Έχετε χρεωθείτε με τη διατήρηση του τείχους προστασίας δικτύου του οργανισμού σας; Αυτό μπορεί να είναι ένα αποθαρρυντικό έργο, ειδικά εάν το δίκτυο που προστατεύεται από το τείχος προστασίας έχει μια διαφορετική κοινότητα πελατών, διακομιστών και άλλων συσκευών δικτύου με μοναδικές απαιτήσεις επικοινωνίας.
Τα τείχη προστασίας παρέχουν ένα βασικό επίπεδο άμυνας για το δίκτυό σας και αποτελούν αναπόσπαστο μέρος της συνολικής στρατηγικής άμυνας σε βάθος. Εάν δεν διορθωθεί και εφαρμοστεί σωστά, ένα τείχος προστασίας δικτύου μπορεί να αφήσει κενές τρύπες στην ασφάλεια σας, επιτρέποντας στους hackers και τους εγκληματίες μέσα και έξω από το δίκτυό σας.
Γνωρίστε το δίκτυό σας
Έτσι, πού ξεκινάτε ακόμη και στην προσπάθειά σας να δαμάσετε αυτό το θηρίο;
Αν απλά βουτήξετε και αρχίσετε να μπερδεύεστε με τις λίστες ελέγχου πρόσβασης (ACL), θα μπορούσατε να απομονώσετε κατά λάθος κάποιο κρίσιμο server που θα μπορούσε να θυμώνει το αφεντικό σας και να σας απολύει.
Το δίκτυο του καθενός είναι διαφορετικό. Δεν υπάρχει πανάκεια ή θεραπεία για να δημιουργήσετε μια διαμόρφωση τείχους προστασίας δικτύου που να προστατεύει τους χάκερ, αλλά υπάρχουν μερικές προτεινόμενες βέλτιστες πρακτικές για τη διαχείριση του τείχους προστασίας του δικτύου σας. Καθώς κάθε οργάνωση είναι μοναδική, οι παρακάτω οδηγίες μπορεί να μην είναι "καλύτερες" για κάθε κατάσταση, αλλά τουλάχιστον θα σας δώσουν ένα σημείο εκκίνησης για να σας βοηθήσουμε να αποκτήσετε τον έλεγχο του τείχους προστασίας σας έτσι ώστε να μην καεί.
Δημιουργία πίνακα ελέγχου αλλαγής τείχους προστασίας
Η δημιουργία πίνακα ελέγχου αλλαγής τείχους προστασίας που αποτελείται από εκπροσώπους χρηστών, διαχειριστές συστημάτων, διαχειριστές και προσωπικό ασφαλείας μπορεί να διευκολύνει το διάλογο μεταξύ των διαφόρων ομάδων και μπορεί να βοηθήσει στην αποφυγή συγκρούσεων, ιδίως εάν συζητηθούν και συντονιστούν οι προτεινόμενες αλλαγές με όσους ενδέχεται να επηρεαστούν πριν από την αλλαγή.
Η ψηφιοποίηση κάθε αλλαγής βοηθά επίσης στη διασφάλιση λογοδοσίας όταν προκύπτουν ζητήματα που σχετίζονται με μια συγκεκριμένη αλλαγή τείχους προστασίας.
Προειδοποίηση χρηστών και διαχειριστών Πριν από την αλλαγή του κανόνα του Firewall
Οι χρήστες, οι διαχειριστές και οι επικοινωνίες διακομιστών ενδέχεται να επηρεαστούν από αλλαγές στο τείχος προστασίας. Ακόμη και φαινομενικά μικρές αλλαγές στους κανόνες firewall και ACLs μπορεί να έχουν σημαντικές επιπτώσεις στη συνδεσιμότητα. Για το λόγο αυτό, είναι καλύτερο να ειδοποιήσετε τους χρήστες για τις προτεινόμενες αλλαγές στους κανόνες firewall. Οι διαχειριστές συστημάτων θα πρέπει να ενημερώνονται για τις αλλαγές που προτείνουν και πότε θα τεθούν σε ισχύ.
Αν οι χρήστες ή οι διαχειριστές αντιμετωπίσουν προβλήματα με τις αλλαγές που έχουν προταθεί στο τείχος προστασίας, θα πρέπει να δοθεί αρκετός χρόνος (εάν είναι δυνατόν) για να εκφράσουν τις ανησυχίες τους πριν από την πραγματοποίηση αλλαγών, εκτός εάν προκύψει μια κατάσταση έκτακτης ανάγκης που απαιτεί άμεσες αλλαγές.
Εγγράψτε όλους τους κανόνες και χρησιμοποιήστε σχόλια για να εξηγήσετε τον σκοπό των ειδικών κανόνων
Προσπαθώντας να καταλάβω το σκοπό ενός κανόνα τείχους προστασίας μπορεί να είναι δύσκολο, ειδικά όταν το πρόσωπο που αρχικά έγραψε τον κανόνα έχει αφήσει τον οργανισμό και εσείς είστε αριστερά προσπαθώντας να καταλάβω ποιος μπορεί να επηρεαστεί από την κατάργηση του κανόνα.
