4、防火墙的治理与维护

　　假如已经设计好了一个防火墙，使它满足了你的机构的需要，接下来的工作就是防火墙的治理与维护了。在防火墙设计建造完成以后，使它正常运转还要做大量的工作。值得注重的是，这里许多维护工作是自动进行的。治理与维护工作主要有4个方面，它们分别是：建立防火墙的安全策略、日常治理、监控系统、保持最新状态。

　　4.1 建立防火墙的安全策略

　　要不要制定安全上的策略规定是一个有争议的问题。有些人认为制定一套安全策略是相当必须的，因为它可以说是一个组织的安全策略轮廓，尤其在网络上以及网络系统治理员对于安全上的顾虑并没有明确的策略时。

　　安全策略也可以称为访问上的控制策略。它包含了访问上的控制以及组织内其他资源使用的种种规定。访问控制包含了哪些资源可以被访问，如读取、删除、下载等行为的规范，以及哪些人拥有这些权力等信息。

　　1) 网络服务访问策略

　　网络服务访问策略是一种高层次的、具体到事件的策略，主要用于定义在网络中答应的或禁止的网络服务，还包括对拨号访问以及PPP(点对点协议)连接的限制。这是因为对一种网络服务的限制可能会促使用户使用其他的方法，所以其他的途径也应受到保护。比如，假如一个防火墙阻止用户使用Telnet服务访问因特网，一些人可能会使用拨号连接来获得这些服务，这样就可能会使网络受到攻击。网络服务访问策略不但应该是一个站点安全策略的延伸，而且对于机构内部资源的保护也起全局的作用。这种策略可能包括许多事情，从文件切碎条例到病毒扫描程序，从远程访问到移动介质的治理。

　　2) 防火墙的设计策略

　　防火墙的设计策略是具体地针对防火墙，负责制定相应的规章制度来实施网络服务访问策略。在制定这种策略之前，必须了解这种防火墙的性能以及缺陷、TCP/IP自身所具有的易攻击性和危险。防火墙一般执行一下两种基本策略中的一种：

　　① 除非明确不答应，否则答应某种服务;

　　② 除非明确答应，否则将禁止某项服务。

　　执行第一种策略的防火墙在默认情况下答应所有的服务，除非治理员对某种服务明确表示禁止。执行第二种策略的防火墙在默认情况下禁止所有的服务，除非治理员对某种服务明确表示答应。防火墙可以实施一种宽松的策略(第一种)，也可以实施一种限制性策略(第二种)，这就是制定防火墙策略的入手点。

　　3) 安全策略设计时需要考虑的问题

　　为了确定防火墙安全设计策略，进而构建实现预期安全策略的防火墙，应从最安全的防火墙设计策略开始，即除非明确答应，否则禁止某种服务。策略应该解决以下问题：

　　·需要什么服务，如Telnet、WWW或NFS等;

　　·在那里使用这些服务，如本地、穿越因特网、从家里或远方的办公机构等;

　　·是否应当支持拨号入网和加密等服务;

　　·提供这些服务的风险是什么;

　　·若提供这种保护，可能会导致网络使用上的不方便等负面影响，这些影响会有多大;

　　·与可用性相比，站点的安全性放在什么位置。

　　4.2 日常治理

　　日常治理是经常性的琐碎工作，以使防火墙保持清洁和安全。为此，需要经常去完成的主要工作：数据备份、账号治理、磁盘空间治理等。

　　1) 数据备份

　　一定要备份防火墙的数据。使用一种定期的、自动的备份系统为一般用途的机器做备份。当这个系统正常做完备份之后，最好还能发送出一封确定信，而当它发现错误的时候，也最好能产生一个明显不同的信息。

　　为什么只是在错误发生的时候送出一封信就好了呢?假如这个系统只在有错误的时候产生一封信，或许就有可能不会注重到这个系统根本就没有运作。那为什么需要明显不同的信息呢?假如备份系统正常和执行失败时产生的信息很类似。那么习惯于忽略成功信息的人，也有可能会忽略失败信息。理想的情况是有一个程序检查备份有没有执行，并在备份没有执行的时候产生一个信息。