Czy zostałeś oskarżony o utrzymywanie zapory sieciowej swojej organizacji? Może to być trudne zadanie, zwłaszcza jeśli sieć chroniona przez zaporę ma zróżnicowaną społeczność klientów, serwerów i innych urządzeń sieciowych o unikalnych wymaganiach dotyczących komunikacji.
Zapory ogniowe stanowią kluczową warstwę obronną dla twojej sieci i stanowią integralną część ogólnej strategii ochrony sieci. Jeśli nie jest to odpowiednio zarządzane i implementowane, zapora sieciowa może pozostawić luki w zabezpieczeniach, umożliwiając hakerów i przestępców w sieci i poza nią.
Poznaj swoją sieć
Gdzie zatem zaczynasz, próbując oswoić się z tą bestią?
Jeśli po prostu zanurkujesz i zaczniesz manipulować listami kontroli dostępu (Access Control Lists - ACL), możesz przypadkowo wyizolować serwer o znaczeniu krytycznym, który może rozzłościć twojego szefa i spowodować, że zostaniesz zwolniony.
Sieć wszystkich jest inna. Nie ma panaceum ani lekarstwa - wszystko to dla stworzenia odpornej na hakery konfiguracji zapory sieciowej, ale są pewne zalecane najlepsze praktyki dotyczące zarządzania zaporą sieciową. Ponieważ każda organizacja jest wyjątkowa, poniższe wskazówki mogą nie być "najlepsze" dla każdej sytuacji, ale przynajmniej zapewni to punkt wyjścia do pomocy w kontrolowaniu zapory ogniowej, aby nie została spalona.
Utwórz tablicę kontrolną zmiany zapory
Utworzenie tablicy kontrolnej wymiany ogniowej składającej się z przedstawicieli użytkowników, administratorów systemu, kierowników i pracowników ochrony może ułatwić dialog między różnymi grupami i może pomóc w uniknięciu konfliktów, zwłaszcza jeśli proponowane zmiany są omawiane i koordynowane ze wszystkimi, na których może wpływać przed zmianą.
Każda głosowana zmiana pomaga również w zapewnieniu rozliczalności w przypadku wystąpienia problemów związanych z konkretną zmianą zapory ogniowej.
Powiadom użytkowników i administratorów przed zmianami reguł zapory
Użytkownicy, administratorzy i komunikacja z serwerem mogą podlegać zmianom w zaporze. Nawet pozornie niewielkie zmiany w regułach zapory i listach ACL mogą mieć duży wpływ na łączność. Z tego powodu najlepiej powiadomić użytkowników o proponowanych zmianach reguł zapory sieciowej. Administratorzy systemu powinni zostać poinformowani, jakie zmiany są proponowane i kiedy mają wejść w życie.
Jeśli użytkownicy lub administratorzy mają problemy z proponowanymi zmianami reguł zapory, należy wydać wystarczającą ilość czasu (jeśli to możliwe), aby mogli wyrazić swoje obawy przed wprowadzeniem zmian, chyba że wystąpi nagła sytuacja wymagająca natychmiastowych zmian.
Dokumentuj wszystkie zasady i używaj komentarzy, aby wyjaśnić cel zasad specjalnych
Próba odgadnięcia celu reguły zapory sieciowej może być trudna, szczególnie gdy osoba, która pierwotnie napisała regułę, opuściła organizację, a ty próbujesz dowiedzieć się, kto może być dotknięty usunięciem reguły.
Wszystkie zasady powinny być dobrze udokumentowane, aby inni administratorzy mogli zrozumieć każdą regułę i określić, czy jest ona potrzebna, czy też powinna zostać usunięta. Komentarze w regułach powinny wyjaśniać:
- Cel reguły.
- Usługa, której dotyczy reguła.
- Użytkownicy / serwery / urządzenia, których dotyczy reguła (dla kogo jest przeznaczona?).
- Data dodania reguły i ramy czasowe, w których reguła jest potrzebna (tj. Czy jest to reguła tymczasowa?).
- Nazwa administratora zapory, który dodał regułę.
Unikaj używania "Any" w zaporach "Zezwalaj" Reguł
W artykule Cyberoam dotyczącym najlepszych zasad dotyczących reguł zapory zalecają unikanie używania "Any" w regułach zapory "Zezwalaj", ze względu na potencjalne problemy z ruchem i kontrolą przepływu. Podkreślają, że użycie "Any" może mieć niezamierzoną konsekwencję zezwalania na każdy protokół przez firewall.
"Odrzuć wszystko" Najpierw i następnie dodaj wyjątki
Większość zapór ogniowych przetwarza swoje reguły sekwencyjnie od góry listy reguł na dół. Kolejność reguł jest bardzo ważna. Najprawdopodobniej będziesz chciał, aby reguła "Odrzuć wszystkie" była pierwszą regułą zapory sieciowej. Jest to najważniejsza z zasad, a jej rozmieszczenie ma również kluczowe znaczenie. Ustanowienie reguły "Zabroń wszystko" na pozycji # 1 oznacza po prostu "Najpierw zatrzymaj wszystkich i wszystko, a potem zdecydujemy, kogo i co chcemy".
Nigdy nie chcesz, aby reguła "Zezwalaj na wszystko" była twoją pierwszą zasadą, ponieważ to by złamało cel posiadania zapory sieciowej, ponieważ właśnie wpuściłeś wszystkich do środka.
Po wprowadzeniu reguły "Odrzuć wszystko" na pozycji nr 1 możesz zacząć dodawać reguły zezwalające pod nią, aby umożliwić określony ruch w sieci i poza nią (zakładając, że zapora przetwarza reguły od góry do dołu).
Regularnie sprawdzaj zasady i usuwaj nieużywane reguły regularnie
Zarówno ze względu na wydajność, jak i bezpieczeństwo, będziesz chciał okresowo "odkurzyć" reguły zapory sieciowej. Im bardziej złożone i liczne są twoje reguły, tym większa będzie wydajność. Jeśli masz reguły zbudowane dla stacji roboczych i serwerów, które nie są już w Twojej organizacji, możesz je usunąć, aby zmniejszyć nakład pracy związany z przetwarzaniem reguł i zmniejszyć ogólną liczbę wektorów zagrożeń.
Uporządkuj reguły zapory dla wydajności
Kolejność reguł zapory może mieć duży wpływ na przepustowość ruchu sieciowego. eWEEk ma świetny artykuł na temat najlepszych praktyk dotyczących organizacji reguł firewalla w celu maksymalizacji ruchu. Jedna z ich sugestii obejmuje wyjęcie części obciążeń z zapory ogniowej poprzez filtrowanie niepożądanego ruchu za pośrednictwem routerów brzegowych.
