防火墙配置错误可能与没有防火墙一样危险。人们需要了解五个常见的防火墙配置错误，这些错误将让任何组织都容易受到攻击。

防火墙是抵御所有类型网络入侵者的主要防线，但即使具有多年的实践和丰富的经验，许多组织仍然会犯配置错误，使其网络容易受到数据窃取、丢失以及其他类型的破坏。

以下是组织应该不惜一切代价需要避免的五种防火墙错误配置：

1.未能正确配置和协调防火墙，并使用越来越多基于云计算的安全基础设施

网络安全和存储产品供应商Barracuda Networks公司高级咨询工程师Stefan Schachinger表示，网络边界几乎已经消失，如今防火墙只是分布式安全生态系统的一个组成部分。

将数据中心与分支机构、移动工作者和维护人员连接的组织需要连续的远程访问。与此同时，应用程序和数据资源正迅速转向IaaS和SaaS平台。Schachinger指出，“大多数公司正在向混合云环境过渡。保护这样的基础设施不仅仅需要防火墙。当今不断发展并且更加分散的环境需要一种分层的纵深防御方法，在这种方法中，防火墙需要与安全生态系统的其余部分协同工作。”

2.误用端口转发规则进行远程访问

在不限制端口或源IP地址的情况下，使用端口转发规则来完成对LAN端机的远程访问并不是一个好主意。Mushroom网络公司首席执行官Jay Akin说，“这是一个常见的错误，因为它是设置远程访问的最简单方法。”该公司是一家结合防火墙和其他安全属性的高级SD-WAN设备开发商。

而粗心大意的端口转发进行远程访问会显著增加安全漏洞的风险。“如果本地可信设备通过这个安全漏洞被未经授权的组织和个人实施访问和攻击，则黑客可以进一步利用网络LAN部分中的可信设备来攻击其他设备或资产。”Akin解释说。

3.忽视特定库存的合法访问需求

为了确保最小的服务中断，许多组织使用广泛的许可策略启动防火墙配置。然后，随着时间的推移和需求的出现，逐渐收紧他们的访问策略。网络安全提供商Netsurion公司信息安全和支持高级副总裁Lenny Mansilla警告说，“这是个坏主意，组织从一开始就没有仔细定义访问需求，则很容易受到长时间的恶意攻击。”

Mansilla建议，组织需要采取相反的做法，不能从一个缓慢收紧的政策开始，而是检查需要的关键应用程序和服务，以支持可靠的日常操作，然后采用防火墙策略以适应特定站点，尽可能使用源IP、目标IP和端口地址。

4.没有配置防火墙以对出站流量进行出口过滤

大多数管理人员对防火墙如何通过入口过滤提高安全性有着基本的了解。这种方法防止基于Internet的连接到达内部网络服务，未经授权的外部用户不能访问这些服务，网络安全软件和服务提供商Watchguard科技公司首席技术官Corey Nachreener解释说，“管理人员很少会利用出口过滤规则提供安全优势，这限制了内部用户可以连接到Internet的网络类型。”

他指出，他所看到的大多数防火墙配置都有一个输出策略，基本上允许内部用户在网上做任何他们想做的事情。如果用户没有使用出口过滤规则，那么就错过了防火墙可以提供的一系列安全优势，从而使其整体安全状况处于劣势。

5.相信配置良好的防火墙可以确保网络安全所需的全部内容

随着攻击者越来越狡猾，边缘计算保护正在被推向极限。网络攻击者如今针对企业Wi-Fi网络进行攻击，破坏路由器，发起网络钓鱼活动，甚至构建api网关请求，将脚本攻击传递给后端。一旦进入网络，网络攻击者就可以扩展其范围，以利用用户使用边缘计算的安全心态构建的内部系统。

网络安全平台提供商42Crunch公司云平台副总裁Dmitry Sotnikov建议采用零信任方法。他说，“组织的一切事物都可能受到损害：移动应用程序、消费者和员工的设备，以及内部网络。需要分层设计网络安全，防火墙并不是唯一的保护，要将每一层锁定到所需的最低通信级别。”

Sotnikov建议说，“组织内部开发的安全措施应遵循DevSecOps方法。企业的API、应用程序、集成项目，以及系统的安全性需要从设计阶段开始。在生命周期的每个阶段，设计、开发、测试、运行时的安全检查都需要自动运行，以确保任何组件或系统都是安全的，即使它们不断发展和变化。”

原文 http://network.51cto.com/art/201908/602212.htm

链接: https://fly63.com/article/detial/5049