測試你防火墻是否安全
序言:對于企事業(yè)單位網(wǎng)絡(luò)中的安全管理人員來說，并非部署上防火墻就萬事大吉，還需要定期的來測試你的防火墻是否還足夠安全，然而對防火墻安全性測試并不是一件容易的事情，尤其在具有多個處理設(shè)備處理多個接口的環(huán)境中更是繁瑣復(fù)雜。本文介紹幾個工具來幫助完成測試工作，比如規(guī)則分析工具、漏洞掃描等。
跟據(jù)國內(nèi)經(jīng)驗(yàn)豐富的安全專家建議，企事業(yè)單位網(wǎng)絡(luò)安全人員應(yīng)該要定期對網(wǎng)內(nèi)的所有防火墻進(jìn)行一次安全性測試，并將防火墻測試工作加入到防火墻修改管理過程中。
通過防火墻測試工作來確信防火墻實(shí)際能完成我們對它的預(yù)期任務(wù)，這個測試可能非常耗時和費(fèi)力，但是借助于一些自動工具，可以讓這個麻煩的任務(wù)變得輕松一些。
1、規(guī)則分析工具在復(fù)雜的防火墻部署中，防火墻規(guī)則集可能會比較凌亂。隨著時間的發(fā)展，這些規(guī)則集可能與安全策略脫軌，同時也有可能產(chǎn)生沒有用的規(guī)則。
定期對防火墻規(guī)則進(jìn)行審查可以解決這些問題。這種檢查可以帶來一些短期效益。例如有的管理員在調(diào)試一個新安裝的應(yīng)用程序時，加入了一條規(guī)則來允許所有通信通過，但是測試完成后卻完了刪除該規(guī)則。通過防火墻規(guī)則測試就可以發(fā)現(xiàn)這個被遺忘的防火墻規(guī)則。
另外，分析防火墻規(guī)則集還可以發(fā)現(xiàn)防火墻中自相矛盾的規(guī)則。舉個例子來說，一個企業(yè)的過濾策略可能被用來在網(wǎng)絡(luò)邊界位置阻擋Windows網(wǎng)絡(luò)端口。在網(wǎng)絡(luò)架構(gòu)區(qū)域，管理員可能在本地防火墻上設(shè)定了開放TCP端口135、139和445，另外還有UDP端口138，因?yàn)樗麄冋J(rèn)為在邊界設(shè)備上已經(jīng)包含了這端口的過濾。但是，這種做法有可能引入安全缺陷。
人們往往認(rèn)為在網(wǎng)絡(luò)邊界進(jìn)行了防護(hù)而放松在網(wǎng)絡(luò)內(nèi)部的防護(hù)，盡管沒有人會去定制不安全的防火墻規(guī)則集，但是隨著時間一長就有可能會出現(xiàn)問題。
用于防火墻分析和審計的商業(yè)工具有不少，例如AlgoSec的Firewall Analyzer，RedSeal的Security Risk Manager和Skybox公司的Firewall Compliance Auditor等。
其中AlgoSec Firewall Analyzer(AFA)可以自動探測防火墻策略中的安全漏洞。它可以完成更改管理、風(fēng)險管理、自動審核和策略優(yōu)化等功能。它可以發(fā)現(xiàn)未用的規(guī)則、重復(fù)規(guī)則、禁用規(guī)則和失效的規(guī)則。
AFA可以備份防火墻策略，然后進(jìn)行離線分析，因此它不會影響防火墻的性能。AFA支持的防火墻廠商包括思科、Checkpoint和Juniper等業(yè)界知名廠商。
2、漏洞掃描安全專家表示，IT管理者還必須重視防火墻本身的安全性。
這個任務(wù)的目的包括判斷防火墻是否一個弱安全性密碼，是否存在已知的安全漏洞。
可供我們使用的安全工具有開源的Nessus，Nessus是事實(shí)上的漏洞掃描器標(biāo)準(zhǔn)。實(shí)際上，許多商業(yè)軟件在他們的產(chǎn)品中使用了Nessus引擎，并且?guī)缀趺恳粋€主要的安全硬件供應(yīng)商都支持Nessus的掃描結(jié)果。
