防火墙策略，什么是防火墙策略

1，什么是防火墙策略

黑客攻击采用算法进行程序设计，分为多种攻击方式，防火墙之所以防范黑客，原理是根据黑客的算法，设计出相应的防范规则加入防火墙，如果在工作状态下，检测到该访问符合预先设定的判别黑客的防范规则，即禁止改访问，达到防范目的。预先在防火墙内设定的黑客判别规则称为防火墙策略，防火墙策略越多，性能越好，但由于策略越多将导致防火墙运算加大，因此通信量将大幅降低，防火墙策略/防火墙通信量，是相互矛盾的。只用纯硬件防火墙才可以解决以上问题。NS防火墙是纯硬件防火墙。

什么是防火墙策略

2，如何使用组策略部署Windows防火墙

使用组策略管理单元来修改相应的 GPO 中的 Windows 防火墙设置。完成以下配置 Windows 防火墙设置的步骤后，可以等待标准刷新周期将这些设置应用到客户端计算机，也可以在客户端计算机上使用 GPUpdate 实用程序来完成刷新。默认情况下，刷新周期为 90 分钟，随机偏移量为 +/-30 分钟。下一次刷新计算机配置组策略时，将会下载新的 Windows 防火墙设置，然后将其应用于运行 Windows XP SP2 的计算机。使用组策略配置 Windows 防火墙设置1、在 Windows XP SP2 桌面上，依次单击“开始”、“运行”，键入 mmc，然后单击“确定”。2、在“文件”菜单中，单击“添加/删除管理单元”。3、在“独立”选项卡上，单击“添加”。4、在“可用的独立管理单元”列表中，找到并单击“组策略对象编辑器”，然后单击“添加”。5、在“选择组策略对象”对话框中，单击“浏览”。6、选择“测试客户端 Windows 防火墙策略 GPO”，然后依次单击“确定”和“完成”。7、单击“关闭”关闭“添加独立管理单元”框，然后在“添加/删除管理单元”框中单击“确定”。8、在组策略对象编辑器的控制台树中，依次打开“计算机配置”、“管理模板”、“网络”、“网络连接”和“Windows 防火墙”9、选择“域配置文件”（如下图所示）或“标准配置文件”。

如何使用组策略部署Windows防火墙

3，如何更好的实施虚拟防火墙策略

任何企业网络都会有很多虚拟环境。有趣的是，我发现大多数虚拟服务器和VLAN环境都没有对攻击进行任何的防范。仅仅是因为虚拟环境是你“四堵墙”内事，并不是所有人都可以自由访问。而这也正是虚拟防火墙策略可以对你有所帮助的地方。想要让虚拟防火墙策略实施得更加有意义，以下几个因素是需要考虑的： 1.在每一个虚拟环境中都有什么样的业务需求?哪些人需要访问哪个虚拟环境? 2.目前你的虚拟环境所面临着怎样的风险?是否存在错误配置，是否有遗漏的系统补丁，是否存在可二次开发的开放端口。 3.如何应用或改善最小特权原则，以确保只有在业务需要时才可以访问系统? 4.如果虚拟化安全控制出现问题，在使用Metasploit工具防止弱点的二次开发时，还有哪些阻碍? 如何在虚拟化防火墙策略中分割流量一旦你决定做这些事情，你就得退一步想想看，在使用虚拟化防火墙策略时，如何做流量分割更好，以及只让需要的人员访问系统。它的存在形式可能是每个操作系统上运行的传统网络防火墙和个人防火墙软件。大多数部门都成功的将本地管理程序和OS控制机制与自身特点结合起来利用，以建立相关的安全虚拟环境的经验。但是事实上，这种环境的安全性仍然无法与物理主机环境中的安全性相提并论。此外，在所有最简单的虚拟环境中，系统复杂程度会呈指数增长，这将更难达到你所追求的安全性。我非常确信，复杂性是安全的敌人，如果不是，那么环境中使用的一些工具的效果可能会更好，诸如VMware的vShield或来自第三方厂商的虚拟防火墙产品，如Reflex Systems，Altor Networks (现在已经被Juniper收购了) 以及TBD Networks。如此以来，您还会在虚拟环境中得到更佳的可视性，更精细的控制力，以及更优的系统性能和可扩展性。 LAN中的安全漏洞有一点你需要牢记，那就是你永远不要低估来自内部的技术水平和意图。我发现的虚拟环境中的大多数弱点使用免费工具或按照书本中、网页上中指导的步骤就能很容易的进行二次开发。恶意软件也是一样。

