如果數(shù)量極少，都是靜態(tài)的或都來自同一家供應(yīng)商，那么這些工具可能用處不大。Young說：“除非這些防火墻加載了某個具有大量規(guī)則的奇怪策略?！?/P>
雖然現(xiàn)在規(guī)模較小，但是確實需要防火墻策略管理工具的公司數(shù)量在不斷增長。Young說：“由于我們的應(yīng)用程序在創(chuàng)建時涉及的方面越來越多，因此配置能夠處理這些應(yīng)用程序的防火墻也越來越困難?，F(xiàn)在已經(jīng)不是用一個端口處理一個連接的問題了。當(dāng)部署到云環(huán)境時，防火墻所監(jiān)控的連接狀態(tài)是Web，它非常復(fù)雜，所以規(guī)則庫會越來越大和越來越復(fù)雜。隨著更多的業(yè)務(wù)和應(yīng)用程序上線，這些工具的應(yīng)用也會慢慢增加?！?/P>
應(yīng)用防火墻策略管理工具：不能一蹴而就
防火墻策略管理軟件建立了一個工作流和一個配置管理系統(tǒng)，它能夠?qū)⒎阑饓Σ呗杂成涞椒阑饓σ?guī)則上，這要求工程師調(diào)整規(guī)則變化，維護(hù)所有配置的即時記錄。這種即時記錄很適合向?qū)徲嬋藛T交付合規(guī)性驗證。
這些工具還能夠演示防火墻規(guī)則如何影響網(wǎng)絡(luò)安全。它們可以確定一些不可靠的規(guī)則，同時也能夠確定一些需要刪除的冗余或過時規(guī)則。
Kramer正在他的公司中實現(xiàn)FirePAC，但是卻又不得不暫停項目，因為他需要全力投入到一個新的PCI審計周期。他說：“由于我們的一些防火墻非常龐大，因此需要一定的時間才能完成消化和清理。這是大型業(yè)務(wù)擴(kuò)大造成的直接后果?！痹诮⒑瓦\行FirePAC之后，Kramer希望公司的安全工程師跟進(jìn)這些產(chǎn)品，從而使防火墻規(guī)則的整體管理能夠得到改進(jìn)。
他說：“我是審計人員，并且是從中受益最大的人之一。安全工程師還沒有完全到位。在中層管理人員調(diào)配各小組協(xié)同工作的能力方面，我們公司還存在一些組織問題。所以，執(zhí)行和防火墻日常安全和配置的人員與直接負(fù)責(zé)整個公司安全架構(gòu)的風(fēng)險管理人員是完全分離的?！?/P>
Kramer只需要監(jiān)控安全工程師的防火墻操作?！暗牵蚁嘈?，當(dāng)我們做好部署并且人員到位時，人們將開始更多地購買這個工具?！?/P>