本文中专家Eric Cole介绍了如何通过适当的维护和测试来解决防火墙性能低下和故障问题。
z$ K+ Z2 f9 }! ~
/ z9 d, \' {' F8 N- _6 q
, G) v+ u9 b l8 s- b) \大多数企业认为防火墙是一种成熟的技术，且通常安全专家也不会过多考虑防火墙。在审计或评估防火墙时，企业通常只是简单地勾选表明防火墙在保护网络的选项就完事。) u# y& n$ y2 G+ U6 i# y
! }3 A! P3 n; Q, @# v. Z
# \7 j Z$ X6 R 1 @0 s& K$ {' n
然而，最近笔者注意到一种趋势：防火墙并没有提供它能提供的全部保护，因为它们没有得到升级或正确维护。笔者并不是说单靠防火墙可以阻止所有攻击，这不太可能，但笔者认为它们可以比现在更加有效。
; h5 q. A4 G* W- b& p( D, P+ g7 Q! f d% T0 F/ h# h% |( h- G
) U* x4 i. C! h4 x# [
. S2 Q# j& `; v7 x7 I& u! p$ K在考虑维护和测试及检查防火墙规则时，企业应该提出以下问题：7 z7 u: `3 g+ P/ P/ B
+ \2 G7 ^' _ N2 ~% ^0 Q, t
( x3 J) f+ C4 E* X; O1 u ; u/ L( K9 @3 m8 U6 |( o% H" Y
1. 最后一次全面验证防火墙规则集是什么时候？% _* w. I: X5 C. D% ?. `0 a
% f$ Z" x+ }+ o! Y0 N2 ^! M P# D. ~
: d/ t# J; k/ t. x) e" y% L
* b$ T% R8 h0 P; h& T9 A2. 防火墙规则集什么时候进行的更新？- _9 b# B) h9 h" K# t6 n
9 {( O" j+ I: O+ j0 m: Q 8 m- U/ ]! ^; w8 R, Y d
# p0 z! Y1 R# Q; R v$ I' ^# N
3. 最后一次全面测试防火墙是什么时候？, v6 F/ H# ~6 l9 X
/ a8 M- ^& b) @3 b7 ~ ) _' y% A8 i4 p6 |* k
1 s% h# y `7 y3 v
4. 最后一次优化防火墙规则集是什么时候？
% s" R6 t+ U6 g+ b* y
! F9 g/ _, @/ \ D' r% b ~5 U" T6 h) E / B1 F$ E* R0 ?4 i/ F7 x7 Z. \
6 z- M" H/ \3 A7 V* M) ` m对于大多数企业而言，防火墙极有可能是在几年前部署的，并且，在这些年都没有进行过多的改进。笔者的很多客户就是这种情况，这也是笔者选择防火墙作为本文主题的原因。
+ w& k* l& [4 `/ \2 W6 f( T
/ B; x1 m/ u# `' E" }
/ T2 I# D! k- q" c- A * W! o, S9 J0 y
防火墙设计和配置1 b/ F7 U! Z' T+ F$ r
6 H+ r& m7 H8 D- c, W % d. G- d3 U, P+ N9 l5 G
: s' }0 X* K6 `% e. m对于防火墙，两个重要的事情是：它必须得到正确的设计和配置。而对于设计，黄金准则是“所有连接必须通过防火墙”。现在的问题是，究竟有多少百分比的流量通过防火墙呢？
% `7 s) e% X& n# S3 m" ~. A 9 _' A. G$ Y% q6 u( z7 X
& h. u5 p3 t0 s& v, F9 Q 5 l$ H1 v9 v& ^% t3 e7 P
也许有人会说，100%的网络流量必须通过防火墙，但实际情况是，加密链路、无线网络流量、调制解调器和外部网连接通常都会绕过防火墙。很多人声称100%的流量通过防火墙，但实际上这个比率可能非常低。随着网络变得更开放，现在很多防火墙只监控不到60%的流量，这极大地降低了防火墙的有效性。毕竟，防火墙无法保护它看不到的东西。
