คุณต้องการไฟร์วอลล์บน Mac หรือไม่? คำตอบคือ ใช่ และ ไม่
โอกาสค่อนข้างมากที่คอมพิวเตอร์ของคุณอยู่เบื้องหลังไฟร์วอลล์ที่เป็นส่วนหนึ่งของเราเตอร์ ดังนั้นการปิดไฟร์วอลล์ของ macOS ทำให้ง่ายต่อการตั้งค่าการเชื่อมต่อกับอุปกรณ์ Apple อื่นๆ แต่หากคุณใช้แลปท็อปและเชื่อมต่อเครือข่ายที่ไม่น่าเชื่อถือบ่อยๆ ควรเปิดใช้งานไฟร์วอลล์
macOS ยังรวมบริการเครือข่ายแชร์หลายอย่างเพื่อเข้าถึงเนื้อหาแบบระยะไกล หากเปิดบริการเหล่านั้นไว้ หรือใช้แอปบุคคลที่สาม อาจทำให้ Mac savunร่อนต่อการโจมตีเครือข่าย เราจะแสดงวิธีตั้งค่าไฟร์วอลล์และเมื่อไหร่ควรใช้
การตั้งค่าไฟร์วอลล์ของ Mac
ความสำคัญของไฟร์วอลล์เป็นส่วนหนึ่งของกลยุทธ์ความปลอดภัยไม่สามารถประมาณค่าได้ เราได้อภิปรายโดยละเอียดแล้วว่าทำไมควรใช้ไฟร์วอลล์
ในกรณีของ macOS มี 2 ส่วนประกอบของซอฟต์แวร์ไฟร์วอลล์
ไฟร์วอลล์ชั้นแอปพลิเคชัน (ALF)
ส่วนประกอบนี้จะอนุญาตหรือปฏิเสธการเข้าถึงสำหรับแอปเพื่อสร้างการสื่อสารผ่านเครือข่าย ไม่ได้ขึ้นอยู่กับพอร์ตที่ใช้ ไฟร์วอลล์ macOS 内建 ให้สิ่งนี้ และโดยการออกแบบ มันเรียบง่ายและเข้าใจง่าย คุณสามารถระบุสำหรับแต่ละแอปว่าอนุญาตหรือบล็อกการเชื่อมต่อขาเข้า
เพื่อเปิดไฟร์วอลล์บน Mac เปิด System Preferences > Security & Privacy > Firewall คลิกไอคอนล็อกมุมซ้ายล่าง ป้อนรหัสผ่านผู้ดูแลระบบ และคลิก Unlock
หากหน้าต่างไม่แสดง Firewall: On แล้ว คลิกปุ่ม Turn On Firewall วงกลมสีเขียวจะเปิด และ Mac จะอนุญาตเฉพาะトラフィกขาเข้าสำหรับการเชื่อมต่อที่สร้างแล้ว ซอฟต์แวร์ที่เซ็นชื่อ และบริการที่เปิดใช้งาน สามารถปิดไฟร์วอลล์ของ Mac ได้ด้วยปุ่มที่ตรงกันข้าม
ไฟร์วอลล์กรองแพ็กเก็ต (PF)
ส่วนประกอบนี้ฝังลึกในเคอร์เนลระบบปฏิบัติการ PF คือตัวกรองแพ็กเก็ตของ OpenBSD ฟังก์ชันหลักคือกรองแพ็กเก็ตเครือข่ายโดยจับคู่คุณสมบัติของแพ็กเก็ตแต่ละตัว (และการเชื่อมต่อเครือข่ายที่สร้างจากพวกมัน) กับเกณฑ์การกรองที่กำหนดในชุดกฎ
ด้วยไฟร์วอลล์ PF คุณสามารถควบคุมการจราจรเครือข่ายได้จากคุณสมบัติแพ็กเก็ตหรือประเภทการเชื่อมต่อเกือบทุกอย่าง รวมถึงที่อยู่ต้นทางและปลายทาง อินเทอร์เฟซ โปรโตคอล และพอร์ต ตามเกณฑ์เหล่านี้ สามารถปล่อยแพ็กเก็ตผ่าน บล็อก หรือทริกเกอร์เหตุการณ์ที่ส่วนอื่นของระบบปฏิบัติการจัดการได้
