방화벽 정책

방화벽을 통해 어떤 서비스들이 어떤 방향으로 허용되는지를 명시하는 서면 문서가 있어야 한다. 디폴트는 열린 것인지 닫힌 것인지도 규정한다, 즉 어떤 서비스가 정책에 명시되어 있지 않다면, 이것이 허용된다는 것을 의미하는가 혹은 그렇지 않다는 것을 의미하는가? 이것은 관리자의 서명을 받아야 하며, 그러지 않으면 "모든 사람들이 다루어졌다고 생각했던" 구멍을 통해 보안이 침해될 경우 방화벽 관리자는 매우 곤란한 입장에 처할 것이다. 다음은 인터넷 방화벽을 위한 정책의 예시이다:

인터넷 방화벽 정책 (예)

보안 요구사항:

1. 접근 통제

·         사내 네트웍으로부터의 모든 인터넷 접속은 방화벽에 있는 프락시를 통해서 발생해야만 한다.

·         디폴트 구성: 명시되지 않은 모든 서비스들은 금지된다.

·         모든 사용자들은 인터넷 사용자들과 이메일을 교환할 수 있다.

·         R&D 부 서 사용자들은 WWW, ftp 및 real audio를 사용할 수 있다. 다른 사람들은 인가가 필요하다.

2. 보증

·         방화벽과 프락시 시스템들은 민감한 호스트로서 설치되어야 한다. 불필요한 모든 서비스들은 운영체제에서 중지한다. 사용자들은 이 시스템들에 직접 로그온 할 수 없어야 한다.

·         방화벽 정책과 구성은 정확하게 문서화 되어야 한다.

·         방화벽 시스템들에 대해 정기적인 모니터링과 연례 감사를 실시해야 한다.

·         사용잗르과 방화벽 관리자들은 각자의 책임을 인지하고 있어야 하고 이러한 책임들을 질 수 있도록 교육을 받아야 한다.

3. 로깅

·         상세 로그를 보존해야 한다 (가능하다면 별개의 서버에).

·         자동적으로 분석되어야 하고, 치명적인 에러는 알람을 발생시켜야 한다.

·         로그는 적어도 1년간 보관해야 한다.

·         의미 있는 로그 엔트리들은 매일 검사해야 한다.

·         방화벽 사용량에 대한 통계를 얻을 수 있어야 한다.

4. 가용성

·         방화벽은 높은 가용성을 제공해야 하고 그에 관해 필요한 일들을 수행해야 한다 (백업/복원 등)

·         변경 관리와 사고 대응을 위한 프로세스가 있어야 한다.

5. 필요한 기능:
나가는 (outgoing) 서비스:

다음 서비스들은 특정한 내부 호스트로부터 (e.g. 프락시를 통해) 인터넷으로 나가는 것이 필요하다:
1. Email, WWW (HTTP), ftp, telnet, SSH
2. DNS (resolve Internet names)
3. News (NNTP)
4. Real Audio

들어오는 (incoming) 서비스:

다음의 인터넷 서비스들은 특별히 보호되는 서브넷 상에 구성된 프락시 호스트들을 통해 안으로 들어오는 것이 허용되어야 한다:
1. Email: 모든 사용자들은 안전한 게이트웨이를 통해 인터넷 이메일을 받을 수 있어야 한다.
2. News (NNTP)
3. Secure Logins (소수의 규정된 사람들에 대해): SecurID + SSH 를 통해

다른 인터넷 서비스들을 필요로 하는 시스템들은 모두 특별한 외부 (안전하지 않은) 서브넷에 두어야 한다. 이들은 인터넷에 직접 연결되도록 한다. 이 호스트들로부터 내부 네트웍으로의 접근에 대해서는 인터넷 호스트의 접근에서와 같은 규칙이 적용된다.
인터넷에 제공되는 서비스들:

다음 서비스들은 인터넷에 제공되어야 한다 (보호되는 영역내의 안전한 서버들에 의해):

1. 방 화벽/ 프락시 시스템의 DNS resolution.
2. WWW 서버.
3. Anonymous ftp 서버.
4. 특별한 프로젝트/ 다른 회사들과의 협력을 위한 사용자 FTP 서버 .