oma palomuuri (Windows Defender -palomuuri) on oletuksena käytössä kaikissa Windows-versioissa. Tarkista tila näin:

1. Avaa Asetukset (Windows-näppäin + I).
2. Siirry kohtaan Tietosuoja ja suojaus → Windowsin suojaus.
3. Valitse Palomuuri ja verkkosuojaus.
4. Varmista, että palomuuri on päällä aktiivisessa verkkoprofiilissa (yksityinen tai julkinen verkko).

Microsoft suosittelee pitämään palomuurin päällä. Jos asennat kolmannen osapuolen tietoturvaohjelman, se voi ottaa oman palomuurinsa käyttöön Windowsin palomuurin tilalle.

Mac

macOS:ssä palomuuri on oletuksena pois päältä, joten se kannattaa kytkeä itse käyttöön:

1. Avaa Omenavalikosta Järjestelmäasetukset.
2. Valitse sivupalkista Verkko ja sieltä Palomuuri.
3. Kytke palomuuri päälle. Lisäasetukset-painikkeesta voit säätää, mitkä sovellukset saavat vastaanottaa yhteyksiä.

Huomaa, että jotkin järjestelmäpalvelut ja allekirjoitetut sovellukset voivat saada yhteyden palomuurin läpi, vaikka se olisi päällä.

Reititin ja kotiverkko

Kotireitittimessä on tyypillisesti oma palomuurinsa, joka suojaa koko verkkoa. Kirjaudu reitittimen hallintasivulle (osoite ja tunnukset löytyvät laitteen ohjeesta tai tarrasta) ja tarkista, että palomuuri on käytössä. Samalla kannattaa vaihtaa oletussalasanat, kytkeä etähallinta pois päältä, jos et tarvitse sitä, ja asentaa laitteen päivitykset.

Yleisiä virheitä ja väärinkäsityksiä

• Palomuurin sammuttaminen tilapäisesti ja sen unohtaminen. Palomuuri kytketään joskus pois esimerkiksi pelin tai ohjelman asennuksen ajaksi – muista laittaa se takaisin päälle.
• Luottaminen pelkkään palomuuriin. Palomuuri ei korvaa virustorjuntaa, päivityksiä eikä vahvoja salasanoja.
• Kaikkien yhteyksien salliminen. Jos hyväksyt automaattisesti kaikki palomuurin kyselyt, suoja heikkenee. Salli vain ohjelmat, jotka tunnistat ja joihin luotat.
• Julkisen verkon merkitseminen yksityiseksi. Kun olet julkisessa WiFissä, valitse verkoksi julkinen – silloin palomuuri käyttää tiukempia sääntöjä.

Usein kysytyt kysymykset (UKK)

Tarvitsenko palomuuria, jos minulla on jo virustorjunta?

Kyllä. Palomuuri ja virustorjunta suojaavat eri asioilta: palomuuri valvoo verkkoliikennettä ja virustorjunta etsii haittaohjelmia koneen sisältä. Paras suoja saadaan, kun molemmat ovat käytössä.

Hidastaako palomuuri tietokonetta tai nettiyhteyttä?

Tavallisessa kotikäytössä käyttöjärjestelmän sisäänrakennetun palomuurin vaikutus nopeuteen on käytännössä huomaamaton. Hyöty tietoturvalle on selvästi suurempi kuin mahdollinen pieni viive.

Riittääkö Windowsin oma palomuuri?

Useimmille kotikäyttäjille Windowsin sisäänrakennettu palomuuri riittää hyvin, kun se on päällä ja järjestelmä pidetään päivitettynä. Erillisiä palomuureja tarvitaan lähinnä erityistilanteissa ja yritysympäristöissä.

Suojaako palomuuri viruksilta?

Vain epäsuorasti. Palomuuri voi estää viruksen leviämistä verkon kautta ja katkaista haittaohjelman yhteyden ulospäin, mutta se ei tunnista eikä poista koneella jo olevaa virusta. Siihen tarvitaan virustorjuntaa.

Pitääkö palomuurin olla päällä myös kotiverkossa?

Kyllä. Vaikka kotiverkko on luotetumpi kuin julkinen verkko, palomuuri kannattaa pitää päällä myös kotona. Näin suojaudut myös saman verkon mahdollisesti saastuneilta laitteilta.