ไฟร์วอลล์ PF มีผลบน macOS เริ่มจาก Mac OS X 10.7 Lion แม้ ALF จะง่ายและเข้าใจง่าย การตั้งค่าไฟร์วอลล์ PF ต้องการความรู้อย่างลึกซึ้งเกี่ยวกับไวยากรณ์ ตรรกะ และการกำหนดค่าเครือข่าย ต้องแก้ไขไฟล์การกำหนดค่าด้วยตนเอง และการตรวจสอบตัวกรองแพ็กเก็ตทำทั้งหมดจากบรรทัดคำสั่ง
กำหนดค่าการตั้งค่าไฟร์วอลล์ของ Apple
macOS รวมบริการภายในมากมายสำหรับแชร์ไฟล์ พิมพ์ เข้าถึงทรัพยากรระยะไกล และอื่นๆ เพื่อเปิดใช้บริการ ไปที่ System Preferences > Sharing และติ๊กถูกกล่องข้างบริการที่ต้องการใช้
เนื่องจากไฟร์วอลล์ทำงานแบบต่อแอปพลิเคชัน คุณจะเห็นบริการเหล่านี้แสดงตามชื่อแทนหมายเลขพอร์ต ตัวอย่าง จะเห็น File Sharing บนแผงแทนพอร์ต 548
เพื่อปรับแต่งไฟร์วอลล์ กลับไปที่แผง Firewall และคลิกปุ่ม Firewall Options จะเปิดเผยการกำหนดค่าไฟร์วอลล์เพิ่มเติม ใช้ปุ่ม Plus และ Minus เพื่อเพิ่มหรือลบแอปตามต้องการ สามารถเลือกติ๊กตัวเลือกเพิ่มเติมด้านล่างได้
บริการที่ติ๊กในแผง Sharing จะปรากฏในรายการการเชื่อมต่อที่อนุญาตโดยอัตโนมัติ แต่หากปิดบริการใดบริการหนึ่ง จะไม่ปรากฏในแผงตัวเลือกไฟร์วอลล์อีก
เมื่อแอปบุคคลที่สามเริ่มฟังการเชื่อมต่อขาเข้า จะเห็นข้อความถาม "Do you want the application "[App]" to accept incoming network connections?" คลิก Allow หรือ Deny เพื่อปรับตั้งค่าไฟร์วอลล์ แอปที่อนุญาตจะปรากฏในรายการ
ไฟร์วอลล์ขาออก ควรเปิดหรือปิด?
ไฟร์วอลล์ภายในให้ความสามารถตรวจสอบและบล็อกการเชื่อมต่อขาเข้า แต่สามารถตรวจสอบการเชื่อมต่อขาออกได้ด้วย ผู้ใช้ทั่วไปใช้ข้อมูลトラฟฟิกขาออกได้อย่างไร? มาดูตัวอย่าง
- แอปส่วนใหญ่ที่คุณใช้บน Mac มีอินเทอร์เฟซที่มองเห็นได้ และแลกเปลี่ยนข้อมูลระหว่างเครื่องของคุณและเซิร์ฟเวอร์ที่ตั้งอยู่ที่อื่น แต่กระบวนการหลายอย่างที่รันในพื้นหลังก็ส่งและรับข้อมูล
- ดูกระบวนการทั้งหมดใน Activity Monitor > Network แท็บ จะมั่นใจได้อย่างไรว่าการเชื่อมต่อทั้งหมดเป็นของแท้?
