洞察策略风险，用自然语言提问策略问题。 申请演示 →
Published:
防火墙规则重新认证：让访问权限审查成为可重复的流程
让各团队的防火墙访问权限审查变得可重复。了解 FireMon Policy Optimizer 如何汇总规则背景信息并记录重新认证决定。
by FireMon
发现一条未使用或存疑的防火墙规则，只是工作的开始。
更难的是决定如何处理它。
该访问权限是否仍有正当的业务用途？这条规则能否删除？是否需要有人先行审查？又该如何记录这一决定，才能避免日后反复回答同一个问题？
这正是规则重新认证的意义所在。
可重复的重新认证流程，让团队不止于识别可能多余的访问权限，而是获得一套结构化方法，用以判断该访问权限是否应当保留。
将发现转化为决策
在上方视频中，FireMon 全球现场工程高级总监 Rob Rodriguez 演示了 Policy Optimizer 如何帮助团队审查并重新认证防火墙规则。
在示例中，Rob 查看了一条被标识为未使用的规则，并逐一介绍了可用于支撑审查的各项信息。
其中包括规则本身、辅助分析、备注、附件、任务历史、审查历史以及规则使用情况信息。
这些细节共同为审查人员在做出决定前提供了更充分的背景信息。
未使用的规则是一个有价值的信号，但并不自动意味着该规则应被删除。该访问权限近期未被使用，可能有其正当原因。
重新认证建立的是一套审查全部证据的流程，而不是依据单一指标采取行动。
让访问权限审查保持一致
缺少明确定义的流程，防火墙规则审查很容易变得标准不一。
一个团队可能每季度审查一次未使用的规则，另一个团队可能只在审计期间才去查看，还有人依赖电子表格、工单记录，或是创建该规则的工程师的记忆。
这使得建立可靠的策略治理实践变得困难。
结构化的重新认证工作流，让团队能够以可重复的方式提出相同的基本问题：
- 该访问权限是否仍有必要？
- 最初的业务需求是否依然成立？
- 该决定应由谁批准？
- 有哪些证据支持保留或删除这条规则？
- 这条规则上次审查是在什么时候？
目标并不是再增加一项审查任务，而是针对那些可能被无限期保留的访问权限，建立有据可查的决策流程。
以规则使用情况作为起点
规则使用数据可以帮助团队确定从何处入手。
如果一条规则长期未被使用，可能意味着应用发生了变更、项目已经结束、流量转移到了别处，或者该访问权限已不再必要。
但仅凭使用情况并不能给出完整答案。
将使用情况信息与规则细节、归属责任人、历史审查记录和支撑文档结合起来，从业人员就能更有依据地判断该规则是否应当保留。
在大型环境中，逐条人工排查每条规则并不现实，这一点尤为重要。
不让访问权限的存续超出其用途
防火墙环境处于持续变化之中：应用会下线，用户会变更岗位，基础设施会迁移，业务合作关系也会终止。
访问权限理应随之变化。
FireMon Policy Optimizer 帮助团队识别需要审查的规则，并将重新认证纳入策略管理流程。这让从业人员在发现可能多余的访问权限之后，能够沿着清晰的路径记录下一步应当采取的措施。
由此，防火墙策略能够以更一致的方式与当前业务需求保持同步，而不是仅仅因为无人复查，就让过去的访问权限一直留存。
让防火墙规则清理与重新认证变得可重复。 了解 FireMon Policy Optimizer 如何帮助团队识别多余规则、审查访问权限，并长期保持策略整洁。
查看本系列的其他文章：
常见问题
使用统一的结构化重新认证工作流，让每个团队提出相同的问题，并以相同的方式记录决定。否则，一个团队按季度审查，另一个团队等到审计才动手，还有团队依赖电子表格或个人记忆。FireMon Policy Optimizer 帮助团队将重新认证纳入策略管理，让审查背景和决策集中在一处，而不是分散在各类工具中。
一致的审查会针对每条规则提出五个问题：该访问权限是否仍有必要？最初的业务需求是否依然成立？该决定应由谁批准？有哪些证据支持保留或删除这条规则？这条规则上次审查是在什么时候？每次都提出相同的问题，规则审查就会从一次性的清理工作，转变为有据可查的治理实践。
先从规则使用情况入手，确定优先排查的方向，再结合规则细节、归属责任人、历史审查记录和支撑文档。使用情况指出可能的目标，其余数据则说明该访问权限存在的原因。在 FireMon Policy Optimizer 中，审查人员可以同时查看规则、辅助分析、备注、附件、任务历史、审查历史以及使用情况信息。
未使用的规则是一个有价值的信号，但并不能证明该访问权限多余。它近期没有承载流量，可能有正当原因。使用率低也可能意味着应用发生了变更、项目已经结束，或者流量转移到了别处。重新认证让审查人员在决定之前权衡全部证据，而不是依据单一指标采取行动。
审查人员应当核查规则本身、辅助分析、备注、附件、任务历史、以往审查记录以及规则使用情况。这些信息共同说明是谁申请了该访问权限、出于什么原因，以及业务需求是否依然成立。FireMon Policy Optimizer 会为每条待审查的规则汇总这些背景信息，使决定基于有据可查的证据，而非工程师的记忆。
临时访问权限之所以通常会变成长期存在，是因为无人复查。应用会下线，用户会变更岗位，基础设施会迁移，业务合作关系也会终止，但规则依然留在原处。定期重新认证可以解决这一问题：它强制做出有据可查的保留或删除决定，让访问权限随业务一同变化，而不是仅因无人再次提出问题，就让其存续超出原有用途。
FireMon Policy Optimizer 专为简化防火墙规则审查而打造。它帮助安全团队识别需要审查的规则、查看每条规则背后的背景信息，并记录重新认证决定。FireMon 在多厂商环境中充当策略治理层，而防火墙及 Panorama、FortiManager 等原生控制台继续管理和执行各自平台的策略。