预审清单
-
审查以前的工作记录和审计报告。
-
获取与防火墙评估相关的互联网政策、标准和程序。
-
收集当前网络图并评估防火墙拓扑。
-
确定所使用的防火墙的类型和版本。
-
明确安装防火墙的目的。
-
确定支持防火墙的操作系统。
-
列出所有正在使用的互联网服务提供商 (ISP) 和虚拟专用网络 (VPN)。
-
了解 ISP 和 VPN 合同。
-
确定除防火墙之外是否还有其他方法可用于从受信任的网络访问互联网并允许从不受信任的网络访问（例如调制解调器、拨入等）。
-
获取供应商的默认防火墙配置、相关文档以及可用更新的信息。
防火墙管理和文档
11. 验证是否有文件概述防火墙管理的角色和职责，包括防火墙配置的培训和测试。
12. 确认是否有授权防火墙管理员列表，其中标明主要管理员和备份管理员。
13. 检查备份管理员支持防火墙的有效性是否已经过测试。
14. 确定谁负责了解最新的安全建议。
访问控制
15. 确定授权员工和非员工访问（添加、修改、删除）互联网的流程。
16. 定义授予的访问级别和权限。
17.评估授权方法的及时性和彻底性。
18. 确认是否有密码策略。
19. 检查所有账户是否都实施了密码控制功能（例如，要求使用、最小长度、定期更改）。
20. 确保默认帐户已被禁用或其密码已更改为供应商提供的值。
21. 检查是否有控制措施来确保只有授权个人才能访问互联网。
22. 获取具有防火墙访问权限的用户列表，并将其与文件批准进行核对。验证每个用户是否具有唯一可识别性。
23. 评估正在使用的身份验证方法（例如代理）的有效性。
24. 确定非员工访问是否合适。
25. 验证安全管理员是否定期审查有 Internet 访问权限的用户，并确定上次审查的时间。
26. 确认是否定期审查不活跃账户并确定解决差异所采取的措施。
27. 识别 VPN 采用的安全控制措施，以保护对可信网络的访问。
28. 评估用于访问可信网络的调制解调器和其他方法（例如拨入）的安全控制。
29. 确定防火墙如何保护公众对 Web 服务器的访问。
防火墙配置
30. 评估实施的防火墙拓扑的适当性。
31. 检查防火墙当前的硬件和软件配置。
32. 确认已应用供应商标识的所有更新。
33. 确定是否存在 DMZ，以及防火墙是否有效地将 DMZ 与内部和外部网络分隔开。
34. 验证是否存在一个可以将内部网络与互联网分离的单点。
35. 查看防火墙文档以了解防火墙的功能和局限性。
36. 确认防火墙过滤器是否有变更控制程序。
37. 确定防火墙应强制执行的规则，指定源和目标之间允许的服务。
38. 验证授权服务是否使用加密。
39. 审查当前的防火墙规则。
40. 识别用于允许或拒绝向指定主机系统提供服务的过滤技术。
41. 确定是否正在执行网络地址转换 (NAT) 以及是否正确配置。
42. 评估防火墙规则应用顺序的有效性。
43. 确认防火墙是否已对以下方面实施控制：
-
URL 筛选
-
端口封锁
-
预防 IP 欺骗
-
包裹筛查
-
预防拒绝服务攻击
-
筛查传入的 Java 或 ActiveX 内容
-
防病毒保护
-
检查防火墙是否配置为支持“拒绝除特别允许的服务之外的所有服务”策略。
-
检查防火墙是否根据组织标准和指南进行配置，以及是否有效地执行了互联网安全策略。
-
确定是否向管理层报告防火墙在执行安全策略方面的有效性。
监控
47. 确认是否已安装入侵检测系统 (IDS)。
48. 识别已设置自动响应的威胁（例如，拒绝服务攻击、欺骗）。
49. 如果尚未实施 IDS，请评估入侵检测自动化的程度。
50. 验证防火墙活动是否被记录，以及是否有程序来监控和应对不适当的活动。
51. 确认具有防火墙特权访问权限的工作人员的行为是否经过身份验证、监控和审查。
52. 验证是否有记录和报告程序来监控和处理不当活动。
53. 确保所有违反政策的入站服务、出站服务和访问尝试都被记录和监控。
54. 确定监测活动的频率。
55. 检查是否已为重大事件或活动设置了警报。56. 确定用于趋势分析的工具。
57. 确认日志是否包含足够的数据，用于记录用户责任、交易类型、日期/时间戳、终端位置等。验证日志是否受到保护以防止被修改，并确定日志的保留时间和存储介质。
58. 了解报告、跟进、评估和解决事件的过程。
59. 获取并审查防火墙报告的副本。
60. 评估防火墙报告是否为管理人员分析防火墙活动（攻击、防御、配置和用户活动）提供了足够的信息。
61. 确定用于跟进和解决事件的流程。
62. 确认防火墙是否定期从可信网络和不可信网络进行测试。
63. 评估如何向管理层报告防火墙在执行安全策略方面的有效性。
物理安全
64. 确认是否有物理方法阻止未经授权的人员访问防火墙系统。
65. 验证是否有允许访问防火墙计算机房的授权人员名单。
66. 确定所有授权人员是否都需要访问权限。
67. 检查是否有物理方法防止未经授权的人员访问控制台、机柜、路由器等。
防火墙变更控制
68. 确认是否有防火墙变更控制程序，以及所有变更是否都已记录并得到授权。
69. 检查是否有程序通知防火墙管理员新的安全相关问题或补丁，以及是否及时充分地应用这些问题或补丁。
备份和恢复
70.确认是否有灾难恢复应急计划，并是否已经过测试。
71. 评估备份和恢复程序（包括保留策略）的充分性。
72. 确定备份频率。
73. 检查执行备份时是否使用加密。
74. 审查上次成功的备份测试的结果。
操作系统
75. 验证支持防火墙的操作系统的类型和版本，包括其补丁历史记录。
76. 评估账户管理流程。
77. 评估账户审批流程的充分性。78. 确定有权访问的账户类型。
79. 评估访问控制和身份验证机制的充分性。
80. 评估所有账户的适当性。
81. 评估密码控制的充分性。
82. 确定所有网络服务是否都是必要的。
83. 确定并评估绩效监测和控制程序的有效性。
原文始发于微信公众号（KK安全说）：防火墙审查审计清单
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论