9 k/ A* `& g X/ o2 x: {+ H 5 W4 Y" ]5 n5 p7 k z
) @& a0 J" Z4 P, }$ K C
* P5 Q0 B' A1 e- @/ Y4 ~9 d9 }从配置方面来看，防火墙的有效性取决于规则集。在很多情况下，企业是让技术人员在控制台前面来配置规则集。而且，没有什么防火墙政策或要求文件来推动规则集的创建。如果没有文件，就没有办法验证它是否正确。
7 _' a+ G. }* e2 Z9 F
$ ~3 Y0 b, g) `7 R! Q ; J+ u2 t X1 @" _
2 a0 K6 z: m3 Y+ b+ K/ c另一个根本问题时，企业很少执行适当的防火墙测试。在规则集创建或更新后，企业将测试和确保一切正常通过防火墙。虽然测试正常情况很重要，但问题是，一切都正常通过，应该被阻止的事物也会被允许通过。因此，企业应该利用要求文件，同时测试异常情况，这将确保应该被阻止的事物得以正确阻止。. [/ K6 t; \/ n# ~
; [) U: ^5 m) {6 U& V7 \: D
: F$ x" b7 `" b) ^ # s, K3 c3 d& k$ J0 ]/ E X ^/ _! b8 v
测试防火墙的有效性以防止故障
) Z! h8 e2 f- h. D1 D
6 ~. [% P# M1 l, ? 1 d1 [5 O) Z+ z
$ p9 r6 R. J4 G9 U4 |最后的测试是测量防火墙的整体效能，而了解防火墙有效性的唯一方法是查看丢弃数据包的数量。毕竟，部署防火墙的原因是让它阻止应该被阻止的流量。基于这个评估，企业需要回答这个问题：“防火墙每天有多少丢弃数据包，如果出现异常情况，防火墙能否检测得到？”
5 G# o7 ]; o5 J5 r M6 v4 f3 H
. K% P; l, d5 Y( m. B: ~
3 `$ A8 [$ G: q( U( L+ q3 w" a % i# x3 U8 M) O5 p" ~3 \
笔者的一个客户非常满意其防火墙，因为其防火墙有237个独特的规则集。问题是当我们检查丢包的数量时，结果是0。这意味着237条规则相当于“完全允许通过”，该客户的防火墙只是昂贵的直通设备而已。通过检查丢包数量，企业可以更好地了解设备是否允许太多东西通过，最终阻碍防火墙的有效性。
0 b! a" p/ B: U
. W) R- R6 H3 E7 e7 e- x) d " n/ u, _$ K3 |1 o0 g" O- j
+ X7 f! v& z( {5 G8 @最后，防火墙的成功基于它丢弃的数据包数量。测量防火墙有效性的关键是追踪丢包的数量以确保它符合企业所处的业务类型，同时寻求改变。每个企业都不同，但一般而言，每天应该有数千或更多丢弃包。有些企业可能每小时就有几千丢弃包，但如果企业每天只有一百个丢弃包，那么，要么是防火墙被插入到互联网的安全部分（这不太可能），或者防火墙规则集没有被正确配置。同样重要的是在对规则集做出更改后，检查丢弃包的数量，以确保企业了解规则对其安全的影响。
: W0 }6 U8 o" d0 U* U 0 H' }5 A& D3 m3 [/ U$ f
9 V9 k p$ F: f0 r" A5 M4 j
7 G f& r) t$ w总而言之，防火墙存在于大多数企业中，但它们可能已经随着时间的推移而失去有效性，没有发挥它们应有的作用。检查通过防火墙的流量百分比以及检查丢包的数量可以帮助提高防火墙的价值。 |
|
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡
, i% x. G( x6 B$ V" l3 O$ |6 V, @