网络安全策略管理（NSPM）：为何它依然重要，以及选型时应关注什么

网络安全策略管理（NSPM）是指在统一的管理层面（而非逐台设备）治理 firewall、云安全组和分段平台上控制网络访问的各类规则。FireMon 于 2004 年开创了 NSPM 这一品类，用以解决 firewall 规则膨胀和人工 compliance 工作的难题。二十年过去，问题只增不减：厂商更多、云更多、变更更多、审计也更多。

核心要点

• Firewall 负责执行策略，NSPM 负责治理策略。策略定义不当，再强大的 firewall 也只能带来不到位的安全防护。
• 如今的企业网络覆盖数以千计的 firewall、云安全组和分段工具，人工管理策略已不再可靠。
• PCI DSS、NIST 800-53、DORA、NIS2 等框架都包含变更控制、审计和规则审查要求，NSPM 可通过持续生成证据来满足这些要求。
• 当自动化覆盖从需求申请到规则下线的完整 workflow 时，策略变更的成本和耗时都会显著下降。
• 评估 NSPM 平台时，应优先考察多厂商归一化、变更前验证、持续 compliance 证据以及受治理的变更 workflow。

NSPM 今天还有必要吗

有必要。只要 firewall 和云端控制仍在执行访问控制，就必须有人来治理它们所执行的内容。这个问题通常出现在团队重新评估工具链时，例如某家厂商停产了某款产品之后。答案始终没变：设备、厂商和运行环境越多，任何单一控制台就越难告诉您，策略是否真正实现了您的意图。

Firewall 负责执行安全策略

自最早的边界网络出现以来，firewall 策略失误就一直在引发严重故障：要么放行了不该放行的恶意流量，要么阻断了必要流量、造成业务中断。这正是 NSPM 存在的根本原因：firewall 执行的是加载到它上面的安全策略，策略定义不当，安全执行自然不到位。FireMon 在 2004 年开创 NSPM 品类，正是为了解决这一问题。

此后多年，网络复杂度不断攀升，对 NSPM 的需求也随之增长。过去只需划分内网、外网和 DMZ 的简单 firewall 环境，如今已演进为对内部网络进行更细粒度的分段。随着公有云的普及，“外网”的范围不断扩大；应用复杂度激增；威胁在数量和复杂程度上双双上升；firewall 技术本身也变得更强大、更复杂。

今天，企业管理数千台 firewall 已属常态，每台拥有数千条规则、数万个网络对象，以及彼此交织的规则和对象组，共同构成网络中数以千万计的唯一访问路径。面对这样的复杂度，没有有效的策略管理，就不可能有有效的安全。

因此，FireMon 将策略视为网络安全的 Control Plane。策略定义网络安全应当做什么，而 firewall、云安全组和分段平台则是执行这些定义的基础设施。在统一层面治理策略，意味着团队可以在一个地方查看、管控并证明环境正按照预期运行。

对于大型银行这类架构复杂、监管严格且频繁遭受攻击的企业而言，NSPM 解决方案是安全管理的基石。策略中哪怕极小的错误，也可能让先进的 firewall 技术形同虚设。例如，对某个对象组的微小改动看似无害，但该对象组可能被数百条规则引用，从而带来意料之外的安全后果。NSPM 解决方案能够发现甚至阻止这些隐蔽错误，避免组织因此暴露在攻击之下。

只要 firewall 仍然不可或缺，有效的策略管理就始终必不可少。IDC InfoBrief 对此提供了佐证：《Firewall 策略管理：不容忽视的根基》。

Compliance 不是可选项

多年以来，网络安全 compliance 要求的只是“部署 firewall”。金融服务、医疗和零售等强监管行业的组织意识到，有效的安全计划离不开有效的策略管理，于是将这些要求扩展到评估所执行策略的实际有效性。

这些要求包括：变更管理控制，确保新变更在实施前经过评估；审计控制，确保所有变更均有记录；以及持续的规则生命周期管理，定期复核访问的业务必要性和风险接受度。这些要求出现在 NIST 800-53、NIST CSF、PCI DSS 4.0、GDPR、DORA、NIS2 等多个框架中。

仅仅部署 firewall，不足以建立和维持安全、合规的企业环境。要确保 firewall 正确执行并监控网络安全最佳实践，有效的策略管理必不可少。若没有能够持续评估并报告这些复杂配置的自动化工具，维护并记录对上述框架的符合情况将极其耗时。

持续 compliance意味着在部署前检查拟议变更是否存在不合规项，并在两次审查之间持续保持审计证据的时效性，而不是每次审计都重新整理一遍。阅读案例研究，了解某组织如何将 compliance 审计准备时间缩短 83%。

网络安全运营成本居高不下

随着网络和安全复杂度上升，管理这些复杂环境的成本也水涨船高。与此同时，虚拟化、公有云和基础设施即代码等技术的落地加快了业务与 IT 的节奏，也让安全团队承受了更大的提速压力。

运营成本与响应速度这两项挑战，都可以通过自动化来应对。网络安全运营的自动化远不止于自动下发设备变更（“push”）。有效的网络安全自动化包括：

• 精简变更申请流程，减少变更请求数量并改进需求收集质量。
• 自动化设计环节，识别为达成预期结果所需的具体变更。
• 自动化变更前评估环节，确保只有恰当、安全且合规的变更才被放行。
• 精简审批流程，快速批准或驳回变更请求。
• 在既定变更窗口内自动实施变更，免去易出错的手工录入步骤。
• 自动化持续的 compliance 报告。
• 简化并自动化规则审查流程。
• 自动下线不再需要的规则。

多数团队会分阶段推进自动化：先从已建立信任的环节入手，例如变更前评估和 compliance 报告，再逐步扩展到其他环节。

选择 NSPM 平台时应关注什么

企业在评估 NSPM 厂商时，应重点验证六项能力。每一项都对应着人工流程在规模化场景下无法解决的问题。

还有一条检验标准：优秀的 NSPM 平台应治理您现有的防火墙与云端控制措施，而不应要求您更换既有的策略执行技术。

FireMon Security Manager 是 FireMon NSPM 平台的基础。它将 120 多种防火墙、云和微分段平台的策略归一化到同一数据层，使团队能够在一处获得实时可见性、变更前验证与持续的合规证据。附加模块还可进一步扩展出工作流自动化、规则优化和风险分析能力。

NSPM 与原生防火墙管理控制台的对比

Panorama、FortiManager 等原生控制台在管理自家平台方面能力出色。NSPM 位于其上层，对这些控制台覆盖不到的范围统一实施一致性治理。

总结

促使 FireMon 在 2004 年开创 NSPM 的网络安全管理难题，随着每一台新增防火墙、每一个新增云账户和每一次审计而不断加剧。如今 NSPM 的重要性超过以往任何时候。如需了解核心概念的简要定义，请参阅 什么是网络安全策略管理？