如何更好的实施虚拟防火墙策略

4，防火墙策略管理有必要么

有在PCI Data安全标准审计和HTTP应用程序普及的时代，基于电子表格的防火墙策略管理似乎早就已经过时。但是，许多公司仍然使用15年前就在使用的电子表格保存成千上万的防火墙规则。网络和安全管理员会经常有这样的疑问：“谁写了这条规则，为什么要写这条规则？”答案通常是：“前任CEO Larry需要通过NetZero拨号上网访问财务数据。”然后就是随之而来的问题：“你认为我们可以删掉它吗？”但是，答案通常是不确定的。防火墙策略管理在许多IT部门中都非常混乱。根据防火墙管理软件供应商Athena Security最新的一项调查显示，95%的工程师都会遇到防火墙审计问题，因为这需要的手工过程非常耗时。此外，审计通常是一个快照，在另一位管理员使用工程师的密码添加一条新规则之后，就会马上失效。在Athena调查的841名工程师中，有90%表示他们的防火墙会由于一些不必要的、冗余防火墙规则而未能达到最优状态。他们希望抛弃这些规则，但是他们应该从何处入手？Jeff Kramer是一家全球消费产品制造端的风险管理专家，他说：“我半夜都会担心我们的防火墙是否出现了一些不应该出现的规则，或者有人在未授权的情况下添加了规则。是否有人进入了我的防火墙，然后添加了一条违反规范性或安全规定的规则？或者，是否有人公然添加一条规则，盗取公司的信息？老实说，我现在还不确定是否会出现这些问题。”Kramer正在安装Athena的FirePAC，用于改进他15,000人规模公司的防火墙规则管理。这个软件将监控大约50台思科和Check Point防火墙。购买FirePAC的原因，很大程度上是为了改进公司对PCI的审计。他说：“我们检查了一些PCI审计过程，发现防火墙规则集检查过程中存在一些问题。而且，最后一个审计过程确实存在重大问题，它明显制造了一些合规性问题。我们设法通过审计纠正我们的方法，但是进行防火墙规则检查所需要的人力显然是不可接受的。”防火墙策略管理：新出现的第三方软件Gartner公司研究副总裁Greg Young指出，防火墙策略管理供应商（如Athena、Tufin Technologies和Algosec）为这个目前虽小但在不停增长的市场提供服务，他们需要获得防火墙规则管理服务。当然，并非每一个公司都需要这种第三方软件。这些公司通常都是在发生灾难之后才认识到需要这些软件。Young说：“事情就像是：只有遇到问题—— 规则库过大或者审计出现大问题或者人手不足，这才会让他们想起使用这些工具。”根据Young的介绍，有四种情况会促使企业购买防火墙策略管理软件：◆复杂的环境：拥有大量防火墙的公司通常很难理解所有设备的作用，或者由于数量过大而无法有效管理。◆高度动态的防火墙环境：Young说：“即使数量不多，由于环境不断发生变化，也可能产生错误配置或者出现漏洞。”◆ 多供应商防火墙环境：防火墙供应商本身提供了一些管理软件，但是这种软件不兼容其他供应商的产品。许多大型企业都部署了多个供应商的防火墙产品。例如，Kramer的公司在边缘网络使用Check Point，同时使用思科设备分割内部网络。◆严格的审计要求：如果公司提升了审计的严格性，特别是像PCI或HIPAA审计，那么帮助审计人员记录防火墙规则的人力可能非常大，并且可能会放大前面提到的其他三个因素。如果防火墙数量极少，都是静态的或都来自同一家供应商，那么这些工具可能用处不大。Young说：“除非这些防火墙加载了某个具有大量规则的奇怪策略。”虽然现在规模较小，但是确实需要防火墙策略管理工具的公司数量在不断增长。Young说：“由于我们的应用程序在创建时涉及的方面越来越多，因此配置能够处理这些应用程序的防火墙也越来越困难。现在已经不是用一个端口处理一个连接的问题了。当部署到云环境时，防火墙所监控的连接状态是Web，它非常复杂，所以规则库会越来越大和越来越复杂。随着更多的业务和应用程序上线，这些工具的应用也会慢慢增加。”应用防火墙策略管理工具：不能一蹴而就防火墙策略管理软件建立了一个工作流和一个自动化配置管理系统，它能够将防火墙策略映射到防火墙规则上，这要求工程师调整规则变化，维护所有配置的即时记录。这种即时记录很适合向审计人员交付合规性验证。这些工具还能够演示防火墙规则如何影响网络安全。它们可以确定一些不可靠的规则，同时也能够确定一些需要删除的冗余或过时规则。Kramer正在他的公司中实现FirePAC，但是却又不得不暂停项目，因为他需要全力投入到一个新的PCI审计周期。他说：“由于我们的一些防火墙非常庞大，因此需要一定的时间才能完成消化和清理。这是大型企业业务扩大造成的直接后果。”在建立和运行FirePAC之后，Kramer希望公司的安全工程师跟进这些产品，从而使防火墙规则的整体管理能够得到改进。他说：“我是审计人员，并且是从中受益最大的人之一。安全工程师还没有完全到位。在中层管理人员调配各小组协同工作的能力方面，我们公司还存在一些组织问题。所以，执行路由器和防火墙日常安全和配置的人员与直接负责整个公司安全架构的风险管理人员是完全分离的。”Kramer只需要监控安全工程师的防火墙操作。“但是，我相信，当我们做好部署并且人员到位时，人们将开始更多地购买这个工具。”