Пересмотр правил firewall раз в квартал: метод и артефакт
Раз в квартал выгрузите действующие правила межсетевого экрана, сравните с копией прошлого квартала и закройте отверстия без владельца. Настройка «как включить nftables» — другой текст: nftables и firewalld. Одно изменение порта — карточка и перечень: какие изменения согласует ИБ. Здесь ритм: все правила разом, не «когда вспомнили».
Статья опирается на логику направления «Сетевая безопасность» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 12 требует активно вести сетевые устройства: отслеживать, отчитываться, исправлять: cisecurity.org/controls. Это не российский закон. Выгрузка только со своих экранов.
Артефакт квартала
sudo nft list ruleset > /var/backups/nft-$(date +%F).txt
sudo firewall-cmd --list-all-zones > /var/backups/firewalld-$(date +%F).txtОжидаемо: текстовый файл без запроса пароля в истории, права 600, копия не только на самом экране. Сравните с файлом прошлого квартала:
diff -u /var/backups/nft-ПРОШЛЫЙ.txt /var/backups/nft-СЕГОДНЯ.txtВторая команда — если у вас firewalld, не обе сразу как два хозяина таблиц. История /etc помогает, но не заменяет датированную выгрузку с экрана: etckeeper. Строки квартального разбора внесите в реестр изменений.
| Вопрос к каждому accept | Если нет ответа |
|---|---|
| Какая система и какой владелец? | Правило-сирота: в план на закрытие |
| Есть строка в реестре изменений или исключение с датой? | Оформить задним числом нельзя: закрыть или завести карточку сейчас |
| Источник — сегмент управления, а не «весь офис»? | Сузить: сегмент администрирования |
| 53 в обход своего резолвера? | Убрать: исходящий DNS |
| Гость во внутренние сети? | Убрать: гостевой Wi-Fi |
Если на правилах стоит counter, в nft list ruleset нули за квартал — кандидат на удаление после окна. Не удаляйте «тихое» правило резервного копирования в пятницу без владельца системы.
Риск: правите боевой набор, глядя в diff. Сначала список на закрытие, потом карточка, потом nft -c и отложенный откат.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Выгрузки нет полгода | Нет ритма. Поставьте дату в календарь ИБ |
| diff пустой, а порт открыли в чате без заявки | Меняли не тот ящик (облачный экран, второй nft). Выгружайте все экраны периметра |
| Правил 400, разбор «глазами» | Нет владельца в комментарии. Начните с accept наружу и с 22/3389 |
| Закрыли и отрезались | Не было консоли и отката. Верните файл прошлого квартала |
Где это в модели зрелости
Материал относится к направлению «Сетевая безопасность» (хаб: сеть, карта: карта зрелости). Настройка firewall даёт рабочий набор. Без квартальной выгрузки набор обрастает исключениями «на час». Перечень ИБ говорит, когда звать ИБ на одно изменение; этот ритм смотрит все отверстия.
Как проверить
- За последний квартал есть датированная выгрузка правил с каждого экрана периметра.
- Есть diff с предыдущей выгрузкой и список «закрыть / оставить / уточнить владельца».
- Правила без владельца не копятся третий квартал подряд.
- Закрытия идут карточкой, не правкой в пятницу вечером без записи.
- Это не учебник nftables и не ITSM-продукт.
Источники
- CIS Control 12: cisecurity.org/controls.