Nessus目前有2個版本，一個開源的Nessus 2.2.x版本，還有一個Nessus 3雖然不再是開源的，但卻是免費(fèi)的，而且新版的Nessus 3.03已經(jīng)開始支持Windows平臺，大大降低了它的使用門檻。
另外，還有一些開源工具也可以幫助我們實(shí)現(xiàn)防火墻測試，例如著名的Nmap，可以讓管理員從不同的方式掃描防火墻，發(fā)現(xiàn)開放端口。另外人們常用的工具還有TCP/IP包分析工具h(yuǎn)ping。
3、數(shù)據(jù)包偵聽針對防火墻的另一個測試工作是判斷是否有什么東西能夠穿過防火墻。在測試過程中，我們可以使用一個入侵檢測系統(tǒng)來作為報警機(jī)制。此外，數(shù)據(jù)包偵聽工具可以分解數(shù)據(jù)包來看看其內(nèi)部信息。
Wireshark(前身是Ethereal)就是這樣一個工具，它在捕獲和分析測試數(shù)據(jù)包方面非常有用。
說起Wireshark就不得不提Ethereal了，Ethereal和在Windows系統(tǒng)中常用的sniffer pro并稱網(wǎng)絡(luò)嗅探工具雙雄，不過和Sniffer pro不同的是Ethereal在Linux類系統(tǒng)中應(yīng)用更為廣泛。而Wireshark軟件則是Ethereal的后續(xù)版本，他是在Ethereal被收購后推出的最新網(wǎng)絡(luò)嗅探軟件，在功能上比前身更加強(qiáng)大。
WiresharkDarknet、Network Telescope、和Internet Motion Sensor這三個工具并非傳統(tǒng)的防火墻測試工具，不過在這兒我們也可以使用它們。例如我們可以把Darknet當(dāng)作一個內(nèi)部IDS來驗(yàn)證防火墻的策略。
這些工具實(shí)際就是一些偵聽工具，它們可以記錄下所有它們“看到”的數(shù)據(jù)包，然后將其記錄到一個日志文件中。通過分析/監(jiān)視這些日志文件中的外部IP地址，你可以確認(rèn)防火墻的策略是否起作用。
4、日志分析日志分析工具可以對防火墻進(jìn)行重要的檢查。這些工具可以把多個防火墻的日志匯聚起來，讓管理員檢查不正常的行為。
可以供我們使用的日志分析軟件有LogSurfer，LogSurfer是一個綜合日志分析工具。根據(jù)它發(fā)現(xiàn)的內(nèi)容，它能執(zhí)行各種動作，包括告警、執(zhí)行外部程序，甚至將日志文件數(shù)據(jù)分塊并將它們送給外部命令或進(jìn)程處理。
除了Logsufer外，其它此類工具還包括Webfwlog和WallFire項(xiàng)目的wflogs等。
5、性能測試防火墻分析可以幫助IT管理者優(yōu)化防火墻規(guī)則集。例如，未使用的規(guī)則應(yīng)該被移除。規(guī)則集數(shù)量的減少可以減輕防火墻的負(fù)載。另外，提高那些高度使用的規(guī)則一方面可以保護(hù)企業(yè)的安全和風(fēng)險，同時也可以提高性能。
除了規(guī)則集分析之外，諸如Iperf之類的性能工具還可以在防火墻測試中發(fā)揮自己的作用。
Iperf 是一個網(wǎng)絡(luò)性能測試工具，可以測試TCP和UDP帶寬質(zhì)量。而測試一個防火墻的吞吐能力也是一件非常有價值的事情，尤其是在你驗(yàn)證防火墻廠商所宣稱的性能時。
總結(jié)：
防火墻的維護(hù)管理是一件非常重要的工作，利用上面所介紹的工具，你可以經(jīng)常查看你的防火墻是否存在安全缺陷，是否能夠提供用戶所需的服務(wù)，以及防火墻的性能是否存在影響因素等，然后根據(jù)實(shí)際情況相應(yīng)的做出維護(hù)措施。
【編輯推薦】
