防火墙安全测试之规则分析工具

防火墙在企业安全防护中的地位是无法被撼动的，为了企业自身的互联网安全，部署互联网防火墙已经是企业安全管理员的必要环节。但是并非布置了互联网防火墙就万事大吉了，想要真正保证企业安全，对防火墙的定期测试是必不可少的。今天本文就为大家介绍如何通过规则分析工具对企业防火墙进行测试。

在复杂的防火墙部署中，防火墙规则集可能会比较凌乱。随着时间的发展，这些规则集可能与安全策略脱轨，同时也有可能产生没有用的规则。

定期通过规则分析工具对防火墙规则进行审查可以解决这些问题。这种检查可以带来一些短期效益。例如有的管理员在调试一个新安装的应用程序时，加入了一条规则来允许所有通信通过，但是测试完成后却完了删除该规则。通过防火墙规则测试就可以发现这个被遗忘的防火墙规则。

另外，通过规则分析工具分析防火墙规则集还可以发现防火墙中自相矛盾的规则。举个例子来说，一个企业的过滤策略可能被用来在网络边界位置阻挡Windows网络端口。在网络架构区域，管理员可能在本地防火墙上设定了开放TCP端口135、139和445，另外还有UDP端口138，因为他们认为在边界设备上已经包含了这些端口的过滤。但是，这种做法有可能引入安全缺陷。

人们往往认为在网络边界进行了防护而放松在网络内部的防护，尽管没有人会去定制不安全的防火墙规则集，但是随着时间一长就有可能会出现问题。

用于防火墙分析和审计的商业工具有不少，例如AlgoSec的Firewall Analyzer，RedSeal的Security Risk Manager和Skybox公司的Firewall Compliance Auditor等。

其中AlgoSec Firewall Analyzer(AFA)可以自动探测防火墙策略中的安全漏洞。它可以完成更改管理、风险管理、自动审核和策略优化等功能。它可以发现未用的规则、重复规则、禁用规则和失效的规则。

AFA可以备份防火墙策略，然后进行离线分析，因此它不会影响防火墙的性能。

【编辑推荐】