在我們的職業生涯中大都曾經有過一次這樣的經歷——我是說你認為足以讓你丟掉飯碗的失誤。我的第一次重大失誤是曾經重啟瞭校園裡的所有路由器，不是一個接一個的，而是所有一次完成。我寫瞭一個腳本，為所有的路由器安裝一個安全更新，然後依次重啟這些路由器——至少我是這樣想的。事實上我的腳本有誤，遺漏瞭路由器之間的等待時間。
當時我認為自己肯定要被解雇瞭，但是謝天謝地，我沒有。有些重大的事故，最後往往都為我們的學習提供重要幫助。我們都或多或少的知道些危機管理，所有的東西都可以從在線備份中恢復過來，我的老板花瞭幾個小時的時間教會我如何正確的檢測網絡是否正常運行。
好消息是大部分的時間，我們所犯的錯誤並沒有這麼嚴重，而壞消息是很多失誤並不會當時就表現出來。也就是說，這種失誤會一直遺留而不能被發現，有可能是幾個星期，也有可能是幾個月或者幾年，直到有一天它們引發瞭嚴重的中斷事故，或者被審計人員發現來傳喚我們。在網絡安全一線，防火墻管理是這樣一個行當——對規則和配置文件進行更改時，一個小小的錯誤可能給你帶來巨大的後患。以下是一些常犯的失誤：
一、創建毫無意義的防火墻組
一名防火墻管理員在把設備加入到網絡中時，擁有超過一半的規則權限。後來這便用一個球星的名字來命名，我們稱之為Joe_Montana.出論任何時候，管理員需要某臺設備加入到網絡中，他們就把這臺設備的IP地址添加到他們常用的、擁有許多授權的規則當中去，添加到這樣的組裡。最後，這些規則庫讓審計員看起來可能是沒問題的，因為這裡面沒有“任意”這樣的規則，但是事實上卻埋下瞭許多的防火墻漏洞。防火墻規則變得毫無意義，如果一旦被審計整改，清理這些規則庫的活是費力不討好的任務，需要很多個月的時間來解決規則庫問題，以安全、適當地映射到業務需求。
二、從不升級你的防火墻軟件
有數量驚人的組織使用過時的防火墻軟件。當被問及原因時，得到的往往是非常類似的幾個回復“我們要保持版本的穩定性”或者“防火墻不能撤下進行升級”…等等。事實上，防火墻廠商升級自己的軟件是有原因的。你不需要安裝最新發佈的防火墻版本，但如果您正在運行一個已經過時15或20個版本的軟件，或者已經7、8年沒有更新版本，那麼請立即停止抱怨，開始更新！
三、使用錯誤的技術
我們都聽過的把方形釘砸進圓洞的說法，在防火墻行業裡也有這麼一說。一個網絡安全管理員激烈的和他們的審計員爭論，因為他們有一個防火墻佈置在安全 WEB服務器的前面，這樣就構成瞭一個雙重身份驗證：一個密碼和一個防火墻。這傢夥的創造力可以打A，但是防火墻（本身）不是一個雙重身份驗證解決方案。雙重身份認證需要您的用戶有一個令牌和密碼。
四、意外宕機事件
我聽過這樣一個意外宕機事件，防火墻管理員正在收集一些防火墻數據。管理員無意中碰到桌子上的鼠標，而此時的鼠標正懸停在開始菜單上。如同命中註定一樣，鼠標令人難以置信的激活瞭開始菜單，並且恰好懸停在“關閉”菜單項上。是的，就這樣那個金融公司的人看著他們的防火墻就這樣被關閉瞭。
五、創建糟糕的防火墻配置文檔
你經常會聽到有些防火墻管理員忙的焦頭爛額，試圖瞭解到底他們之前所做的防火墻規則是用來幹什麼的。圖得一時省事（馬虎創建防火墻文檔）讓自己以後變得繁忙，還是花時間來創建合理的防火墻文檔？馬虎對待防火墻文檔等於給自己創建一個定時炸彈。調查一些參與管理防火墻的管理員，常常會聽到這樣的抱怨“現在我害怕調整我的防火墻，所有的高級管理人員已經離開，而我們不知道那些防火墻文檔，裡面那些大多數的名字的意思，或這些規則是用來做什麼的。”
六、請勿使用路由作為您的安全策略
我見到很多這樣的防火墻，他們的規則庫在做出修正時，需要路由器相應做出改變，以適應新的防火墻規則。或許這是可以理解的——當處在防火墻之內的網絡，需要重新組建時，但事實往往是網絡並沒有發生變化，隻是防火墻需要作出變化。有兩種類似這種“綁架”路由器的錯誤，在工作中經常發生。
第一種情況，是防火墻沒有默認路由。每條路由線路都被手動添加到防火墻，而且，往往使用最小的子網掩碼，許多不在計劃之內的設備，在將來如果不設置防火墻策略就會受到阻礙，無法通過路由。這聽起來很棒，貌似更加安全，但它是完全不必要的——如果你刪除這條防火墻策略，那麼該策略將會恢復成“忽略所有”。
這個設計將會使防火墻變得難以管理，之後的防火墻團隊將會害怕做出改變，因為這將會牽扯到很多東西。每個策略更改都需要一個工程師來檢查路由，因此每一個防火墻策略更改花費的時間太長，大大影響瞭網絡維修任務，所以，這是沒有實際價值的增加安全性。
這種錯誤看法還有一種情況，在思科設備管理員群體中最常出現，比方說管理員需要建立一個訪問控制列表，這個控制列表包括兩個設備之間的任何源地址或目標地址。他們的本意實際上是指兩個設備之間中的所有地址，而並非在任何的時候。但是管理員太懶瞭，他們不想花力氣輸入地址。這樣，隻有知道連接防火墻的路由表，才能知道這條防火墻策略實際的內涵。這些是需要管理員記在腦子裡的，對一個初級防火墻管理員來說，這太難接管這個防火墻瞭。
七、使用路由器DNS對象作為防火墻策略對象
很多防火墻提供這麼一個功能選項，允許管理員插入一個DNS對象作為源或目標地址，比方說www.google.com.這聽起來不錯，因為 google.com可以作用於這麼多的IP地址，這樣即使google.com的ip地址發生改變的時候，我的防火墻，也還是可以作用於該域名下的地址。這種錯誤做法，會導致許多風險，大多數組織應該考慮不要使用這種做法。
首先防火墻現在很容易受到拒絕服務攻擊，你能想象防火墻不能解析google.com域名時會發生什麼嗎？第二個，在為所有的數據包做DNS解析時，防火墻需要查找每個數據包，以試圖決定該數據包是否屬於google.com時，會極大的浪費CPU、內存和網絡IO.第三，如果你的DNS服務器中毒，你的防火墻將允許所有的僵屍網絡命令通過，並記錄它作為正常域名。
Orignal From: 細數防火墻管理中常犯的幾個失誤
留言列表
