從理論上講，防火墻是一個(gè)奇異的安然集中器，是外部世界和受呵護(hù)的收集之間高機(jī)能的網(wǎng)關(guān)。抱負(fù)環(huán)境下，它是一個(gè)易于節(jié)制的單點(diǎn)建設(shè)，承諾你擺設(shè)多個(gè)最好安然手藝。并且，它永久不會(huì)讓你在晚上睡覺(jué)時(shí)翻來(lái)覆往地想它的建設(shè)是不是存在縫隙，而導(dǎo)致企業(yè)數(shù)據(jù)泄漏。但收集安然治理的實(shí)際并不是如斯：其實(shí)我們的防火墻不成能永久保持“刀槍不進(jìn)”的狀況。
很少有安然治理員可以或許“貫穿”防火墻的全部生命周期，他們可能沒(méi)有介入建設(shè)或設(shè)置初始法則，或沒(méi)有介入政策治理、審批和記實(shí)，也多是沒(méi)有介入政策遷徙到后續(xù)硬件之前的完全從頭審查。99%的防火墻治理員從他人那邊“繼續(xù)”這些防火墻，他們今夜無(wú)眠是因?yàn)?，他們意想到他們繼續(xù)的是一堆“殘?jiān)保簬捉鼪](méi)有可讀的策略庫(kù)，此中可能包含幾十個(gè)乃至上百個(gè)暗藏縫隙。
解決編制包含企業(yè)范圍內(nèi)的窺伺工作、營(yíng)業(yè)流程逆向工程、查看具體的文檔和按期繁瑣的保護(hù)——這是IT人員悔恨的工作。除非是必需，治理員才不會(huì)措置這些繁瑣法度，大年夜大都人甘愿專(zhuān)注于子網(wǎng)和生成樹(shù)。防火墻很讓人頭疼。
報(bào)復(fù)打擊者和粉碎政策的高層
假定你從沒(méi)治理過(guò)防火墻，你可能會(huì)覺(jué)得這個(gè)工作與治理任何其他收集設(shè)備上的ACL近似。有法則來(lái)辨認(rèn)流量，并設(shè)有政策來(lái)對(duì)背反那些法則的流量采納步履。防火墻應(yīng)當(dāng)只是尺度的收集建設(shè)治理，而不是甚么藝術(shù)或魔術(shù)。假定企業(yè)IT政策禁止流量，而用戶(hù)不喜好的話(huà)，就讓他們?yōu)g覽企業(yè)IT政策，用戶(hù)逐步會(huì)遵循政策。
但實(shí)際上，除來(lái)自刺探你收集中未知縫隙的報(bào)復(fù)打擊者(可能乃至是當(dāng)局授權(quán)的報(bào)復(fù)打擊者)的外部威脅，你的外部防火墻還遭到異常安然要求的內(nèi)部威脅。良多這些要求來(lái)自高管，他們同心專(zhuān)心想要拓展?fàn)I業(yè)。還有些來(lái)自高層治理人員，他們可以改變政策，但對(duì)安然的熟諳有限。他們會(huì)找到你的經(jīng)理，要求措置他們的要求，最后你怒了，你不克不及不申請(qǐng)一次特別措置。
救濟(jì)軟件
榮幸的是這個(gè)標(biāo)題問(wèn)題很遍及，大年夜家已都意想到這些標(biāo)題問(wèn)題標(biāo)嚴(yán)重性。這些標(biāo)題問(wèn)題讓廠(chǎng)商看到安然治理的商機(jī)。防火墻安然治理產(chǎn)品就像企業(yè)中的安然“忍者”，供給正常闡發(fā)、建設(shè)清理、政策合規(guī)陳述，乃至是最好做法建議。一些防火墻乃至撐持流量摹擬，在擺設(shè)防火墻之前承諾你測(cè)試可能的環(huán)境。而幾近所有防火墻都有必備的政策評(píng)***能。
防火墻可以或許存儲(chǔ)原有營(yíng)業(yè)的簡(jiǎn)單總結(jié)，策略有效期可定，并供給政策聯(lián)系信息，這可以避免今天姑且的例外成為明天永久的縫隙。它還承諾團(tuán)隊(duì)進(jìn)行協(xié)作。收集安然治理不但可以或許將防火墻移交給下一任，最好你還能確保你的防火墻可以或許“實(shí)施其職責(zé)”。