Όλοι οι κανόνες θα πρέπει να είναι καλά τεκμηριωμένοι, ώστε άλλοι διαχειριστές να μπορούν να κατανοούν κάθε κανόνα και να καθορίζουν εάν είναι απαραίτητο ή πρέπει να καταργηθεί. Τα σχόλια σε κανόνες πρέπει να εξηγούν:
- Ο σκοπός του κανόνα.
- Η υπηρεσία για την οποία ισχύει ο κανόνας.
- Οι χρήστες / διακομιστές / συσκευές που επηρεάζονται από τον κανόνα (Ποιος είναι για;).
- Η ημερομηνία προστέθηκε ο κανόνας και το χρονικό πλαίσιο που απαιτείται ο κανόνας (δηλ. Είναι ένας προσωρινός κανόνας;).
- Το όνομα του διαχειριστή του τείχους προστασίας που πρόσθεσε τον κανόνα.
Αποφύγετε τη χρήση του "Οποιοδήποτε" στους "Επιτρέπονται" κανόνες Firewall
Στο άρθρο της Cyberoam σχετικά με τις βέλτιστες πρακτικές του κανόνα τείχους προστασίας, συνιστούν την αποφυγή της χρήσης του "Οποιοδήποτε" στους κανόνες του τείχους προστασίας "Επιτρέπονται", λόγω πιθανών ζητημάτων κυκλοφορίας και ελέγχου ροής. Επισημαίνουν ότι η χρήση του "Οποιοδήποτε" μπορεί να έχει την ακούσια συνέπεια να επιτρέπει σε κάθε πρωτόκολλο μέσω του τείχους προστασίας.
"Καταργήστε πρώτα όλα" και στη συνέχεια προσθέστε εξαιρέσεις
Τα περισσότερα τείχη προστασίας επεξεργάζονται τους κανόνες τους διαδοχικά από την κορυφή της λίστας κανόνων προς τα κάτω. Η σειρά των κανόνων είναι πολύ σημαντική. Κατά πάσα πιθανότητα θα θελήσετε να έχετε έναν κανόνα "Άρνηση όλων" ως τον πρώτο κανόνα του τείχους προστασίας. Αυτός είναι ο σημαντικότερος από τους κανόνες και η τοποθέτησή του είναι επίσης ζωτικής σημασίας. Η τοποθέτηση του κανόνα "Deny All" στη θέση # 1 βασικά λέει "Κρατήστε πρώτα όλους και όλα έξω και στη συνέχεια θα αποφασίσουμε ποιος και τι θέλουμε να αφήσουμε".
Ποτέ δεν θέλετε να έχετε έναν κανόνα "Allow All" ως τον πρώτο σας κανόνα, διότι αυτό θα απέτρεπε το σκοπό του να έχετε ένα τείχος προστασίας, όπως μόλις αφήσατε όλοι μέσα.
Μόλις ο κανόνας "Άρνηση όλων" στη θέση # 1, μπορείτε να αρχίσετε να προσθέτετε κάτω από αυτόν τους κανόνες επιτρεπτότητας για να αφήσετε συγκεκριμένη επισκεψιμότητα μέσα και έξω από το δίκτυό σας (αν υποτεθεί ότι το τείχος προστασίας σας επεξεργάζεται κανόνες από πάνω προς τα κάτω).
Ελέγξτε τακτικά τους κανόνες και καταργήστε τους κανόνες που δεν χρησιμοποιούνται σε τακτική βάση
Για λόγους απόδοσης και ασφάλειας, θα θελήσετε να "καθαρίσετε" το τείχος προστασίας που σας απαγορεύει περιοδικά. Όσο πιο σύνθετοι και πολυάριθμοι είναι οι κανόνες σας, τόσο περισσότερες επιδόσεις θα επηρεαστούν. Εάν έχετε κανόνες που έχουν δημιουργηθεί για σταθμούς εργασίας και διακομιστές που δεν υπάρχουν ακόμη στον οργανισμό σας, τότε ίσως θελήσετε να τις καταργήσετε για να μειώσετε τους γενικούς κανόνες επεξεργασίας και να μειώσετε τον συνολικό αριθμό φορέων απειλής.
Οργανώστε τους κανόνες του Firewall για την απόδοση
Η σειρά των κανόνων του τείχους προστασίας μπορεί να έχει σημαντικό αντίκτυπο στη διακίνηση της επισκεψιμότητας του δικτύου σας. Το eWEEk έχει ένα μεγάλο άρθρο σχετικά με τις βέλτιστες πρακτικές για την οργάνωση των κανόνων του τείχους προστασίας για τη μεγιστοποίηση της ταχύτητας κυκλοφορίας. Μία από τις προτάσεις τους περιλαμβάνει τη λήψη κάποιων από τις επιβαρύνσεις από το τείχος προστασίας σας, φιλτράροντας κάποια ανεπιθύμητη κυκλοφορία μέσω των δρομολογητών ακριβείας.
