防火墙测试：从入门到精通

此外，还应当分析安全设置和操作系统的漏洞。每一种操作系统都包括了一套安全特性和漏洞，不同的厂商互有不同。例如，在安装期间，操作系统的默认安全设置可能没有修改，而这种安全设置有可能无法满足安全策略所要求的安全水平。可以评估的最常见的安全设置包括访问规则、口令规则、登录规则等。还应当确认其它操作系统的设置和参数。

防火墙配置

在讨论了防火墙平台的操作系统后，下一步就是要验证防火墙的配置。所有的防火墙都有配置及策略，二者不应当混淆。配置是与防火墙软件及其安装相关的基本设置的集合。对防火墙配置的改变将会改变防火墙的行为。

审计人员必须检查防火墙是否位于一个专用的隔离系统上，过滤数据包并要记录。例如，DNS、电子邮件、服务器负载均衡不应当安装在同一台主机上或由防火墙平台处理。这里，唯一的例外是防火墙的负载均衡是高可能性防火墙的一个功能，并应当准许之。

因为防火墙的基本目的是为了管理两个网络之间的信息流，审计人员必须通过查看防火墙的配置来观察其实现这种功能的方法。我们需要验证防火墙准许通过的通信是否与安全策略保持一致。后文将讨论测试规则库的问题，不过需要考虑以下的关键问题：

防火墙的访问规则（身份验证、授权等）与安全策略和最佳方法保持一致。

为了管理和维护，使用一个加密通道访问防火墙系统。

对设备的物理访问受到限制。

对防火墙进行配置，向外部网络隐藏内部的受限DNS信息。

外部防火墙限制进入的SNMP请求。

防火墙向外部源隐藏内部信息。

配置防火墙拒绝所有的服务，除非明确准许。

安全相关的补丁被运用到防火墙系统。

正确地备份配置设置，并仅给被授权的人员访问。