- แอปมีส่วนร่วมกิจกรรมตลอด: แอปอีเมลดาวน์โหลดข้อความใหม่ แอปเช็คอัปเดตเป็นระยะ Dropbox ซิงก์ไฟล์ที่เปลี่ยนแปลง กิจกรรมเหล่านี้ปกติ แต่หากดาวน์โหลดแอปอันตรายที่ล็อกกดแป้นพิมพ์ลับและส่งข้อมูลละเอียดอ่อนไปยังผู้กระทำผิด นั่นคือปัญหา
- แอปพรีเมียม "โทรกลับบ้าน" (phone home) ตรวจสอบข้อมูลใบอนุญาตเป็นประจำ แต่นักพัฒนาบางรายอาจเก็บข้อมูลส่วนตัวละเอียดอ่อนโดยไม่ได้ยินยอม แอปเหล่านี้อาจสนิฟหรือกระจายข้อมูลผ่านเครือข่าย คัดลอกรายละเอียดการกำหนดค่าของ Mac และตรวจสอบการใช้งานแอปเฉพาะ
จากตัวอย่างเหล่านี้ ชัดเจนว่าไฟร์วอลล์สองทาง (two-way firewall) ให้การป้องกันจากトラฟฟิกขาเข้าและขาออก ช่วยระบุกิจกรรมของมัลแวร์ (หากติดตั้งและรัน) แต่เน้นความเป็นส่วนตัวมากกว่าความปลอดภัย
แอปไฟร์วอลล์บุคคลที่สามสำหรับ Mac
แอปไฟร์วอลล์บุคคลที่สามหลายตัวให้การควบคุมทั้งการเชื่อมต่อขาเข้าและขาออก เราพูดถึงตัวยอดนิยมด้านล่าง
LuLu
LuLu เป็นไฟร์วอลล์ฟรี โอเพนซอร์ส ที่มุ่งบล็อกトラฟฟิกขาออก เว้นแต่จะได้รับการอนุมัติโดยผู้ใช้อย่างชัดเจน เมื่อติดตั้ง จะแจ้งเตือนเกี่ยวกับพยายามสร้างการเชื่อมต่อเครือข่ายขาออกใหม่หรือไม่ได้รับอนุญาต คลิกปุ่ม Allow หรือ Block เพื่อจัดการการเชื่อมต่อ
หน้าต่างแจ้งเตือนแสดงไอคอนกระบวนการและสถานะการเซ็นโค้ดของแอป การรวม VirusTotal ภายในช่วยตรวจสอบว่าแอปเป็นมัลแวร์หรือไม่ พร้อมด้วยลำดับชั้นของกระบวนการ (ช่วยเข้าใจกระบวนการหลัก) รายละเอียดกระบวนการ และอื่นๆ
ดาวน์โหลด: LuLu (ฟรี)
Radio Silence
Radio Silence เป็นแอปไฟร์วอลล์ที่เรียบง่ายที่สุดสำหรับ Mac หลังติดตั้ง แอปทำงานในพื้นหลังอัตโนมัติโดยไม่มีไอคอนแถบเมนูหรือตัวบ่งชี้อื่น ไปที่แท็บ Firewall และคลิกปุ่ม Block Application เมื่อเพิ่มแอปในบล็อคลิสต์ จะไม่เชื่อมต่ออินเทอร์เน็ตอีกต่อไป
เนื่องจากคุณเพิ่มแอปเหล่านี้ด้วยตนเอง จึงไม่เห็นป็อปอัปที่รบกวน แท็บ Network Monitor ให้ข้อมูลเรียลไทม์สำหรับกระบวนการหรือแอปเฉพาะ ค้นพบตัวช่วยซ่อนอยู่ กระบวนการในหน่วยความจำ เดมอน บริการ XPC หมายเลขพอร์ต และที่อยู่ IP โฮสต์ แม้แอปมีค่าธรรมเนียมเล็กน้อย แต่ทดลองใช้ก่อนซื้อได้
ดาวน์โหลด: Radio Silence ($9, มีทดลองใช้ฟรี)
Little Snitch
