ファイアウォールのアンチパターン?

Question

最も一般的なものは何ですか？間違っているファイアウォールを構成する方法は何ですか? まず、次のリストを紹介します。

ICMPを盲目的にブロックするこれは、スマーフィング攻撃が大流行した 1998 年には一般的な方法でした。今日では、PMTU ブラック ホールが発生し、問題の診断が困難になるリスクがあります。ICMP をブロックする必要がある場合は、少なくとも必要な断片化を許可し、要求/応答をエコー スルーしてください。

古くなったルールルールに有効期限を設定できないのは残念です。サービスを移行するときに、古いサービスのルールを削除するのを忘れてしまうことがよくあります。

Answer 1

開けてみるに動作させる...そして二度と戻ってこず、何もロックダウンしてしまいます。

Answer 2

その後ジョンの例- ファイアウォールがコメントをサポートしている場合は、ルールに対してコメントを使用しない。

ファイアウォールを初めて見て、肉眼では意味が分からない奇妙なルールがいろいろ表示され、コメントがすべて空白でドキュメントがまったくないことほど最悪なことはありません。

Answer 3

古いルールについては、あなたの例にあるように、適切なドキュメントと手順によって、そのような問題は必ず解消されます。問題はファイアウォールにはまったくないと思われます。

Answer 4

問題を他の場所に移動します。

たとえば、ローカル PC のファイアウォールが一部のサービスやアプリの動作を停止しているため、それを完全に無効にして、「エッジ ルーターのファイアウォールはすべての PC を保護するのに十分です」と言います。