ファイアウォールに適したコンプライアンスフレームワーク
より適切な脆弱性評価と侵入テストとして、私たちの活動の1つのステップは、セキュリティの観点からファイアウォールのポリシーを確認することです。
私たちの社会では、ファイアウォールのルールとベストプラクティスを深く理解していますが、商用目的の標準的なリファレンスはなく、設定ミスとベストプラクティスに関するセキュリティ上の懸念をクライアントに説明し、より多くの価値を付加するためのガイドラインもわかりません。私たちのノウハウに。
それについての少しの研究で、私たちはNISTからこのガイドラインを見つけました：
ファイアウォールとファイアウォールポリシーに関するガイドライン
米国国立標準技術研究所の推奨事項
特別刊行物800-41改訂1
ファイアウォールポリシーとファイアウォール構成に関する他の参照はありますか？なにか提案を？
ターゲットクライアントは、イタリアの公共図書館です。
たとえばプライバシー関連のファイアウォールについては、特定のルールはないと思います。
DISA STIGは常に優れています：
http://iase.disa.mil/stigs/net_perimeter/network_infra/firewall.html
組織固有のポリシーまたはあなたの場合と呼ばれるものが1つあります。特定のポリシーを発行します。たとえば、 ネットワークセキュリティポリシー の場合、すべての要件に、内部環境を脅威から保護する方法が示されます。
- 管理用のtelnetingファイアウォール、
- 管理専用のVLANを指定し、
- ファイアウォールは最小特権の概念で構成されます（つまり、デフォルトのファイアウォールは、許可されていない接続を暗黙的に拒否するように構成する必要があります）、
- ユーザーの確認-回線vtyとコンソールアクセスの特権、異なる特権レベルの2人のユーザーが存在するかどうかなど。
この範囲の入力がある場合、 [〜＃〜] nessus [〜＃〜] のようなツールを使用して行うことは、ファイアウォール/ネットワークデバイスに対してコンプライアンススキャンまたはテストを実行します。基本的には、端末でコマンドを実行して（専用の特権ユーザーアカウントを介して）すべての入力をチェックし、期待値（0または1、T | F）に基づいて結果を比較します。一部のコマンドを解析するための正規表現をサポートしています。