12. Документация

Важно, чтобы правила работы с брандмауэром и параметры его конфигурации были хорошо документированы, своевременно обновлялись и хранились в безопасном месте. Это будет гарантировать, что при невозможности связаться с администратором брандмауэра или при его увольнении, другой опытный человек сможет после прочтения документации быстро осуществить администрирование брандмауэра. В случае проникновения такая документация также поможет восстановить ход событий, повлекших за собой этот инцидент с безопасностью.

13. Физическая безопасность брандмауэра

Физический доступ к брандмауэру должен строго контролироваться во избежание несанкционированных изменений конфигурации брандмауэра или его состояния, а также для того, чтобы нельзя было наблюдать за работой брандмауэра. Кроме того, должна иметься пожарная и другая сигнализация и система создания архивных копий, позволяющие гарантировать бесперебойную работу брандмауэра.

Брандмауэр организации должен находиться в отдельном помещении, доступ в которое разрешен только ответственному за сетевые сервисы, администратору брандмауэра и администратору архивных копий брандмауэра.

Комната, в которой находится брандмауэр, должна быть оборудована пожарной сигнализацией и кондиционером для того, чтобы можно было гарантировать ее нормальное состояние. Размещение и состояние огнетушителей должны регулярно проверяться. Если имеются источники бесперебойного питания, то брандмауэр должен быть обязательно подключен к одному из них.

14. Действия при попытках нарушения безопасности

Уведомление об инциденте - это процесс, посредством которого определенные аномальные события фиксируются в журналах и сообщаются администратору брандмауэра. Требуется политика, в которой определялись бы типы записей в журналах об особых событиях и порядок действий при появлении подобных записей. Это должно быть согласовано с общим порядком действий при инциденте с безопасностью. Следующие правила уместны для всех сред.

Брандмауэр должен конфигурироваться так, чтобы создавались ежедневные, еженедельные и ежемесячные отчеты, для того чтобы при необходимости можно было проанализировать сетевую активность.

Журналы брандмауэра должны анализироваться каждую неделю для выявления следов атак.

Администратора брандмауэра должен уведомляться в любое время об атаке с помощью электронной почты, пейджера, или других средств, чтобы он мог сразу же предпринять необходимые контрмеры.

Брандмауэр должен обнаруживать попытки сканирования или зондирования, чтобы не происходило утечки защищаемой информации за пределы брандмауэра. Аналогичным образом он должен блокировать работу всех типов программ, которые, как известно, представляют угрозу безопасности сети (таких как ActiveX и Java) для усиления безопасности сети.

15. Восстановление сервисов

При выявлении факта проникновения, брандмауэр должен быть отключен и переконфигурирован. Если необходимо отключить брандмауэр, может понадобиться также, отключиться от Интернета или перейти на запасной брандмауэр - внутренние системы не должны быть подключены к Интернету напрямую. После переконфигурации брандмауэр должен быть включен снова и запущен в работу. Требуются правила восстановления брандмауэра до рабочего состояния после проникновения.

Если произошло проникновение, администратор брандмауэра отвечает за переконфигурацию брандмауэра для защиты всех использовавшихся уязвимых мест. Брандмауэр должен быть восстановлен в исходное состояние, чтобы сеть находилась под защитой. На время восстановления должен использоваться запасной брандмауэр.