新聞中心
HW行動之防火墻策略管理，從半個月變成半小時的秘訣
一年一度的HW行動就要開始了，防守方進(jìn)行的諸多準(zhǔn)備中，防火墻策略的梳理檢查和整改加固是重要的一項(xiàng)工作。
“防火墻策略管理”說起來容易做起來難，這項(xiàng)工作需要花費(fèi)大量的人力和時間，在運(yùn)營商行業(yè)尤其如此。原因在于以下幾個難點(diǎn)：
1、防火墻設(shè)備數(shù)量多、品牌多；
2、安全區(qū)域多，防火墻部署在不同區(qū)域的邊界；
3、安全策略多，核心防火墻有成百上千條策略；
4、策略涉及廣，一條安全策略可能經(jīng)過多個區(qū)域、涉及多臺防火墻；
5、有些策略無據(jù)可查，隨著人員變更無人認(rèn)領(lǐng)。
但是“防火墻策略管理”又是不可或缺的，怎么把復(fù)雜變得簡單？不妨來看看這場battle吧！
Round 1
某省運(yùn)營商派出2名精兵強(qiáng)將，對兩臺核心防火墻的安全策略，進(jìn)行梳理和有效性驗(yàn)證。他們需要梳理出策略臺賬，整改其中存在的無效、寬松、配置錯誤等問題策略。
經(jīng)過半個月時間，效果卻并不盡如人意。雖然2名“參賽選手”能力過硬，但面對黑黑屏幕上超過30萬行的策略代碼，還是難以完成。
Round 2
安博通派出自主研發(fā)的安全策略智能運(yùn)維平臺，同樣對上述兩臺防火墻的安全策略進(jìn)行梳理和驗(yàn)證。
半個小時后，就給出了最終結(jié)果：除了清晰的策略臺賬外，還發(fā)現(xiàn)其中存在一定比例的問題策略甚至風(fēng)險(xiǎn)策略。運(yùn)營商專家逐條核對后，確認(rèn)梳理結(jié)果無誤。
兩臺防火墻共有近4000條策略，由于設(shè)備型號較陳舊，只能通過命令行形式梳理，而兩臺設(shè)備的命令行將近30萬行。在半個月內(nèi)審計(jì)如此之多的內(nèi)容，對人工方式來說是巨大的挑戰(zhàn)；但對防火墻策略管理產(chǎn)品卻輕而易舉，只需半小時即可完成。
要將半個月縮減為半小時，安博通的這三項(xiàng)能力必不可少：
1、跨廠商策略管理
為更好管理各類異構(gòu)網(wǎng)絡(luò)安全設(shè)備的安全策略，平臺通過在線采集方式，定期抓取異構(gòu)防火墻、路由交換、負(fù)載均衡、VPN等設(shè)備的策略配置文件和路由表信息。再通過歸一化方式，解析存儲到統(tǒng)一的安全策略模型中。最終實(shí)現(xiàn)各類訪問控制策略的集中展示、查詢、分析等相關(guān)功能，可兼容市面上95%以上的防火墻品牌。
因此，盡管兩臺防火墻型號陳舊，依然可以快速將30萬行命令行還原為安全策略。
2、策略風(fēng)險(xiǎn)評估
策略開通或變更時，極易產(chǎn)生風(fēng)險(xiǎn)配置和不合規(guī)問題。平臺預(yù)置大量的策略風(fēng)險(xiǎn)檢測規(guī)則，覆蓋配置不當(dāng)、域間違規(guī)、高危端口開放等多個維度；根據(jù)安全域間訪問控制規(guī)則，設(shè)置區(qū)域間的訪問控制基線。針對安全策略的五元組信息進(jìn)行合規(guī)性檢查，幫助運(yùn)維人員最大限度減少策略配置帶來的安全風(fēng)險(xiǎn)。
通過預(yù)置規(guī)則發(fā)現(xiàn)策略中的問題策略和風(fēng)險(xiǎn)策略。在策略變更時，還可以提前進(jìn)行風(fēng)險(xiǎn)評估，規(guī)避錯誤配置。
3、優(yōu)化策略配置
防火墻由于日積月累、業(yè)務(wù)變更等原因形成了很多垃圾策略，防護(hù)效果隨之降低。平臺將配置文件中的安全策略與其他策略逐一比對分析，判斷相互之間的包含與被包含關(guān)系，發(fā)現(xiàn)冗余策略、隱藏策略、可合并策略和過期策略等問題策略；通過字段分析，發(fā)現(xiàn)空策略、含ANY策略等風(fēng)險(xiǎn)策略，作為運(yùn)維人員策略清理和優(yōu)化的依據(jù)。保證訪問控制規(guī)則數(shù)量最小化，提升設(shè)備運(yùn)行效率。
清理問題策略，實(shí)現(xiàn)“策略清”，提升網(wǎng)絡(luò)安全等級。
除這三項(xiàng)能力之外，安博通安全策略智能運(yùn)維平臺還通過策略變更自動化管理、攻擊面評估與收斂等功能，持續(xù)保障安全策略的準(zhǔn)確與合規(guī)。
產(chǎn)品目前已服務(wù)上海移動、河北移動、青海移動、江西電信、北京電信、江蘇電信、湖北聯(lián)通等運(yùn)營商行業(yè)客戶，并成功應(yīng)用于政企、金融等行業(yè)，為千行百業(yè)持續(xù)創(chuàng)造網(wǎng)絡(luò)安全業(yè)務(wù)新體驗(yàn)。
