新聞中心
防火墻策略管理優(yōu)化的12點建議（落地執(zhí)行篇）
防火墻來源于建筑學，用以阻止火災蔓延。網(wǎng)絡中的防火墻更加高明，既能隔離安全風險的“火”，又能讓“人”穿墻而過。
作為最基礎(chǔ)的安全設備之一，防火墻在企業(yè)組織中得到廣泛應用，但基礎(chǔ)不意味著簡單。
為確保防火墻的穩(wěn)定高效運行，安全牛發(fā)布了《防火墻應用優(yōu)化的12點建議》一文，提出通過分析和調(diào)整防火墻的配置策略，提升其運行性能和防護效果。
建議的落地與執(zhí)行通常是復雜的一環(huán)，安博通以“晶石”安全策略智能運維平臺為例，從策略智能運維出發(fā)，為你梳理12點建議落地執(zhí)行的通路。
01 充分了解防火墻的運行策略
建議摘要：1）首先評估防火墻的現(xiàn)有配置，并映射網(wǎng)絡架構(gòu)，充分了解歷史與當前策略。2）建設全面的日志記錄系統(tǒng)，定期檢查更新運營規(guī)則，確保配置的適用性。3）記錄防火墻配置、網(wǎng)絡圖和安全規(guī)則，作為優(yōu)化時的參考和審計。
落地指南
· 對云網(wǎng)混合架構(gòu)下，異構(gòu)設備的安全策略進行集中管理，讓全網(wǎng)防火墻運行策略清晰可見。
· 提供策略自動開通、合規(guī)檢查、歷史臺賬、白名單等功能，實現(xiàn)策略的全生命周期管理，確保策略配置的適用性，保障持續(xù)優(yōu)化與合規(guī)審計。
02 使用統(tǒng)一的防火墻管理工具
建議摘要：1）使用統(tǒng)一的、可兼容的防火墻管理方案，對不同品牌的防火墻進行納管，使運行策略具有一致性和有效性。2）統(tǒng)一的管理工具，可以對所有防火墻進行監(jiān)控、審計和報告，從而改進安全態(tài)勢。
落地指南
· 可作為全網(wǎng)訪問控制策略的集中管理與運維平臺，對防火墻策略進行管理的同時，對路由交換、云平臺上的訪問控制策略一并管理，實現(xiàn)“云上+本地”安全策略一體化管理。
03 采用多層級的防火墻應用模式
建議摘要：1）實施多層級的防火墻應用模式，部署配置不同類型的防火墻，以增強安全性。2）相應配置邊界層、內(nèi)部層和應用層的防火墻，通過統(tǒng)一工具進行管控，提高防御多種威脅的能力。
落地指南
· 目前，絕大部分關(guān)基單位已實現(xiàn)異構(gòu)品牌、多層級的防火墻應用模式，隨之而來的是管理與運維差異性的問題?！熬笨梢杂行Ы鉀Q異構(gòu)設備導致的運維痛點，提升整體安全能力。
04 定期更新防火墻運行規(guī)則
建議摘要：1）為消除安全盲區(qū)，定期評估防火墻的運行規(guī)則與企業(yè)需求是否一致，刪除陳舊、冗余的規(guī)則，關(guān)注可能影響設備性能或安全性的重疊規(guī)則。2）持續(xù)優(yōu)化調(diào)整防火墻策略，盡量減小攻擊面。
落地指南
· 策略注釋與到期提醒功能，可以及時預警到期策略。
· 清理優(yōu)化功能，發(fā)現(xiàn)隱藏、冗余、可合并等問題策略，并進行閉環(huán)整改，提高防火墻運行效率。
· 命中收斂功能，發(fā)現(xiàn)長期不命中或過于寬松的策略，給出收斂腳本，縮減核心業(yè)務的暴露面。
05 遵循最小權(quán)限原則
建議摘要：1）創(chuàng)建防火墻規(guī)則時，應遵循最小權(quán)限原則，建立基于身份的控制措施，確保用戶只能訪問必要的資源。2）定期評估并更新權(quán)限，及時撤銷不再需要訪問的人員或應用系統(tǒng)的權(quán)限，降低被非法訪問的風險。
落地指南
· 事前控制：與企業(yè)的ITSM（IT服務管理）或工單系統(tǒng)對接，實現(xiàn)業(yè)務開通的全流程數(shù)字化；基于預置的寬松度檢測規(guī)則，確保策略開通遵循最小權(quán)限原則，并關(guān)聯(lián)至業(yè)務部門的申請者，便于后續(xù)清理和撤銷。
· 事后收斂：針對歷史遺留的寬松策略，通過命中收斂功能，發(fā)現(xiàn)長期不命中或過于寬松的策略，給出收斂腳本，逐步落實最小權(quán)限原則，縮減核心業(yè)務的暴露面。
06 實施網(wǎng)絡分段
建議摘要：1）按照業(yè)務需求，將網(wǎng)絡分為不同區(qū)域，以配合最小權(quán)限原則，使具體的安全措施更易于部署。2）能夠隔離受影響的網(wǎng)段，保護其余網(wǎng)段，在遭受安全威脅時，提高企業(yè)的安全控制能力。
