Резюме
- Правило полезно только тогда, когда известны сервис, владелец, доказательства и дата пересмотра.
- Отказ по умолчанию работает на практике, когда у исключений есть срок действия, изменения протоколируются, а откат проверяется.
Межсетевой экран разрешает или блокирует трафик по заданным условиям. Поэтому его эффективность зависит от качества правил, а не от бренда продукта. Аварийные разрешения, скопированные диапазоны адресов и устаревшие приложения могут сохраняться ещё долго после того, как их назначение исчезло. У каждого исключения должны быть указаны инициатор запроса, назначение, причина и срок действия, а также автоматические проверки отклонений и сотрудник, уполномоченный закрыть исключение.
Следующим полезным доказательством станет упражнение по удалению правила: оно подтверждает, что сервис по-прежнему работает — или выявляет скрытую зависимость раньше, чем это сделает злоумышленник.