Little Snitch เป็นไฟร์วอลล์แอปพลิเคชันแบบโฮสต์-เบสสำหรับ Mac แอปให้รายงานโดยละเอียดเกี่ยวกับกระบวนการ การเชื่อมต่อขาเข้าและขาออก พอร์ต และโปรโตคอล แสดงประวัติトラฟฟิกสมบูรณ์ลงถึงช่วงเวลา 1 นาที
โดยค่าเริ่มต้น ฟีเจอร์ Silent Mode อนุญาตการเข้าถึงเครือข่ายทั้งหมดที่ไม่ถูกห้ามโดยกฎชัดเจน เนื่องจากคุณไม่ปฏิเสธอะไรเลย จะมีเวลาเรียนรู้รายละเอียดของแอป ข้างหลัง แอปบันทึกการเชื่อมต่อทุกครั้ง จากนั้นเริ่มสร้างกฎได้
Network Monitor แสดงแผนที่โลกของการเชื่อมต่อที่ใช้งานอยู่จากระบบของคุณไปยังตำแหน่งที่ได้จาก IP หรือตำแหน่งที่น่าจะเป็น ทั่วโลกแบบเรียลไทม์ แผงซ้ายแสดงรายการแอปที่ส่งและรับข้อมูล ในขณะที่แผงขวาให้สรุปโดยละเอียด
ฟีเจอร์ Automatic Profile Switching ให้สร้างโปรไฟล์กรองตามเครือข่าย สร้างโปรไฟล์แยกสำหรับบ้าน ที่ทำงาน ร้านกาแฟ และอื่นๆ มีฟีเจอร์อื่นๆ อีกมาก แม้ซอฟต์แวร์จะไม่ได้ราคาถูก แต่สำหรับผู้ชื่นชอบ Little Snitch เป็นไฟร์วอลล์ที่ยากที่จะเอาชนะ
ดาวน์โหลด: Little Snitch ($45, มีทดลองใช้ฟรี)
Murus
Murus เป็นหน้าต่างกราฟิกสำหรับไฟร์วอลล์ PF บรรจุอินเทอร์เฟซที่เข้าใจง่าย และให้กำหนดค่าแอปด้วยพรีเซ็ตภายใน ยังให้เอดิเตอร์ชุดกฎสร้างและจัดการกฎ สร้างกฎซับซ้อนด้วยตัวเลือกขั้นสูงอย่าง port knocking, accounting และอื่นๆ
Murus Lite เป็นไฟร์วอลล์พื้นฐานมีแค่การกรองขาเข้าและบันทึก สำหรับ $10 จะได้ความสามารถกรองขาออก กฎกำหนดเอง port knocking ฟีเจอร์ปรับแต่ง และอื่นๆ อีกมาก
ดาวน์โหลด: Murus (ฟรี, มีเวอร์ชันพรีเมียม)
การป้องกันแบบหลายชั้นให้การป้องกันที่ดีที่สุด
ไฟร์วอลล์ไม่ใช่โซลูชันเวทมนตร์สำหรับปัญหาเช่นมัลแวร์และสแปม แต่ความสำคัญอาจแตกต่างในกรณีใช้งานต่างๆ สำหรับผู้ใช้ทั่วไป ไฟร์วอลล์ภายใน พร้อม Little Snitch เพียงพอแล้ว หากทำงานให้ธุรกิจที่ใช้ Mac ทั้งหมด การมีชั้นไฟร์วอลล์ที่แตกต่างกันมีเหตุผล
การผสมผสาน ALF และ PF ไฟร์วอลล์ ทำงานได้ดีโดยไม่มีปัญหาหลัก อย่างไรก็ตาม วิธีการกรองเครือข่ายของพวกเขาแตกต่างกัน และครอบคลุมเลเยอร์ที่แตกต่างของสแต็กเครือข่าย เรื่องเดียวกันกับแอปไฟร์วอลล์บุคคลที่สาม ทุก ALF บุคคลที่สามทำงานกับไฟร์วอลล์ PF ได้
จำไว้ว่าการป้องกันไฟร์วอลล์เป็นเพียงส่วนหนึ่งของกลยุทธ์ความปลอดภัย รู้วิธีหลีกเลี่ยงการติดมัลแวร์บน Mac และดูเคล็ดลับความปลอดภัย macOS อื่นๆ เพื่อเพิ่มการป้องกัน