落地指南
· 進行網(wǎng)絡規(guī)劃設計時，大部分關(guān)基單位已經(jīng)實施了網(wǎng)絡分區(qū)、分段，并通過防火墻進行域間隔離。但隨著網(wǎng)絡配置的頻繁變更，且缺乏有效的監(jiān)控核驗手段，很難評估當前網(wǎng)絡分段的現(xiàn)狀與效果。
· 全網(wǎng)邏輯拓撲可視，應用自研的安全可視化技術(shù)，實時了解業(yè)務區(qū)域劃分情況，以及域間安全設備的有效性。
· 域間訪問基線功能，定期對全網(wǎng)的域間訪問策略進行基線核查，及時告警違規(guī)訪問通路和違規(guī)策略，嚴格落實最小化原則。
07 對防火墻運行日志進行監(jiān)控和記錄
建議摘要：1）啟用完善的防火墻日志功能，并使用安全信息和事件管理（SIEM）工具，實現(xiàn)異常情況自動報警。2）將防火墻運行日志保存在易于訪問的安全位置，定期分析日志，以發(fā)現(xiàn)異常行為、潛在風險和待改進之處。3）完善的日志分析，還可以支撐響應決策和配置優(yōu)化，從而增進威脅檢測、故障排除工作成效。
落地指南
· 對防火墻運行日志進行監(jiān)控和記錄，主要接收并處理3種類型的日志：第一種是防火墻策略命中日志，可用于策略收斂；第二種是防火墻操作日志，可用于主動的策略變更監(jiān)控分析；第三種是防火墻告警日志，依托SOAR（安全編排、自動化及響應）產(chǎn)品，進行安全事件的關(guān)聯(lián)分析。
08 定期審計防火墻性能
建議摘要：1）執(zhí)行嚴格的安全審計，確認防火墻的漏洞、脆弱性及合規(guī)情況。2）開展防火墻安全評估和滲透測試，全面檢查配置以發(fā)現(xiàn)弱點。3）模擬網(wǎng)絡攻擊，分析防火墻在檢測和阻止非法訪問方面的有效性。
落地指南
· 合規(guī)審計功能，針對防火墻配置基線進行定期檢查，發(fā)現(xiàn)配置問題并整改。
· 自動構(gòu)建全網(wǎng)模擬仿真環(huán)境，以路徑仿真分析方式模擬網(wǎng)絡攻擊，或從核心業(yè)務資產(chǎn)視角分析其對外暴露路徑，驗證檢測防火墻在訪問控制方面的有效性，進一步收斂業(yè)務暴露面。
09 及時進行補丁更新
建議摘要：1）防火墻的軟件系統(tǒng)可能存在安全漏洞，應該通過自動化手段及時更新固件，并安裝最新補丁。2）密切關(guān)注設備供應商發(fā)布的版本更新信息，在無人工干預的情況下定期進行軟件更新檢查，自動更新防火墻。3）監(jiān)控跟蹤防火墻的更新狀態(tài)，經(jīng)常檢查軟件發(fā)布說明了解關(guān)鍵信息。
落地指南
· 通過漏洞管理平臺進行落地。
10 確保可靠的配置備份
建議摘要：1）為防范配置漂移風險，應定期備份防火墻配置，在發(fā)生故障時可盡快恢復正常運營狀態(tài)。2）備份應保存在遠離主系統(tǒng)的安全區(qū)域，并定期測試恢復過程，確保其有效性。3）可靠的配置備份，可以防止配置錯誤、硬件故障和惡意行為，提供快速恢復機制，縮短停運時間。
落地指南
· 納管全網(wǎng)防火墻后，定期（如每天1次）對防火墻的全量配置進行采集留存，配置備份保存周期可達3年以上。
· 將任意時間點的配置文件進行對比分析，可視化展現(xiàn)配置差異。
11 實施規(guī)范的變更管理流程
建議摘要：1）實施規(guī)范的變更管理流程，減少非法或破壞性變更出現(xiàn)的風險，簡化事后分析與合規(guī)遵從工作。2）臨時倉促進行的更新，往往會導致安全漏洞或錯誤，影響防火墻的有效性。規(guī)范流程可加強安全運營人員的責任意識，降低錯誤配置的可能性。
落地指南
· 自動分析業(yè)務的訪問控制策略開通需求，定位開通路徑途經(jīng)的防火墻或其他設備，進行安全風險分析與配置腳本生成，對開通結(jié)果進行自動驗證。
· 可通過集成對接方式，內(nèi)嵌到企業(yè)的ITSM、OA等工單類系統(tǒng)中，實現(xiàn)策略變更的全流程數(shù)字化，提高策略配置的準確性與敏捷性，讓合規(guī)工作更高效、可持續(xù)。
12 加強用戶溝通和安全意識
建議摘要：1）設立持續(xù)的培訓計劃和溝通渠道，提高用戶對潛在風險的認知。2）模擬網(wǎng)絡釣魚，定期評估員工發(fā)現(xiàn)風險的能力。3）定期宣講防火墻策略、不斷變化的威脅及網(wǎng)絡安全最佳實踐，制訂獎勵制度，表彰和激勵員工對網(wǎng)絡安全做出積極貢獻。
落地指南
· 結(jié)合企業(yè)安全教育進行落地。
